Il Garante della privacy ha sanzionato Eni Gas e Luce per 11,5 milioni di euro per aver violato il GDPR. Le irregolarità riguardano il telemarketing indesiderato e l’attivazione di contratti non richiesti.
Indice degli argomenti
Le sanzioni a Eni
Le sanzioni, comminate per complessivi 11,5 milioni di euro, hanno riguardato rispettivamente:
- il trattamento illecito di dati personali nell’ambito di attività promozionali; e
- l’attivazione di contratti non richiesti.
Le sanzioni sono state determinate tenendo conto dei parametri indicati nel Regolamento Ue, tra i quali figurano:
- l’ampia platea dei soggetti coinvolti;
- la pervasività delle condotte;
- la durata della violazione;
- le condizioni economiche di Egl.
Trattamento illecito nel telemarketing
La prima sanzione di 8,5 milioni di euro ha riguardato trattamenti illeciti nelle attività di telemarketing e teleselling riscontrati nel corso di accertamenti e ispezioni svolti dall’Autorità a seguito di diverse decine di segnalazioni e reclami, ricevuti all’indomani della piena applicazione del Gdpr.
Dalle verifiche è emerso un circoscritto numero di casi, rivelatori tuttavia di condotte “di sistema” poste in essere da Eni che hanno evidenziato gravi criticità relative al generale trattamento dei dati.
Tra le violazioni messe in luce spiccano:
- le telefonate pubblicitarie effettuate senza il consenso della persona contattata o nonostante il suo diniego a ricevere chiamate promozionali, oppure senza attivare le specifiche procedure di verifica del Registro pubblico delle opposizioni;
- l’assenza di misure tecnico organizzative in grado di recepire le manifestazioni di volontà degli utenti;
- tempi di conservazione dei dati superiori a quelli consentiti;
- l’acquisizione dei dati dei potenziali clienti da soggetti (list provider) che non avevano acquisito il consenso per la comunicazione di tali dati.
- Attivazione di contratti non richiestI
La seconda sanzione di 3 milioni di euro ha riguardato violazioni nella conclusione di contratti non richiesti nel mercato libero della fornitura di energia e gas.
Molte persone si sono rivolte all’Autorità lamentando di aver appreso della stipula di un nuovo contratto solo dalla ricezione della lettera di disdetta del vecchio fornitore o dalle prime fatture di Egl.
In alcuni casi, poi, le segnalazioni denunciavano la presenza nel contratto di dati inesatti e di sottoscrizione apocrifa.
Le ingiunzioni del Garante
Il Garante, dopo aver dichiarato l’illiceità delle condotte rilevate, ha ingiunto all’azienda:
- di implementare procedure e sistemi per verificare, anche tramite l’esame di un campione rilevante di nominativi, lo stato dei consensi delle persone inserite nelle liste dei contatti, prima dell’inizio delle campagne promozionali. Eni gas e luce dovrà inoltre provvedere alla definitiva automatizzazione dei flussi di dati dal proprio database alla black list di chi non vuole ricevere pubblicità in uso presso la società;
- vietato alla società l’uso dei dati forniti dai list provider senza che questi ultimi avessero acquisito uno specifico consenso alla loro comunicazione a Egl;
- l’adozione di una serie di misure correttive e l’introduzione di specifici alert in grado di individuare varie anomalie procedurali.
Le gravi irregolarità hanno interessato circa 7.200 consumatori. Dagli accertamenti dell’Autorità è emerso che le condotte adottate da Egl nell’acquisizione di nuovi clienti mediante alcune agenzie esterne operanti per suo conto, per modalità organizzative e gestionali, hanno determinato trattamenti non conformi al GDPR, in quanto contrari ai principi di correttezza, esattezza e aggiornamento dei dati.
Conclusione
Le implementazioni segnalate dall’Autorità Garante per la protezione dei dati personali dovranno essere introdotte e comunicate all’Autorità in tempi stabiliti, mentre il pagamento delle sanzioni dovrà essere effettuato entro trenta giorni.
Vedremo come e se la società presenterà relativo ricorso.
