Contratti all’insaputa dei clienti: il garante per la privacy sanziona Acea

Il Garante per la protezione dei dati personali ha irrogato una sanzione di 2 milioni di euro a Acea Energia per gravi violazioni nel trattamento dei dati personali di oltre 1.200 clienti relativi alla fornitura di energia elettrica e gas.

L’intervento dell’Autorità è scaturito da segnalazioni che denunciavano l’uso di informazioni inesatte o non aggiornate per la conclusione di contratti non richiesti ai danni di consumatori.

Accertamenti e reclami

Le denunce ricevute indicavano che molti utenti venivano a conoscenza dell’attivazione di una fornitura soltanto dopo aver ricevuto comunicazioni di attivazione o solleciti di pagamento, pur non avendo avuto alcun contatto diretto con la società.

Il Garante per la protezione dei dati personali ha osservato:

“I reclamanti lamentavano di aver appreso dell’instaurazione del rapporto di somministrazione solo dopo aver ricevuto comunicazioni dell’avvenuta attivazione della fornitura o di solleciti di pagamento, affermando di non aver mai avuto alcun contatto, né personale né a distanza, con la società. Alcuni reclami riguardavano inoltre il tardivo o mancato riscontro alle richieste di esercizio dei diritti ai sensi della normativa privacy.”

Risultati delle ispezioni

Dalle ispezioni svolte presso la sede della società è emerso che la raccolta e l’utilizzo dei dati avvenivano tramite terze parti incaricate di procacciare potenziali clienti, sulla cui attività non veniva esercitata una vigilanza adeguata.

Il Garante per la protezione dei dati personali ha rilevato:

“L’istruttoria ha accertato che non erano state adottate misure tecniche e organizzative idonee a prevenire eventuali utilizzi fraudolenti dei documenti acquisiti dagli agenti porta a porta o dai partner della società.”

Modalità operative degli agenti

Le verifiche hanno evidenziato che gli agenti porta a porta potevano acquisire le generalità degli interessati attraverso dispositivi mobili, ad esempio fotografando documenti, e procedere poi, a insaputa dei clienti, all’attivazione delle forniture, anche mediante firma apocrifa. Risultava inoltre insufficiente il sistema di monitoraggio basato sul recall, pensato per verificare la reale volontà del cliente di sottoscrivere il contratto.

Il Garante per la protezione dei dati personali ha aggiunto:

“Gli agenti potevano entrare in possesso delle generalità mediante dispositivi mobili, scattando foto dei documenti, per poi procedere a loro insaputa all’attivazione delle forniture anche mediante firme apocrife. Il sistema di monitoraggio attraverso recall si è mostrato inadeguato a verificare l’effettiva volontà del cliente.”

Provvedimenti imposti

In aggiunta alla sanzione pecuniaria, l’Autorità ha ingiunto a Acea Energia l’adozione di una serie di misure correttive finalizzate a garantire la conformità alle norme sulla protezione dei dati.

Tra le prescrizioni figurano l’implementazione di meccanismi di alert per monitorare l’osservanza delle procedure contrattuali da parte degli agenti, controlli periodici sull’esattezza delle informazioni raccolte e l’individuazione di tempi specifici di conservazione dei dati dei clienti.

Queste misure mirano a rafforzare le misure tecniche e organizzative richieste dal Regolamento generale sulla protezione dei dati (GDPR), prevenendo abusi commessi da soggetti terzi e tutelando il diritto alla correttezza e alla trasparenza nel trattamento.

Impatto e raccomandazioni

La vicenda sottolinea l’importanza per le imprese di sorvegliare efficacemente i partner commerciali e di adottare procedure di verifica dell’identità e del consenso che siano robuste e documentate. Per i consumatori è opportuno controllare periodicamente le proprie forniture e segnalare tempestivamente eventuali anomalie alle autorità competenti.

Il provvedimento del Garante rappresenta inoltre un richiamo alla necessità di politiche di conservazione dei dati chiare e trasparenti e alla responsabilità delle aziende nel garantire che le attività di vendita non compromettano i diritti degli interessati.