Contratti energia rifiutati: maxi multa per Hera e EastEnergy

Contratti energia rifiutati senza dare spiegazioni agli utenti: alla base della maxi sanzione del Garante, lo score di affidabilità e l’irregolarità dell’uso delle informazioni personali

Attivare una fornitura di energia è diventata una pratica sempre più complessa, costosa e, spesso, con tempi di attesa imbarazzanti. In più, si corre anche il pericolo di ricevere un rifiuto e ciò rappresenta una situazione che può sorprendere e creare disagi, soprattutto quando non è motivata.

Diverse segnalazioni di cittadini hanno allertato il Garante per la protezione dei Dati personali (GPDP) che, dopo un’accurata istruttoria, ha sanzionato per oltre 7,7 milioni di euro le società Hera Comm, EstEnergy, Cerved Group ed Experian Italia.

Vediamo perché.

Perché il Garante Privacy è intervenuto?

Al centro del provvedimento c’è l’utilizzo di un sistema automatizzato che sta alla base delle attivazioni dei contratti energia luce e gas, e che attribuisce ai potenziali clienti uno score di affidabilità, cioè un punteggio impiegato per valutare il rischio associato alla sottoscrizione di un contratto di fornitura energetica.

In base al risultato ottenuto, l’azienda decide se attivare o meno il servizio. Il problema evidenziato dall’Autorità riguarda non tanto il sistema adottato quanto la mancanza di trasparenza. Diversi consumatori si sono visti respingere la richiesta di attivazione senza ricevere spiegazioni sufficienti sui dati utilizzati, sui criteri adottati per calcolare il punteggio e sulle ragioni che avevano portato all’esito negativo della pratica.

Secondo il Garante, questa modalità di trattamento dei dati personali ha impedito agli interessati di comprendere realmente come fosse stata presa una decisione destinata ad avere effetti concreti sulla loro vita quotidiana.

Che cos’è uno score di affidabilità e come incide sull’apertura di un contratto

Lo score di affidabilità è un indicatore numerico che nasce dall’elaborazione automatica di diversi dati riferiti a una persona. Consiste nello stimare il livello di rischio che un’azienda corre nel concedere un determinato servizio. Sistemi di questo tipo vengono utilizzati in numerosi settori, dal credito ai pagamenti rateali e si: anche per le forniture di energia e gas.

In buona sostanza, un algoritmo analizza informazioni provenienti da diverse banche dati, come la presenza di precedenti insolvenze, ritardi nei pagamenti di bollette o finanziamenti, informazioni provenienti da banche dati creditizie o commerciali, eventuali protesti o procedure esecutive e altri elementi che consentono di valutare l’affidabilità economica di una persona o di un’impresa.

Quel punto elabora un profilo di affidabilità che si traduce in un punteggio che aiuta l’azienda a valutare il cliente. Il GDPR consente l’utilizzo di strumenti automatizzati, ma impone il rispetto di precisi obblighi di trasparenza e tutela dei diritti degli interessati.

Chi subisce una valutazione automatizzata ha il diritto, però, di sapere che esiste questo processo, di conoscere quali categorie di dati vengono considerate, comprendere gli effetti della decisione e, soprattutto, avere la possibilità di contestare eventuali errori.

Se, ad esempio, il sistema utilizza informazioni non aggiornate oppure inesatte, il cittadino deve poter chiederne la correzione prima che queste incidano sulla possibilità di ottenere un contratto.

La trasparenza assume quindi un ruolo centrale perché permette alle persone di verificare che una decisione automatizzata si basi su dati corretti e trattati nel rispetto della normativa europea sulla protezione dei dati personali.

Quali irregolarità sono emerse durante i controlli?

Nel corso dell’istruttoria, il Garante Privacy ha individuato una serie di violazioni considerate particolarmente rilevanti. Le contestazioni rivolte a Hera Comm ed EstEnergy riguardano diversi aspetti del trattamento dei dati personali durante la richiesta di apertura di contratti energia luce e/o gas.

Il Garante ha accertato numerose e gravi violazioni in materia di trasparenza, informazione agli interessati, conservazione dei dati e gestione delle richieste di esercizio dei diritti. Inoltre, ha rilevato che le informazioni fornite agli utenti non spiegavano in modo chiaro il funzionamento del sistema di scoring. Molti cittadini non riuscivano quindi a sapere quali dati l’azienda aveva utilizzato per la valutazione e quali elementi avevano contribuito alla formazione del punteggio ricevuto.

Il Garante ha rilevato difficoltà nel garantire pienamente questi diritti, previsti dal GDPR, che permettono alle persone di conoscere l’uso delle proprie informazioni personali e di chiedere eventuali correzioni.

L’Autorità ha inoltre contestato la gestione dei tempi di conservazione dei dati: le aziende devono conservare le informazioni personali solo per il periodo necessario a raggiungere lo scopo per cui le hanno raccolte.

Accanto alle sanzioni economiche, il Garante ha ordinato alle società energetiche di modificare le proprie procedure affinché ogni cliente possa conoscere il punteggio attribuito, ricevere spiegazioni comprensibili sul suo significato e chiedere la rettifica dei dati eventualmente inesatti utilizzati per elaborare la valutazione. Si tratta di misure che rafforzano il diritto delle persone a comprendere e verificare decisioni automatizzate capaci di incidere sull’accesso a servizi ormai indispensabili nella vita di tutti i giorni.

Perché sono state sanzionate anche Cerved ed Experian?

L’istruttoria ha interessato anche Cerved Group ed Experian Italia, aziende specializzate nella raccolta e gestione di informazioni utilizzate per valutazioni economiche e commerciali.

Secondo il Garante, entrambe le società hanno contribuito al funzionamento del sistema di scoring mettendo a disposizione dati impiegati nelle elaborazioni effettuate dalle società energetiche. L’Autorità ha accertato violazioni legate soprattutto al diritto di accesso previsto dal GDPR, che consente a ogni persona di conoscere quali informazioni le aziende raccolgono, come le utilizzano e per quali scopi.

Nel caso di Experian è emersa anche una violazione del principio di minimizzazione dei dati, uno dei cardini della normativa europea. Questo principio impone di trattare esclusivamente le informazioni realmente necessarie per raggiungere uno specifico obiettivo.

L’utilizzo di dati ulteriori rispetto a quelli indispensabili espone, infatti, gli interessati a rischi maggiori sotto il profilo della privacy e può rendere meno trasparente il funzionamento degli algoritmi.

Per queste ragioni il Garante ha inflitto una sanzione di 400 mila euro a Cerved Group e di 120 mila euro a Experian Italia, affiancando ai provvedimenti economici l’obbligo di adeguare i trattamenti alle prescrizioni del GDPR.

Nel definire l’entità delle sanzioni, il Garante ha considerato diversi elementi: la capacità economica delle società coinvolte, la gravità delle violazioni, la durata dei comportamenti contestati, protratti per circa due anni e mezzo, l’elevato numero di persone interessate e i possibili effetti negativi subiti dai cittadini

Che cosa cambia adesso per i consumatori?

Il provvedimento del Garante crea un precedente storico poiché non si limita al caso specifico dei contratti energia luce e gas, ma si estende a tutti i settori. Lo stesso provvedimento richiama un principio destinato ad assumere un peso crescente in tutti gli ambiti in cui le aziende ricorrono a sistemi automatizzati per prendere decisioni sui clienti.

L’uso di algoritmi e modelli di scoring è sempre più diffuso perché consente di elaborare grandi quantità di dati in tempi molto rapidi ed è sicuramente un supporto fondamentale alle attività aziendali, ma è pur sempre un sistema automatizzato, sempre più integrato con sistemi AI, ma richiedono regole rigorose, trasparenza e un controllo costante affinché i diritti delle persone rimangano sempre al centro del processo decisionale.