TL;DR per il DPO
Provv. n. 170/2026: 563.052 euro a Enel Energia. Violati artt. 5, 6, 7, 24 e 28 GDPR e art. 130 Codice: (1) la telefonata gestionale usata per vendere = cambio di finalita' senza base giuridica; (2) opt-out via SMS con 90 secondi per rifiutare = non e' consenso; (3) controlli sui partner attivati solo dopo l'avvio del procedimento, e un'agenzia gia' sanzionata per marketing ricontrattualizzata due mesi dopo. Oltre alla sanzione, ordine di sistemare l'intera filiera.
I tre punti che contano
- La finalita' non si estende da sola: se chiami per completare una pratica (esecuzione del contratto), quella base giuridica NON copre la proposta commerciale fatta nella stessa telefonata. Per il marketing serve un consenso autonomo, verificabile e precedente.
- L'opt-out non e' consenso: un SMS con un link da cliccare entro 90 secondi per NON essere ricontattati inverte la logica del GDPR. Il Garante indica la strada opposta: double opt-in, con azione positiva dell'interessato.
- La filiera e' responsabilita' del titolare (artt. 24 e 28): penali contrattuali sulla carta non bastano se i controlli partono solo quando arriva il Garante. E contrattualizzare un partner appena sanzionato per marketing e' un autogol in istruttoria.
Cosa fare adesso, in pratica
Per ogni cliente che fa contatti telefonici: 1) separa con script e formazione i contatti gestionali da quelli commerciali - l'operatore non deve 'approfittare' della chiamata; 2) verifica come viene raccolto il consenso marketing: se il meccanismo e' un opt-out, va rifatto; 3) audit dei partner/call center: verifica consensi a monte, RPO, e controlli DOCUMENTATI (non solo clausole). Il registro art. 30 deve distinguere le due finalita' con le rispettive basi giuridiche.
Perche' conta per i tuoi clienti
Non serve essere Enel: qualsiasi PMI con un ufficio clienti che 'gia' che ci siamo' propone un'offerta sta facendo esattamente la stessa cosa. Questo provvedimento e' l'esempio concreto da portare in formazione al personale di front-office: la differenza tra una chiamata lecita e una violazione sta in una frase pronunciata al telefono.
Fonte ufficiale:Garante per la protezione dei dati personali - provvedimento n. 170 del 12 marzo 2026 (Enel Energia S.p.A.)Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
