Sicurezza dati e telemarketing selvaggio: batosta da 300mila euro per Aimag

MIRANDOLA – Un sistema di protezione lacunoso e consensi ottenuti in modo irregolare sono costati carissimi ad Aimag Spa. L'Autorità Garante per la protezione dei dati personali ha infatti staccato una sanzione amministrativa di 300mila euro nei confronti della multiutility mirandolese, attiva nei servizi idrici, energetici e ambientali, a causa di gravi carenze nella gestione della privacy dei propri utenti.

Il tallone d'Achille del portale web

L'inchiesta è partita da una segnalazione puntuale: un utente aveva evidenziato come l’area riservata del sito aziendale fosse pericolosamente accessibile. Gli accertamenti tecnici hanno confermato il paradosso: per entrare nel profilo di un abbonato, visionare fatture e monitorare i consumi, non servivano password complesse. Era sufficiente conoscere il codice fiscale dell'interessato e inserire un indirizzo email qualunque. Questa falla permetteva a chiunque di registrarsi a nome di terzi, sottraendo informazioni sensibili come numeri telefonici e indirizzi di residenza.

Marketing aggressivo e "caselle pre-barrate"

Oltre ai problemi di sicurezza informatica, il Garante ha sollevato pesanti obiezioni sulle strategie commerciali di Aimag. È emerso che i dati dei clienti venivano utilizzati per finalità di telemarketing e promozioni senza che vi fosse un reale consenso informato.

Il meccanismo sotto accusa riguardava i moduli digitali di iscrizione: le opzioni per l'invio di pubblicità e per le indagini di customer satisfaction erano già selezionate sul "sì" di default (il cosiddetto pre-flag). Tale pratica viola apertamente il Regolamento Europeo (GDPR), che impone una scelta libera e attiva da parte dell'utente. Inoltre, l'azienda è stata sanzionata per aver conservato le informazioni personali oltre i limiti temporali consentiti dalla legge.

La decisione dell'Autorità

La sanzione di 300mila euro riflette la particolare gravità della situazione. Pesano sul giudizio finale sia l'elevato numero di cittadini coinvolti nel potenziale furto di dati, sia il fatto che le irregolarità siano proseguite anche durante il periodo delle indagini. Oltre alla multa, il Garante ha imposto alla società di regolarizzare immediatamente i propri processi per garantire che la privacy dei clienti non sia più messa a rischio da procedure tecniche superficiali.