EstEnergy recusou clientes automaticamente com base em pontuação opaca; autoridade de proteção de dados da Itália a multou em € 1,4 milhão

A autoridade de proteção de dados da Itália, o Garante, multou a fornecedora de energia EstEnergy em € 1,4 milhão em 3 de julho de 2026 por operar um sistema automatizado de pontuação de crédito que recusava contratos de gás e eletricidade — e depois mantinha os solicitantes no escuro sobre isso. Decisões relacionadas do mesmo mês multaram a empresa do grupo Hera Comm em € 5,8 milhões, a bureau Cerved Group em € 400 mil e a Experian Italia em € 120 mil, num total de € 7,72 milhões.

O sistema funcionava por etapas: a EstEnergy fazia primeiro suas próprias verificações e depois consultava a Cerved e a Experian, cujas duas pontuações eram combinadas no 'Score CGS-X'. Acima de determinado limite, o sistema retornava automaticamente um 'KO' — sem contrato. Segundo o Garante, 1.003.657 pessoas passaram pelas verificações externas entre 2022 e 18 de março de 2024; a decisão não diz quantas foram recusadas.

Quando os reclamantes perguntavam à EstEnergy sobre suas pontuações, a empresa dizia não conhecer os detalhes e os encaminhava à Cerved e à Experian. O Garante constatou que a informação estava 'de fato plenamente disponível à EstEnergy' — e, em um caso, a EstEnergy enviou a um cliente um relatório de crédito do qual 'ocultou deliberadamente' a seção que mostrava as subpontuações. O regulador constatou violações dos artigos 5, 12, 13, 14, 15 e 28 do GDPR e ordenou à EstEnergy que, em seis meses, respondesse aos pedidos de acesso com a pontuação e a lógica de seu cálculo, corrigisse suas respostas e previsse a intervenção humana.

A Experian foi examinada separadamente: o Garante entendeu que sua pontuação se enquadrava na tomada de decisão automatizada descrita pelo Tribunal de Justiça da UE no caso SCHUFA e a multou em € 120.000. Em 21 de julho de 2026, a Hera Comm e a EstEnergy disseram já ter adotado medidas corretivas e se reservaram o direito de se opor à decisão.

€ 1,4 milhão para a EstEnergy, € 5,8 milhões para a colega de grupo Hera Comm, € 400 mil para a Cerved, € 120 mil para a Experian — € 7,72 milhões no total — além de uma ordem de seis meses para divulgar as pontuações e a lógica.

Automatizar um 'KO' em um serviço essencial é o uso de maior risco de uma pontuação de crédito — e a empresa não conseguia explicar o único número que decidia isso.

A barreira foi deliberada: o Garante documentou um relatório de crédito com trechos ocultados enviado a um cliente que perguntou o motivo.

Culpar os bureaus não funcionou — o regulador constatou que a pontuação e seus fatores estavam nos próprios sistemas da EstEnergy.

O enquadramento SCHUFA traz a pontuação de crédito comum para as regras mais rígidas do GDPR: uma decisão automatizada com efeitos jurídicos exige explicabilidade e revisão humana.

Se um algoritmo decide quem recebe um serviço essencial, você precisa poder informar a cada pessoa sua pontuação, as razões por trás dela e oferecer uma revisão humana.

A decisão de 3 de julho de 2026 permite oposição perante os tribunais ordinários no prazo de trinta dias; a Hera Comm e a EstEnergy disseram em 21 de julho de 2026 que medidas corretivas já haviam sido adotadas e que avaliavam suas opções, e nenhuma oposição protocolada foi estabelecida até 3 de outubro de 2026. A EstEnergy deve, em seis meses, fornecer a cada solicitante sua pontuação CGS-X e como ela foi calculada, enviar respostas corrigidas aos reclamantes e instituir procedimentos de retificação e de intervenção humana.