Il Garante per la protezione dei dati personali, con provvedimento n. 228 del 10 aprile 2025, ha sanzionato Acea Energia con 3 milioni di euro per gravi violazioni del GDPR nell’ambito delle proprie attività commerciali.
Al centro del sistema c’era la società M.G. Company s.r.l., con sede a Fiumicino e sedi operative a Roma, Latina, Ladispoli e Terracina, che disponeva di liste illecite di utenti che avevano di recente cambiato fornitore di luce e gas – le cosiddette liste “switch-out” – e li contattava telefonicamente prospettando ai malcapitati disguidi tecnici nel passaggio tra gestori e paventando il rischio di una doppia fatturazione, e proponevano un fantomatico “rientro tecnico” in Acea a condizioni vantaggiosissime. Una volta convinta la vittima, veniva inviato un agente porta a porta che si presentava a domicilio, facendo così apparire i contratti come regolarmente acquisiti tramite attività door-to-door.
Tra il 2022 e il 2024 sono stati generati contratti per circa 27.000 punti di fornitura, con provvigioni incassate per oltre due milioni di euro.
Le indagini, condotte con ispezioni simultanee il 26 marzo 2024, hanno accertato che Acea Energia, pur avendo formalmente interrotto i rapporti con M.G. Company nel 2021, aveva di fatto continuato ad avvalersene indirettamente, attraverso una ditta individuale – la ditta Stefanelli – che impiegava i dipendenti, i collaboratori e persino i rappresentanti legali di M.G. Company. Una ditta che, dalle visure camerali, risultava avere un solo addetto: la titolare stessa. Il Garante ha ritenuto che Acea non potesse invocare la propria ignoranza: aveva a disposizione tutti gli elementi per accorgersi di ciò che stava accadendo e non aveva predisposto alcun sistema di audit o controllo adeguato sulla propria filiera commerciale.
Acea Energia è stata dunque ritenuta responsabile di aver consentito trattamenti illeciti di dati personali, permesso l’accesso ai propri sistemi informatici a soggetti non autorizzati e omesso di adottare le misure organizzative previste dal GDPR.
La sanzione complessiva, considerando anche le somme comminate alle agenzie e alle società coinvolte, supera i 3,8 milioni di euro.
Il caso rappresenta l’ennesima conferma di un fenomeno sistemico nel mercato energetico italiano, in cui il telemarketing aggressivo prospera in un “sottobosco” di soggetti che operano ai margini delle reti ufficiali delle compagnie, con dati personali che passano di mano in mano senza alcuna garanzia per i consumatori.