EstEnergy S.p.A.
Sanzione amministrativa pecuniaria per violazione del Regolamento (UE) 2016/679
Sintesi del provvedimento
EstEnergy S.p.A. ha effettuato illecito trattamento di dati personali per valutazione affidabilità creditizia clienti attraverso il sistema CGS-X, senza corretta informazione agli interessati e violando i diritti di accesso. Violazioni accertate: artt. 5(1)(a,b,d,e), 12, 13, 14, 15 e 28 GDPR. La società ha negato forniture energetiche sulla base di score creditizi senza trasparenza e senza consentire l'accesso ai dati presso Cerved Group e Experian Italia. Prescritto il ripristino della conformità entro sei mesi dalla notifica e pagamento della sanzione entro 30 giorni.
Approfondimento
Soggetti coinvolti
Il provvedimento menziona diverse istanze (dall'11 agosto 2023, 12 settembre 2023, 10 giugno 2024 e 9 settembre 2024) e indica che i trattamenti riguardano solo una parte della clientela della Società, senza specificare il numero esatto degli interessati coinvolti
Riferimenti normativi
Lettura del caso
Temi affrontati — Violazione dei principi di liceità, correttezza, trasparenza, minimizzazione e limitazione della conservazione dei dati nel trattamento per la verifica dell'affidabilità creditizia; inadempimento degli obblighi informativi previsti dagli artt. 13 e 14 del Regolamento in relazione a processi decisionali automatizzati; violazione dell'art. 15 per mancata risposta adeguata alle richieste di accesso degli interessati; violazione dell'art. 28 per omessa individuazione corretta dei ruoli privacy
Conseguenze — Il Garante dichiara l'illiceità del trattamento effettuato da EstEnergy S.p.A., ingiunge alla Società di conformarsi entro sei mesi alle prescrizioni formulate fornendo riscontro documentato, ordina il pagamento di una sanzione amministrativa pecuniaria di euro 1.400.000,00 entro trenta giorni dalla notifica, e dispone la pubblicazione dell'ordinanza ingiunzione sul sito internet del Garante e l'annotazione delle violazioni nel registro interno dell'Autorità
- attenuanti quali l'adozione di alcune misure organizzative e la circostanza che i trattamenti riguardano solo una parte della clientela (art. 83 par. 2 lett. k)
- condizioni economiche del contravventore determinate in base al volume d'affari della Società secondo il bilancio d'esercizio 2024
Il provvedimento evidenzia la problematica dei sistemi di scoring automatizzato per la valutazione dell'affidabilità creditizia quando non vengono fornite informazioni trasparenti sulle logiche decisionali. Gli interessati hanno ricevuto dinieghi di fornitura energetica sulla base di uno Score CGS-X che indicava scarsa affidabilità, mentre le banche dati consultate (Cerved ed Experian) dichiaravano l'assenza di informazioni negative.
AISintesi generata con intelligenza artificiale
Questa è una sintesi indipendente, non un documento ufficiale del Garante. Il testo integrale e autentico del provvedimento è disponibile sul sito ufficiale garanteprivacy.it.