Il Garante per la protezione dei dati personali (Gpdp) ha sanzionato i fornitori di energia elettrica e gas Hera Comm spa e EstEnergy spa, nonché Cerved Group spa ed Experian spa, le società coinvolte nella fornitura dei dati trattati dal sistema di scoring utilizzato dalle due società energetiche, per una cifra complessiva pari a 7,72 milioni di euro.
Lo ha reso noto ieri il Garante della privacy, che ha ribadito la necessità per gli utenti di comprendere il funzionamento dei sistema di scoring, di ottenere informazioni complete sui punteggi attribuiti e di chiedere la rettifica di eventuali dati inesatti utilizzati nelle valutazioni.
Le sanzioni a Hera Comm e EstEnergy
Nel dettaglio, il Gpdp ha sanzionato Hera Comm e EstEnergy, fornitori di energia elettrica e gas, rispettivamente con 5,8 milioni di euro e 1,4 milioni di euro, per violazioni della normativa privacy nell’utilizzo di un sistema automatizzato che attribuiva ai potenziali clienti un punteggio di affidabilità (score) per decidere se attivare o meno il contratto di fornitura.
Le istruttorie sono state avviate a seguito delle segnalazioni di alcuni cittadini a cui era stata negata la fornitura sulla base di un punteggio di affidabilità negativo, senza ricevere informazioni chiare sui criteri e sulla logica utilizzati per attribuirlo.
Il Garante della privacy ha accertato “numerose e gravi violazioni in materia di trasparenza, informazione agli interessati, conservazione dei dati e gestione delle richieste di esercizio dei diritti”. Oltre alle sanzioni, l’Autorità ha ordinato alle due società di adottare misure correttive per rendere i trattamenti conformi al Gdpr, tra cui procedure più trasparenti che consentano agli interessati di comprendere il funzionamento del sistema di scoring, di ottenere informazioni complete sui punteggi attribuiti e di chiedere la rettifica di eventuali dati inesatti utilizzati nelle valutazioni.
I provvedimenti nei confronti di Cerved Group ed Experian
Nella stessa istruttoria, il Gpdp ha inoltre adottato due provvedimenti nei confronti di Cerved Group, sanzionata con 400.000 euro, e di Experian Italia, sanzionata con 120.000 euro.
Per entrambe le società, coinvolte nella fornitura dei dati trattati dal sistema di scoring utilizzato dalle due società energetiche, l’Autorità ha accertato “gravi violazioni del Gdpr, tra cui quella relativa al diritto di accesso degli interessati” e, nel caso di Experian, anche al “rispetto del principio di minimizzazione, per aver trattato dati non necessari all’elaborazione dello score di affidabilità”.
Nel determinare le sanzioni, il Garante precisa di aver tenuto conto della capacità economica delle società coinvolte, della gravità delle violazioni, protrattesi per circa due anni e mezzo, del numero elevato di persone coinvolte, nonché delle caratteristiche del trattamento e dei danni subiti dagli interessati.
