Scoring dei clienti e GDPR, dal Garante sanzioni per 7,72 milioni.

Ecco cosa devono fare le imprese che usano i punteggi di affidabilità

 

Chiedere l’attivazione di una fornitura di luce o gas e sentirsi rispondere di no per colpa di un punteggio, senza che nessuno sappia spiegare come quel punteggio sia stato calcolato. È la situazione da cui nasce uno dei più rilevanti interventi del Garante privacy di questo 2026, che con quattro ordinanze ingiunzione del 3 luglio, pubblicate nei giorni scorsi, ha sanzionato per complessivi 7,72 milioni di euro due fornitori di energia, Hera Comm ed EstEnergy, e due società della filiera informativa, Cerved Group ed Experian Italia.

Le istruttorie erano partite dalle segnalazioni di cittadini ai quali la fornitura era stata negata sulla base di un giudizio di affidabilità negativo, elaborato da un sistema automatizzato che combinava informazioni interne al gruppo, dati di sistemi di informazioni creditizie e servizi di informazioni commerciali. Quando gli interessati hanno chiesto conto di quel punteggio, le risposte sono risultate generiche e incomplete, con un rinvio ai fornitori dei dati che il Garante ha giudicato inaccettabile. Il titolare che usa lo score per decidere deve infatti essere in grado di fornire lui stesso, in modo completo, tutti gli elementi della valutazione.

Nel provvedimento principale, quello nei confronti di Hera Comm, l’Autorità ha accertato la violazione degli artt. 5, par. 1, lett. a), 12, 13, 14, 15 e 28 del GDPR. Le informative non menzionavano una parte dei controlli effettuati, i riscontri alle richieste di accesso non spiegavano criteri e logica del punteggio e la catena degli incarichi ai responsabili del trattamento non copriva tutte le operazioni realmente svolte. Il Garante ha anche richiamato la giurisprudenza di legittimità, secondo cui l’interessato ha diritto di conoscere gli elementi e i criteri di calcolo alla base della valutazione della propria affidabilità (Cass., ordinanza 25 maggio 2021, n. 14381).

 

Questo il quadro delle sanzioni

Società	Ruolo nel trattamento	Sanzione	Provvedimento
Hera Comm S.p.A.	Titolare – vendita energia, scoring dei potenziali clienti	5.800.000 €	n. 483 del 3 luglio 2026, doc. web 10273926
EstEnergy S.p.A.	Titolare – vendita energia, scoring dei potenziali clienti	1.400.000 €	3 luglio 2026, doc. web 10273954 [da verificare]
Cerved Group S.p.A.	Gestore di servizi di informazioni commerciali utilizzati nel credit check	400.000 €	3 luglio 2026, doc. web 10273976
Experian Italia S.p.A.	Gestore del sistema di informazioni creditizie consultato	120.000 €	3 luglio 2026, doc. web 10273659
Fonte	Garante per la protezione dei dati personali, provvedimenti del 3 luglio 2026 pubblicati sul sito istituzionale; sintesi Federprivacy 21 luglio 2026

Sarebbe un errore leggere questi provvedimenti come una vicenda che riguarda solo il settore energia. Sistemi di scoring e credit check sono ormai diffusi ovunque, dalle telecomunicazioni al noleggio, dai servizi in abbonamento alla selezione dei fornitori, e sono sempre più spesso alimentati da algoritmi e componenti di intelligenza artificiale. Il messaggio del Garante vale per tutti, perché un punteggio che produce effetti concreti sulle persone deve poter essere spiegato in modo comprensibile, deve poggiare su dati esatti e pertinenti e deve poter essere contestato. La sanzione a Experian per il trattamento di dati non necessari all’elaborazione dello score ricorda inoltre che il principio di minimizzazione si applica anche dentro gli algoritmi.

 

Ne deriva una lista di controlli che ogni impresa che utilizza punteggi di affidabilità dovrebbe eseguire adesso, senza attendere un reclamo o un’ispezione.

Cosa verificare	In concreto
Informativa	L’informativa deve dire chiaramente che esiste un’attività di scoring, quali dati usa (incluse eventuali morosità verso altre società del gruppo) e con quale logica il punteggio incide sulla decisione (artt. 13 e 14 GDPR).
Diritto di accesso	Chi chiede l’accesso ha diritto a conoscere gli elementi della valutazione e i criteri di calcolo del punteggio, senza essere rinviato ai fornitori dei dati. Il riscontro spetta al titolare in modo completo (artt. 12 e 15 GDPR).
Catena dei ruoli privacy	Contratti e atti di designazione ex art. 28 GDPR devono coprire tutte le operazioni realmente svolte; se due società decidono insieme finalità e mezzi serve un accordo di contitolarità ex art. 26 GDPR.
Conservazione	Definire e rispettare tempi di conservazione degli esiti dei credit check, sia positivi sia negativi, proporzionati alla finalità.
Rettifica e contestazione	Prevedere una procedura per correggere dati inesatti usati nella valutazione e per riesaminare il punteggio su richiesta dell’interessato.
Fonte	Elaborazione iSimply sui provvedimenti del Garante del 3 luglio 2026.

 

Il caso ha poi un risvolto che riguarda da vicino gli enti locali e le loro società. Hera è una multiutility quotata a forte partecipazione pubblica locale, con circa duecento soci pubblici in larga parte Comuni, e la vicenda mostra che anche i gestori di servizi pubblici essenziali utilizzano sistemi di credit check sulla clientela; gli enti soci hanno quindi interesse a chiedere conto della conformità di questi trattamenti, anche sul piano reputazionale. I principi affermati dal Garante valgono del resto per qualunque titolare, compresa l’amministrazione che effettua valutazioni automatizzate o semiautomatizzate sulle persone, come accade con le verifiche di morosità nei servizi a domanda individuale, con le graduatorie e i punteggi gestiti da piattaforme o con i controlli sull’affidabilità di fornitori e beneficiari di contributi. Anche in questi casi l’informativa deve dichiarare che la valutazione esiste e quali dati utilizza, l’ente deve saper spiegare criteri e logica del punteggio senza rinviare l’interessato alla software house e gli atti di nomina ex art. 28 GDPR verso fornitori e società in house devono coprire le operazioni realmente svolte. La giurisprudenza amministrativa sui procedimenti algoritmici della PA richiede da tempo, in questa stessa direzione, conoscibilità della logica, non esclusività della decisione automatizzata e non discriminazione (Cons. Stato, sez. VI, nn. 2270/2019 e 8472/2019).

Va infine ricordato il confine tracciato dall’AI Act. Il credit scoring in sé non è vietato ed è anzi destinato a rientrare, quanto alla valutazione dell’affidabilità creditizia delle persone fisiche, tra i sistemi ad alto rischio dell’Allegato III del Regolamento (UE) 2024/1689, con obblighi il cui calendario è interessato dal rinvio previsto dal pacchetto Digital Omnibus, il cui iter non è ancora concluso. È invece già vietato, dal 2 febbraio 2025 e per soggetti tanto pubblici quanto privati, il social scoring di cui all’art. 5, par. 1, lett. c) dello stesso regolamento, vale a dire l’attribuzione di punteggi basati sul comportamento sociale o su caratteristiche personali, quando ne derivano trattamenti pregiudizievoli in contesti diversi da quelli in cui i dati sono stati raccolti o comunque sproporzionati. Chi combina fonti eterogenee per costruire punteggi sulle persone deve quindi verificare non solo la conformità al GDPR, ma anche di non oltrepassare quel confine.

Un’ultima annotazione sul piano giuridico. Si tratta di ordinanze ingiunzione già adottate e pubblicate, quindi pienamente efficaci, ferma restando la possibilità per le società di impugnarle dinanzi all’autorità giudiziaria. Oltre alle sanzioni, il Garante ha ordinato misure correttive, tra cui procedure che consentano agli interessati di comprendere il funzionamento dello scoring, di ottenere informazioni complete sui punteggi e di chiedere la rettifica dei dati inesatti. È la direzione verso cui conviene muoversi subito, anche per chi non è stato toccato da questa istruttoria.

 

Enrico Capirone – Presidente iSimply srl, DPO

Fonte ufficiale: Garante per la protezione dei dati personali, provvedimento n. 483 del 3 luglio 2026 (doc. web 10273926)