EstEnergyは不透明なスコアで顧客を自動的に拒否していた——イタリアのデータ保護監督機関が140万ユーロの制裁金を科した

イタリアのデータ保護監督機関であるガランテは、2026年7月3日、エネルギー供給事業者EstEnergyに対し、ガス・電力契約を拒否する自動信用スコアリングシステムを運用し、さらに申請者にその事実を伏せていたとして、140万ユーロの制裁金を科した。同月の関連決定では、グループ会社のHera Commに580万ユーロ、信用情報機関のCerved Groupに40万ユーロ、Experian Italiaに12万ユーロの制裁金が科され、合計772万ユーロとなった。

このシステムは段階的に作動していた。まずEstEnergyが独自の審査を行い、次にCervedとExperianに照会し、両社の2つのスコアを組み合わせて「Score CGS-X」を算出した。一定の閾値を超えると、システムは自動的に「KO」、すなわち契約拒否を返した。ガランテによれば、2022年から2024年3月18日までの間に1,003,657人が外部審査を受けたが、決定書には何人が拒否されたかは記載されていない。

申立人らがEstEnergyに自分のスコアについて尋ねると、同社は詳細を知らないと述べ、CervedとExperianに問い合わせるよう指示した。ガランテは、情報は「実際にはEstEnergyが完全に入手可能だった」と認定した。そしてある事例では、EstEnergyが顧客に送った信用報告書から、サブスコアを示す部分を「意図的に隠蔽」していた。監督機関はGDPR第5条、第12条、第13条、第14条、第15条および第28条の違反を認定し、EstEnergyに対し6か月以内に、アクセス請求に対してスコアとその算定ロジックを回答すること、回答内容を是正すること、および人的介入を確保することを命じた。

Experianは別途審査された。ガランテは、同社のスコアリングが、EU司法裁判所のSCHUFA事件で示された自動意思決定に該当すると判断し、12万ユーロの制裁金を科した。2026年7月21日、Hera CommとEstEnergyは、すでに是正措置を講じており、決定に対して異議を申し立てる権利を留保すると述べた。

EstEnergyに140万ユーロ、グループ会社のHera Commに580万ユーロ、Cervedに40万ユーロ、Experianに12万ユーロ——合計772万ユーロ——に加え、スコアとロジックの開示を命じる6か月の命令。

不可欠なサービスについて「KO」を自動化することは、信用スコアの最もリスクの高い用途であり、しかも同社は、それを決定づけた1つの数値を説明できなかった。

情報提供の拒否は意図的だった。ガランテは、理由を尋ねた顧客に送られた、黒塗りされた信用報告書を記録している。

信用情報機関のせいにすることは通用しなかった。監督機関は、スコアとその要因がEstEnergy自身のシステム内にあったと認定した。

SCHUFAの枠組みは、通常の信用スコアリングをGDPRの最も厳格なルールに引き込む。法的効果を伴う自動意思決定には、説明可能性と人的審査が必要である。

アルゴリズムが不可欠なサービスを受ける人を決めるのであれば、各人に自分のスコアとその理由を伝え、人的審査を提供できなければならない。

2026年7月3日の決定は、30日以内に通常裁判所への異議申立てを認めている。Hera CommとEstEnergyは2026年7月21日、是正措置はすでに講じられており、対応を検討中であると述べたが、2026年10月3日時点で異議申立てが提出されたことは確認されていない。EstEnergyは6か月以内に、すべての請求者にCGS-Xスコアとその算定方法を提供し、申立人らに是正された回答を送付し、訂正および人的介入の手続きを整備しなければならない。