Hera Comm S.p.A.
Sanzione amministrativa pecuniaria
Sintesi del provvedimento
Il Garante ha accertato l'illiceità del trattamento dei dati personali effettuato da Hera Comm S.p.A. mediante il software CGS-X per la verifica dell'affidabilità creditizia dei potenziali clienti. Le violazioni riguardano: mancanza di trasparenza (artt. 12, 13, 14), violazione dei principi di liceità, correttezza e lealtà (art. 5 par. 1 lett. a)), violazione del principio di integrità e riservatezza (art. 5 par. 1 lett. b)), violazione del principio di limitazione della conservazione (art. 5 par. 1 lett. e)), violazione del diritto di accesso (art. 15) e inosservanza degli obblighi del responsabile del trattamento (art. 28). La Società è ingiunta di conformarsi alle prescrizioni entro sei mesi e di pagare la sanzione entro trenta giorni dalla notifica.
Approfondimento
Soggetti coinvolti
Numero elevato di interessati: le violazioni hanno coinvolto numerosi potenziali clienti di Hera Comm S.p.A. sottoposti alla valutazione di affidabilità creditizia tramite il sistema CGS-X, come emerge dalle molteplici istanze pervenute all'Autorità e dal carattere sistematico del trattamento operativo dal 2021
Riferimenti normativi
Lettura del caso
Temi affrontati — Violazione dei principi generali del trattamento dei dati personali (liceità, trasparenza, limitazione della finalità, minimizzazione dei dati, esattezza) nel contesto della verifica dell'affidabilità creditizia dei potenziali clienti tramite sistemi di credit scoring; violazione degli obblighi di informativa agli interessati; violazione delle modalità di esercizio del diritto di accesso; inadeguatezza delle misure di responsabilizzazione nella nomina e gestione dei responsabili del trattamento
Conseguenze — Il Garante dichiara l'illiceità del trattamento effettuato da Hera Comm S.p.A., ingiunge alla Società di conformarsi entro sei mesi alle prescrizioni formulate fornendo riscontro documentato, ordina il pagamento della sanzione di 5.800.000,00 euro entro trenta giorni dalla notifica, dispone la pubblicazione dell'ordinanza ingiunzione sul sito internet del Garante e l'annotazione delle violazioni nel registro interno dell'Autorità
- gravità delle violazioni per natura sistematica e carenza di misure di responsabilizzazione
- durata pluriennale (dal 2021)
- numero elevato di interessati coinvolti
- intenzionalità nelle condotte
- grado di responsabilità del titolare considerando le misure tecniche e organizzative insufficienti
- assenza di precedenti violazioni contestuali
- adempimento a prescrizioni precedenti (provvedimento n. 440/2024)
- adozione spontanea di misure per mitigare le conseguenze, sebbene parziali
- cooperazione attiva con l'Autorità
- natura sensibile ma non particolare dei dati
- adozione di alcune misure organizzative
- trattamenti riguardanti solo parte della clientela. Si è tenuto conto del volume d'affari della Società determinato dal bilancio d'esercizio 2024 per garantire effettività, proporzionalità e dissuasività della sanzione
Il provvedimento evidenzia la necessità di garantire piena trasparenza nei sistemi di credit scoring utilizzati per decisioni che negano forniture essenziali come l'energia. Particolare attenzione è richiesta alla corretta informativa agli interessati, all'esercizio effettivo del diritto di accesso con informazioni comprensibili sulle logiche decisionali, alla minimizzazione dei dati trattati e all'accuratezza delle valutazioni.
AISintesi generata con intelligenza artificiale
Questa è una sintesi indipendente, non un documento ufficiale del Garante. Il testo integrale e autentico del provvedimento è disponibile sul sito ufficiale garanteprivacy.it.