Il provvedimento n. 170/2026 del Garante
Supply chain: con il provvedimento n. 170 del 12 marzo 2026 (doc. web n. 10233396) il Garante per la protezione dei dati personali ha sanzionato Enel Energia s.p.a. per la somma di oltre € 560.000,00.
L’Autorità ha ritenuto che la società abbia posto in essere trattamenti:
- in contrasto con i principi di liceità e responsabilizzazione;
- in assenza di un’idonea base giuridica; e
- in mancanza di adeguate misure tecniche e organizzative.
Fin qui si tratta di rilievi non infrequenti in procedure sanzionatorie dell’Authority. Ciò che rende realmente interessante la vicenda qui in commento è la contestazione a Enel Energia di avere violato gli artt. 5, 24 e 28 del GDPR
per la mancata adozione di misure adeguate in ordine alla selezione e al controllo sull’operato dei partner coinvolti nella raccolta e nel trattamento dei dati per la realizzazione di attività di telemarketing e teleselling
L’interesse, che va oltre il caso specifico, sta nel fatto che la motivazione fornita dal Garante permette di approfondire un tema cruciale, ma gestito non sempre sistematicamente dalle imprese: quello della tipologia di controlli da programmare sui propri fornitori, ossia il tema del controllo della supply chain.
Il provvedimento permette cioè di estrarre preziose chiavi di lettura per rivedere le procedure di accountability dei responsabili del trattamento, uno snodo complicato in cui spesso si annidano insidie sanzionatorie.
In effetti, la gestione della filiera dei responsabili del trattamento rappresenta uno dei principali ambiti di rischio per le imprese che trattano dati personali su larga scala o tramite partner commerciali.
Con il provvedimento in esame il Garante ha evidenziato che per il titolare del trattamento non è sufficiente la compliance “formale” sulla supply chain di cui si avvale, ma è necessario un approccio sostanziale e documentato, coerente con il principio di accountability sancito dal GDPR. In definitiva, occorrono risultati effettivi.
Questo è cioè anche un provvedimento sull’accountability, che permette di vederla all’opera in un caso concreto.
La culpa in eligendo: selezionare responsabili realmente affidabili
Per culpa in eligendo si intende la colpa nella scelta del proprio fornitore. È un concetto giuridico classico, di regola ricondotto all’art. 2049 del codice civile, ossia alla responsabilità per i “domestici e i commessi nell’esercizio delle incombenze a cui sono adibiti”.
O, con linguaggio più moderno e interpretazione estensiva, la responsabilità di qualunque soggetto preponente per gli illeciti dei soggetti da lui preposti a determinate attività. Questa forma classica di responsabilità per condotta di terzo si colloca in perfetta simmetria con la logica che informa il Regolamento europeo sui dati personali.
Il responsabile del trattamento è, nel suo nucleo originario, un outsourcer, un soggetto a cui vengono esternalizzati processi di trattamento interni all’organizzazione del titolare del trattamento, dunque un preposto. Poi il concetto si è arricchito ed è cresciuto in complessità, ma il nucleo originario permane.
L’art. 28 del GDPR impone infatti al titolare del trattamento di scegliere esclusivamente responsabili che offrano “garanzie sufficienti” in termini di misure tecniche e organizzative. Impone dunque di attuare particolari accorgimenti anche appunto nella fase di scelta, di elezione dei fornitori che compongono la supply chain.
L’Autorità ha contestato a Enel Energia s.p.a. l’assenza di attività ispettive sui partner volte a verificare competenze in materia di protezione dei dati personali.
Know Your Supplier
Se ne trae la conclusione lineare che le imprese sono tenute ad allocare bugdet e processi specifici a tale attività di verifica preliminare. Nulla di nuovo, è un’applicazione del concetto “KYS” – Know Your Supplier, ma giova ripeterlo. Si tratta di uno punti che i DPO devono tenere presente.
In particolare, nella vicenda all’attenzione dell’Authority, sono risultate assenti:
- verifiche ex ante sulle competenze privacy;
- controlli su eventuali precedenti provvedimenti sanzionatori del Garante;
- analisi delle misure correttive adottate dal partner dopo interventi dell’Autorità.
È utile ricordare che questi adempimenti devono lasciare traccia. In termini concreti, questo significa programmare, a monte, i criteri per condurre le verifiche ex ante, la tipologia di controlli, il livello di approfondimento e verifica nell’adozione delle misure correttive, specialmente quando i fornitori sono molteplici e la procedura di controllo deve essere impostata serialmente.
Il rischio concreto per le aziende
La mancanza di controlli sui potenziali responsabili del trattamento già destinatari di precetti del Garante assume rilevante importanza perché, come evidenziato dall’Autorità, accade che operatori già sanzionati possano continuare a operare attraverso nuove strutture societarie, eludendo in tal modo l’efficacia delle misure di cui sono stati fatti oggetto. La conseguenza potenziale è che attività illecite siano replicate tramite delocalizzazioni o cambi di denominazione.
Il rischio appare ulteriormente amplificato nel caso di filiere complesse che coinvolgono anche sub-responsabili del trattamento. Il tema dell’accountability dei sub-responsabili è peraltro sempre impervio, per ovvie ragioni di delega, di moltiplicazione degli interventi, di ostacoli pratici.
Naturalmente non si tratta di escludere automaticamente soggetti già sanzionati, ma di valutarne il percorso di adeguamento. Ed è proprio l’assenza di questa valutazione a configurare una violazione del principio di accountability.
Best practice SEO-oriented per le aziende
Che cosa fare per ridurre il rischio? Occorre implementare una serie di misure tra cui:
- due diligence privacy strutturate;
- checklist specifiche GDPR;
- verifica di precedenti provvedimenti e contenziosi;
- richiesta di evidenze documentali delle misure correttive adottate;
- sistemi di valutazione del fornitore anche su base privacy.
La nostra posizione: anche in questo caso, nulla di veramente innovativo per le imprese virtuose. Tuttavia, l’elemento decisivo è il livello di profondità e di efficacia con cui i controlli vengono svolti e la scelta di privilegiare la sostanza sulla forma.
La culpa in vigilando: controllare non basta, bisogna intervenire
La culpa in vigilando è colpa connessa con i mancati controlli dopo avere scelto un soggetto per una determinata attività. Si tratta anche questo di un concetto civilistico classico, riconducibile, per le stesse ragioni esposte più sopra, all’art. 2049 c.c..
Se la selezione è fondamentale, il vero punto critico evidenziato dal Garante riguarda la fase di controllo continuo sui partner. L’attività è certamente dispendiosa, assorbe risorse, richiede una programmazione stringente, da predisporre già in fase di contrattualizzazione del responsabile del trattamento.
I controlli “sulla carta” non sono sufficienti
L’Autorità ha valutato positivamente alcune misure come:
- la previsione di penali contrattuali in caso di violazione della normativa in materia di protezione dei dati;
- l’utilizzo di piattaforme automatizzate di tracciamento della filiera del trattamento; e
- i sistemi di monitoraggio delle anomalie.
Gli ultimi due punti schiudono evidentemente la strada a soluzioni costruite con apporto di intelligenza artificiale. Ciò tuttavia non esclude modalità più tradizionali, purché efficaci.
L’Authority ha in particolare notato che nella pratica i controlli più sopra descritti sono raramente attuati o non producono conseguenze concrete.
Il nodo centrale: gestione delle non conformità
Dal provvedimento in commento emerge un principio chiave:
un sistema di controlli è efficace solo se accompagnato da una gestione concreta delle non conformità.
In applicazione del richiamato principio, è stato contestato ad Enel Energia s.p.a.:
- l’assenza di tempestività nell’applicazione delle penali; la società ha atteso la notifica della contestazione da parte dell’Autorità;
- l’adozione di interventi correttivi nei confronti del partner solo a seguito dell’avvio del procedimento da parte dell’Autorità, pur avendo avuto conoscenza dell’anomalia riscontrata prima dell’intervento del Garante;
- la mancata adozione di una procedura ad hoc per la valutazione dei responsabili;
- l’assenza di un sistematico controllo in loco sui responsabili.
Pertanto, un comportamento che si discosta dal principio espresso dal Garante espone la società a responsabilità diretta, anche quando la violazione è materialmente commessa dal partner.
La nostra posizione: ferma restando la correttezza in via generale dei punti sollevati, va tuttavia ricordato che il principio va mitigato con l’esclusione di una responsabilità oggettiva in capo al titolare, secondo l’insegnamento consolidato di molteplici pronunce della Corte di giustizia dell’Unione europea.
Va altresì considerato che nulla nel GDPR impone controlli in loco. In altri termini, le posizioni del Garante vanno collocate nella cornice del formante normativo e giurisprudenziale e possono prestarsi a obiezioni, purché ben costruite e ragionate in diritto.
Audit, controlli e documentazione: il problema della prova
Un ulteriore profilo critico riguarda la mancanza di evidenze documentali.
In ottica GDPR e nel rispetto del principio di accountability, il titolare del trattamento deve essere in grado di dimostrare:
- di aver effettuato controlli;
- di aver rilevato eventuali anomalie;
- di aver adottato misure correttive adeguate.
L’accountability presenta sempre un duplice profilo: quello della responsabilizzazione e quello della documentazione.
La mancanza di evidenze documentali compromette la difesa dell’impresa in sede ispettiva e rischia di collocarla in posizione analoga a quella di chi non ha svolto i controlli sulla propria filiera di responsabili del trattamento. L’avvocato accorto saprà guidare la società assistita nell’evitare tuttavia inversioni dell’onere della prova rispetto agli elementi la cui dimostrazione grava sul Garante.
In sintesi estrema, il titolare del trattamento deve:
- formalizzare procedure di audit;
- documentare i controlli effettuati;
- conservare i report di verifica;
- monitorano gli indicatori di conformità;
- dimostrare la sistematicità delle attività di vigilanza.
La nostra posizione: questi adempimenti, la cui necessità spiccava nel caso Enel Energia, vanno tuttavia interpretati e adattati al contesto in cui opera l’impresa, alla tipologia di attività di trattamento affidata ai responsabili, e a una serie di altri parametri. L’applicazione del GDPR resta un lavoro sartoriale, difficilmente riducibile ad automatismi non ragionati.
Come strutturare una filiera conforme: approccio operativo
Quali utili indicazioni operative possiamo estrarre dal caso Enel Energia? Sicuramente le seguenti.
Per il titolare del trattamento è fondamentale adottare un modello integrato che copra l’intero ciclo di vita del rapporto con i responsabili del trattamento.
Fase 1 – Selezione (culpa in eligendo)
- due diligence privacy preliminare approfondita;
- verifica precedenti sanzioni;
- assessment delle misure tecniche e organizzative;
- valutazione della supply chain del partner.
Fase 2 – Contrattualizzazione
- clausole GDPR dettagliate;
- penali effettive e applicabili;
- obblighi di cooperazione e audit;
- adempimenti relativi ai sub-responsabili.
Fase 3 – Monitoraggio (culpa in vigilando)
- audit periodici (documentati);
- controlli a campione;
- verifica degli adempimenti privacy;
- sistemi di alert e rilevamento delle anomalie.
Fase 4 – Gestione delle violazioni
- procedure di valutazione e gestione;
- interventi tempestivi;
- applicazione concreta delle penali;
- revisione del rapporto contrattuale.
Fase 5 – Documentazione
- tracciamento completo delle attività;
- report di audit;
- evidenze delle azioni correttive;
- conservazione a fini ispettivi.
Conclusioni
La gestione della filiera dei responsabili del trattamento rappresenta oggi un banco di prova fondamentale per la compliance aziendale.
Non basta scegliere partner qualificati e prevedere controlli formali, è necessario dimostrare un controllo effettivo, continuo e documentato.
Le aziende devono quindi evolvere da un approccio formale a uno sostanziale, in cui:
- la selezione dei partner sia realmente consapevole;
- i controlli siano effettivi e non solo dichiarati;
- le violazioni siano gestite tempestivamente;
- ogni attività sia dimostrabile.
Solo così è possibile ridurre il rischio sanzionatorio e garantire una gestione conforme e sostenibile dei dati personali lungo tutta la filiera.
Possiamo assistervi per una consulenza diretta o nella fase dei controlli o in quella del procedimento avanti al Garante. Per contattarci scriveteci (recapiti nel footer) oppure usate il nostro form per chiedere un preventivo