Cerved Group S.p.A.
Sanzione amministrativa pecuniaria per violazione dei principi generali di trattamento dati e diritti degli interessati
Sintesi del provvedimento
Il Garante ha accertato il trattamento illecito dei dati personali da parte di Cerved Group S.p.A. per violazione dell'articolo 5, paragrafo 1, lettera a) (principio di trasparenza) e degli articoli 12 e 15 del GDPR (diritti degli interessati). La Società ha utilizzato score di valutazione dell'affidabilità dei clienti nel software CGS-X senza assicurare adeguata trasparenza e violando il diritto di accesso agli atti. Il provvedimento ingiunge alla Società di conformarsi alle prescrizioni entro 6 mesi e di pagare la sanzione di € 400.000,00 entro 30 giorni. È prevista la pubblicazione dell'ordinanza sul sito del Garante.
Approfondimento
Soggetti coinvolti
Pluralità di interessati, come evidenziato dalle molteplici istanze pervenute al Garante che hanno dato origine alla riunione dei procedimenti e all'avvio dell'istruttoria d'ufficio. Numero specifico non quantificato nel provvedimento.
Riferimenti normativi
Lettura del caso
Temi affrontati — Violazione del principio di trasparenza nel trattamento dei dati personali e degli obblighi relativi all'esercizio del diritto di accesso. Risposte non veritiere alle istanze ex art. 15 GDPR da parte di un gestore di informazioni commerciali che elaborava score di affidabilità basati su dati socio-demografici, dichiarando falsamente l'assenza di informazioni nei propri sistemi. Trattamento di dati relativi all'affidabilità creditizia mediante elaborazione automatizzata di indicatori di rischio (scoring) nel settore delle utilities energetiche.
Conseguenze — Il Garante dichiara l'illiceità del trattamento effettuato da Cerved Group S.p.A. per violazione dell'art. 5, par. 1, lett. a), e degli artt. 12 e 15 del Regolamento. Ingiunge alla società di conformarsi entro sei mesi alla prescrizione formulata al par. 5 del provvedimento, fornendo riscontro documentato. Ordina il pagamento di una sanzione amministrativa pecuniaria di 400.000 euro entro trenta giorni dalla notifica. Dispone la pubblicazione dell'ordinanza ingiunzione sul sito internet del Garante e l'annotazione delle violazioni nel registro interno dell'Autorità.
- natura e gravità della violazione (lett. a) per risposte sistematicamente non veritiere alle istanze di accesso e compromissione del principio di trasparenza
- numero elevato di interessati coinvolti (lett. a)
- durata della violazione (lett. a) dal 2022 al 2025
- trattamento di dati relativi all'affidabilità con conseguenze economiche e sociali (diniego fornitura energia)
- adozione spontanea di prime misure correttive (lett. c)
- cooperazione attiva con l'Autorità (lett. f). Altri fattori attenuanti ex art. 83, par. 2, lett. k): campagne di comunicazione sul sito istituzionale per promozione consapevolezza protezione dati
- adesione al Codice di condotta per informazione commerciale approvato dal Garante con deliberazione del 29 aprile 2021. Condizioni economiche determinate in base al volume d'affari 2025
Obbligo di trasparenza nelle risposte alle istanze di accesso ex art. 15 GDPR: anche quando i dati non sono esplicitamente archiviati in forma nominativa ma vengono utilizzati per elaborazioni automatizzate (scoring), il titolare deve fornire riscontro veritiero e completo. Particolare criticità delle risposte standardizzate che dichiarano l'assenza di dati quando questi vengono effettivamente trattati attraverso algoritmi di valutazione basati su informazioni socio-demografiche.
AISintesi generata con intelligenza artificiale
Questa è una sintesi indipendente, non un documento ufficiale del Garante. Il testo integrale e autentico del provvedimento è disponibile sul sito ufficiale garanteprivacy.it.