Energia, Garante Privacy: trasparenza sugli algoritmi di scoring e diritto a conoscere le valutazioni automatizzate

Il Garante per la protezione dei dati personali ha adottato un importante provvedimento in materia di sistemi automatizzati di valutazione dell’affidabilità dei clienti, ribadendo che le decisioni basate su algoritmi devono rispettare i principi di trasparenza e garantire agli interessati la possibilità di comprendere le logiche utilizzate per l’attribuzione dello score.

L’intervento dell’Autorità nasce da alcune segnalazioni di cittadini ai quali era stata negata l’attivazione di contratti di fornitura energetica sulla base di un punteggio di affidabilità negativo, senza che fossero fornite informazioni adeguate sui criteri impiegati dal sistema di valutazione.

All’esito delle istruttorie, il Garante ha accertato violazioni del GDPR relative, tra l’altro, agli obblighi di trasparenza e informazione nei confronti degli interessati, alla conservazione dei dati personali e alla gestione delle richieste di esercizio dei diritti. L’Autorità ha quindi irrogato sanzioni amministrative complessive pari a 7,72 milioni di euro e disposto l’adozione di misure correttive per rendere i trattamenti conformi alla normativa europea.

Tra gli interventi prescritti rientra l’obbligo di adottare procedure che consentano agli interessati di comprendere il funzionamento del sistema di scoring, ottenere informazioni sul punteggio loro attribuito e richiedere la rettifica di eventuali dati inesatti utilizzati nelle valutazioni automatizzate.

Nel corso delle istruttorie, il Garante è intervenuto anche nei confronti di società coinvolte nella fornitura dei dati utilizzati per l’elaborazione degli score, riscontrando violazioni del diritto di accesso ai dati personali e, in uno dei casi, anche del principio di minimizzazione per il trattamento di informazioni non necessarie alla valutazione dell’affidabilità.

Il provvedimento assume particolare rilievo nel contesto della crescente diffusione dei sistemi decisionali automatizzati nei servizi digitali. L’Autorità ribadisce infatti che l’utilizzo di algoritmi per assumere decisioni che incidono sull’accesso a beni e servizi deve essere accompagnato da adeguate garanzie di trasparenza, accountability e qualità dei dati, assicurando agli interessati la possibilità di comprendere le logiche del trattamento e di esercitare pienamente i diritti riconosciuti dal GDPR.

Nel determinare l’entità delle sanzioni, il Garante ha tenuto conto della gravità e della durata delle violazioni, del numero delle persone coinvolte e delle caratteristiche dei trattamenti effettuati.