Sanzioni del Garante Privacy a quattro società per complessivi 7,7 milioni di euro per violazioni del GDPR nell'utilizzo di sistemi di scoring
Il Garante per la protezione dei dati personali ha sanzionato Hera Comm Spa e EstEnergy Spa, fornitori di energia elettrica e gas, rispettivamente con 5 milioni e 800 mila euro e 1 milione e 400 mila euro, per violazioni della normativa privacy nell’utilizzo di un sistema automatizzato che attribuiva ai potenziali clienti un punteggio di affidabilità (score) per decidere se attivare o meno il contratto di fornitura.
Le istruttorie sono state avviate a seguito delle segnalazioni di alcuni cittadini a cui era stata negata la fornitura sulla base di un punteggio di affidabilità negativo, senza ricevere informazioni chiare sui criteri e sulla logica utilizzati per attribuirlo.
Il Garante ha accertato numerose e gravi violazioni in materia di trasparenza, informazione agli interessati, conservazione dei dati e gestione delle richieste di esercizio dei diritti. Oltre alle sanzioni, l’Autorità ha ordinato alle due società di adottare misure correttive per rendere i trattamenti conformi al GDPR, tra cui procedure più trasparenti che consentano agli interessati di comprendere il funzionamento del sistema di scoring, di ottenere informazioni complete sui punteggi attribuiti e di chiedere la rettifica di eventuali dati inesatti utilizzati nelle valutazioni.
Nella stessa istruttoria, il Garante ha inoltre adottato due provvedimenti nei confronti di Cerved Group Spa, sanzionata con 400mila euro, e di Experian Italia Spa, sanzionata con 120mila euro. Per entrambe le società, coinvolte nella fornitura dei dati trattati dal sistema di scoring utilizzato dalle due società energetiche, l’Autorità ha accertato gravi violazioni del GDPR, tra cui quella relativa al diritto di accesso degli interessati e, nel caso di Experian, anche al rispetto del principio di minimizzazione, per aver trattato dati non necessari all’elaborazione dello score di affidabilità.
Nel determinare le sanzioni, il Garante ha tenuto conto della capacità economica delle società coinvolte, della gravità delle violazioni, protrattesi per circa due anni e mezzo, del numero elevato di persone coinvolte, nonché delle caratteristiche del trattamento e dei danni subiti dagli interessati.
Fonte: Garante Privacy
