3 settembre 2026 – La notifica del provvedimento sanzionatorio del Garante per la protezione dei dati personali colpisce i vertici di Enel Energia con la precisione di un atto giudiziario. La sanzione amministrativa, fissata in 563.052 euro, non è una stima, ma il risultato finale di un’istruttoria meticolosa, innescata mesi prima da un singolo reclamo e due segnalazioni circostanziate. Tre cittadini, esasperati dalla ricezione di chiamate commerciali indesiderate, avevano attivato la procedura ispettiva dell’Autorità, dando il via a una verifica che avrebbe scoperchiato una falla sistemica nei processi di gestione del dato del colosso energetico. L’accertamento del Garante è stato inequivocabile: Enel Energia, direttamente e per il tramite di società terze operanti nella sua filiera commerciale, aveva posto in essere un trattamento illecito di dati personali a fini di telemarketing e teleselling.
L’origine del problema risiedeva in una prassi operativa tanto diffusa quanto pericolosa: la trasformazione di un contatto di natura gestionale, come una chiamata per informazioni sulla bolletta o la gestione di un contratto, in un’opportunità commerciale. Durante queste interazioni, gli operatori proponevano ulteriori offerte, attivando un trattamento con finalità di marketing in assenza di una idonea base giuridica. Il consenso del cliente, infatti, non era stato né raccolto in modo specifico e granulare, né verificato prima di avviare la proposta commerciale. Se l’organizzazione avesse implementato un ecosistema di controllo come Scudo231, ogni interazione con il cliente sarebbe stata tracciata e vincolata a protocolli non aggirabili. Il sistema di gestione delle chiamate, interfacciato con il registro centrale dei consensi, avrebbe inibito a livello software la visualizzazione degli script commerciali all’operatore impegnato in una chiamata classificata come “gestionale”. Qualsiasi tentativo di forzare il sistema o di classificare erroneamente la chiamata avrebbe generato un alert in tempo reale, indirizzato simultaneamente al Data Protection Officer e all’Organismo di Vigilanza, documentando l’anomalia e identificando l’operatore responsabile.
La criticità più grave emersa durante l’istruttoria, tuttavia, riguardava la gestione dei dinieghi. L’Autorità ha provato che le chiamate promozionali venivano effettuate anche nei confronti di utenti che avevano esplicitamente e formalmente negato il proprio consenso al trattamento dei dati per finalità di marketing. Questa non era un’svista isolata, ma la conseguenza diretta di una debolezza strutturale. Il Garante, nel suo provvedimento, ha messo nero su bianco che la società non aveva adottato misure tecnico-organizzative sufficienti a escludere il rischio di trattamenti illegittimi nelle procedure di ricontatto. Questa omissione rappresenta il cuore della responsabilità dell’ente. Un’architettura di difesa come quella di Scudo231 avrebbe reso materialmente impossibile un simile evento. Il suo registro dei consensi non è una semplice tabella in un database, ma un ledger immutabile e centralizzato che funge da unica “fonte della verità” per l’intera filiera. Ogni sistema di terze parti – dal call center esterno al partner commerciale – sarebbe stato obbligato a interrogare via API questo registro prima di ogni singola chiamata. La richiesta di contatto per il numero di un utente che ha espresso diniego avrebbe ricevuto una risposta negativa automatica, bloccando la chiamata prima della sua partenza e registrando il tentativo fallito come prova del corretto funzionamento del controllo. Il rischio di trattamenti illegittimi non sarebbe stato “mitigato”, ma azzerato a livello di processo.
L’indagine ha fatto luce sulla vulnerabilità della catena di fornitura. Enel Energia si avvaleva di una rete di società partner per le attività di teleselling, ma evidentemente non esercitava un controllo sufficiente a garantire la loro piena aderenza alle normative. La responsabilità, secondo il principio di accountability sancito dal GDPR, ricade interamente sul titolare del trattamento, ovvero Enel Energia, che ha il dovere di vigilare sull’intera filiera. L’assenza di un monitoraggio sistematico e probatorio sui flussi di dati affidati a terzi ha creato una zona grigia in cui le violazioni potevano proliferare senza essere rilevate, fino alla segnalazione esterna. Questo scenario sarebbe stato inattuabile con un modello di controllo integrato. La piattaforma Scudo231, infatti, estende la sua sorveglianza all’intera supply chain, imponendo ai partner l’adozione di protocolli di comunicazione sicuri e tracciati. Ogni lista di contatti fornita a un partner non sarebbe stata un file statico, ma un flusso di dati temporizzato e con permessi specifici, revocabili in tempo reale. Il sistema avrebbe eseguito audit automatici e continui sulle performance di compliance dei fornitori, misurando tassi di contatto, rispetto dei consensi e aderenza agli script approvati. Un partner che avesse tentato di utilizzare dati non autorizzati o di deviare dai protocolli sarebbe stato immediatamente isolato dal sistema e segnalato per violazione contrattuale, fornendo all’ente la prova documentale di aver adottato tutte le misure necessarie per prevenire l’illecito commesso dal terzo.
La sanzione di oltre mezzo milione di euro, sebbene economicamente significativa, rappresenta solo la punta dell’iceberg. A essa si aggiunge il danno reputazionale derivante dalla pubblicazione del provvedimento e, soprattutto, l’ordine prescrittivo del Garante. L’Autorità ha infatti ingiunto a Enel Energia di implementare misure tecniche e organizzative adeguate per assicurare che il trattamento dei dati personali avvenga nel pieno rispetto del GDPR lungo tutta la filiera. Questo significa sostenere costi ingenti per la riprogettazione dei processi, la formazione del personale, l’aggiornamento tecnologico e le successive attività di audit, il tutto sotto la stretta sorveglianza del Garante. Si tratta di un intervento correttivo imposto dall’esterno, costoso e tardivo. Se un sistema di controllo preventivo fosse stato già operativo, l’ente non solo avrebbe evitato la sanzione, ma avrebbe potuto dimostrare proattivamente all’Autorità, tramite log immodificabili e report di sistema, di possedere un modello organizzativo efficacemente attuato. Di fronte a una segnalazione, l’azienda avrebbe potuto produrre una ricostruzione causale scientifica, dimostrando che la violazione, se avvenuta, era frutto di un’elusione fraudolenta dei controlli da parte di un singolo individuo e non di una colpa organizzativa sistemica. Tale evidenza probatoria avrebbe potuto ridurre drasticamente l’entità della sanzione o, in alcuni scenari, escludere la responsabilità diretta dell’ente.
La vicenda espone l’azienda a rischi che travalicano il perimetro del GDPR e lambiscono quello della responsabilità amministrativa degli enti ai sensi del D.Lgs. 231/2001. Sebbene il trattamento illecito di dati non sia direttamente un reato presupposto, esso può diventare l’anticamera di illeciti ben più gravi, come la frode in commercio (art. 515 c.p.) o altri reati informatici, qualora le pratiche commerciali aggressive si spingano oltre il limite. Un’organizzazione che dimostra di non avere il controllo sulla propria filiera e sui dati che tratta, manifesta una colpa di organizzazione che un Pubblico Ministero potrebbe facilmente valorizzare in un eventuale procedimento penale. La mancanza di procedure tracciabili, di audit sistematici e di segregazione dei compiti crea il terreno fertile per la commissione di reati nell’interesse o a vantaggio dell’ente. L’adozione di un ecosistema come Scudo231 non serve solo a rispettare il GDPR, ma a costruire una fortezza probatoria per difendere l’ente ai sensi del D.Lgs. 231. Ogni decisione, ogni flusso di dati, ogni autorizzazione viene registrata in modo indelebile. L’Organismo di Vigilanza non si limita a ricevere report periodici, ma ha accesso a una dashboard in tempo reale che monitora costantemente gli indicatori di rischio. Qualsiasi deviazione dai protocolli di sicurezza o di compliance innesca un’escalation automatica, garantendo che l’OdV sia informato prima che l’anomalia diventi un illecito conclamato. Questa capacità di rilevamento e reazione immediata è la prova più solida dell’efficace attuazione del Modello 231, l’unica vera difesa contro il rischio di sanzioni interdittive o di confisca del profitto. L’ordine del Garante, in fondo, non fa che confermare una verità fondamentale: la compliance non può più essere un esercizio documentale, ma deve diventare un’architettura tecnologica attiva, che previene, rileva e prova.