EstEnergy a refusé automatiquement des clients sur la base d'un score opaque ; l'autorité italienne de protection des données l'a condamnée à une amende de 1,4 M€

L'autorité italienne de protection des données, le Garante, a infligé le 3 juillet 2026 une amende de 1,4 million d'euros au fournisseur d'énergie EstEnergy pour avoir exploité un système automatisé de notation de crédit qui refusait des contrats de gaz et d'électricité — puis pour avoir laissé les demandeurs dans l'ignorance à ce sujet. Des décisions connexes rendues le même mois ont condamné la société du groupe Hera Comm à 5,8 M€, le bureau Cerved Group à 400 k€ et Experian Italia à 120 k€, pour un total de 7,72 millions d'euros.

Le système fonctionnait par étapes : EstEnergy effectuait d'abord ses propres vérifications, puis interrogeait Cerved et Experian, dont les deux scores étaient combinés dans le « Score CGS-X ». Au-delà d'un certain seuil, le système renvoyait automatiquement un « KO » — pas de contrat. Selon le Garante, 1 003 657 personnes ont fait l'objet des vérifications externes entre 2022 et le 18 mars 2024 ; la décision ne précise pas combien ont été refusées.

Lorsque des plaignants ont interrogé EstEnergy sur leurs scores, l'entreprise a déclaré ne pas connaître les détails et les a renvoyés vers Cerved et Experian. Le Garante a constaté que les informations étaient « en fait pleinement disponibles pour EstEnergy » — et dans un cas, EstEnergy a envoyé à un client un rapport de crédit dont elle avait « délibérément occulté » la section présentant les sous-scores. Le régulateur a constaté des violations des articles 5, 12, 13, 14, 15 et 28 du RGPD, et a ordonné à EstEnergy, dans un délai de six mois, de répondre aux demandes d'accès en indiquant le score et la logique de son calcul, de corriger ses réponses et de prévoir une intervention humaine.

Experian a été examinée séparément : le Garante a estimé que sa notation relevait de la prise de décision automatisée décrite par la Cour de justice de l'UE dans l'affaire SCHUFA, et l'a condamnée à 120 000 €. Le 21 juillet 2026, Hera Comm et EstEnergy ont déclaré avoir déjà adopté des mesures correctives et se sont réservé le droit de contester la décision.

1,4 M€ pour EstEnergy, 5,8 M€ pour sa société sœur Hera Comm, 400 k€ pour Cerved, 120 k€ pour Experian — 7,72 M€ au total — plus une injonction de six mois de divulguer les scores et leur logique.

Automatiser un « KO » sur un service essentiel est l'usage le plus risqué d'un score de crédit — et l'entreprise était incapable d'expliquer le seul chiffre qui décidait de tout.

Le refus d'information était délibéré : le Garante a documenté un rapport de crédit occulté envoyé à un client qui demandait pourquoi.

Mettre en cause les bureaux n'a pas fonctionné — le régulateur a constaté que le score et ses facteurs se trouvaient dans les propres systèmes d'EstEnergy.

Le cadre SCHUFA fait entrer la notation de crédit ordinaire dans les règles les plus strictes du RGPD : une décision automatisée ayant des effets juridiques exige une explicabilité et un réexamen humain.

Si un algorithme décide qui obtient un service essentiel, vous devez pouvoir indiquer à chaque personne son score, les raisons qui le sous-tendent, et lui offrir un réexamen humain.

La décision du 3 juillet 2026 permet une opposition devant les tribunaux ordinaires dans les trente jours ; Hera Comm et EstEnergy ont déclaré le 21 juillet 2026 que des mesures correctives avaient déjà été adoptées et qu'elles pesaient leurs options, et aucune opposition déposée n'a été établie au 3 octobre 2026. EstEnergy doit, dans un délai de six mois, communiquer à chaque demandeur son score CGS-X et la manière dont il a été calculé, envoyer des réponses corrigées aux plaignants et mettre en place des procédures de rectification et d'intervention humaine.