Privacy e potere dei dati: Acea sanzionata per 3 milioni dal Garante, è un segnale al sistema

Il Garante per la protezione dei dati personali ha inflitto ad Acea una sanzione da tre milioni di euro per gravi violazioni della normativa sulla privacy. La società – tra i principali operatori italiani nei settori dell’energia, dell’acqua e dell’ambiente – è stata accusata di trattamenti illeciti di dati personali, con modalità non conformi al Regolamento generale europeo sulla protezione dei dati (GDPR). Si tratta di una delle multe più consistenti mai comminate in Italia nel settore dei servizi pubblici, e non a caso: il provvedimento ha il valore di un precedente e parla a tutto il comparto, in un momento in cui la gestione dei dati diventa sempre più centrale nel rapporto tra cittadini, istituzioni e imprese.

Privacy e potere dei dati: Acea sanzionata per 3 milioni dal Garante, è un segnale al sistema

Secondo l’Autorità, Acea avrebbe gestito informazioni sensibili dei propri utenti – tra cui dati anagrafici, contrattuali e relativi all’erogazione di servizi – senza garantire adeguati livelli di trasparenza, tracciabilità e consenso. In alcuni casi, gli utenti non sarebbero stati pienamente informati sulle finalità del trattamento, in altri la conservazione dei dati sarebbe proseguita oltre i limiti stabiliti, oppure sarebbero stati attivati profili contrattuali senza una verifica puntuale dell’identità.

Il caso Acea conferma un trend che attraversa ormai tutti i grandi gruppi di servizi: la crescente difficoltà a coniugare la mole di dati raccolti – fondamentale per la digitalizzazione e l’efficienza – con il rispetto delle norme e dei diritti delle persone. Il dato personale non è più solo un elemento tecnico o commerciale: è un campo di potere. E il modo in cui viene gestito racconta molto del tipo di governance che le aziende intendono esercitare.

La vulnerabilità dell’utente e il ruolo delle autorità
Nel settore dell’energia e dei servizi idrici, la posizione dell’utente è spesso debole: non può scegliere facilmente il fornitore, ha margini limitati di contrattazione, ed è soggetto a interfacce digitali sempre più invasive e automatizzate. Il provvedimento del Garante arriva dunque come una forma di riequilibrio, come uno strumento per ripristinare un principio fondamentale: il cittadino non è un oggetto da profilare, ma un soggetto titolare di diritti.

Il GDPR ha reso questo principio vincolante, ma la sua applicazione concreta dipende dalla vigilanza delle autorità. La sanzione ad Acea dimostra che il Garante italiano intende riaffermare con fermezza il proprio ruolo anche nei confronti di grandi operatori, spesso restii ad adeguare le proprie pratiche interne a standard realmente rispettosi della privacy.

Il rischio sistemico di una normalizzazione del controllo
Ciò che rende il caso particolarmente rilevante è la sua dimensione simbolica. Le utility come Acea operano su scala metropolitana e regionale, gestiscono flussi continui di informazioni su milioni di persone, e sono coinvolte in processi di transizione digitale e ambientale che presuppongono una crescente raccolta e analisi di dati. Se in questi snodi strategici il diritto alla privacy viene considerato un fastidio regolamentare, e non un pilastro democratico, il rischio è che si normalizzi un modello di cittadinanza passiva, controllata, tecnicamente esposta.

In questa prospettiva, la sanzione da tre milioni non è solo una punizione amministrativa. È un messaggio politico. Dice che il diritto alla protezione dei dati non è un orpello della burocrazia europea, ma una delle condizioni fondamentali per una società trasparente e democratica, anche nell’epoca della gestione algoritmica dei servizi pubblici.