Soggetti intestatari di utenze telefoniche a propria insaputa: continuano a registrarsi casi di richieste di pagamento per fatture telefoniche relative a utenze mai contrattualizzate.
Di che cosa si tratta e come difendersi.
I malcapitati vengono a conoscenza dell’intestazione fittizia quando ricevono solleciti per morosità da parte di studi legali o di società di recupero crediti.
Non è un fenomeno recente e sussistono diversi strumenti di difesa.
Dinamica dell’illecito
L’elemento chiave è spesso costituito dal codice fiscale. La fattura risulta cioè abusivamente collegata al codice fiscale della vittima dell’intestazione abusiva, benché la stessa non abbia mai sottoscritto alcun contratto. Accade così che il mancato pagamento per linee telefoniche in uso a terzi venga richiesto a soggetti del tutto estranei.
In questi casi manca ab origine perfino un contratto sottoscritto dalla vittima. Altre volte la sottoscrizione di un contratto è presente, ma risulta apparente o contraffatta.
Questi abusivi collegamenti tra servizi mai richiesti o addirittura fruiti da terzi, ma addebitati a ignari intestatari, si producono in qualche punto della filiera degli operatori telefonici. Di regola sono cioè collocabili nella supply chain.
Risultano tuttavia anche casi in cui non dipendono da dealer ma da soggetti interni alla struttura aziendale, attratti dal conseguimento di incentivi interni al raggiungimento di determinate soglie di attivazioni telefoniche.
Sono scenari non scevri da profili penali, quali il reato di truffa, art. 640 c.p., o, tavolta, quello di sostituzione di persona, art. 494 c.p.
In via residuale, non è possibile del tutto escludere che le intestazioni fittizie dipendano da errori di sistema, come problemi in sede di migrazione tra gestionali.
Un fenomeno ben noto alle compagnie telefoniche
Pur nella diversità di cause, appare assai difficile escludere forme di responsabilità degli operatori telefonici coinvolti, quantomeno a titolo di insufficiente verifica nell'”onboarding” di agenti di vendita o nella scarsa supervisione degli stessi. Un elemento su cui riflettere è che si tratta di situazioni che si ripetono da anni, dunque tutt’altro che imprevedibili.
Il nostro studio si è già occupato di dinamiche analoghe, patrocinando il caso ad oggi più clamoroso, quello dell’intestazione a un singolo interessato di ben 826 linee telefoniche altrui, nel contesto di un vasto data breach che ha riguardato ben 644 intestatari fittizi, per oltre 7000 linee telefoniche totali.
La vicenda è stata talmente eclatante da essere poi menzionata per ben due anni successivi nelle relazioni del Garante a Parlamento e Governo, il documento il cui l’Authority riassume le attività più significative sviluppate. Cfr. Garante, relazione per l’anno 2017, da p. 100; e per l’anno 2018, p. 188. Lo consideriamo un successo del nostro studio legale.
Successivamente, il Garante è stato coinvolto in più occasioni in vicende analoghe. Cfr., a titolo di esempio, i provvedimenti GPDP, n. 405 del 14 settembre 2023 [9936215]; n. 159 del 22 febbraio 2024 [10007895].
Come il GDPR aiuta a contrastare il fenomeno
Le intestazioni fittizie sono certamente rilevanti sul piano del diritto civile. Tuttavia, a parere di chi scrive, la chiave più efficace per ottenere tutela va ricercata negli strumenti offerti dal Regolamento generale sulla protezione dei dati personali o “GDPR”. Di seguito alcune osservazioni.
E’ un data breach
La prima cosa che occorre sapere è che vicende come quelle descritte presentano gli elementi tipici di un data breach. Ne deriva per le società di telefonica l’obbligo, sanzionato, di procedere a una tempestiva notifica ex art. 33 GDPR al Garante per la protezione dei dati personali.
Occorre inoltre procedere, in casi come quello descritto, alla comunicazione agli interessati ai sensi dell’art. 34 GDPR, che serve a garantirli, istruendoli sulle misure di prima tutela.
E’ una violazione dei principi del GDPR e di alcune delle norme strutturali
Anche a prescindere dalla qualificabilità come personal data breach, viene in considerazione una profonda violazione delle norme strutturali del GDPR. L’art. 5, innanzitutto, in particolare la lett. f) del primo paragrafo. E inoltre l’art. 6, relativo alla base giuridica, evidentemente mancante e neppure verificata in occasione di iniziative di recupero crediti. E poi certamente gli artt. 24 e 32. Non è da escludere neppure la configurabilità dell’art. 25 GDPR.
Si ha diritto a un risarcimento del danno?
E’ importante chiarire che nell’ordinamento italiano e in quello unionale, non basta la violazione di una o più norme a determinare il diritto al risarcimento.
Occorre infatti che dalla violazione sia derivato un danno. Ferme queste regole, in ambito “privacy” il risarcimento del danno ex art. 82 GDPR costituisce un diritto sui generis, come più volte chiarito dalla Corte di giustizia dell’Unione europea. Ciò implica un perimetro risarcitorio assai più ampio rispetto ad altre fattispecie civilistiche di danno, senza soglie minime di tolleranza e con specifiche ipotesi di “danno-conseguenza”.
Oltre peraltro a queste peculiarità, vengono in considerazione i tradizionali pregiudizi patrimoniali e non patrimoniali.
A titolo di esempio, la divulgazione non autorizzata non riguarda solo l’affidamento dei dati personali a iniziative di recupero crediti ma una circolazione assai pregiudizievole delle informazioni relative alla morosità nel pagamento, con possibilità di inclusione, per esempio nel registro SIMoITel gestito da CRIF.
Si tratta di una banca dati a cui accedono operatori di telefonia fissa e mobile. Raccoglie informazioni sui cattivi pagatori intenzionali. Trovarsi inclusi in SIMoITel per responsabilità altrui è situazione certamente idonea a determinare pregiudizio, potendo precludere alla conclusione di alcuni contratti e sporcando il profilo reputazionale.
Rovesciare la prospettiva
E’ fondamentale rovesciare la prospettiva in cui la vittima delle intestazioni abusive si trova spesso costretta da solleciti legali particolarmente pressanti o da tecniche stringenti di recupero crediti. Rovesciare la prospettiva significa prendere consapevolezza che l’onere della prova è tutto sulla società di telefonia che pretende il pagamento.
Non è l’interessato a dover dimostrare alcunché. Può anzi utilizzare l’intero strumentario delle tutele fornito dal GDPR.
Telco: soggetti essenziali NIS2
Va ricordato, da ultimo, che gli operatori telefonici sono anche soggetti essenziali ai sensi della normativa NIS2, attuata in Italia con il d.lgs. 138/2024. Ne derivano rafforzati obblighi di controllo delle vulnerabilità, estesi alla filiera dei fornitori e rafforzati obblighi di notifica di data breach.
Le società in questione intersecano cioè, in maniera profonda, la normativa unionale in materia di cybersecurity, cosa che rende ancor più inescusabili modalità ricorrenti di violazione.