Provvedimento del 23 luglio 2026 [10287438] g-docweb-display Portlet Home Provvedimenti Ammonimento Provvedimento del 23 luglio 2026 [10287438] Provvedimento del 23 luglio 2026 [10287438] Ascolta Menù azioni Stampa Stampa e-mail facebook linkedin twitter Ascolta Stampa Stampa Condividi e-mail facebook linkedin twitter [doc. web n. 10287438] Provvedimento del 23 luglio 2026 Registro dei provvedimenti n. 555 del 23 luglio 2026 IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componenti, e il dott. Luigi Montuori, segretario generale; VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”); VISTO il d.lgs. del 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. del 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”; VISTO il reclamo presentato al Garante dal Sig. XX ai sensi dell’articolo 77 del Regolamento, in data 1° aprile 2025, concernente l’inidoneo riscontro, da parte di Eni Plenitude S.p.A. Società Benefit, ad un’istanza di esercizio dei diritti formulata ai sensi dell’art. 16 del Regolamento; ESAMINATA la documentazione in atti; VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000; RELATORE il dott. Agostino Ghiglia; PREMESSO 1. Il reclamo. É pervenuto alla scrivente Autorità, un reclamo, presentato dal Sig. XX, il 1° aprile 2025, inerente all’inadeguatezza del riscontro, fornito da Eni Plenitude S.p.A. Società Benefit, a un’istanza del 24 gennaio 2025, volta ad ottenere il diritto di rettifica dei propri dati personali, ai sensi dell’art. 16 del Regolamento. Il tutto, rispetto alla trasmissione per diversi mesi, da parte della predetta Società, all’indirizzo e-mail del reclamante, di comunicazioni relative a fatture di pagamento intestate ad altro cliente. L’istante ha altresì evidenziato che, in risposta alla propria richiesta ex art. 16 del Regolamento, Eni Plenitude S.p.A. Società Benefit, con nota del 14 febbraio 2025, nel confermare l’errata associazione del predetto indirizzo e-mail alla posizione contrattuale di altro cliente, ha riferito di non poter procedere all’aggiornamento del dato inesatto, senza ricezione “dell’autorizzazione [da parte di quest’ultimo] ad eliminare il predetto indirizzo e-mail dalla propria anagrafica”. La Società, dunque, ha invitato il reclamante “a considerare la creazione di un indirizzo e-mail alternativo, nel caso in cui il [predetto] cliente non [li avesse autorizzati] alla cancellazione” (v. risposta di Eni Plenitude S.p.A. Società Benefit, contenuta nell’All. 5 al reclamo in epigrafe). 2. L’attività istruttoria. Al riguardo, la scrivente Autorità ha avviato un’istruttoria, nei confronti del titolare del trattamento, mediante trasmissione di una richiesta di informazioni e di una ulteriore richiesta integrativa (v. note del Garante del 23 aprile e dell’11 settembre 2025), cui la Società ha risposto con le comunicazioni del 23 maggio e del 9 ottobre 2025. Dall’esame dei predetti riscontri e della documentazione in atti, è emerso quanto illustrato di seguito. L’errata associazione dell’indirizzo e-mail del Sig. XX all’anagrafica di altro cliente è avvenuta all’atto dell’attivazione della fornitura, in capo a quest’ultimo che ha espressamente comunicato tale recapito alla Società, in fase di sottoscrizione del Contratto. Per tale ragione, Eni Plenitude S.p.A. Società Benefit, a seguito dell’istanza di rettifica presentata dal reclamante, ha provveduto, come previsto dalle proprie procedure interne, a contattare il predetto cliente “per richiedere l’autorizzazione alla cancellazione dell’indirizzo e-mail dall’anagrafica, riservandosi di procedere alla stessa a seguito di specifico riscontro da parte di quest’ultimo” (v. nota della Società del 23 maggio 2025, pag. 3). Le summenzionate procedure, infatti, prevedono che “in caso di segnalazione presentata da un terzo, che dichiara di essere il legittimo titolare di uno dei recapiti registrati sull’anagrafica di un cliente, la rimozione dei [predetti] recapiti (i.e., indirizzo e-mail o numero di telefono) possa avvenire solo dopo una verifica preliminare con il cliente stesso” (v. nota della Società del 23 maggio 2025, pag. 3). La Società ha quindi effettuato diversi tentativi di contatto del cliente, sia mediante la trasmissione, il 7 marzo 2025, di una comunicazione cartacea al proprio indirizzo, sia per il tramite di chiamate telefoniche (del 6 e del 7 marzo, nonché del 3 aprile 2025) non andate a buon fine. A fronte dell’impossibilità di reperire il predetto cliente, in data 4 aprile 2025, “ha provveduto alla rimozione dell’indirizzo e-mail [oggetto di contestazione] dall’anagrafica di quest’ultimo”. Ha altresì richiesto la cancellazione del succitato indirizzo anche all’agenzia esterna incaricata dell’attività di recupero crediti nei confronti del proprio cliente; la predetta agenzia “ha confermato per iscritto l’eliminazione dell’indirizzo e-mail [del Sig. XX] dai propri sistemi in data 8 aprile 2025” (v. nota della Società del 23 maggio 2025, pag. 5). Da ultimo, al fine di prevenire il ripetersi di vicende analoghe a quella in esame, ha aggiornato la propria procedura interna, in materia di esercizio dei diritti ex artt. 12-15 del Regolamento, con l’introduzione di un limite massimo di due tentativi di contatto telefonico con il cliente interessato nei casi –come quello oggetto del presente procedimento– in cui un terzo dichiari di essere il legittimo titolare di uno dei recapiti registrati nell’anagrafica di un cliente. Ai sensi della nuova procedura, ciascun tentativo “consiste in una chiamata telefonica a seguito della quale, in caso di mancata risposta, viene inviato al numero di cellulare del cliente un SMS informativo con lo scopo di comunicare l’avvenuta segnalazione e di invitarlo a prendere contatto con la Società per chiarire l’equivoco. Il cliente avrà un termine massimo di una settimana per fornire riscontro a ciascun tentativo di contatto ricevuto” (v. nota della Società del 23 maggio 2025, pag. 6). Decorsi 7 giorni dall’ultimo contatto telefonico, nel caso in cui il cliente non si sia palesato, sarà trasmessa allo stesso, a mezzo di raccomandata A/R, una lettera in cui sarà fornito un ulteriore termine di 7 giorni, trascorso il quale, il recapito oggetto di contestazione sarà cancellato dall’anagrafica (v. nota della Società del 23 maggio 2025, pag. 6; cfr. anche nota del 9 ottobre, pag. 5 e All. 1). 3. La notifica delle violazioni. A seguito della notifica delle violazioni di cui all’art. 5, par. 1, lett. d) e par. 2, nonché agli artt. 12, 16 e 24 del Regolamento, trasmessa ad Eni Plenitude S.p.A. Società Benefit con comunicazione del 28 gennaio 2026, la Società, con nota del 26 febbraio 2026, ha fatto pervenire i propri scritti difensivi, ulteriormente integrati in sede di audizione del 22 aprile 2026 e per il tramite di una successiva comunicazione del 21 maggio 2026. Nell’ambito delle sopra menzionate memorie, la Società ha evidenziato che la fattispecie oggetto di reclamo costituisce un’ipotesi meramente residuale tra le diverse casistiche di istanze ex art. 16 del Regolamento solitamente ricevute dalla Società, facendo presente che “nel 2025 il numero di istanze analoghe a quella del reclamante è stato di 17, a fronte di (..) un numero complessivo di richieste di rettifica pari a 92.126” (v. nota del 21 maggio 2026, pag. 3). L’esiguità numerica delle istanze in generale riconducibili alla casistica del Sig. XX, pertanto, “non era di per sé sufficiente per l’elaborazione, all’interno della casistica medesima, di ulteriori e più specifiche sotto-categorie di ipotesi ricorrenti, né per la definizione di tempistiche standardizzate fondate su un’esperienza operativa significativa nella gestione di ciascuna eventuale sotto-categoria” (v. nota del 21 maggio 2026, pag. 2). La Società ha inoltre sottolineato il carattere peculiare della richiesta presentata dal reclamante, in quanto concernente una fattispecie in cui un terzo, privo di legami con il cliente, reclami, come proprio, il dato di contatto associato al predetto intestatario del contratto di fornitura e “non sussista, almeno sulla base delle informazioni disponibili [al titolare], alcun elemento che consenta di verificare immediatamente la fondatezza della sua pretesa di qualificare come proprio, e non del cliente, il [predetto] dato di contatto” (v. nota della Società del 26 febbraio 2026, pagg. 5-6). Si tratta di un’ipotesi eccezionale, rispetto alle ordinarie casistiche di esercizio dei diritti ex artt. 15-22 del Regolamento trattate da Eni Plenitude S.p.A. Società Benefit; ipotesi, in merito alla quale, la Società non ha ritenuto possibile prevedere sistemi di cancellazione automatizzata, rendendo necessario l’intervento, caso per caso, dell’operatore nel processo di gestione delle segnalazioni (v. nota della Società del 26 febbraio 2026, pag. 7). Con riferimento al riscontro fornito al reclamante e contenente l’invito alla creazione di un nuovo indirizzo di posta elettronica, la Società ha evidenziato che si è trattato di un errore umano, sottolineando che il predetto dipendente ha agito di propria iniziativa, discostandosi dalle indicazioni procedurali fornite dalla Società. Tale modalità di riscontro non è infatti prevista dalla Procedura adottata da Eni Plenitude S.p.A. Società Benefit, in materia di esercizio dei diritti (che, peraltro, include anche esempi di risposte da trasmettere agli interessati), non “è stata fornita agli operatori in alcun’altra modalità”, né “risulta essere prassi di fatto degli [stessi]” (v. nota della Società del 26 febbraio 2026, pagg. 14; v. anche verbale dell’Audizione del 22 aprile 2026, pag. 3). Ad ogni modo, “al fine di prevenire il ripetersi di simili iniziative individuali da parte degli operatori incaricati della gestione delle richieste privacy non in linea con la Procedura, una volta rilevata la formulazione utilizzata nel riscontro inviata al Reclamante, la Società ha tempestivamente effettuato un confronto diretto con l’operatore coinvolto e con l’intero team di riferimento, chiarendo le ragioni per cui tale indicazione non risultava conforme ai presidi organizzativi adottati e fornendo espressa istruzione di non utilizzare in futuro formulazioni analoghe” (v. nota della Società del 26 febbraio 2026, pagg. 14-15; v. anche verbale dell’Audizione del 22 aprile 2026, pagg. 3-4). Sono state altresì previste sessioni periodiche, con cadenza semestrale, di formazione interna rivolta al personale competente per la gestione delle istanze e delle richieste degli interessati presentate ai sensi degli artt. 12-22 del Regolamento (v. nota del 21 maggio 2026, pag. 2). 4. Le valutazioni dell’Autorità. In primis, si rappresenta che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”. Tanto doverosamente premesso, all’esito dell’esame della documentazione agli atti e delle dichiarazioni rese dal titolare, nel corso del procedimento, sono emersi, a carico di Eni Plenitude S.p.A. Società Benefit, i profili di violazione di seguito esplicitati; ciò, con particolare riferimento al mancato aggiornamento dell’indirizzo e-mail del reclamante, a seguito di presentazione, da parte dello stesso, di istanza di rettifica del predetto dato personale, erroneamente associato all’anagrafica di un diverso cliente. Al riguardo, si rammenta che l’art. 5, par. 1, lett. d) del Regolamento (c.d. principio di esattezza) prevede che siano trattati dati personali esatti e aggiornati, adottando misure ragionevoli per garantire la qualità e l’accuratezza delle informazioni rispetto alle finalità per le quali sono raccolte. Il principio di esattezza impone al titolare di porre in essere attività periodiche di verifica dei dati trattati, mediante l’implementazione, da una parte, di processi tecnici e organizzativi in grado di garantire l’accuratezza e l’aggiornamento degli stessi e, dall’altra, di prassi operative idonee a consentire un intervento tempestivo e puntuale sulle informazioni inesatte. Merita evidenziare altresì che l’art. 5 del Regolamento deve essere letto in combinato disposto con il principio di “accountability” (art. 5, par. 2 e art. 24 del Regolamento). Ai sensi delle predette disposizioni, infatti, il titolare è il soggetto cui è attribuita la “responsabilità generale” del trattamento, gravando, pertanto, su quest’ultimo l’onere di attuare un sistema organizzativo e gestionale contraddistinto da misure reali ed efficaci di protezione dei dati nonché comprovabili (v. anche cons. 74 del Regolamento); ciò non solo mediante la corretta e puntuale predisposizione degli adempimenti imposti dal Regolamento (informativa; registro delle attività di trattamento; nomina del Responsabile della protezione dei dati ove obbligatoria; ecc.), ma anche attraverso l’implementazione di procedure e prassi organizzative atte a conformare i relativi trattamenti alla disciplina di riferimento (es. processi per la corretta gestione dei dati oggetto di trattamento; policy di data retention; procedure per la gestione delle richieste di esercizio dei diritti e dei reclami; ecc.; cfr. Gruppo art. 29, WP 173 del 13 luglio 2010- Opinion 3/2010 on the principle of accountability, pagg. 11-12). L’attuazione del principio di accountability, con riferimento al principio di esattezza, pone, in capo al titolare, l’onere di predisporre un sistema organizzato per la gestione delle istanze presentate ai sensi degli artt. 15-22 del Regolamento, individuando specifiche e adeguate istruzioni da fornire al personale incaricato (quali, ad esempio, l’obbligo di monitorare l’e-mail dedicata; chiarire le tempistiche da rispettare; individuare le casistiche di differimento dei termini; ecc.) e mettendo a disposizione dello stesso modelli di risposta (es. istanza di rettifica; differimento dei termini con motivazione; ecc.) e prassi operative per fronteggiare le diverse casistiche (es. istruzioni sulle attività da porre in essere in caso di sollecito dell’istanza; ecc.). Il tutto, al fine di adottare misure adeguate ed efficaci a garantire la rettifica dei dati inesatti o non aggiornati (art. 5, par. 1, lett. d) del Regolamento); ciò anche in osservanza del più generale dovere di agevolare l’esercizio dei diritti di cui agli artt. 15-22 del Regolamento (v. art. 12, par. 2 e cons. 59 del Regolamento). Tanto doverosamente premesso, nel caso di specie, è di contro stato accertato il tardivo aggiornamento, da parte di Eni Plenitude S.p.A. Società Benefit, del recapito e-mail del Sig. XX; aggiornamento intervenuto esclusivamente il 4 aprile 2025 ‒ossia a distanza di alcuni mesi dalla richiesta di rettifica presentata dall’interessato‒ e solo a seguito dei diversi solleciti effettuati da quest’ultimo, ivi compresa la presentazione di un reclamo alla scrivente Autorità. Più nello specifico, è emerso che tale ritardo è dipeso dall’applicazione, all’ipotesi in esame, della specifica procedura organizzativa predisposta dalla Società rispetto alle istanze presentate dagli interessati, ai sensi dell’art. 16 del Regolamento; ciò ogni qual volta le predette istanze riguardano la variazione dei dati di un interessato presenti su anagrafiche di terze persone. La predetta policy invero ‒secondo la formulazione vigente alla data di presentazione del reclamo da parte del Sig. XX‒ nel condizionare l’aggiornamento del dato personale oggetto di istanza di rettifica a una previa verifica con il cliente di cui all’anagrafica contestata, non prevedeva specifiche tempistiche per il rilascio, da parte di quest’ultimo, dell’autorizzazione a procedere alla rimozione del predetto recapito inesatto (v. “Linee guida in caso di richieste privacy ricevute da soggetti diversi dall’interessato/a”, cit., pag. 3). Il tutto, con il rischio ‒poi verificatosi nel caso di specie‒ di rendere tardiva e/o impossibile la rettifica del recapito non corretto, in caso di irreperibilità del predetto cliente o di un suo mancato riscontro. Sul punto, a seguito della presentazione delle memorie difensive da parte della Società, è altresì emerso che le carenze, in termini di mancata individuazione di tempistiche definite per l’aggiornamento del dato inesatto nella fattispecie in esame, sono dipese prevalentemente dall’esiguità numerica, dal punto di vista statistico, delle istanze riconducibili alla casistica contestata complessivamente pervenute al titolare; esiguità che non ha consentito alla Società di prevedere, ex ante, l’ipotesi di irreperibilità del proprio cliente verificatasi in via eccezionale nel caso di specie. Alla luce di tale considerazione, comprovata dalle percentuali numeriche comunicate dal titolare (v. par. 2 della presente decisione), la scrivente Autorità, con specifico riguardo alla violazione dell’art. 5, par. 1, lett. d) e par. 2 e dell’art. 24 del Regolamento, come prospettata nella notifica dell’Autorità del 28 gennaio 2026, ritiene che non sussistano gli estremi per adottare provvedimenti ai sensi dell’art. 58 del Regolamento. Si accoglie, dunque, limitatamente a tale circoscritto profilo, la richiesta, avanzata da Eni Plenitude S.p.A. Società Benefit, di archiviazione della contestazione nella parte riguardante tale specifica fattispecie di violazione (v. par. 3 della presente decisione). Per quanto concerne, invece, la violazione degli artt. 12 e 16 del Regolamento, si conferma quanto già notificato alla Società ai sensi dell’art. 166, comma 5 del Codice; ciò tenuto conto delle modalità operative adottate dalla Società nell’ipotesi in esame in quanto inadeguate ad assicurare la tempestiva rettifica dei dati erroneamente associati al reclamante. Sul punto, merita infatti osservare che, a differenza di quanto sostenuto dalla Società nei propri scritti difensivi, l’approccio basato sulla valutazione caso per caso, adottato da quest’ultima in ordine a casistiche analoghe a quella del reclamante, avrebbe dovuto consentire un’adeguata valutazione, da parte del personale a ciò specificamente preposto, della soluzione più appropriata per l’ipotesi in esame. In tale contesto, proprio l’esame della fattispecie concreta, evidenziava una situazione di verosimile anomalia contrattuale in capo al cliente intestatario del contratto (l’addebito delle cui fatture non era mai andato a buon fine fin dall’attivazione della fornitura) e di difficile contattabilità dello stesso (circostanza che aveva reso necessario l’intervento di una società di recupero crediti). Tali elementi avrebbero reso opportuno un approccio maggiormente proattivo a tutela del reclamante, quanto meno mediante una temporanea sospensione, in attesa di contattare il cliente, della trasmissione, all’indirizzo e-mail oggetto di contestazione, delle fatture e dei solleciti di pagamento riferiti al predetto cliente. Le modalità operative assunte dall’operatore nel caso di specie non hanno invece di fatto consentito al titolare di riscontrare adeguatamente l’istanza di esercizio dei diritti presentata dal reclamante (art. 12, par. 2 del Regolamento), comportando il mancato aggiornamento dell’erroneo recapito associato al contratto; recapito al quale quindi sono state, nel frattempo, trasmesse le fatture e i solleciti di pagamento indirizzati al terzo cliente (v. nota del 9 ottobre, All. 1). 5. Provvedimenti ai sensi dell’art. 58, par. 2 del Regolamento. Tutto ciò considerato, si rileva pertanto la violazione, a carico di Eni Plenitude S.p.A. Società Benefit, degli artt. art. 12 e 16 del Regolamento. Preso atto della circostanza che la Società, il 4 aprile 2025, ha fornito completo riscontro all’istanza di rettifica dei dati presentata dal Sig. XX, provvedendo alla cancellazione definitiva dell’indirizzo e-mail dello stesso dall’anagrafica del terzo soggetto cui era stato erroneamente associato, nonché aggiornando conseguentemente i propri sistemi, si ritiene che non ricorrano, allo stato degli atti, i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2 del Regolamento. A tal fine, si tiene conto anche delle misure organizzative adottate dalla Società nel corso del procedimento, come illustrate ai paragrafi 2 e 3 della presente decisione. La violazione delle disposizioni sopra richiamate comporta l’applicazione della sanzione amministrativa prevista dall’art. 83, par. 5, lett. b), del Regolamento. La natura, la gravità e la durata della violazione, il carattere colposo della stessa, nonché gli ulteriori elementi richiamati nel prosieguo inducono a qualificare la fattispecie in esame quale “violazione minore”, ai sensi dell’art. 83, par. 2 e del cons. 148, del Regolamento. Alla luce di tali considerazioni, si ritiene, pertanto, sufficiente ammonire Eni Plenitude S.p.A. Società Benefit, ai sensi dell’art. 58, par. 2, lett. b), del Regolamento, per la violazione delle sopra citate disposizioni in materia di protezione dei dati personali. Al riguardo, si è tenuto conto in particolare degli elementi di seguito indicati: - la limitata gravità della violazione (art. 83, par. 2, lett. a) del Regolamento), in relazione al contesto (inerente ad una fattispecie peculiare e di circoscritta portata), alla durata del trattamento (limitata a due mesi) ed all’esiguo numero di interessati coinvolti (costituito da una persona fisica). In favore del trasgressore, è stato altresì considerato il carattere non sensibile dei dati personali oggetto di trattamento (art. 83, par. 2, lett. g) del Regolamento); - la natura meramente colposa della violazione (art. 83, par. 2, lett. b) del Regolamento), preso atto della riconducibilità della stessa ad una concomitanza di eventi verificatesi contestualmente (assenza di indicazioni predefinite per la casistica oggetto d’esame, unitamente ad un errore umano dell’operatore incaricato di gestire la richiesta del reclamante); - l’adozione, da parte di Eni Plenitude S.p.A. Società Benefit, di misure atte a mitigare o ad eliminare le conseguenze della violazione (art. 83, par. 2, lett. c) del Regolamento). Al riguardo è stata positivamente considerata la circostanza che il titolare, a fronte dell’avvio dell’istruttoria da parte del Garante, abbia tempestivamente provveduto alla rettifica del dato oggetto di contestazione, procedendo al contempo alla modifica delle proprie policy interne in materia; - il moderato grado di responsabilità della Società in ordine all’inadeguatezza delle misure tecniche e organizzative messe in atto da quest’ultimo (art. 83, par. 2, lett. d) del Regolamento); ciò preso atto dell’assenza, all’epoca dei fatti contestati, di un sistema di regole operative efficiente per la gestione delle istanze presentate ai sensi dell’art. 16 del Regolamento. Al riguardo, in favore del trasgressore, si è tenuto conto del fatto che l’inadeguatezza delle predette regole è apparsa limitata alla sola e specifica ipotesi di dato inesatto erroneamente registrato nell’anagrafica di un terzo cliente (v. supra, par. 3 della presente decisione); - la circostanza che la Società abbia attivamente cooperato con l’Autorità nel corso del procedimento (art. 83, par. 2, lett. f) del Regolamento) anche in relazione alle azioni spontaneamente avviate dalla stessa per conformare le attività di trattamento al Regolamento (v. paragrafi nn. 2 e 3 della presente decisione); - il fatto che non risultino precedenti violazioni pertinenti commesse da Eni Plenitude S.p.A. Società Benefit o precedenti provvedimenti relativamente al medesimo oggetto nei confronti della summenzionata Società ai sensi dell’art. 58 del Regolamento (art. 83, par. 2, lettere e) ed i) del Regolamento); - altri fattori attenuanti (art. 83, par. 2, lett. k) del Regolamento): si è tenuto conto altresì, in favore del trasgressore, della natura di Eni Plenitude S.p.A. quale “società benefit” ai sensi degli artt. 376-384 della legge n. 208 del 28/12/2015 (legge di Stabilità 2016). Si rileva, infine, che ricorrono, nel procedimento in esame, i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante. TUTTO CIÒ PREMESSO, IL GARANTE a) dichiara, ai sensi degli artt. 57, par. 1, lett. f) del Regolamento, l’illiceità del trattamento effettuato da Eni Plenitude S.p.A. Società Benefit, con sede in Milano, p. iva n. 12300020158, nei termini di cui in motivazione, per la violazione degli artt. 12 e 16 del Regolamento; b) ammonisce, ai sensi dell’art. 58, par. 2, lett. b), del Regolamento, la predetta Società per aver omesso di fornire tempestivo e puntuale riscontro all’istanza di rettifica presentata dal reclamante in violazione degli artt. 12 e 16 del Regolamento; c) prevede, ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l'annotazione delle violazioni e delle misure adottate in conformità all'art. 58, par. 2 del Regolamento, nel registro interno dell'Autorità previsto dall'art. 57, par. 1, lett. u) del Regolamento; d) dispone, ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità. Ai sensi dell’art. 78 del Regolamento (UE) 2016/679, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero. Roma, 23 luglio 2026 IL PRESIDENTE Stanzione IL RELATORE Ghiglia IL SEGRETARIO GENERALE Montuori Scheda Doc-Web 10287438 Data 23/07/26 Argomenti Imprese Tipologie Ammonimento