L'autorité italienne de protection des données (GPDP) a publié une décision de sanction à l'encontre d'Acea Energia spa, comprenant le prononcé d'une amende de 2 000 000 €, pour des manquements liés au traitement des données personnelles de plus de 1 200 clients dans le cadre de la fourniture d'énergie. Cette affaire débute par de multiples plaintes concernant l'utilisation de données inexactes pour la conclusion de contrats non sollicités, les plaignants n'ayant découvert la situation qu'à la réception de notifications d'activation ou de demandes de paiement.

L’enquête menée par l’autorité a permis de constater :

* Obligation de garantir la sécurité du traitement et de superviser les tiers (articles 32 et (28 du RGPD) du RGPD): La société n'avait pas adopté de mesures techniques et organisationnelles adéquates pour prévenir l'utilisation frauduleuse de documents par les agents commerciaux agissant pour son compte. Ces derniers pouvaient obtenir les informations personnelles des prospects, par exemple en photographiant leurs documents, et activer des contrats à leur insu, parfois en utilisant une signature contrefaite. L'autorité a également jugé inadéquat le système de suivi par rappel téléphonique destiné à vérifier le consentement effectif du client.

* Obligation de répondre aux demandes d'exercice de droits (article 12 du RGPD : Il a été relevé que la société répondait tardivement ou ne donnait pas suite aux demandes d'exercice de droits formulées par les personnes concernées.

En conséquence, l’autorité a imposé une amende de 2 000 000 € à Acea Energia spa.
En outre, l’autorité a ordonné à la société d'adopter plusieurs mesures correctives, incluant l'utilisation d'alertes pour surveiller le respect des procédures contractuelles par les agents, le contrôle périodique de l'exactitude des informations et la définition de durées de conservation spécifiques pour les données des clients.