EstEnergy, 불투명한 점수로 고객을 자동 거절하다; 이탈리아 DPA가 140만 유로 벌금 부과

이탈리아 개인정보보호청(Garante)은 2026년 7월 3일, 가스 및 전력 계약을 거절하는 자동화 신용평가 시스템을 운영하고 이후 신청자들에게 그 사실을 알리지 않은 에너지 공급업체 EstEnergy에 140만 유로의 벌금을 부과했다. 같은 달 관련 결정으로 그룹 계열사 Hera Comm에 580만 유로, 신용정보사 Cerved Group에 40만 유로, Experian Italia에 12만 유로가 부과되어 총 772만 유로가 되었다.

시스템은 단계적으로 작동했다. EstEnergy가 먼저 자체 검사를 수행한 뒤 Cerved와 Experian에 조회했고, 두 점수가 결합되어 'Score CGS-X'가 되었다. 특정 임계값을 넘으면 시스템이 자동으로 'KO'를 반환했다. 즉 계약 불가였다. Garante에 따르면 2022년부터 2024년 3월 18일까지 1,003,657명이 외부 검사를 거쳤으나, 결정문에는 몇 명이 거절되었는지 명시되지 않았다.

민원인들이 EstEnergy에 자신의 점수에 대해 문의하자, 회사는 세부 내용을 알지 못한다며 Cerved와 Experian에 문의하라고 안내했다. Garante는 해당 정보가 '실제로 EstEnergy에 완전히 제공되어 있었다'고 판단했으며, 한 사례에서는 EstEnergy가 고객에게 하위 점수를 보여주는 부분을 '의도적으로 가린' 신용보고서를 발송했다. 규제기관은 GDPR 제5조, 제12조, 제13조, 제14조, 제15조 및 제28조 위반을 인정하고, EstEnergy에 6개월 이내에 접근 요청에 점수와 계산 논리를 포함해 답변하고, 답변을 시정하며, 인간의 개입을 마련하라고 명령했다.

Experian은 별도로 조사되었다. Garante는 Experian의 점수 산정이 EU 사법재판소의 SCHUFA 사건에서 설명된 자동화 의사결정에 해당한다고 판단하고 12만 유로의 벌금을 부과했다. 2026년 7월 21일 Hera Comm과 EstEnergy는 이미 시정 조치를 채택했으며 결정에 이의를 제기할 권리를 보유한다고 밝혔다.

EstEnergy 140만 유로, 그룹 계열사 Hera Comm 580만 유로, Cerved 40만 유로, Experian 12만 유로로 총 772만 유로이며, 추가로 점수와 논리를 공개하라는 6개월 명령이 포함되었다.

필수 서비스에 대한 'KO'를 자동화하는 것은 신용 점수의 가장 위험한 사용이며, 회사는 결정을 내린 단 하나의 숫자를 설명하지 못했다.

답변 회피는 의도적이었다. Garante는 이유를 문의한 고객에게 발송된 삭제된 신용보고서를 문서화했다.

신용정보사에 책임을 돌리는 것은 통하지 않았다. 규제기관은 점수와 그 요인이 EstEnergy 자체 시스템에 있었다고 판단했다.

SCHUFA의 틀은 일반적인 신용평가를 GDPR의 가장 엄격한 규칙으로 끌어들인다. 법적 효과를 가진 자동화 의사결정에는 설명 가능성과 인간의 검토가 필요하다.

알고리즘이 필수 서비스를 누가 받을지 결정한다면, 각 개인에게 자신의 점수와 그 이유를 알려주고 인간의 검토를 제공할 수 있어야 한다.

2026년 7월 3일 결정은 30일 이내에 일반 법원에 이의를 제기할 수 있도록 허용한다. Hera Comm과 EstEnergy는 2026년 7월 21일 시정 조치가 이미 채택되었고 선택지를 저울질하고 있다고 밝혔으며, 2026년 10월 3일 기준으로 제기된 이의는 확인되지 않았다. EstEnergy는 6개월 이내에 모든 요청자에게 CGS-X 점수와 계산 방식을 제공하고, 민원인에게 시정된 답변을 보내며, 정정 및 인간 개입 절차를 마련해야 한다.