Carmela D.
Multata per 79 milioni di euro la società Enel Energia accusata di violazione dei dati degli utenti nel corso di alcune campagne di telemarketing. Senza precedenti la sanzione del Garante che, grazie all’istruttoria della Guardia di Finanza, ha scoperto importanti problemi nei sistemi informatici di Enel Energia.
Il fatto
In sintesi, le indagini della Guardia di Finanza hanno rivelato che due società di Verona si dedicavano alla promozione dei servizi delle compagnie Enel Energia e un’altra società non specificata nel testo.
Utilizzando tessere di riconoscimento falsificate e dati non autorizzati, queste società contattavano potenziali clienti per promuovere servizi energetici, violando le normative sul telemarketing e l’accesso ai sistemi informativi delle compagnie.
Successivamente, le indagini hanno coinvolto anche una società cooperativa di Firenze, Arnia, che operava per conto di altre aziende nel settore energetico senza le necessarie autorizzazioni. In sostanza, le attività di queste società erano organizzate per promuovere i servizi energetici in modo illegittimo, utilizzando dati non autorizzati e senza rispettare le norme del settore.
Ma come operavano queste società? Dagli accertamenti risulta che il tutto si svolgeva attraverso chiamate ai potenziali clienti contattati mediante il ricorso a degli elenchi contenenti informazioni private degli utenti e ottenute in maniera illecita violando così le disposizioni previste dal regolamento UE numero 679 del 2016.
I contratti chiusi venivano poi caricati nei sistemi informatici della società Enel Energia utilizzando illegittimamente delle credenziali per accedere alla piattaforma di inserimento. Il problema per Enel si presenta nel momento in cui si accerta che anche utenti non autorizzati potevano accedere al sistema di inserimento dati perché le credenziali non solo erano condivise da fornitori diversi ma oltretutto non si aggiornavano a cessazione delle collaborazioni.
Ecco dunque che Enel Energia diventa oggetto di controllo ed indagini per cercare di comprendere quali lacune fossero presenti nei loro sistemi informatici poiché anche chi non vantava particolari skills nel settore informatico aveva possibilità di accesso ai loro sistemi.
Ispezione presso Enel Energia
Dopo le indagini sulle società coinvolte, si procede con un’ispezione presso Enel Energia per verificare il caricamento dei contratti dalle agenzie, le misure di sicurezza sui sistemi e la presenza dei contratti delle società veronesi.
Dalle indagini emerge che Enel Energia utilizza il sistema N.Eve per gestire proposte contrattuali dalle agenzie, con procedure di autenticazione e monitoraggio degli accessi. Tuttavia, nonostante alcune misure di sicurezza come SEOL, esistono limiti nel rilevamento di accessi anomali su N.Eve, come accessi da posizioni diverse o multipli. Le agenzie hanno caricato milioni di contratti tramite N.Eve, ma il sistema presenta alcune vulnerabilità poi analizzate dall’Autorità.
A seguito dell’ispezione, il Garante ha sancito “l’inidonea configurazione delle misure di sicurezza” da parte di Enel Energia che ha messo in pericolo la privacy dei fruitori dei loro servizi. Presso le 2 società di Verona sopramenzionate, la Guardia di finanza ha trovato un elenco contenente i dati di ben 595 utenti ai quali si riconducevano 978 contratti.
Questa lista è giunta poi nei sistemi informatici di due società della Toscana che hanno ammesso la loro responsabilità. Le società fiorentine in questione hanno dichiarato di aver effettuato alcune operazioni legate ai contratti, entrando illecitamente nei portali riservati di Enel Energia pur non disponendo di credenziali proprie e autorizzative.
Interrogata, Enel Energia non ha saputo difendersi né spiegare come sia stato possibile che una delle due società fiorentine “abbia garantito il caricamento di circa 9300 contratti in favore della predetta compagnia energetica per circa 8 anni di attività”.
Campagne di telemarketing e violazione dati utenti, l’intervento del Garante
A seguito dell’istruttoria, il Garante interviene sulla scandalosa vicenda che chiama in causa una società così importante come Enel ipotizzando una mala fede poiché pare impossibile che la stessa, disponendo di mezzi più penetranti in ragione dei vincoli contrattuali della rete di vendita e delle possibilità di disporre di risorse rilevanti per il controllo dei propri partner e dei propri sistemi” non si è accorta di questo sistema di furto dati e pratiche illecite, soprattutto considerando, dice il Garante che Enel continua a non avere “risposte e soluzioni puntuali rispetto ad un episodio tanto grave quanto significativo.
Aggiunge poi
“denotando un approccio ancora non consapevole, né tantomeno responsabile rispetto alla complessità del problema, laddove l’esigenza manifestata da Enel di ottenere anche in sede giudiziale una declaratoria in ordine alla correttezza delle modalità di gestione del canale agenziale e del teleselling attualmente in uso presso Enel Energia appare prevalente per la stessa rispetto a quella di intercettare e contrastare attività scorrette che sono state riscontrate in tutta la loro oggettività dalla presenza, all’interno dei sistemi della Società, di contratti acquisiti illecitamente”.
Gestionale Enel e assenze di misure di sicurezza
Il Garante nel suo provvedimento, chiarisce ancora che, in merito al sistema gestionale utilizzato dalla società Enel Energia, si riscontra la totale mancanza di misure di sicurezza idonee a scongiurare un indebito utilizzo delle credenziali di autenticazione alla predetta piattaforma.
Ancora si legge nel provvedimento, si rende noto che
“la presenza nel proprio Customer Relationship Management di contratti che non dovevano esserci e il caricamento dei medesimi da parte dei soggetti non autorizzati non rappresenta, contrariamente a quanto osserva la Società, una mera teoria, ma un fatto riscontrato dalle dichiarazioni del titolare e dei dipendenti della società toscana, nonché dagli esiti dell’attività ispettiva presso Enel Energia, dai quali è emerso che 595 clienti, ai quali potevano ricondursi 978 contratti per la fornitura di energia elettrica e gas, presenti nelle liste delle società veronesi erano confluiti nel CRM della società”.
Responsabilità di Enel Energia nella violazione dei dati durante le campagne di telemarketing
Secondo il Garante, anche se la società Enel Energia ha adottato il sistema di autenticazione a più fattori, quest’ultimo non è stato in grado di garantire protezione e sicurezza agli utenti per una ragione in particolare: Enel non ha rimosso le autorizzazioni valide con il vecchio sistema, utilizzate – perché ancora funzionanti – per accedere a piattaforme e portali privati della Società.
Le varie società che hanno operato illegalmente per conto di Enel, hanno avuto accesso al software Microsoft Authenticator utilizzato dalla Società, accedendo con vecchie credenziali mai aggiornate o rimosse e condivise con più incaricati che mai hanno lavorato direttamente con e per l’Enel.
È il Garante che dà la soluzione a questo problema ribadendo che è possibile ridurre il rischio di eseguire operazioni illegittime “impedendo ex ante accessi multipli da parte di una medesima utenza, terminando la sessione utente qualora se ne instauri un’altra con le medesime credenziali o negando l’instaurazione della nuova sessione”.
Leggi anche —> Provvigioni agenti immobiliari: quando e come spettano? Quali sono i requisiti per ottenerle?
Codice di condotta in materia di telemarketing e teleselling
Queste precisazioni del Garante acquistano una rilevanza ancora più importante in considerazione del codice di condotta in materia di telemarketing e teleselling.
Importante ricordare in questa occasione l’articolo 5 del sopramenzionato codice che al comma 8 recita:
“Il titolare predispone la piattaforma per la registrazione delle proposte di contratto in modo tale che sia garantita la tracciabilità delle operazioni svolte, adottando, ad esempio, procedure di autenticazione che:
a) impediscano l’accesso alla piattaforma con le medesime credenziali da più postazioni contemporaneamente;
b) impediscano l’accesso effettuato da indirizzi IP diversi o attraverso modalità di autenticazione non conformi a quelle autorizzate per ciascun call center/teleseller/agenzia all’atto dell’attribuzione delle credenziali;
c) attribuiscano credenziali di autenticazione individuali per ciascun operatore autorizzato a svolgere le operazioni di inserimento;
d) consentano l’identificazione dell’operatore autorizzato anche in caso di contatto telefonico con il servizio di assistenza”.
Campagne di telemarketing e violazione dati utenti, conclusioni
Le conclusioni dell’indagine stabiliscono la responsabilità di Enel Energia per diverse violazioni:
a) L’omissione di valutare adeguatamente i rischi legati all’interfaccia N.Eve ha portato all’introduzione nel sistema di proposte contrattuali non autorizzate.
b) Enel Energia ha mancato di contrastare efficacemente le agenzie che agivano in modo scorretto per procacciare contratti.
c) Ha stipulato contratti con agenzie senza una chiara ripartizione delle responsabilità e senza atti giuridici necessari.
Pertanto, si richiede a Enel Energia di:
- comunicare agli interessati coinvolti nelle acquisizioni illecite gli esiti del processo;
- di attestare le misure di sicurezza implementate su N.Eve;
- di introdurre ulteriori misure di tracciabilità e monitoraggio;
- di stipulare contratti conformi alla normativa con le agenzie;
- di essere soggetta a una sanzione amministrativa pecuniaria.
L’ordinanza-ingiunzione stabilisce l’applicazione di una sanzione amministrativa pecuniaria nei confronti di Enel Energia per diverse violazioni.
La sanzione è determinata considerando la gravità delle violazioni, il carattere gravemente negligente delle stesse, la responsabilità del titolare del trattamento, ma anche alcuni fattori attenuanti come l’introduzione di nuove misure di sicurezza da parte di Enel Energia.
La sanzione ammonta a € 79.107.101, pari all’8% della sanzione massima edittale e allo 0,32% del fatturato annuo, e include anche la pubblicazione del provvedimento sul sito del Garante per informare il pubblico riguardo alle violazioni e alle relative sanzioni.
Ma non è tutto. Con il provvedimento del Garante impone inoltre alla Società non solo, come sopra riportato, di comunicare ai malcapitati 595 utenti l’esito del procedimento e introdurre più efficaci sistemi di sicurezza per monitorare al meglio le operazioni di telemarketing ma anche di:
- impedire l’accesso al sistema a indirizzi IP non attribuiti alla azienda;
- eventuali contratti con sub-agenti dovranno conformarsi a quelli standard con una redistribuzione delle responsabilità circa il trattamento dei dati personali.
