Stangata da un milione del Garante privacy alla Areti Spa

Tra i numerosi provvedimenti emanati dal Garante per la privacy, in questa fine di 2022 spicca la sanzione di ben un milione di euro comminata alla Areti Spa, la società che distribuisce l’energia elettrica nella Capitale e che quindi ha milioni di utenti, a conferma di quanto sia fondamentale per Enti pubblici e aziende private la protezione e il corretto trattamento dei dati personali.

Utente qualificato per errore moroso da Areti si rivolge all’Autority protezione dati personali

Ad avviare il procedimento è stata proprio la segnalazione di un utente, che era stato erroneamente qualificato come cliente “moroso” e che per questa ragione non riusciva a passare ad altro fornitore, perdendo così il potenziale risparmio derivante dai vantaggi della liberalizzazione del mercato. L’uomo si è rivolto al Garante il quale, al termine di una articolata attività istruttoria, ha accertato l’illecito il trattamento di dati effettuato dal distributore e ha per l’appunto ingiunto alla società il pagamento della maxi multa, anche perché dagli accertamenti ispettivi svolti dall’Autorità è emerso che la violazione aveva riguardato altre decine di migliaia di clienti.

Accertato un trattamento di dati inesatti finiti nel Sistema Informativo Integrato

E’ risultato infatti che l’impossibilità per l’utente di cambiare fornitore era derivata da un trattamento di dati inesatti e non aggiornati, dovuto ad un disallineamento dei sistemi interni della società che aveva comportato l’errata comunicazione in ordine ad una morosità in corso al Sistema Informativo Integrato (SII), la banca dati consultata da tutti i fornitori prima di sottoscrivere un nuovo contratto.

La disciplina di settore consente infatti al venditore entrante di valutare la “convenienza” di acquisire un nuovo cliente nel libero mercato consultando il Sistema informativo integrato, alimentato anche dalle informazioni comunicate dal distributore.

La violazione ha riguardato quanto meno 47mila clienti

Purtroppo però, a partire da dicembre 2016 e fino a gennaio 2022 le diverse query (ossia le ricerche nei data base) utilizzate da Areti per estrarre le informazioni dai propri sistemi avevano – a causa di una serie di errori tecnici ed applicativi – attribuito di fatto ai clienti finali una condizione di morosità non corrispondente alla loro reale condizione. Come conseguenza, sulla base di tale informazione inesatta, i venditori entranti avevano negato l’attivazione della fornitura di energia ad oltre 47mila potenziali clienti.

Oltre all’erronea applicazione della query per l’estrazione del dato sulla morosità, il Garante ha contestato ad Areti anche tempistiche inadeguate nella conservazione dei dati, migrazione di dati non esatti nell’ambito dei propri sistemi e inidoneo riscontro all’istanza con la quale il reclamante aveva esercitato i propri diritti. All’azienda quindi è stata contestata anche la violazione del principio di “accountability”, poiché le misure tecniche e organizzative adottate per conformare il trattamento dei dati al Regolamento europeo non sono risultate adeguate alla natura, al contesto e ai rischi del trattamento effettuato.

Nel determinare l’ammontare della sanzione il Garante ha tenuto conto, in particolare, delle diverse migliaia di clienti coinvolti, della durata della violazione, circa cinque anni, della delicatezza delle informazioni trattate in grado di evidenziare l’“affidabilità” della persona nonché delle possibili conseguenze sul piano economico e sociale che possono derivare da un loro illecito trattamento.