La sanzione del Garante privacy a Eni Gas e Luce

Di seguito quanto esposto dal garante con alcuni commenti, con particolare attenzione al fatto che vengono indicati anche dei NUMERI, in vari aspetti del processo sanzionatorio,  che possono essere usati come riferimento per dare peso e valore a termini generici del regolamento generale per la protezione dei dati, GDPR, attualmente fonti di discussione, come per esempio “larga scala”

Il Garante privacy sanziona Eni Gas e Luce per 11,5 milioni
Telemarketing indesiderato e attivazione di contratti non richiesti

Il Garante per la privacy ha applicato a Eni Gas e Luce (Egl) due sanzioni, per complessivi 11,5 milioni di euro, riguardanti rispettivamente trattamenti illeciti di dati personali nell’ambito di attività promozionali e attivazione di contratti non richiesti. Le sanzioni sono state determinate tenendo conto dei parametri indicati nel Regolamento Ue, tra i quali figurano l’ampia platea dei soggetti coinvolti, la pervasività delle condotte, la durata della violazione, le condizioni economiche di Egl.

Il primo elemento che il Garante fornisce è che siamo al cospetto di DUE sanzioni, che fanno cumulo. Questo ovviamente conferma che se durante un accertamento vengono rilevate violazioni legate a più aspetti del GDPR o, come in questo caso, la violazione di due diversi principi ciascuno può essere sanzionato separatamente. La seconda indicazione importante riguarda i parametri, tra quelli determinati dal GDPR, che ha utilizzato per arrivare alla sua decisione:

  1. La numerosità dei soggetti coinvolti che il Garante definisce “Ampia”, tenete a mente questo punto che servirà dopo.
  2. Condotte pervasive, insomma viene misurata la “pressione” applicata
  3. La durata della violazione, dando conto che quanto più a lungo la condotta giudicata scorretta si protrae tanto più grave è la violazione.
  4. Il fatturato di EGL. Insomma è confermato, almeno in questo caso, che nel dare la multa le dimensioni dell’azienda sono un fattore.

La prima sanzione di 8,5 milioni di euro riguarda trattamenti illeciti nelle attività di telemarketing e teleselling riscontrati nel corso di accertamenti e ispezioni svolti dall’Autorità a seguito di diverse decine di segnalazioni e reclami, ricevuti all’indomani della piena applicazione del Gdpr.

Prima indicazione numerica: diverse decine di segnalazioni.

Insomma, a conferma di quanto detto da diversi esponenti dell’ufficio del garante, in alcune manifestazioni a cui abbiamo partecipato, il numero complessivo delle segnalazioni può essere utilizzato come elemento per decidere (“..a seguito di…”) chi viene verificato.

L’ovvia conseguenza è che diventa, per le aziende che non desiderano una visita del Garante, assolutamente fondamentale una corretta (e facilmente accessibile) gestione dei reclami e delle richieste da parte dei clienti, poiché raramente chi si sente vittima di un trattamento illecito segnala al garante senza aver almeno provato a contattare l’azienda.

Dalle verifiche è emerso un circoscritto numero di casi rivelatori tuttavia di condotte “di sistema” poste in essere da Egl, che hanno evidenziato gravi criticità relative al generale trattamento dei dati.

Tra le violazioni messe in luce spiccano le telefonate pubblicitarie effettuate senza il consenso della persona contattata o nonostante il suo diniego a ricevere chiamate promozionali, oppure senza attivare le specifiche procedure di verifica del Registro pubblico delle opposizioni; l’assenza di misure tecnico organizzative in grado di recepire le manifestazioni di volontà degli utenti; tempi di conservazione dei dati superiori a quelli consentiti; l’acquisizione dei dati dei potenziali clienti da soggetti (list provider) che non avevano acquisito il consenso per la comunicazione di tali dati.

Qui c’è poco da aggiungere, il Garante fa l’elenco di una serie di requisiti di trattamento, quelli insomma che un buon consulente privacy o un buon DPO, se presente, verifica nel proprio ente, evidenziandoli come tutti mancanti. Sottolineo comunque un aspetto che mi sembrano interessante per tutti coloro che affidano il proprio marketing ad aziende esterne: viene considerata (ovviamente, col senno del poi) una violazione l’uso di liste di contatti fornite da terzi che, una volta verificate, si sono rivelate senza consenso.

È probabile che EGL sia stata in grado di produrre una qualche forma di contratto dove vi è scritto che il fornitore dei lead si assume la responsabilità del consenso, ma dobbiamo ricordare che più volte il Garante ha parlato di una interpretazione sostanziale della norma, o per usare il termine giusto, un approccio basato sull’Accountability, sul poter Comprovare che quel che si sta facendo o quello che altri stanno facendo per conto nostro. Questa sanzione dovrebbe accendere l’attenzione di tutti i Titolari che si avvalgono di servizi esterni in ambito marketing, non può essere in discussione che contrattualmente i dati di potenziali clienti debbano essere indicati come correttamente legati ad un consenso, è necessario fare il passo successivo e chiederne e registrarne l’evidenza come parte integrante del contratto. In caso contrario il Titolare si espone a rischi non necessari.

Il Garante, dopo aver dichiarato l’illiceità delle condotte rilevate, ha ingiunto a Egl di implementare procedure e sistemi per verificare, anche tramite l’esame di un campione rilevante di nominativi, lo stato dei consensi delle persone inserite nelle liste dei contatti, prima dell’inizio delle campagne promozionali. Egl dovrà inoltre provvedere alla definitiva automatizzazione dei flussi di dati dal proprio database alla black list di chi non vuole ricevere pubblicità in uso presso la società.

Il Garante, inoltre, ha vietato alla società l’uso dei dati forniti dai list provider senza che questi ultimi avessero acquisito uno specifico consenso alla loro comunicazione a Egl.

Naturalmente il Garante non si accontenta di multare ed ovviamente vietare l’utilizzo dei dati privi di consenso, ma entra nel merito delle procedure di una grande azienda e le ingiunge di implementare tutta una serie di procedure la cui realizzazione diventerà un considerevole costo ulteriore a quello della sanzione.

Privacy by design e DPIA preventive non servono semplicemente a fare della carta ma a mappare i possibili rischi, decidere chi verificare, e come implementare procedure che avranno certamente un costo e un tempo di realizzazione di gran lunga inferiore di quello necessario a modificare un grande progetto già avviato.

La seconda sanzione di 3 milioni di euro riguarda violazioni nella conclusione di contratti non richiesti nel mercato libero della fornitura di energia e gas. Molte persone si sono rivolte all’Autorità lamentando di aver appreso della stipula di un nuovo contratto solo dalla ricezione della lettera di disdetta del vecchio fornitore o dalle prime fatture di Egl. In alcuni casi poi le segnalazioni denunciavano la presenza nel contratto di dati inesatti e di sottoscrizione apocrifa.

Le gravi irregolarità hanno interessato circa 7200 consumatori. Dagli accertamenti dell’Autorità è emerso che le condotte adottate da Egl nell’acquisizione di nuovi clienti mediante alcune agenzie esterne operanti per suo conto, per modalità organizzative e gestionali, hanno determinato trattamenti non conformi al Regolamento UE, in quanto contrari ai principi di correttezza, esattezza e aggiornamento dei dati.

Nella seconda sanzione emerge in prima battuta una violazione legata ad un principio, quello della correttezza esattezza e aggiornamento dei dati, che spesso viene considerato secondario: in formazione mi capita spesso di chiedere al manager di turno se è così sicuro che la sua organizzazione sia in grado di recepire richieste di modifica.

In seconda battuta è importante segnalare che il Garante scrive in maniera esplicita il numero di soggetti interessati: 7200. Poco sopra definisce questo numero “ampia platea”. E come in un termometro in cui sappiamo dove è lo zero ma non sappiamo dove comincia il “cento” (l’ineffabile “larga scala”) oggi possiamo comunque apporre un segnalino “Ampia platea” al valore 7200. Per dare un riscontro pratico, Mailchimp, uno dei servizi di mail marketing meno costosi, è gratuito fino a 2000 contatti, e il primo livello a pagamento (circa € 100,00 all’anno) arriva fino a 50.000 contatti, alla portata di qualunque freelance del settore.

Il Garante quindi, rilevate le irregolarità, ha ingiunto a Egl l’adozione di una serie di misure correttive e l’introduzione di specifici alert in grado di individuare varie anomalie procedurali.

Come sopra, rispetto alle procedure GDPR da implementare

Le implementazioni dovranno essere introdotte e comunicate all’Autorità in tempi stabiliti, mentre il pagamento delle sanzioni dovrà essere effettuato entro trenta giorni.

Insomma intanto i soldi poi ci sediamo ad un tavolo e pianifichiamo i correttivi e i tempi di realizzazione. Al di là degli aspetti economici, con questa frase si definisce il fatto che dovrà essere sottoposto allo scrutinio dell’Autorità il progetto delle nuove misure di sicurezza, fino a ricevere una qualche forma di approvazione…ed improvvisamente sale il sospetto che nella gestione di una violazione rilevata dal Garante, la sanzione possa essere il problema di minore entità.

Concludo con una osservazione, che faccio questa volta nei panni di cittadino: il Garante per la protezione dei Dati ha confermato che c’è una norma, il GDPR, ed un ufficio, a cui mi posso rivolgere, con effetti concreti e tangibili, per protestare contro chi concorre a ridurre sempre di più la fiducia mia e di tutti i cittadini, nella società digitale.

Sullo stesso argomento:

La Sorveglianza in ambito GDPR e Privacy

 

Perché abbiamo scelto Privacy Lab GDPR

Privacylab risolve tutti i nostri problemi

rendendo la consulenza GDPR/ Privacy

VELOCE, CERTIFICATA E ASSICURATA

 

Clicca qui per un preventivo gratuito!

 

1. Il Tempo(€)

Quando si fa una consulenza privacy per una materia complessa come il GDPR le problematiche da affrontare sono tante, complesse e richiedono competenze multidisciplinari. Bisogna essere un pò informatico, un pò legale e molto esperto di organizzazione aziendale per potere fare bene questo lavoro.

Purtroppo però per fare tutto quello che serve, dalle informative ai registri dei trattamenti, dalla definizione degli archivi alla valutazione del rischio, è indispensabile prendersi tutto il tempo necessario, e “tempo” nel campo della consulenza si traduce in “costo” per il cliente.

2. Gli Errori

Inoltre, se non si segue una metodologia assolutamente rigorosa è fin troppo facile dimenticarsi qualcosa e magari lasciare indietro quel pezzettino che poi sicuramente ci si ritorcerà contro.

3. La manutenzione nel tempo(€)

Come se quanto scritto sopra non bastasse, la materia è talmente tanto giovane e in rapida evoluzione che per fare un buon lavoro è indispensabile gestirne la fluidità e il costante cambiamento, non solo in termini di competenza dei consulenti ma anche in “revisione  e manutenzione di quanto già fatto”.

Per risolvere tutti questi problemi noi abbiamo trovato uno strumento con il quale ci troviamo molto bene a lavorare:

PrivacyLab GDPR

PrivacyLab è un software che ci permette di risolvere tutti i problemi sopra citati:
In pratica ci permette di “descrivere” al software come è fatta l’azienda, come lavora, chi fa cosa al suo interno e con quali strumenti e provvede direttamente a generare tutti i documenti necessari alla gestione delle cogenze poste dal GDPR, fornendo così, sia un prezioso supporto metodologico che non permette di “dimenticare nulla” che un sistema di sviluppo rapido dei documenti che riduce al minimo il tempo necessario per la consulenza.

La sua natura di sistema in cloud fornisce inoltre un luogo sicuro dove mantenere non solo i documenti, ma anche tutta la storia del loro sviluppo, e il fatto che sia un abbonamento su base annuale garantisce il fatto che quando viene aggiornato il modo in cui i garanti privacy considerano ogni determinato aspetto questo si rifletta con poco o nullo sforzo sui documenti generati, spesso senza necessità di un ulteriore intervento da parte del Consulente Privacy

Come se tutto ciò non fosse sufficiente ci sono altri tre aspetti assolutamente vincenti dal nostro punto di vista nell’offrire la nostra consulenza utilizzando questo strumento.

  1. Essendo tutti i nostri consulenti privacy titolati come “Consulenti Certificati PrivacyLab” , il cliente si trova assicurato nei confronti delle eventuali sanzioni nel caso in cui venga trovato manchevole sulla forma dei documenti o della valutazione del rischio, purchè ovviamente al Consulente Privacy sia stata presentata la effettiva realtà aziendale.
  2. La metodologia impiegata per valutare il rischio connesso ad ogni trattamento e integrata in PrivacyLab è certificata, riconosciuta da enti di certificazione europeo: Unicert – DT RU 16/679, ed anche assicurata da CBL Insurance Europe.
  3. Possiamo farlo provare direttamente e gratuitamente ai nostri clienti

Ovviamente siamo a vostra disposizione per ogni chiarimento in merito, ma se volete provare in autonomia, potete farlo direttamente cliccando qui.

 

Clicca qui per un preventivo gratuito!

 

Digital e nuovo regolamento europeo GDPR

Abstract

Per chi fa business online è prassi quotidiana dover trattare dati personali per prestare consulenza, fare pubblicità, gestire profili social, realizzare app e siti internet o inviare email. Si tratta di attività che saranno tutte profondamente toccate dal nuovo Regolamento Europeo sulla privacy. In questo corso esamineremo i diversi aspetti della nuova normativa in materia di protezione dei dati personali, ne analizzeremo l’approccio e comprenderemo quali sono le misure che chi si occupa di digital deve adottare per adeguarsi in tempo e non incorrere nelle sanzioni del garante.

Quando
Giovedì 7 dicembre 2017

A chi si rivolge
Il corso è rivolto a responsabili e specialisti di digital agency e a tutti i professionisti del settore web.
Aperto solo a 20 partecipanti.

Costo
€ 99 da pagare anticipamente a mezzo bonifico bancario. Clicca qui per effettuare l’iscrizione

Dove
c/o Alchimie Digitali
Via Rainusso 110, 41124 Modena


 

Programma
07/12/2017

  • ore 14:00 – Registrazione e benvenuto
  • ore 14:30 – Il nuovo Regolamento Europeo e il trattamento dei dati digitali
  • ore 15.30 – Sanzioni e comportamenti preventivi
  • ore 16:00 – Coffee break
  • ore 16:30 – La scelta degli strumenti
  • ore 17:00 – Impact Assesment e certificazioni
  • ore 17:45 – Q&A
  • ore 18:00 – Fine dei lavori

 

Relatori

Andrea Chiozzi – esperto di privacy e sicurezza dei dati, docente ed esaminatore per lo schema TÜV Italia “Privacy Officer e Consulente Privacy”.

Attestato
Al termine dell’evento sarà rilasciato un attestato di partecipazione personale.

Iscrizione

Per iscriversi occorre andare a questo link ed effettuare la registrazione a seguito della quale verranno inviate le informazioni per effettuare il pagamento dell’iscrizione.

In collaborazione con 

Testo completo del GDPR in italiano   i 12 passi per prepararsi al GDPR in inglese

Gestire la normativa sulla privacy con PrivacyLab

PrivacyLab, una nuova soluzione distribuita da Alchimie Digitali

 

PrivacyLab, di Metis LAb srl,  è il portale web che consente alle aziende di gestire, produrre, stampare e conservare tutti i documenti necessari per rimanere in linea con le richieste della legge.

Tutti i documenti che vengono creati possono essere personalizzati direttamente dai responsabili aziendali anche in assenza di specifiche competenze informatiche.

PrivacyLab è strutturato con uno schema a Wizard, che accompagna l’utilizzatore lungo tutto il percorso imposto dalla normativa sulla privacy, al fine di dare all’azienda uno schedario virtuale dove accedere, attraverso qualunque dispositivo, ai documenti che ogni volta possono essere necessari, e che verranno trovati sempre aggiornati rispetto alle modifiche della normativa.

Tutta la documentazione prodotta è già pronta per la stampa e  per essere in regola con il TUP:

  • Informativa
  • Nomina dei Responsabili
  • Organigramma Aziendale
  • Nomina dell’Amministratore
  • Manuale Organizzativo della Privacy
  • Fac-Simili e altri documenti utili

Consente inoltre la verifica delle misure minime di sicurezza. La predisposizione dell’analisi dei rischi è derivata dalla metodologia CRAMM.

Alchimie Digitali è distributore e consulente di PrivacyLab. Evita le multe, chiamaci per una consulenza!