Valutazione negativa per i potenziali clienti: società multate per la mancanza di chiarezza sulla gestione dei dati personali

Forniture energetiche negate a potenziali clienti: multe per quattro società (provvedimenti del 3 luglio 2026 del ‘Garante per la protezione dei dati personali’).
Innanzitutto, sono state sanzionate ‘Hera Comm Spa‘ e ‘EstEnergy Spa‘, fornitori di energia elettrica e gas, rispettivamente con 5milioni e 800mila euro e un milione e 400mila euro, per violazioni della normativa sulla privacy nell’utilizzo di un sistema automatizzato che attribuiva ai potenziali clienti un punteggio di affidabilità (cosiddetto ‘score’) per decidere se attivare o meno il contratto di fornitura.
Gli accertamenti sono stati avviati a seguito delle segnalazioni di alcuni cittadini, a cui era stata negata la fornitura sulla base di un punteggio di affidabilità negativo, senza ricevere, però, informazioni chiare sui criteri e sulla logica utilizzati per attribuire quel punteggio.
Il ‘Garante’ ha accertato numerose e gravi violazioni in materia di trasparenza, informazione ai cittadini potenziali clienti, conservazione dei dati e gestione delle richieste di esercizio dei diritti.
Oltre alle sanzioni pecuniarie, il ‘Garante’ ha ordinato alle due società di adottare misure correttive per rendere i trattamenti conformi al regolamento europeo per la protezione dei dati, tra cui procedure più trasparenti che consentano ai soggetti di comprendere il funzionamento del sistema di ‘scoring’, di ottenere informazioni complete sui punteggi attribuiti e di chiedere la rettifica di eventuali dati inesatti utilizzati nelle valutazioni.
Allo stesso modo, il ‘Garante’ ha anche adottato due provvedimenti nei confronti di ‘Cerved Group Spa‘, sanzionata con 400mila euro, e di ‘Experian Italia Spa‘, sanzionata con 120mila euro. Per entrambe le società, coinvolte nella fornitura dei dati trattati dal sistema di ‘scoring’ utilizzato dalle due società energetiche, il ‘Garante’ ha accertato gravi violazioni del regolamento europeo per la protezione dei dati, tra cui quella relativa al diritto di accesso dei soggetti coinvolti e, nel caso di ‘Experian’, anche al rispetto del principio di minimizzazione, per aver trattato dati non necessari all’elaborazione dello ‘score’ di affidabilità.
Nel determinare le sanzioni, il ‘Garante’ ha tenuto conto della capacità economica delle società coinvolte, della gravità delle violazioni, protrattesi per circa due anni e mezzo, del numero elevato di persone coinvolte, nonché delle caratteristiche del trattamento e dei danni subiti dai soggetti coinvolti.