Gestire correttamente i dati personali non è banale ma richiede i dovuti presidi per evitare errori con effetti rilevanti. Il Garante per la protezione dei dati personali ha reso noto la recente sanzione comminata (in data 24 novembre) da 1 milione di euro contro un’azienda del settore energetico, Areti S.p.A., per aver violato, tra l’altro, il principio di esattezza del trattamento dei dati personali di un proprio cliente.
In concreto, è stato accertato che, a causa di una serie di errori tecnico-gestionali, migliaia di clienti sono stati – per anni – erroneamente indicati, nei sistemi informativi, quali “morosi”. Con ovvie ricadute su queste persone soprattutto quanto al momento di (tribolatissimo) passaggio ad altro fornitore, sovente bloccato.
Ma c’era anche l’anomalia di conservare i dati dei clienti per ben 10 anni dalla cessazione del contratto.
Indice degli argomenti
Il caso nel settore energia e l’applicazione concreta del principio di esattezza del trattamento
Il procedimento nasce da un reclamo di un cliente di Areti – società distributrice di energia elettrica a Roma –, il quale ha segnalato al Garante di essere stato erroneamente qualificato quale “cliente moroso” dalla predetta società nell’ambito del c.d. “Sistema Informativo Integrato” (“SII”). Un’informazione errata o non aggiornata.
Cyber security e transizione energetica: ecco perché serve un approccio più coraggioso
Il SII è parte integrante di una disciplina specifica di settore (c.d. Sistema Indennitario) per la quale – nell’ambito del cambio (“switch”) del fornitore di energia elettrica da parte di un cliente – si garantisce al fornitore uscente un indennizzo per l’eventuale mancato incasso di un credito residuo, il tutto antecedentemente al passaggio del cliente al nuovo fornitore (o “fornitore entrante”). Sulla base delle informazioni presenti nel SII, di regola, il fornitore entrante ha la possibilità di valutare se acquisire o meno un nuovo cliente – in base alla presenza (o meno) di situazioni di morosità. I soggetti indicati come morosi dal sistema sono – prevedibilmente – poco appetibili e spesso rifiutati dalle società. Dunque vi è un chiaro e rilevante impatto sui diritti e le libertà dell’interessato, tanto da meritare una certa valutazione del rischio e connessa DPIA: il Garante ne accenna anche quanto alle ricadute nella determinazione dei tempi di conservazione dei dati di morosità.
Areti ha fatto presente all’autorità – per accertamenti in merito – che tale errore era dovuto ad un “disallineamento dei sistemi interni della società”, anche frutto di processi di migrazione di sistemi, dal quale è scaturita l’errata comunicazione al SII. Precisamente, “un’erronea regola (“query”) di estrazione, dai propri database, dell’informazione inerente alla presenza di un indennizzo CMOR [che riportava una voce sulla morosità pregressa] in corso a carico del reclamante”. Nel caso concreto, invece, l’utente non aveva alcuna morosità pendente ma risultava esserlo a fronte della consultazione del sistema.
Inoltre, a propria difesa – oltre alla corsa ai ripari per la correzione dell’errore di fondo – l’azienda sottolineava, tra le altre cose, che avrebbe avuto contezza di tale disallineamento soltanto in virtù dell’interlocuzione con il reclamante (a seguito della richiesta di accesso ex art. 15 GDPR di quest’ultimo). E che da tale “mero errore tecnico” non sarebbe pervenuto alcun vantaggio economico alla società – aspetto comunque non rilevante per la tutela dei dati personali.
Il Garante, a seguito di un’attenta analisi tecnica del SII e delle varie tabelle informative contenenti le informazioni sui clienti, ha potuto appurare che:
- il predetto errore era presente da fine 2016 – ed è da allora che la violazione deve individuarsi sul piano temporale;
- proprio a causa di tale informazione “inesatta e non aggiornata” i fornitori entranti “di volta in volta designati dal cliente, nell’esercizio della facoltà di switching con riserva, hanno, in più occasioni, rinunciato al perfezionamento dello stesso negando l’attivazione della relativa fornitura di energia”.
L’Autorità precisa, in aggiunta, che “le predette erronee estrazioni” hanno coinvolto da fine 2016 “tutti i clienti finali […] aventi analoga situazione a quella del reclamante, per un totale di 16.743 soggetti interessati. A ciò si aggiunga che la conseguenziale comunicazione, in fase di switching, da parte della medesima Società delle predette informazioni inesatte e non aggiornate, ha determinato il mancato perfezionamento, per esercizio del diritto di revoca del venditore entrante, di circa 47.767 richieste di switching”. Insomma, gli effetti negativi di tale disallineamento sono ben tangibili e non solo potenziali per i non pochi utenti coinvolti. Oltre al reclamante, anche tutti gli altri summenzionati ben potrebbero lamentare quanto occorso verso l’autorità e non solo (si veda oltre, quanto alla tutela consumeristica).
Questioni ulteriori: data retention e riscontro agli interessati
In tema di conservazione dei dati inerenti alle pratiche afferenti al sistema indennitario, da parte della Società “è emersa l’applicazione di tempistiche uniche (10 anni dalla cessazione del contratto) per tutte le tipologie di trattamento relative ai dati della clientela” – senza distinzione circa le varie tabelle nell’ambito del SII e del sistema indennitario, attualmente in uso oppure dismesse. Il tempo unico definito era livellato su quello massimo prescrizionale, affermava l’azienda.
Nelle more, questa si è mossa avviando un “processo di cancellazione dei dati presenti nei [propri] sistemi in conformità ai termini decennali di conservazione indicati dalle policy interne di data retention”. Individuando “un termine di conservazione pari a dieci anni decorrente, non dalla data di cessazione del contratto (come previsto in termini generali dalla policy di data retention sopra citata), ma dalla data di ricezione della richiesta di indennizzo CMOR” nell’ambito dei sistemi di Areti stessa.
Quanto al riscontro alle richieste degli interessati, il reclamante ha lamentato l’inidoneità dello stesso da parte di Areti. Infatti, il primo ha avanzato richiesta di accesso ai propri dati personali in data 21 agosto 2020, ulteriormente precisata il 28 settembre 2020. La titolare – comunque sofferente di una gestione parzialmente caotica delle richieste via email – ha sì risposto entro i termini prefissati dalla normativa, ma lo ha fatto in maniera “parziale e inesatta” limitandosi, in primo luogo, ad “elencare le categorie di dati trattate […] senza riportare il dettaglio dei dati personali afferenti all’interessato” e, in seconda battuta, a fornire un elenco di dati personali privo di “alcuna indicazione in ordine alle informazioni inerenti al CMOR allo stesso attribuito ed espressamente richieste”.
La società si è difesa sostenendo difficoltà nel ricostruire puntualmente la posizione del reclamante e modificando, pro futuro, le proprie policy, procedure e modalità di presa in carico delle richieste degli interessati. Il Garante ha avuto buon gioco a dimostrare e dichiarare che una maggiore attenzione e cura in tale sede avrebbe potuto portare l’azienda a rilevare da sé i problemi qui discussi e così evitare la sanzione, garantendo il vero rispetto della normativa.
Le violazioni accertate dal Garante
A seguito delle proprie indagini e valutazioni, il Garante ha infine ravvisato:
- la violazione del principio di esattezza dei dati personali (art. 5(1), lett. d) GDPR), per il quale gli stessi debbono essere “esatti e, se necessario, aggiornati”, per aver trattato informazioni inesatte all’interno del SII concernenti il reclamante (e non solo), causando – tra l’altro – difficoltà / impossibilità nel cambio di fornitore di energia da parte dell’utente;
- la violazione del principio di limitazione della conservazione dei dati personali (art. 5(1), lett. e) GDPR), per il quale gli stessi debbono essere conservati “per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati”, prendendo altresì in considerazione – in riferimento alle specifiche tabelle – le tempistiche di definizione delle pratiche;
- la violazione degli artt. 12 e 15 GDPR per l’omesso “idoneo” riscontro alla richiesta di accesso formulata dal reclamante;
- la violazione del principio di accountability (artt. 5(2) e 24 GDPR), per il quale grava sul titolare del trattamento l’onere di poter comprovare il rispetto, inter alia, dei predetti principi.
Proprio su quest’ultimo punto, l’Autorità ha fornito preziose indicazioni su quale deve essere il risultato pratico dell’accountability del Titolare. Infatti, ha evidenziato che tale onere non si concretizza soltanto “mediante la corretta e puntuale predisposizione degli adempimenti imposti dal Regolamento […], ma soprattutto attraverso l’implementazione di procedure e prassi organizzative atte a conformare i relativi trattamenti alla disciplina di riferimento”. Il Garante ne offre degli esempi che dovrebbero essere tutti già patrimonio consolidato di aziende perlomeno medio-grandi:
- processi per la corretta gestione dei dati oggetto di trattamento;
- policy volte ad assicurare l’esattezza delle informazioni trattate;
- regole per l’attribuzione di responsabilità;
- programmi di formazione del personale;
- procedure per la gestione delle richieste di esercizio dei diritti e dei reclami;
- previsione di audit interni ed esterni con cadenza periodica.
A causa delle predette violazioni, tenendo in debita considerazione anche la collaborazione della società e la tempestiva adozione, “una volta avuta contezza della violazione, di misure volte ad attenuare gli effetti dell’illecito trattamento”, il Garante ha ingiunto ad Areti il pagamento di una sanzione di 1 milione di euro. Nonostante in motivazione il Garante abbia ravvisato: collaborazione da parte dell’azienda, mancanza di precedenti, l’adoperarsi per far cessare le violazioni.
L’importanza del provvedimento del Garante per tutte le aziende
Il presente provvedimento del Garante è importante e interessante per vari motivi. Innanzitutto, permette di prendere coscienza circa la portata concreta di uno dei principi applicabili al trattamento dei dati personali (forse tra i più sottovalutati): il principio di esattezza del trattamento, ex art. 5(1) lett. d). Infatti, se da un lato è lampante ed intuitivo che i dati personali debbano essere “esatti e, se necessario, aggiornati”, dall’altro non è sempre immediato comprendere, per i titolari del trattamento, le possibili conseguenze negative derivanti dal mancato rispetto di tale semplice indicazione. Esattezza che va declinata, come ben esemplificato dal Garante, sia ex ante (con le procedure e misure pertinenti, idonee) che ex post (verificando sia la rispondenza di quanto previsto che la sua idoneità).
Dati inesatti
Inoltre, la medesima previsione del GDPR afferma che “devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità per le quali sono trattati”; previsione che si interseca necessariamente con il dovere di accountability del Titolare e l’importanza del mantenimento di quelle “procedure e prassi organizzative” (prendendo in prestito le parole del Garante) per poter agevolmente “navigare” nel mare magnum dei dati presenti all’interno di una società. Come non mai rileva il ciclo di vita dei dati, sia staticamente che dinamicamente (il loro aggiornamento).
In tempi di data lake e pooling (condivisione di database), così come di frammentazione in molteplici dati in data silos, con ridondanze e sovrapposizioni non gestite, con migrazioni di database e condivisioni tra più entità, l’adoperarsi per avere un controllo – non sempre facile, ne va dato atto – dei propri sistemi: dovrebbe essere una priorità nella digitalizzazione e gestione dell’impresa. Forse ancor più di certi trend che possono portare a sviare attenzione e risorse, a danno come si è visto di una corretta governance complessiva dei dati – magari meno “attraente” e, tuttavia, base il più possibile solida su cui edificare tutte le strategie digitali.
Menzioniamo da ultimo un precedente provvedimento del Garante, in tema di esattezza dei dati, ovvero quello avverso Eni Gas e luce dell’11 dicembre 2019.
Sanzioni GDPR a Eni: quale lezione per le aziende e regole generali di accountability
Anche in quel caso l’azienda titolare non aveva gestito correttamente i dati degli utenti interessati, pur trattandosi di attivazione di contratti non richiesti con dati personali errati. Come nel caso qui in parola, era emerse prassi che tramite l’erroneità dei dati sfociavano in una accountability impropria e gravemente lesiva dei principi del GDPR. Basti ricordare un passaggio di quel provvedimento, in sede ispettiva: “le policy che sono apparse lacunose e poco efficaci soprattutto in termini di garanzia dell’esattezza dei dati trattati, di sicurezza del trattamento nonché di controllo dell’operato delle persone autorizzate a trattarli; l’inadeguatezza e la lacunosità di tali modalità procedurali ha consentito ad alcuni soggetti (nella specie agenti e venditori) di operare per un considerevole lasso di tempo in violazione delle istruzioni impartite dal titolare con ripercussioni sulla legittimità dei relativi trattamenti, in particolare in termini di correttezza degli stessi e di qualità dei dati trattati”. Il tutto portando a una sanzione di tre milioni di euro derivante dall’illecito trattamento di dati di 7200 utenti.
Gli altri principi GDPR violati e cenni alla tutela del consumatore
In secondo luogo, tornando al caso in parola, si deve parlare del tema data retention: ancora una volta il Garante sottolinea la necessità di una stretta aderenza, da parte del Titolare, al principio di conservazione quale inevitabilmente connesso alle finalità per cui il trattamento di tali dati personali viene eseguito. Non solo, quindi, non è sufficiente – e non è conforme al GDPR – indicare genericamente che i dati personali verranno conservati per un periodo “non superiore al conseguimento delle finalità per le quali sono trattati”. All’interno di un medesimo (macro)trattamento, occorre distinguere le singole, specifiche e diverse (sotto)finalità e peculiarità, argomentando e rendicontando la propria decisione in merito agli eventuali differenti periodi di conservazione per ognuna di esse – in ottica di ponderata accountability. Nel caso in parola, il Garante segnalava la necessaria distinzione tra fini di gestione contrattuale (durata pari al rapporto), definizione di una pratica nel sistema SII (12-14 mesi), permanenza nei sistemi interni (3-5 mesi). Tempi ben diversi dai 10 anni che, appunto, erano da applicare ad altre finalità, non livellando i sistemi solo su un termine massimo buono per ogni uso.
Infine, ancora una volta, preme sottolineare l’importanza del preciso e puntuale riscontro alle richieste degli interessati, in quanto, come spesso accade – al netto di tutte le altre questioni e delle peculiarità del caso in questione – anche da un inidoneo riscontro ad una richiesta di accesso ai sensi dell’art. 15 GDPR prende vita il presente provvedimento, con tutto quanto ne è conseguito. Il Garante segnala che i problemi nel reperire i dati erano evidenti al titolare che, di conseguenza, si sarebbe dovuto interrogare e indagare al proprio interno invece di soprassedere.
Solo una suggestione aggiuntiva, riflettendo in generale sull’accaduto e le tutele astrattamente applicabili: trattandosi di utenti di servizi al consumo, ben potrebbe l’utente lamentare (oltre che, forse, danni da responsabilità civile per colpa grave del professionista e inadempimento contrattuale) altresì la violazione di alcuni diritti spettanti proprio in forza del Codice del consumo (D.Lgs. 206/2005). Invocando l’intervento dell’autorità competente, ovvero l’AGCM. In particolare, si potrebbe ipotizzare una pratica commerciale lesiva dei principi di buona fede, correttezza e lealtà, del diritto alla correttezza, alla trasparenza ed all’equità nei rapporti contrattuali.
E dal punto di vista delle aziende concorrenti si potrebbe ragionare su prassi di ipotetica concorrenza sleale nel “bloccare” di fatto il passaggio degli utenti, con informazioni false, a danno del libero mercato dell’energia.
In definitiva, questo caso permette di evidenziare come la correttezza nella gestione e trattamento dei dati personali può riverberarsi in numerosi altri frangenti di compliance, esponendo a numerosi rischi giuridici. Forse oltre il previsto da chi ne era coinvolto. Ragione in più, se fosse necessaria, per prestare la dovuta attenzione al tema della protezione dei dati, oltre al dover evitare conseguenze nefaste per le persone fisiche. In questo caso si è bloccato il passaggio di utente in altro servizio, in altri contesti (accesso al credito, giustizia, ecc.) errori similari potrebbero impattare ancor più sull’identità personale stessa, vittima di una falsa rappresentazione e dei processi decisionali basati su di essa. Un allarme per tutti.
