Il Garante per la protezione dei dati personali ha sanzionato Hera Comm Spa ed EstEnergy Spa, fornitori di energia elettrica e gas, rispettivamente con 5 milioni e 800mila euro e 1 milione e 400mila euro, per violazioni della normativa privacy riscontrate nell’utilizzo di un sistema automatizzato che attribuiva ai potenziali clienti un punteggio di affidabilità, utilizzato per decidere se attivare o meno il contratto di fornitura.
Le istruttorie sono state avviate a seguito delle segnalazioni di alcuni cittadini ai quali era stata negata la fornitura sulla base di un punteggio negativo, senza che fossero fornite informazioni chiare sui criteri e sulla logica utilizzati per attribuirlo.
Il Garante ha accertato numerose e gravi violazioni in materia di trasparenza, informazione agli interessati, conservazione dei dati e gestione delle richieste di esercizio dei diritti.
Oltre alle sanzioni pecuniarie, l’Autorità ha ordinato alle due società di adottare misure correttive per rendere i trattamenti conformi al Regolamento generale sulla protezione dei dati (GDPR), tra cui procedure più trasparenti che consentano agli interessati di comprendere il funzionamento del sistema di scoring, di ottenere informazioni complete sui punteggi attribuiti e di chiedere la rettifica di eventuali dati inesatti utilizzati nelle valutazioni.
Nell’ambito della medesima istruttoria, il Garante ha adottato due ulteriori provvedimenti nei confronti di Cerved Group Spa, sanzionata con 400mila euro, ed Experian Italia Spa, sanzionata con 120mila euro. Entrambe le società, coinvolte nella fornitura dei dati trattati dal sistema di scoring utilizzato dai due operatori energetici, sono state ritenute responsabili di gravi violazioni del GDPR, tra cui quella relativa al diritto di accesso degli interessati e, nel caso di Experian, anche al mancato rispetto del principio di minimizzazione, per aver trattato dati non necessari all’elaborazione del punteggio di affidabilità.
Nel determinare l’entità delle sanzioni, il Garante ha tenuto conto della capacità economica delle società coinvolte, della gravità delle violazioni, protrattesi per circa due anni e mezzo, dell’elevato numero di persone coinvolte, nonché delle caratteristiche del trattamento e dei danni subiti dagli interessati.