Privacy e GDPR nel Settore Energetico: Come Vengono Trattati i Tuoi Dati nel 2026

Pubblicato il 12 Mag 2026

In breve: Scopri come il GDPR tutela i tuoi dati personali nel settore energia e gas. Diritti, obblighi dei fornitori, trattamento dati di consumo e reclami al Garante Privacy nel 2026.

Privacy e GDPR nel settore energia: tutela dei dati personali e consenso al trattamento nei contratti di luce e gas

Perché la privacy è fondamentale nel settore energia

Quando sottoscrivi un contratto luce o gas, fornisci al venditore una quantità significativa di dati personali: nome, cognome, codice fiscale, indirizzo di residenza, coordinate bancarie o della carta di credito, numero di telefono, email. Ma non finisce qui: attraverso il contatore elettronico e lo smart meter, il fornitore raccoglie anche i tuoi dati di consumo — quanto consumi, quando consumi, e con quale profilo orario.

Tutti questi dati sono protetti dal Regolamento Generale sulla Protezione dei Dati (GDPR – Reg. UE 2016/679), applicabile in Italia attraverso il D.Lgs. 196/2003 (Codice Privacy) come modificato dal D.Lgs. 101/2018. Nel 2026, con la diffusione dei contatori 2G e delle piattaforme digitali, la protezione dei dati energetici è diventata ancora più rilevante.

Quali dati raccolgono i fornitori di energia

I dati trattati da un fornitore di energia si dividono in diverse categorie:

Dati identificativi: nome, cognome, data di nascita, codice fiscale, indirizzo, documento d'identità. Servono per l'intestazione del contratto e la fatturazione. Dati di contatto: telefono, cellulare, email, PEC. Utilizzati per comunicazioni contrattuali e, se hai dato il consenso, per marketing. Dati bancari/finanziari: IBAN, numero carta di credito, storico dei pagamenti. Necessari per la domiciliazione bancaria e la gestione degli incassi. Dati di consumo: letture del contatore, curve di carico, profilo orario dei consumi. Questi dati sono particolarmente sensibili perché rivelano le tue abitudini di vita — quando sei a casa, quando sei assente, che elettrodomestici usi.Dati tecnici del punto di fornitura: codice POD (elettricità) o PDR (gas), potenza contrattuale, tipologia d'uso, classe del contatore. Infine, se hai interagito con il servizio clienti, il fornitore conserva anche le registrazioni delle chiamate e lo storico dei reclami.

Le basi giuridiche del trattamento nel settore energia

Il GDPR richiede che ogni trattamento di dati personali abbia una base giuridica valida. Nel settore energetico, le principali sono:

Esecuzione del contratto (art. 6.1.b GDPR): il fornitore tratta i tuoi dati perché necessario per erogare il servizio — fatturazione, gestione del contratto, comunicazioni obbligatorie. Non serve il tuo consenso per questi trattamenti. Obbligo legale (art. 6.1.c GDPR): il fornitore è obbligato a trasmettere dati all'Agenzia delle Entrate, ad ARERA, all'Acquirente Unico e ad altri enti regolatori. Consenso (art. 6.1.a GDPR): necessario per il marketing diretto, la profilazione commerciale e la cessione dei dati a terzi. Legittimo interesse (art. 6.1.f GDPR): alcuni fornitori lo invocano per attività di soft marketing (es. comunicazioni su prodotti simili a quelli acquistati), ma questa base giuridica è soggetta a limiti rigorosi.

Quando firmi un contratto energia, presta attenzione all'informativa privacy e ai consensi separati: il consenso al trattamento per finalità di marketing e profilazione deve essere libero, specifico, informato e inequivocabile. Se ti chiedono un unico consenso per tutto, è una violazione del GDPR. Il tema del consenso è strettamente legato a quello dei contratti a distanza e fuori sede, dove le informazioni precontrattuali devono includere anche l'informativa privacy.

Come consumatore energetico, hai diritti specifici garantiti dal GDPR:

Diritto di accesso (art. 15): puoi chiedere al fornitore quali dati ha su di te, come li utilizza, a chi li comunica e per quanto li conserva. Il fornitore deve rispondere entro 30 giorni. Diritto di rettifica (art. 16): se i tuoi dati sono errati o incompleti, puoi chiederne la correzione. Diritto alla cancellazione (art. 17): puoi chiedere la cancellazione dei dati quando non sono più necessari per il contratto. Attenzione: il fornitore può conservare i dati di fatturazione per 10 anni (obblighi fiscali) e i dati contrattuali per il periodo di prescrizione. Diritto alla portabilità (art. 20): puoi richiedere i tuoi dati in formato strutturato e trasferirli a un altro fornitore.Diritto di opposizione (art. 21): puoi opporti in qualsiasi momento al trattamento per marketing diretto. L'opposizione è immediatamente efficace — non servono motivazioni. Diritto alla limitazione (art. 18): puoi chiedere la sospensione del trattamento in caso di contestazione. Diritto di revoca del consenso: se hai dato il consenso al marketing, puoi revocarlo in qualsiasi momento senza che questo comprometta il contratto di fornitura.

Smart meter e dati di consumo granulari: rischi e tutele

Con i contatori di seconda generazione (2G), diffusi capillarmente nel 2025-2026 per l'energia elettrica, il distributore raccoglie dati di consumo ogni 15 minuti. Questi dati, aggregati, possono rivelare:

- Quando ti svegli e quando vai a dormire - Se sei assente da casa per lunghi periodi - Quante persone vivono nell'abitazione - Che tipo di apparecchi utilizzi (forno, lavatrice, condizionatore)

Il Garante per la Protezione dei Dati Personali ha stabilito che i dati di consumo granulari richiedono misure di sicurezza rafforzate. ARERA, con la delibera 2019/422 e successive integrazioni, ha regolamentato l'accesso ai dati di misura, stabilendo che il cliente finale ha diritto di accedere ai propri dati e di decidere a chi renderli disponibili attraverso il Sistema Informativo Integrato (SII).

Consenso al telemarketing e profilazione

Il tema del consenso al telemarketing nel settore energia è uno dei più problematici. Le regole fondamentali sono:

Il fornitore non può chiamarti per proporti offerte se non hai dato consenso esplicito al marketing telefonico. Se sei iscritto al Registro delle Opposizioni, il fornitore non può contattarti nemmeno se ha il tuo numero. Il consenso alla profilazione — cioè l'analisi delle tue abitudini per creare offerte personalizzate — deve essere separato dal consenso al marketing. Non basta una casella preselezionata: il consenso deve essere un atto positivo dell'utente.

Per quanto riguarda la profilazione online, i cookie e i tracciatori sui siti dei fornitori richiedono un consenso specifico che spesso viene gestito in modo inadeguato.

Data breach: cosa succede se i tuoi dati vengono violati

I fornitori di energia gestiscono milioni di record contenenti dati finanziari e personali. In caso di data breach (violazione dei dati), il fornitore è obbligato a:

Notificare il Garante Privacy entro 72 ore dalla scoperta della violazione. Se la violazione comporta un rischio elevato per i tuoi diritti, deve informare direttamente anche te — senza ritardo ingiustificato. Adottare misure tecniche e organizzative per contenere il danno.

Nel 2025-2026, il Garante ha sanzionato diverse aziende del settore utility per data breach e per mancata notifica, con sanzioni che hanno raggiunto i milioni di euro.

Come presentare un reclamo al Garante Privacy

Se ritieni che il tuo fornitore di energia violi i tuoi diritti privacy, puoi:

1. Esercitare i diritti direttamente: scrivi al DPO (Data Protection Officer) del fornitore — il suo contatto deve essere nell'informativa privacy. 2. Presentare reclamo al Garante: se il fornitore non risponde entro 30 giorni o la risposta non è soddisfacente, puoi presentare un reclamo al Garante per la Protezione dei Dati Personali. Il reclamo è gratuito. 3. Segnalazione: per problematiche più generali (es. telemarketing selvaggio) puoi inviare una segnalazione al Garante, che può avviare un'indagine d'ufficio.

Per le problematiche legate al contratto in sé — ad esempio contratti attivati senza il tuo consenso — puoi agire anche tramite lo Sportello del Consumatore di ARERA.

Conservazione dei dati: per quanto tempo il fornitore li tiene

Il GDPR impone il principio di limitazione della conservazione: i dati non possono essere conservati più a lungo del necessario. Nel settore energia, i tempi tipici sono:

Dati contrattuali: 10 anni dalla cessazione del rapporto (prescrizione civile). Dati di fatturazione e fiscali: 10 anni (obblighi tributari). Dati di consumo: 5 anni (prescrizione bollette, come indicato da ARERA). Registrazioni telefoniche di contratti a distanza: durata del contratto + periodo di contestazione. Dati marketing: devono essere cancellati subito dopo la revoca del consenso o, in assenza di indicazioni, entro 24 mesi dall'ultimo contatto.

Se il fornitore conserva i tuoi dati oltre questi termini senza giustificazione, è una violazione del GDPR.

Consigli pratici per proteggere i tuoi dati

Quando sottoscrivi un contratto luce o gas: leggi l'informativa privacy e non dare consensi non necessari (marketing, profilazione, cessione a terzi). Se hai dato consensi che vuoi revocare, invia una PEC al fornitore — è il modo più sicuro ed efficace. Iscriviti al Registro delle Opposizioni per bloccare le chiamate commerciali indesiderate. Se ricevi chiamate moleste, leggi la nostra guida su come difenderti dal telemarketing aggressivo.

Per qualsiasi dubbio sulla gestione dei tuoi dati da parte del fornitore, contattaci per una consulenza gratuita: ti aiutiamo a verificare la conformità del tuo fornitore e a esercitare i tuoi diritti.

Domande frequenti

Quali dati raccolgono i fornitori di energia?

Dati anagrafici e di contatto, codice fiscale o partita IVA, dati di fornitura (POD o PDR, indirizzo, potenza), consumi rilevati, dati di pagamento e, quando prestato, il consenso a finalità di marketing e profilazione.

Posso revocare il consenso al marketing?

Sì, in qualsiasi momento e senza motivazione, scrivendo al titolare del trattamento indicato nell'informativa. La revoca non incide sul contratto di fornitura, che resta valido.

Come si esercitano i diritti previsti dal GDPR?

Con una richiesta al titolare del trattamento (accesso, rettifica, cancellazione, limitazione, opposizione, portabilità); in caso di mancata risposta entro un mese si può presentare reclamo al Garante per la protezione dei dati personali.