Il Garante per la protezione dei dati personale ha inflitto una sanzione complessiva di 7,72 milioni di euro a Hera Comm, EstEnergy, Cerved Group e Experian Italia a causa delle gravi violazioni della privacy riscontrate durante la raccolta dei dati utilizzati per la determinazione dello score di affidabilità. Sulla base di questo punteggio è stata negata la fornitura di energia elettrica e gas.
I clienti devono avere informazioni sullo score
Il Garante ha avviato il procedimento dopo aver ricevuto segnalazioni da diversi potenziali clienti. Hera Comm e la sua sussidiaria EstEnergy hanno respinto le richieste di sottoscrizione dei contratti di fornitura per energia elettrica e gas perché il punteggio di affidabilità era negativo. Le due società hanno determinato lo score dopo la consultazione delle banche dati di Experian Italia (informazioni creditizie) e Cerved Group (informazioni commerciali).
Il Gruppo Hera ha utilizzato un software (CGS-X), sviluppato da Major 1, per individuare il profilo di rischio sulla base di un indicatore denominato “Score Integrato Utilities” (Score CGS-X). Experian Italia e Cerved Group hanno tuttavia dichiarato l’assenza, all’interno dei propri sistemi, di informazioni negative e/o eventi pregiudizievoli a carico dei predetti interessati.
In seguito alle richieste di informazioni da parte degli interessati, Hera Comm e EstEnergy hanno confermato la consultazione dei sistemi di Experian Italia e Cerved Group per la determinazione del profilo di rischio, ma senza specificare in modo chiaro i criteri utilizzati per attribuire il punteggio di affidabilità (in nessuna risposta c’erano riferimenti allo Score CGS-X).
Il Garante ha quindi accertato numerose e gravi violazioni del GDPR (Regolamento generale sulla protezione dei dati) in materia di trasparenza, informazione agli interessati, conservazione dei dati e gestione delle richieste di esercizio dei diritti. Pertanto ha inflitto una sanzione di 5,8 milioni di euro a Hera Comm e 1,4 milioni di euro a EstEnergy. L’autorità ha inoltre ordinato alle due società di adottare misure correttive per rendere i trattamenti conformi al GDPR (procedure più trasparenti che consentano di comprendere il funzionamento del sistema di scoring, informazioni complete sui punteggi attribuiti e rettifica di eventuali dati inesatti).
Gravi violazioni del GDPR sono state accertate anche per Experian Italia e Cerved Group, quindi le sanzioni sono 120.000 e 400.000 euro, rispettivamente. Le quattro società possono eventualmente presentare ricorso entro 30 giorni dalla data di comunicazione del provvedimento.
Ti potrebbe interessare
23 lug 2026