EstEnergy 以不透明的評分自動拒絕客戶；義大利資料保護局對其罰款 140 萬歐元

義大利資料保護局（Garante）於 2026 年 7 月 3 日對能源供應商 EstEnergy 處以 140 萬歐元罰款，原因是該公司運行一套自動化信用評分系統，拒絕燃氣與電力合約，隨後又讓申請人對此事一無所知。同月相關裁決另對集團公司 Hera Comm 罰款 580 萬歐元、對信用局 Cerved Group 罰款 40 萬歐元、對 Experian Italia 罰款 12 萬歐元，合計 772 萬歐元。

該系統分階段運作：EstEnergy 先自行審查，再向 Cerved 與 Experian 查詢，兩者的評分被合併為「Score CGS-X」。超過某一門檻時，系統便自動回傳「KO」——不予簽約。據 Garante 所述，2022 年至 2024 年 3 月 18 日期間共有 1,003,657 人經過外部審查；裁決並未說明其中有多少人被拒絕。

當申訴人向 EstEnergy 詢問其評分時，該公司表示不知詳情，並將他們轉介至 Cerved 與 Experian。Garante 認定該資訊「實際上完全可由 EstEnergy 取得」——而在其中一例中，EstEnergy 寄給客戶的信用報告「刻意遮蔽」了顯示子評分的部分。監管機關認定其違反 GDPR 第 5、12、13、14、15 及 28 條，並命令 EstEnergy 於六個月內以評分及其計算邏輯回應查閱請求、更正其回覆，並提供人工介入機制。

Experian 另案受查：Garante 認定其評分屬於歐盟法院在 SCHUFA 案中所描述的 automated decision-making（自動化決策），並對其罰款 12 萬歐元。2026 年 7 月 21 日，Hera Comm 與 EstEnergy 表示已採取矯正措施，並保留對該裁決提出異議的權利。

EstEnergy 140 萬歐元、同集團的 Hera Comm 580 萬歐元、Cerved 40 萬歐元、Experian 12 萬歐元——合計 772 萬歐元——外加六個月內揭露評分與邏輯的命令。

對一項基本服務自動做出「KO」決定，是信用評分風險最高的用途——而該公司卻無法解釋決定結果的那個數字。

推託是刻意的：Garante 記錄了一份寄給詢問原因之客戶的信用報告，其中內容遭到遮蔽。

歸咎於信用局並未奏效——監管機關認定評分及其因素就存在於 EstEnergy 自家系統中。

SCHUFA 的定性框架將一般信用評分納入 GDPR 最嚴格的規則：具有法律效果的 automated decision（自動化決策）需要可解釋性與人工審查。

若演算法決定誰能獲得基本服務，你必須能告知每個人其評分、評分背後的理由，並提供人工審查。

2026 年 7 月 3 日的裁決允許於三十日內向普通法院提出異議；Hera Comm 與 EstEnergy 於 2026 年 7 月 21 日表示已採取矯正措施，並正在權衡選項，截至 2026 年 10 月 3 日，尚未確認有任何異議提出。EstEnergy 必須於六個月內向每位請求者提供其 CGS-X 評分及其計算方式、向申訴人寄送更正後的回覆，並建立更正與人工介入程序。