Privacy e telemarketing: il Garante sanziona Enel Energia

Questa domenica parliamo di telefonate commerciali moleste e privacy, segnalandovi il recente provvedimento con il quale il Garante Privacy ha censurato l'attività di telemarketing aggressivo portato avanti da Enel Energia.

Con il provvedimento n. 170 del 12 marzo 2026, Garante per la protezione dei dati personali ha contestato alla società pratiche ritenute non conformi alla normativa privacy, soprattutto per l’utilizzo di chiamate “gestionali” trasformate poi in vere e proprie proposte commerciali.

a.- Quali condotte sono state condannate dal Garante privacy?

La vicenda prende le mosse dalle segnalazioni rivolte all'Autorità da alcuni consumatori avevano segnalato di aver ricevuto telefonate apparentemente legate all’attivazione o gestione del contratto di fornitura elettrica.

Nel corso della chiamata, però, gli operatori proponevano offerte commerciali aggiuntive, nonostante gli utenti:

• fossero iscritti al Registro Pubblico delle Opposizioni;
• avessero negato il consenso marketing;
• avessero espresso chiaramente la volontà di non ricevere promozioni.

L'Autorità garante ha condannato questa condotta ove l'operatore commerciale utilizza una chiamata “tecnica” o “di assistenza” per finalità promozionali senza il consenso della controparte.

A parere di chi scrive, in aderenza con quanto espresso nel provvedimento che trovate in calce a questo nostro intervento, rappresenta una violazione dei principi di liceità e trasparenza previsti dal GDPR.

b.- Il punto centrale: il consenso deve essere autentico - no al raggiro del cliente

Il provvedimento ribadisce un principio molto importante per i consumatori, ossia non basta raccogliere numeri di telefono tramite form online o sistemi automatici se poi non si riesce a dimostrare in modo certo che il consenso sia stato realmente dato dall’utente.

Il Garante ha criticato in particolare i sistemi di “opt-out” utilizzati per i ricontatti commerciali, ritenendoli poco efficaci contro utilizzo illecito di numeri telefonici.

Il sistema di tutela predisposto deve garantire la tutela dai caricamenti massivi di contatti e da possibili truffe o pratiche aggressive portate avanti da società aggressive ed interessate ad avviare nuovi contratti per la fornitura dei servizi o il cambiamento di quelle attuali.

L’Autorità ha invece valorizzato il sistema del cosiddetto “double opt-in”, cioè la doppia conferma da parte dell’utente, affinché l'operazione commerciale (offerta contrattuale) sia confermata, e voluta, da parte del consumatore.

c.- Perché questa decisione è importante

La decisione conferma che:

• le aziende devono controllare seriamente call center e partner commerciali;
• il consenso marketing non può essere presunto;
• le chiamate commerciali mascherate da assistenza possono essere illecite;
• il consumatore mantiene sempre il diritto di opporsi alle comunicazioni promozionali.

Il provvedimento del Garante rappresenta un ulteriore segnale verso un contrasto più severo al telemarketing invasivo e alle pratiche commerciali poco trasparenti.

Garante Privacy - provvedimento n. 170/2026 del 12 marzo 2026.

A proposito di privacy: "L’oblio oncologico come strumento di democrazia"

Fonte: Garante privacy

A proposito di privacy: "Foto di minori online: consigli pratici per genitori troppo social"

Fonte: Garante privacy

A proposito di privacy: "Accessi illeciti alle banche dati: chi difende la nostra privacy?"

Fonte: Garante privacy

Rivenditore auto on line sanzionato per violazione privacy

Ricevere email pubblicitarie non richieste è fastidioso, ma quando dietro questi messaggi si nascondono vere e proprie violazioni della privacy, è importante sapere che esistono strumenti di tutela. 

Lo dimostra il recente provvedimento del Garante per la protezione dei dati personali, che ha inflitto una sanzione di 45mila euro a un rivenditore di auto online per trattamento illecito dei dati personali a fini di marketing.

Cosa è successo?

La vicenda prende le mosse dal reclamo di un consumatore che, nonostante le ripetute richieste, continuava a ricevere numerose email pubblicitarie indesiderate. Il cliente, in particolare, lamentava che i messaggi arrivassero da indirizzi email sempre diversi, appartenenti a presunti "partner promozionali" della società, di cui però non aveva mai sentito parlare e a cui non aveva mai prestato il proprio consenso.

A seguito della segnalazione inoltrata al Garante, quest'ultimo ha avviato l'indagine.

Le irregolarità accertate

Dagli accertamenti del Garante sono emerse diverse criticità nel modo in cui il rivenditore gestiva i dati dei propri clienti. In particolare:

- Mancanza di controlli sui partner pubblicitari: la società non aveva predisposto adeguate misure per disciplinare i rapporti con i propri partner, i quali potevano così trattare liberamente i dati personali dei clienti senza alcun controllo e in violazione della normativa privacy.

- Assenza di un sistema di consenso valido: secondo la legge, per inviare comunicazioni promozionali è necessario ottenere un consenso espresso, chiaro e dimostrabile da parte dell'interessato. Tra le modalità più sicure c'è il cosiddetto double opt-in, un processo che richiede una doppia conferma da parte dell'utente prima di ricevere pubblicità. Nel caso in questione, questo meccanismo non era stato adottato.

- Diritti dei consumatori ignorati

Un altro aspetto grave evidenziato dal Garante riguarda il mancato rispetto delle richieste di opposizione da parte del cliente. Nonostante il consumatore avesse chiesto esplicitamente di non ricevere ulteriori comunicazioni, la società aveva semplicemente inserito il suo nominativo in una "black list" interna. Tuttavia, questo provvedimento si è rivelato inefficace, perché i partner esterni, non essendo stati correttamente gestiti, hanno continuato ad inviare email pubblicitarie.

Utilizzo illegittimo dati personali - corretta la sanzione del Garante Privacy

Non possiamo che essere d'accordo con il provvedimento n. 278 dello scorso 29 aprile 2025, con il quale il Garante Privacy ha sanzionato una società di intermediazione immobiliare per violazione dei dati personali.

Oggetto dell'intervento dell'Autorità garante è, ancora una volta, il marketing telefonico e l'uso improprio dei dati personali fatto da parte di professionisti, i quali sono più interessati a trovare nuovi clienti invece che trattare in modo adeguato le informazioni dei destinatari delle telefonate. 

Nel caso di specie, il Garante ha accertato diverse violazioni da parte della società, tra le quali la mancanza di controlli adeguati; gestione superficiale della privacy e una generale non conformità alle regole del GDPR. 

Sotto quest'ultimo aspetto, l'Autorità ha censurato la gestione delle informazioni operata dal professionista, il quale non ha saputo dimostrare di avere una organizzazione seria e responsabile dei dati personali.

La società è stata oggetto di sanzione per le seguenti carenze:

• mancanza di controlli interni sui flussi dati;
• assenza o incompletezza delle informative;
• registri trattamenti non aggiornati o inesistenti.

Di fatto, la gestione della privacy è risultata, o almeno così ci pare di comprendere, improvvisata da parte di una società che tratta i dati personali dei consumatori con continuità periodica. 

Provvedimento Garante Privacy n. 278 del 29 aprile 2025.

La sua privacy vale molto più di un like - le raccomandazioni per i genitori

Fonte: Garante privacy

Sky sanzionata per scarsa tutela dei dati personali dei clienti

La condanna di Sky da parte dell'Autorità per la protezione dei dati personali (provvedimento n. 553 del 12 settembre 2024) ci permette di tornare ad affrontare un argomento delicato, ossia la tutela dei dati personali da parte degli operatori on line.

L'indagine conclusa dal Garante privacy, infatti, ha accertato determinate violazioni da parte del professionista, nell' attività di telemarketing e di invio di comunicazioni commerciali ai propri clienti, sanzionando condotte che si sono reiterate negli anni (si consideri che l'indagine ha preso avvio a seguito di qualche centinaio di segnalazioni pervenute al garante tra il 2022 e il 2023).

All'esito dell'indagine avviata, il Garante ha potuto rilevare un errato trattamento dei dati personali da parte della società oggetto di indagine, in violazione del Regolamento Generale sulla Protezione dei Dati (GDPR).

Le censure sollevate verso Sky hanno riguardato, in particolare, la commercializzazione del servizio "NOWTV", avvenuta attraverso l'illegittimo utilizzo dei dati personali dei clienti, invitato a concludere nuovi rapporti commerciali con la società a seguito di comunicazioni inviate al consumatore in carenza di un preventivo preventivo consenso dell'interessato al trattamento dei dati personali, sul mero presupposto, ritenuto errato, che la sollecitazione commerciale fosse giustificata dalla mera esistenza di un pregresso account NOW.

Sotto questo profilo, l'Autorità ha censurato la condotta di Sky, lamentando un omesso consenso informato conferito dal consumatore, non informato sulla  finalità del trattamento dei dati personali a fini promozionali.

L'Autorità garante ha sollevato una seconda contestazione a Sky,  accusata di aver utilizzato i dati ottenuto da società terze, in assenza di una adeguata verifica della legittimità dei dati acquisiti, ai fini di comunicazioni commerciali mediante SMS o telefonate.

La società avrebbe svolto l'attività commerciale senza un preventivo controllo dei dati personali ottenuti, ed in particolare della legittimità della raccolta operata dal soggetto terzo.

Accade, di frequente, che a seguito di richiesta di comunicazione delle modalità attraverso la quale la società ha ottenuto i dati, gli operatori telefonici non sappiano (oppure non hanno intenzione) rendere noto al consumatore quale sia il consenso informato che li abbia legittimati al contatto commerciale. Ancora di recente, la Corte di giustizia dell'Unione europea ha ribadito il diritto del soggetto interessato a conoscere come siano utilizzati i dati personali e se siano stati oggetto di cessione (vedi qui).

Non è la prima sanzione per attività di telemarketing svolta in violazione dei dati personali del soggetto interessato, ma attesta come questo "mercato" sia decisamente attivo e portato avanti dalle aziende senza l'adozione di misure organizzative interne idonee alla tutela del cliente e nel rispetto delle norme vigenti.

Invero, nemmeno noi consumatori comprendiamo quanto tale materia sia delicata e che valore possano assumere i dati personali, anche sotto il profilo commerciale, e questo provvedimento ci dimostra come sia necessaria una maggiore sensibilità da parte nostra verso le pratiche di telemarketing scorrette.

Garante per la tutela dei dati personali - provvedimento n. 553/2024 del 12 settembre 2024 (visibile con browser Opera - VPN attivo)

OpenAI sanzionata per violazione dei dati personali

Fonte: comunicato stampa
20 dicembre 2024

Il Garante per la protezione dei dati personali ha adottato nei giorni scorsi un provvedimento correttivo e sanzionatorio nei confronti di OpenAI in relazione alla gestione del servizio ChatGPT.

Il provvedimento, che accerta le violazioni a suo tempo contestate alla società californiana, arriva all’esito di un’istruttoria avviata nel marzo del 2023 e dopo che l’EDPB (Comitato europeo per la protezione dei dati) ha pubblicato il parere con il quale identifica un approccio comune ad alcune delle più rilevanti questioni relative al trattamento dei dati personali nel contesto della progettazione, sviluppo e distribuzione di servizi basati sull’intelligenza artificiale.

Secondo il Garante la società statunitense, che ha creato e gestisce il chatbot di intelligenza artificiale generativa, oltre a non aver notificato all’Autorità la violazione dei dati subita nel marzo 2023, ha trattato i dati personali degli utenti per addestrare ChatGPT senza aver prima individuato un’adeguata base giuridica e ha violato il principio di trasparenza e i relativi obblighi informativi nei confronti degli utenti. Per di più, OpenAI non ha previsto meccanismi per la verifica dell’età, con il conseguente rischio di esporre i minori di 13 anni a risposte inidonee rispetto al loro grado di sviluppo e autoconsapevolezza.

Attivazione contratti non richiesti - Garante privacy sanziona Hera Comm

Fonte: newsletter
13 settembre 2024

Il Garante Privacy ha ordinato a Hera Comm S.p.A. il pagamento di una sanzione di 5milioni di euro per gravi violazioni riscontrate nel trattamento dei dati personali di oltre 2.300 clienti nell’ambito della fornitura di energia elettrica e gas.

L’Autorità è intervenuta a seguito di numerose segnalazioni e reclami riguardanti la conclusione di contratti non richiesti nel mercato libero, compilati con dati inesatti e non aggiornati di clienti della società.

In particolare, i reclamanti lamentavano di aver appreso dell’instaurazione del nuovo contratto, solo dopo la ricezione da parte di Hera di documentazione sottoscritta con firma apocrifa o di comunicazioni per aggiornare lo stato di attivazione della fornitura, senza aver mai avuto alcun contatto con la società. Alcuni reclami riguardavano inoltre l’inesatto o tardivo riscontro di Hera alle richieste di esercizio dei diritti ai sensi del Regolamento privacy.

Garante privacy - Relazione 2024

Garante privacy - Relazione... by Consumatore Informato

Eni Plenitude condannata per violazione del Registro delle opposizioni

Ecco cosa succede agli operatori professionali che violano le regole e, contattando utenti iscritte al Registro delle Opposizioni, fanno sottoscrivere contratti per il servizio energia elettrica e gas non richiesti.

Ma quale vantaggio trae chi si è visto violare i propri diritti, ossia le migliaia di consumatori danneggiati? 

Per chiarire la questione, occorre premettere che il Garante per la protezione dei dati personali ha sanzionato Eni Plenitude per 6.419.631 euro, all'esito di una indagine con la quale è stata accertata la condotta scorretta della società, la quale attraverso pratiche di telemarketing, ha effettuato proposte promozionali - con cambio dei contratti - verso numeri di telefono di persone iscritte al Registro pubblico delle opposizioni.

L'Autorità garante ha contestato alla società, inoltre, l'aver omesso ogni attività di controllo sull'attività del telemarketing e sui contratti conclusi a mezzo di  contatti illeciti, violando i diritti dei consumatori che hanno cambiato il proprio contratto all'esito di condotte commerciali scorrette.

Queste violazioni sono state applicate dal Garante a seguito delle segnalazioni e reclami inoltrati dai consumatori danneggiati, avendo visto violati i propri dati personali e, non secondario, portati a concludere un contratto che avrebbero potuto anche non sottoscrivere.

Ma questi consumatori danneggiati quale vantaggio possono ottenere dall'intervento del Garante? fondamentalmente nessuno, visto che la procedura non prevede un risarcimento in loro favore.

E quindi, a cosa serve l'iscrizione al Registro delle opposizioni se anche nel caso di violazione, il consumatore non riceve alcun ristoro?

Avevamo già segnalato, tempo addietro, le criticità di questo sistema (leggi qui), e ci sembra che ancora oggi vi siano dei limiti al sistema, dal punto di vista del titolare dei dati personali.

Di seguito, il provvedimento del Garante privacy.

Dati personali: ASL sanzionata per la violazione del dossier telematico

Fonte: Newsletter
10 aprile 2024

Il Garante Privacy ha sanzionato per 75mila euro una Asl per non aver configurato correttamente le modalità di accesso al dossier sanitario elettronico (Dse). L’Autorità si è attivata a seguito di alcuni reclami e segnalazioni che lamentavano il trattamento illecito di dati personali effettuato tramite il sistema di archiviazione e refertazione delle prestazioni erogate dall’azienda sanitaria. In particolare, erano stati segnalati ripetuti accessi al Dse da parte di personale sanitario non coinvolto nel processo di cura dei pazienti. In un caso, una professionista della Asl era infatti riuscita a visionare gli esami di laboratorio dell’ex marito a sua insaputa pur essendo quest’ultimo non in cura da lei.

Dalle verifiche effettuate dall’Autorità è emerso che il sistema di gestione del Dse consentiva agli operatori sanitari di inserire manualmente, mediante autocertificazione, la motivazione per cui si rendeva necessario l’accesso al dossier sanitario. L’accesso al documento era inoltre consentito, per impostazione predefinita, ad una ampia lista di figure professionali che niente avevano a che fare con il percorso di cura dei pazienti, compreso il personale amministrativo.

Il tutto in violazione di quanto stabilito dal Garante Privacy con le “Linee guida in materia di Dossier sanitario” del giugno 2015, con cui l’Autorità ha stabilito che “il titolare del trattamento deve porre particolare attenzione nell’individuazione dei profili di autorizzazione, adottando modalità tecniche di autenticazione al dossier che rispecchino le casistiche di accesso proprie di ciascuna struttura” garantendo che l’accesso al dossier sia limitato al solo personale sanitario che interviene nel tempo nel processo di cura del paziente.

Il Garante Privacy ha infine accertato ulteriori illeciti, tra cui la mancata predisposizione di un sistema di alert, volto ad individuare comportamenti anomali o a rischio relativi alle operazioni eseguite dagli incaricati al trattamento (es. relativi al numero degli accessi eseguiti, alla tipologia o all’ambito temporale degli stessi).

Oltre ad applicare la sanzione amministrativa, l’Autorità ha dunque ordinato all’Asl di mettere in atto tutte le misure tecniche e organizzative necessarie per garantire la sicurezza dei dati personali trattati e scongiurare nuovi accessi abusivi.

Video sorveglianza ed altri casi. I suggerimenti del Garante privacy

Fonte: Garante privacy

Bene il Garante privacy che multa Enel Energia!

Fonte: comunicato stampa
29 febbraio 2024

Il Garante Privacy ha inflitto a Enel Energia una sanzione di oltre 79 milioni di euro per le gravi carenze nei trattamenti dei dati personali di numerosi utenti del settore dell’energia elettrica e del gas, realizzati ai fini di telemarketing.

Il procedimento ha tratto origine da un’indagine della Guardia di finanza a seguito della quale l’Autorità aveva a suo tempo già applicato a quattro società sanzioni per 1 milione e 800mila euro e confiscato alcune banche dati utilizzate per attività illecite.

Dagli ulteriori accertamenti svolti dal Garante è emerso che Enel Energia aveva acquisito ben 978 contratti dalle quattro società, nonostante queste non appartenessero alla rete di vendita della compagnia energetica.

Inoltre, a seguito di successive ispezioni presso Enel Energia, l’Autorità ha accertato che i sistemi informativi destinati alla gestione dei clienti e all’attivazione dei servizi da parte della compagnia mostravano gravi carenze di sicurezza. Enel non aveva messo in atto tutte le necessarie misure per prevenire le attività illecite dei procacciatori abusivi che - individuando agevoli “porte d’ingresso” nei sistemi informativi della compagnia - hanno alimentato per anni un business illecito realizzato mediante chiamate di disturbo, promozioni di servizi e sottoscrizione di contratti senza reali vantaggi economici per i clienti.

Alla luce delle gravi violazioni riscontrate, che nel corso del tempo hanno riguardato l’attivazione di almeno 9300 contratti, il Garante ha pertanto irrogato ad Enel Energia una sanzione di 79.107.101 euro, la più alta mai applicata dall’Autorità.

Mondo connesso e nuove tecnologie. I suggerimenti del Garante privacy

Fonte: Garante privacy

Vita dello studente. I suggerimenti del Garante privacy

Fonte: Garante dati personali

Videosorveglianza - no alla telecamera che riprende gli spazi pubblici

Questa domenica proponiamo la lettura di un provvedimento reso dal Garante per la protezione dei dati personali che ha affrontato una questione tutt'altro che rara, ossia la possibilità per il privato di poter installare una telecamera per la videosorveglianza che inquadri anche una zona pubblica.

Nel caso di specie, la telecamera era stata predisposta con finalità di sorveglianza di una zona privata, ma anche una zona pubblica - un parco - era oggetto delle riprese del dispositivo elettronico.

Occorre premettere che l'installazione di un dispositivo idoneo alla riproduzione video deve essere rispettosa delle norme previste in materia di tutela dei dati personali, in particolare laddove la telecamera viene installata in un ambiente esterno.

La predisposizione dell'apparecchio video non è soggetta a preventiva approvazione da parte dell'autorità pubblica, nemmeno il garante, ma deve rispettare una serie di liceità, proporzionalità, finalità e necessità.

Senza volerci addentrare troppo nelle linee guida stilate dal Garante, occorre che il dispositivo video sia installato per reale necessità, tutelando sia gli interessi del privato che di tutela della riservatezza dei terzi.

Per tale ragione, ad esempio, sussiste l'obbligo di conservazione del video per sole 24 ore, al massimo 48 ore, nonché l'obbligo di metterlo a disposizione dell'autorità giudiziaria che ne faccia richiesta per ragioni di indagine.

Si ricorda, a tal proposito, che anche per tali dati vi è l'obbligo di indicazione di un titolare chiamato a trattare le immagini e rispondere nel caso di violazione delle norme in materia di protezione dei dati personali.

Il provvedimento in oggetto riguarda la fattispecie ove la macchina da ripresa del video vada a impattare anche su un luogo pubblico, non solo sotto il profilo delle immagini, ma anche dal punto di vista audio, in quanto il dispositivo riprendeva anche le conversazioni di coloro che passeggiavano in quella zona.

Il Garante ha condannato questo tipo di condotta, evidenziando che la telecamera che riprende zone pubbliche deve rispettare i principi di liceità e necessità previsti dalla normativa nazionale, e nel caso di specie sono stati violati gli art. 5, par.1, lett. a), c) e 6, par. 1, del Regolamento, nonché l’art. 13 del Regolamento.

Qui di seguito il provvedimento n. 477 del 12 ottobre 2023 del Garante privacy. 

Vendita sim ad utente ignaro - sanzione per violazione dei dati personali

Fonte: newsletter
10 ottobre 2023

Riceve due email e un sms di notifica da parte di una compagnia telefonica e scopre che un rivenditore aveva attivato a sua insaputa due sim card ricaricabili a lui intestate. È accaduto ad un utente della provincia di Bergamo che dopo aver denunciato l’accaduto all’autorità giudiziaria, segnala il fatto al Garante Privacy che sanziona la società della rete di vendita della compagnia telefonica, cui fa capo il rivenditore, con una multa di 90mila euro per trattamento illecito di dati personali.

L’interessato, dopo aver richiesto il blocco delle sim alla compagnia telefonica ed effettuato alcune verifiche, aveva ricostruito che le schede erano state attivate nel napoletano utilizzando una fotocopia poco leggibile della sua carta di identità. Aveva scoperto inoltre che, per gli addebiti delle due utenze, era stato inserito un Iban inesistente, solo formalmente corretto, riconducibile ad una banca vicina alla propria abitazione.

Credibilità creditizia ed obbligo informativo

La credibilità creditizia è un elemento centrale nella valutazione del profilo dell'affidabilità elaborato dalla banca a cui si è rivolto il cliente per chiedere un finanziamento.

Usualmente, quando la banca conclude la propria indagine con un esito negativo, si limita a comunicare al cliente il proprio grado di inaffidabilità e il conseguente rifiuto nella concessione del credito.  

Il cliente ha diritto ad ottenere più informazioni sulla propria reputazione creditizia?

Il Garante per la protezione dei dati personali ritiene, come si evince dalla lettura del provvedimento n. 199/202, di dare risposta positiva al quesito appena posto, tant'è che l'intermediario bancario può essere condannato ad adempiere a tale obbligo.

Nel caso di specie, oggetto del provvedimento è la finanziaria Volkswagen Leasing GmbH (“VWL”), alla quale si era rivolto un consumatore per ottenere un finanziamento per l'acquisto di un veicolo.

A seguito del rifiuto opposto dalla finanziaria, il cliente aveva chiesto ulteriori chiarimenti in merito alla propria affidabilità creditizia, cercando di comprendere quali report negativi avevano indotto l'intermediario finanziario a rigettare la richiesta di finanziamento.

VWL non dava pieno riscontro alla richiesta di informazioni avanzata dal cliente, obbligando quest'ultimo a segnalare la vicenda al Garante privacy, chiamato a chiarire se esiste o meno un diritto del privato ad ottenere informazioni in merito al proprio merito creditizio.

Il Garante ha censurato la condotta tenuta da Volkswagen Leasing GmbH, in quanto contraria al diritto previsto dall’art. 15 del GDPR che così prevede: "L'interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l'accesso ai dati personali [...]".

Il titolare dei dati personali ha il diritto ad ottenere informazioni, e copia dei documenti, che  riguardano i propri dati personali, in primis avere conoscenza su chi tratta i dati personali e come vengono trattati. 

L'accesso ai dati personali da parte dell’interessato deve essere completo e trasparente e l'intermediario non può limitarsi a rilasciare "[...] una descrizione generale dei dati [o] un semplice riferimento alle categorie di dati personali trattate", mentre è obbligato a fornire al cliente tutti i dati personali oggetto di trattamento, in modo completo, corretto e trasparente.

I dati, inoltre, devono essere aggiornati ed esposti in modo tale da consentire all'interessato di poter comprenderli e valutarli, al fine di accertare il rispetto della normativa di settore.

Nel caso di specie, il Garante ha ritenuto non sufficiente il mero richiamo alle banche dati private operato da VWL, in assenza di completa trasmissione dei dati, o ogni altra condotta tenuta dall'intermediario bancario che può rendere difficoltoso, o addirittura impedire, alla persona interessata di potere accertare la liceità e correttezza del trattamento dei propri dati bancari e la conseguente credibilità creditizia.