Energia, il Garante privacy sanziona quattro società per oltre 7,7 milioni di euro
Il Garante per la protezione dei dati personali ha sanzionato quattro società, per un totale complessivo di 7,72 milioni di euro, al termine di un’istruttoria sull’utilizzo di sistemi automatizzati di scoring impiegati per valutare l’affidabilità dei potenziali clienti nel settore energetico.
Le sanzioni più consistenti hanno colpito i due fornitori di energia elettrica e gas Hera Comm Spa, sanzionata con 5 milioni e 800mila euro, ed EstEnergy Spa, sanzionata con 1 milione e 400mila euro. Le due società utilizzavano un sistema automatizzato che attribuiva ai potenziali clienti un punteggio di affidabilità, sulla cui base veniva decisa l’attivazione o meno del contratto di fornitura. Le istruttorie erano state avviate a seguito delle segnalazioni di alcuni cittadini a cui era stata negata la fornitura sulla base di un punteggio negativo, senza che fossero fornite informazioni chiare sui criteri e sulla logica utilizzati per l’attribuzione dello score.
Il Garante ha accertato numerose e gravi violazioni in materia di trasparenza, informazione agli interessati, conservazione dei dati e gestione delle richieste di esercizio dei diritti da parte dei clienti. Oltre alle sanzioni pecuniarie, l’Autorità ha ordinato alle due società di adottare misure correttive per rendere i trattamenti conformi al GDPR, tra cui procedure più trasparenti che consentano agli interessati di comprendere il funzionamento del sistema di scoring, di ottenere informazioni complete sui punteggi loro attribuiti e di richiedere la rettifica di eventuali dati inesatti utilizzati nelle valutazioni.
Nell’ambito della stessa istruttoria, il Garante ha adottato provvedimenti anche nei confronti di Cerved Group Spa, sanzionata con 400mila euro, ed Experian Italia Spa, sanzionata con 120mila euro. Entrambe le società, coinvolte nella fornitura dei dati utilizzati dal sistema di scoring impiegato dai due fornitori energetici, sono risultate responsabili di gravi violazioni del GDPR, tra cui quella relativa al diritto di accesso degli interessati. Nel caso di Experian, l’Autorità ha inoltre riscontrato la violazione del principio di minimizzazione, per aver trattato dati non necessari all’elaborazione del punteggio di affidabilità.
Nel quantificare le sanzioni, il Garante ha tenuto conto della capacità economica delle società coinvolte, della gravità delle violazioni , protrattesi per circa due anni e mezzo , del numero elevato di persone coinvolte, nonché delle caratteristiche dei trattamenti e dei danni subiti dagli interessati.
foto Free-Photos da Pixabay.com
