Energia, un algoritmo decideva chi poteva avere il contratto: interviene il Garante

lentepubblica.it

Contratti luce e gas negati da un algoritmo: maxi sanzioni del Garante Privacy a quattro società.

Un sistema automatizzato capace di decidere, attraverso un punteggio di affidabilità, se un cittadino potesse oppure no ottenere un contratto per la fornitura di energia elettrica e gas. È questa la vicenda che ha portato il Garante per la protezione dei dati personali a infliggere sanzioni complessive per milioni di euro nei confronti di quattro società coinvolte nella gestione e nell’alimentazione di un sistema di scoring utilizzato durante la valutazione dei nuovi clienti.

Al centro dell’intervento dell’Autorità non c’è soltanto il valore economico delle multe, tra le più rilevanti degli ultimi mesi in materia di privacy, ma soprattutto il principio secondo cui le decisioni automatizzate che incidono sui diritti delle persone devono essere comprensibili, trasparenti e verificabili. Un tema destinato ad assumere un’importanza crescente in un contesto in cui algoritmi e sistemi di valutazione vengono impiegati sempre più frequentemente da aziende pubbliche e private.

Il sistema di scoring finito sotto esame

L’istruttoria dell’Autorità è partita dalle segnalazioni presentate da alcuni cittadini ai quali era stata rifiutata l’attivazione di una fornitura energetica. Il diniego non derivava da un confronto diretto con un operatore, ma dall’esito di una valutazione automatizzata che assegnava a ciascun richiedente uno score di affidabilità.

Secondo quanto emerso dagli accertamenti, le persone interessate non ricevevano spiegazioni sufficientemente chiare né sui dati utilizzati per elaborare il punteggio né sulle logiche adottate dal sistema. In molti casi risultava quindi impossibile comprendere perché la richiesta fosse stata respinta oppure verificare l’eventuale presenza di informazioni inesatte.

Per il Garante una simile modalità operativa contrasta con alcuni dei principi cardine del Regolamento europeo sulla protezione dei dati (GDPR), che impone ai titolari del trattamento obblighi precisi quando vengono utilizzati processi decisionali automatizzati in grado di produrre effetti rilevanti nei confronti delle persone.

Le sanzioni più pesanti per Hera Comm ed EstEnergy

Al termine dell’istruttoria il Garante ha deciso di colpire in maniera significativa le due società che utilizzavano il sistema di valutazione.

Hera Comm Spa è stata destinataria di una sanzione amministrativa pari a 5 milioni e 800 mila euro, mentre EstEnergy Spa dovrà versare 1 milione e 400 mila euro.

Secondo l’Autorità, nel corso del trattamento dei dati personali sarebbero emerse numerose irregolarità riguardanti diversi aspetti della normativa europea, non limitate esclusivamente all’impiego del sistema di scoring.

Le contestazioni riguardano infatti anche gli obblighi di trasparenza nei confronti degli utenti, la qualità delle informazioni fornite agli interessati, le modalità di conservazione dei dati personali e la gestione delle richieste con cui i cittadini esercitavano i diritti riconosciuti dal GDPR.

Non solo multe: il Garante impone anche correttivi

Le conseguenze del procedimento non si limitano al pagamento delle sanzioni economiche.

L’Autorità ha infatti ordinato alle due aziende energetiche di modificare le proprie procedure affinché risultino pienamente conformi alla disciplina europea sulla protezione dei dati.

Tra gli interventi richiesti figura innanzitutto una maggiore trasparenza sul funzionamento del sistema automatizzato. Gli interessati dovranno poter conoscere con maggiore chiarezza i criteri utilizzati per attribuire il punteggio di affidabilità e ricevere informazioni complete sullo score loro assegnato.

Parallelamente dovranno essere predisposti strumenti efficaci che consentano agli utenti di chiedere la rettifica di dati inesatti eventualmente utilizzati durante la valutazione, evitando che informazioni errate possano influenzare l’esito della richiesta di attivazione del contratto.

Coinvolte anche Cerved Group ed Experian Italia

L’indagine del Garante non si è fermata alle società di vendita dell’energia.

Nello stesso procedimento sono stati adottati provvedimenti anche nei confronti di Cerved Group Spa ed Experian Italia Spa, aziende coinvolte nella fornitura dei dati utilizzati dal sistema di scoring.

Per Cerved Group è stata disposta una sanzione di 400 mila euro, mentre Experian Italia dovrà pagare 120 mila euro.

Anche in questo caso il Garante ha rilevato diverse violazioni del GDPR. In particolare è stato contestato il mancato rispetto del diritto di accesso, ossia il diritto riconosciuto a ogni persona di conoscere quali dati personali vengano trattati e con quali finalità.

Nel caso di Experian l’Autorità ha inoltre ravvisato una violazione del principio di minimizzazione dei dati, uno dei pilastri della normativa europea. Secondo tale principio possono essere raccolti e trattati soltanto i dati realmente necessari rispetto allo scopo perseguito. Gli accertamenti hanno invece evidenziato l’utilizzo di informazioni ritenute non indispensabili per elaborare il punteggio di affidabilità.

Trasparenza e diritto di conoscere come viene presa una decisione

La vicenda rappresenta un richiamo importante per tutte le organizzazioni che ricorrono a sistemi automatizzati per assumere decisioni che incidono sulla vita delle persone.

Il GDPR non vieta l’utilizzo di algoritmi o modelli di valutazione, ma richiede che il loro impiego avvenga nel rispetto di precisi principi. Gli interessati devono essere messi nelle condizioni di comprendere che è in corso un trattamento automatizzato, conoscere gli elementi essenziali che influenzano la decisione e poter esercitare concretamente i propri diritti.

Quando una valutazione determina conseguenze significative, come la possibilità di ottenere un contratto, un finanziamento o un servizio essenziale, la trasparenza diventa infatti un elemento imprescindibile per garantire correttezza ed equilibrio tra le esigenze aziendali e la tutela dei cittadini.

I criteri adottati dal Garante per determinare le multe

Nel definire l’importo delle sanzioni, il Garante ha preso in considerazione diversi elementi previsti dalla disciplina europea.

Tra questi figurano innanzitutto la capacità economica delle società coinvolte, la gravità delle violazioni riscontrate e la durata dei comportamenti contestati, protrattisi per circa due anni e mezzo.

L’Autorità ha inoltre valutato il numero elevato di persone interessate dal trattamento, le caratteristiche complessive del sistema utilizzato e i danni subiti dagli utenti coinvolti, ritenendo tali circostanze sufficientemente rilevanti da giustificare l’applicazione di sanzioni particolarmente consistenti.

Un precedente destinato a fare scuola

La decisione del Garante rappresenta un segnale destinato ad avere effetti ben oltre il settore energetico.

Sempre più imprese affidano infatti ad algoritmi e sistemi di valutazione automatizzata attività che incidono direttamente sull’accesso a servizi, prestazioni e rapporti contrattuali. Questa evoluzione tecnologica può certamente migliorare efficienza e rapidità delle decisioni, ma non può tradursi nella perdita delle garanzie riconosciute ai cittadini.

Il messaggio che emerge dal provvedimento è chiaro: l’innovazione tecnologica non può sostituire i principi di trasparenza, correttezza e responsabilità previsti dal GDPR. Ogni sistema automatizzato deve essere progettato e gestito in modo da consentire alle persone di comprendere come vengono utilizzati i propri dati, contestare eventuali errori e ottenere una tutela effettiva dei propri diritt.

The post Energia, un algoritmo decideva chi poteva avere il contratto: interviene il Garante appeared first on lentepubblica.it.