EstEnergy rechazó automáticamente a clientes con una puntuación opaca; la autoridad italiana de protección de datos le impuso una multa de 1,4 millones de euros

La autoridad italiana de protección de datos, el Garante, impuso el 3 de julio de 2026 una multa de 1,4 millones de euros a la comercializadora de energía EstEnergy por operar un sistema automatizado de puntuación crediticia que rechazaba contratos de gas y electricidad y, después, mantenía a los solicitantes a oscuras al respecto. Decisiones relacionadas del mismo mes impusieron multas de 5,8 millones de euros a la empresa del grupo Hera Comm, de 400 000 euros a la agencia Cerved Group y de 120 000 euros a Experian Italia, por un total de 7,72 millones de euros.

El sistema funcionaba por etapas: EstEnergy realizaba primero sus propias comprobaciones y luego consultaba a Cerved y Experian, cuyas dos puntuaciones se combinaban en el 'Score CGS-X'. Por encima de un determinado umbral, el sistema devolvía automáticamente un 'KO': ningún contrato. Según el Garante, 1 003 657 personas pasaron por las comprobaciones externas entre 2022 y el 18 de marzo de 2024; la decisión no indica cuántas fueron rechazadas.

Cuando los reclamantes preguntaron a EstEnergy por sus puntuaciones, la empresa dijo que no conocía los detalles y los remitió a Cerved y Experian. El Garante concluyó que la información estaba «de hecho plenamente disponible para EstEnergy» y que, en un caso, EstEnergy envió a un cliente un informe de crédito en el que «ocultó deliberadamente» la sección que mostraba las subpuntuaciones. El regulador constató infracciones de los artículos 5, 12, 13, 14, 15 y 28 del RGPD y ordenó a EstEnergy que, en el plazo de seis meses, respondiera a las solicitudes de acceso con la puntuación y la lógica de su cálculo, corrigiera sus respuestas y previera la intervención humana.

Experian fue examinada por separado: el Garante consideró que su puntuación entraba dentro de la toma de decisiones automatizada descrita por el Tribunal de Justicia de la UE en el asunto SCHUFA y le impuso una multa de 120 000 euros. El 21 de julio de 2026, Hera Comm y EstEnergy afirmaron que ya habían adoptado medidas correctivas y se reservaron el derecho a oponerse a la decisión.

1,4 millones de euros para EstEnergy, 5,8 millones de euros para su compañera de grupo Hera Comm, 400 000 euros para Cerved y 120 000 euros para Experian —7,72 millones de euros en total—, además de una orden de seis meses para revelar las puntuaciones y la lógica.

Automatizar un 'KO' sobre un servicio esencial es el uso de mayor riesgo de una puntuación crediticia, y la empresa no supo explicar el único número que lo decidía.

El bloqueo fue deliberado: el Garante documentó un informe de crédito censurado enviado a un cliente que preguntó por qué.

Culpar a las agencias no funcionó: el regulador concluyó que la puntuación y sus factores estaban en los propios sistemas de EstEnergy.

El enfoque SCHUFA lleva la puntuación crediticia ordinaria a las normas más estrictas del RGPD: una decisión automatizada con efectos jurídicos requiere explicabilidad y revisión humana.

Si un algoritmo decide quién recibe un servicio esencial, hay que poder decir a cada persona su puntuación, las razones que la sustentan y ofrecerle una revisión humana.

La decisión del 3 de julio de 2026 permite la oposición ante los tribunales ordinarios en el plazo de treinta días; Hera Comm y EstEnergy afirmaron el 21 de julio de 2026 que ya se habían adoptado medidas correctivas y que estaban sopesando sus opciones, y no constaba ninguna oposición presentada a fecha del 3 de octubre de 2026. EstEnergy debe, en el plazo de seis meses, facilitar a cada solicitante su puntuación CGS-X y cómo se calculó, enviar respuestas corregidas a los reclamantes y establecer procedimientos de rectificación e intervención humana.