Credit scoring nel settore energetico: cosa cambia dopo le sanzioni del Garante privacy

L’utilizzo di algoritmi e punteggi di rischio (credit scoring) per valutare l’affidabilità dei clienti non è più confinato all’ambito bancario o finanziario: oggi permea anche la fornitura di servizi essenziali come energia elettrica e gas.

Con i provvedimenti “gemelli” del 3 luglio 2026, rispettivamente nei confronti di Hera Comm S.p.A. e EstEnergy S.p.A., il Garante per la protezione dei dati personali ha sanzionato due tra i principali operatori del settore energetico italiano, con multe complessive pari a 7,2 milioni di euro, affiancando alle sanzioni rivolte ai fornitori di energia quelle nei confronti dei soggetti coinvolti nella filiera tecnologica e informativa del sistema di credit check.

I trattamenti sanzionati hanno riguardato oltre un milione di interessati.

Le decisioni fissano paletti molto chiari sull’utilizzo della profilazione e dei processi decisionali automatizzati, recependo gli orientamenti della Corte di giustizia dell’Unione europea sul diritto di accesso nei sistemi di credit scoring.

Il Garante coglie così l’occasione per delineare un vero e proprio modello di governance del credit scoring, che investe l’intero ciclo di vita dei dati utilizzati dall’algoritmo: dalla raccolta delle informazioni, alla loro conservazione, fino all’esercizio dei diritti degli interessati.

Questa lettura sistemica rende i provvedimenti particolarmente rilevanti anche in prospettiva dell’entrata a regime dell’AI Act europeo.

I fatti di causa: l’algoritmo di scarto dei clienti a rischio

L’istruttoria del Garante nasce dalle segnalazioni di diversi cittadini che si sono visti rifiutare l’attivazione di contratti di fornitura di energia e gas sul mercato libero. Alla base del rifiuto vi era una presunta inaffidabilità creditizia o un profilo di rischio considerato non accettabile.

Dalle indagini è emerso che le due società del Gruppo Hera utilizzavano, nell’ambito di una procedura centralizzata di Credit Check, un sistema di valutazione basato sul software denominato CGS-X, sviluppato da Major 1 S.r.l., che integrava informazioni provenienti dai Sistemi di Informazioni Creditizie (SIC, tra cui Experian) e le banche dati di informazioni commerciali (Cerved, primario operatore italiano nel settore delle informazioni commerciali e dell’analisi del rischio).

Il funzionamento del sistema partiva da un’interrogazione automatizzata: all’atto della richiesta di contratto, il software interrogava automaticamente SIC e banche dati di informazioni commerciali.

A ciò seguiva il calcolo dello score: il sistema elaborava le informazioni ricevute restituendo uno Score Integrato Utilities, ottenuto dalla combinazione di diversi indicatori e sotto-score provenienti da Experian e Cerved.

Tuttavia, ai fini della decisione finale veniva preso in considerazione essenzialmente il cosiddetto class value (cioè la classe di rischio finale attribuita al cliente sulla base dello score complessivo), sulla base del quale le società avevano predeterminato soglie automatiche di accettazione o rifiuto del cliente, mentre gli ulteriori dati contenuti nel tracciato informatico venivano comunque conservati nei sistemi aziendali.

E infine vi era l’esito della procedura sulla base del punteggio attribuito, il sistema restituiva un esito di accettazione (“OK”) o di diniego (“KO”), destinato a incidere in modo determinante sulla conclusione o meno del contratto. È proprio questo elemento che induce il Garante a leggere il caso alla luce della disciplina delle decisioni automatizzate di cui all’art. 22 GDPR

Le valutazioni del Garante: i principali profili di illiceità

L’Autorità ha riscontrato molteplici violazioni del Regolamento (UE) 2016/679 (GDPR), che oltre a riguardare l’utilizzo di un sistema automatizzato di valutazione del rischio, investono l’intero trattamento dei dati personali sotteso al funzionamento del credit scoring.

La violazione su decisioni automatizzate e profilazione

Il Garante si muove nel solco della più recente giurisprudenza della Corte di giustizia in materia di credit scoring automatizzato e richiama espressamente la sentenza Dun & Bradstreet (C-203/22) con riferimento all’estensione del diritto di accesso e all’obbligo di fornire informazioni significative sulla logica utilizzata. Secondo tale approdo giurisprudenziale, uno score elaborato automaticamente integra esso stesso una decisione automatizzata quando determina, in misura sostanzialmente decisiva, la scelta del titolare di stipulare o meno un contratto.

L’impostazione adottata appare inoltre coerente con i principi affermati dalla Corte nella precedente sentenza SCHUFA (C-634/21), sempre in materia di decisioni automatizzate.

Il sistema di credit scoring non costituiva per le società sanzionate un semplice supporto alla valutazione dell’operatore, bensì rappresentava il presupposto determinante del diniego della fornitura.

Il Garante precisa, tuttavia, che i provvedimenti non introducono un divieto generalizzato di utilizzare sistemi di credit scoring; invero, ciò che viene censurato è l’utilizzo di uno score destinato a produrre effetti sostanzialmente automatici senza che siano assicurate le garanzie previste dall’art. 22 GDPR, tra cui un intervento umano effettivo, il diritto dell’interessato di esprimere la propria opinione e la possibilità di contestare la decisione.

Opacità informativa e violazione del diritto di accesso

Agli utenti non veniva fornita un’informativa adeguata sul fatto che la loro richiesta sarebbe stata sottoposta a un processo decisionale automatizzato.

Inoltre, quando gli interessati esercitavano il diritto di accesso per comprendere le ragioni del diniego, le società si limitavano a comunicare l’esistenza di un generico profilo di rischio, invitandoli a rivolgersi direttamente a Experian o Cerved per ottenere ulteriori informazioni.

Il Garante ha ritenuto tale comportamento incompatibile con gli artt. 12 e 15 GDPR e, richiamando proprio la sentenza Dun & Bradstreet, chiarisce che il diritto di accesso non comporta la divulgazione dell’algoritmo o del codice sorgente, ma impone al titolare del trattamento di spiegare in modo comprensibile quali dati siano stati utilizzati, quali elementi abbiano inciso sulla valutazione e quali criteri abbiano determinato l’esito finale.

In altri termini, il titolare deve rendere intelligibile il percorso logico seguito dal sistema affinché l’interessato possa verificare l’esattezza dei dati e, se del caso, decidere se esercitare il diritto di rettifica o contestare la decisione.

Non solo base giuridica: la limitazione della finalità

Accanto ai profili relativi alle decisioni automatizzate e alla trasparenza, i provvedimenti affrontano anche il tema della corretta individuazione della base giuridica dei trattamenti e del rispetto del principio di limitazione della finalità.

Con riferimento alla valutazione interna delle morosità pregresse, il Garante ha rilevato che Hera Comm ed EstEnergy condividevano informazioni relative ai rispettivi clienti attraverso Hera S.p.A., designata quale responsabile del trattamento, senza che tale assetto fosse stato adeguatamente disciplinato sotto il profilo privacy.

Solo nel corso del procedimento le società hanno sottoscritto un accordo di contitolarità ai sensi dell’art. 26 GDPR e aggiornato le informative, individuando nel legittimo interesse la base giuridica del trattamento.

Il Garante ha preso atto di tale adeguamento, ma ha ritenuto illeciti i trattamenti effettuati fino a quel momento, evidenziando l’inadeguatezza dell’informativa e la non corretta definizione dei ruoli tra titolari e responsabile del trattamento.

C’è poi il profilo concernente il riutilizzo dei dati raccolti durante il credit check.

Dalle verifiche ispettive è infatti emerso che score e sotto-score acquisiti da Experian e Cerved venivano conservati anche dopo la conclusione della singola procedura di valutazione per essere utilizzati nell’ambito di attività statistiche finalizzate all’affinamento del sistema di rating del Gruppo Hera.

Secondo il Garante tale trattamento eccedeva la finalità originaria per la quale i dati erano stati raccolti, poiché le informazioni acquisite nell’ambito della valutazione della singola richiesta contrattuale potevano essere utilizzate esclusivamente per tale finalità e non anche per migliorare progressivamente il modello di credit scoring.

L’Autorità richiama così il principio di limitazione della finalità di cui all’art. 5 lettera b) GDPR, sottolineando come la disponibilità di dati personali non autorizzi automaticamente il loro riutilizzo per finalità ulteriori, ancorché statistiche o di miglioramento degli algoritmi.

Si tratta di un’affermazione può assumere particolare rilievo anche alla luce dell’AI Act, che individua proprio nella qualità dei dati e nella governance dei sistemi ad alto rischio uno dei principali presìdi a tutela dei diritti fondamentali.

Più in generale, i provvedimenti confermano come GDPR e AI Act siano destinati a operare su piani complementari: il primo continua a disciplinare la liceità del trattamento dei dati personali; il secondo introduce specifici obblighi relativi alla progettazione, documentazione e supervisione dei sistemi di intelligenza artificiale.

L’esattezza dei dati nel credit scoring

Il Garante richiama inoltre il principio di esattezza dei dati di cui all’art. 5, par. 1, lett. d), GDPR, evidenziando come la conservazione nel tempo di informazioni acquisite da banche dati esterne possa comportare il rischio di utilizzare dati non più aggiornati.

A differenza dei Sistemi di Informazioni Creditizie e delle banche dati di informazioni commerciali, che sono costantemente alimentati e aggiornati dai rispettivi gestori, le informazioni conservate dal titolare potrebbero infatti non riflettere più l’effettiva situazione dell’interessato.

Ciò assume particolare rilievo nel contesto del credit scoring, dove anche una valutazione fondata su dati originariamente corretti ma non più attuali può incidere significativamente sull’affidabilità attribuita al cliente e, di conseguenza, sulle decisioni adottate nei suoi confronti.

Per il Garante, quindi, il principio di esattezza impone che il dato, oltre ad essere corretto al momento della raccolta, deve rimanere affidabile per tutto il periodo in cui continua a essere utilizzato nell’ambito del processo decisionale.

Secondo me questo è un aspetto che merita un breve box, perché il Garante gli dedica un intero paragrafo nei provvedimenti e lo considera una violazione autonoma dell’art. 5, par. 1, lett. e), GDPR. Tuttavia, basta un paragrafo di 6-7 righe.

Quando conservare troppo significa trattare illecitamente

Un ulteriore profilo censurato dal Garante riguarda i tempi di conservazione dei dati acquisiti nell’ambito del credit check.

Nel corso dell’istruttoria è emerso che le informazioni provenienti da Experian e Cerved erano inizialmente conservate applicando il termine decennale previsto per la documentazione contabile, senza una specifica valutazione della loro effettiva necessità rispetto alle finalità perseguite e senza una specifica policy.

L’Autorità precisa, infatti, che il principio di limitazione della conservazione impone che i dati personali siano conservati per un periodo proporzionato alle finalità per le quali sono stati raccolti e successivamente cancellati o anonimizzati.

A questo proposito, il Garante dà atto che, solo nel corso del procedimento, le società hanno adottato una specifica data retention policy, individuando un termine di retention (cinque anni) dedicato alle informazioni utilizzate per la verifica dell’affidabilità creditizia.

I rischi dello scoring e l’impatto sugli individui

I provvedimenti del Garante affrontano un tema che riguarda gli effetti concreti che i sistemi di credit scoring possono produrre nella vita delle persone.

L’utilizzo di valutazioni automatizzate, infatti, oltre ad incidere sulla conclusione di un contratto, può determinare forme di esclusione economica e sociale sempre più difficili da comprendere e contestare.

Il rischio di esclusione dai servizi essenziali

Se un rating creditizio sfavorevole impedisce l’accesso a un prestito bancario, l’impatto è prevalentemente di natura economica, sebbene possa risultare estremamente gravoso per chi necessita del finanziamento.

Quando lo stesso meccanismo viene utilizzato per valutare l’accesso a servizi essenziali come energia elettrica e gas, le conseguenze assumono però una diversa dimensione, perché incidono sulla possibilità stessa di accedere a prestazioni indispensabili per la vita quotidiana.

L’affidabilità creditizia diventa così un parametro che condiziona l’instaurazione di un rapporto contrattuale avente ad oggetto beni e servizi di interesse primario e il rischio è quello di trasformare uno strumento nato per la gestione del rischio economico in un meccanismo di selezione nell’accesso a servizi essenziali, con possibili effetti di esclusione sociale per le persone considerate statisticamente meno affidabili.

Questo emerge, seppur implicitamente, dai provvedimenti del Garante: l’Autorità sottolinea infatti che il trattamento riguardava dati idonei a incidere significativamente sulla posizione economica e giuridica degli interessati, determinando, nella maggior parte dei casi esaminati, il diniego della sottoscrizione del contratto di fornitura di energia o gas.

Proprio per tali ragioni, la decisione automatizzata richiede un livello particolarmente elevato di trasparenza, correttezza procedurale e tutela dei diritti degli interessati, affinché il cittadino possa comprendere le ragioni del diniego, verificare l’esattezza dei dati utilizzati ed eventualmente ottenere un riesame della propria posizione.

L’illusione dell’obiettività algoritmica e la profezia che si autoavvera

Un ulteriore rischio è rappresentato dall’apparente oggettività dei sistemi di credit scoring.

Lo score restituito dall’algoritmo viene spesso percepito come un dato neutro e scientificamente affidabile, mentre in realtà costituisce il risultato di elaborazioni statistiche costruite sulla base dei dati disponibili e dei criteri scelti dal titolare del trattamento.

Un errore presente nelle banche dati di origine, informazioni non aggiornate oppure correlazioni statistiche poco significative possono in concreto determinare una classificazione negativa dell’interessato.

Pur non essendo affrontato espressamente dal Garante, il caso richiama anche il fenomeno della cosiddetta discriminazione per proxy: anche quando il sistema non utilizza direttamente, ad esempio, dati relativi a caratteristiche protette (come origine etnica, condizioni economiche o altre informazioni sensibili), esso può fondare le proprie valutazioni su variabili che, pur essendo apparentemente neutre (come l’area geografica di residenza, alcune caratteristiche anagrafiche o determinati comportamenti di consumo), risultano in realtà fortemente correlate con tali caratteristiche. In questo modo, l’algoritmo rischia di riprodurre indirettamente forme di discriminazione, attribuendo un profilo di rischio più elevato a categorie di persone accomunate da fattori statistici piuttosto che da comportamenti individuali.

Una volta attribuito un profilo di rischio elevato, il soggetto rischia di subire ulteriori dinieghi o condizioni contrattuali più gravose, alimentando un circolo vizioso dal quale è difficile uscire proprio a causa della limitata comprensibilità delle logiche utilizzate dal sistema.

Non a caso il Garante collega strettamente il diritto di accesso previsto dall’art. 15 GDPR con il diritto di rettifica di cui all’art. 16 e con le garanzie previste dall’art. 22.

Comprendere quali dati abbiano determinato lo score rappresenta il presupposto indispensabile per correggere eventuali errori, verificare l’eventuale utilizzo di variabili suscettibili di produrre effetti discriminatori e contestare efficacemente una decisione automatizzata.

Le indicazioni per le imprese

Dalla lettura coordinata dei due provvedimenti emergono indicazioni destinate a interessare tutte le organizzazioni che utilizzano sistemi algoritmici per valutare l’affidabilità della clientela.

In primo luogo, il cosiddetto human-in-the-loop deve essere reale e non meramente formale: l’intervento umano non può limitarsi a recepire automaticamente il risultato dello score, ma deve tradursi nella possibilità concreta di riesaminare la posizione del cliente, valutare eventuali elementi ulteriori e, se necessario, modificare la decisione proposta dal sistema.

Sul piano della trasparenza, le informative privacy devono descrivere chiaramente l’esistenza di processi decisionali automatizzati, le finalità perseguite e le principali conseguenze che tali trattamenti possono produrre per gli interessati.

Analoga attenzione deve essere riservata alla gestione delle richieste di accesso.

Il titolare del trattamento non potrà limitarsi a comunicare il risultato finale della valutazione né rinviare il cliente ai soggetti che hanno fornito i dati. È necessario spiegare, con un linguaggio comprensibile, quali informazioni siano state utilizzate, quali criteri abbiano inciso sulla valutazione e quale logica abbia condotto all’esito finale, ivi compresi gli score e i sotto-score che hanno contribuito alla determinazione del punteggio e quindi dell’esito.

I provvedimenti richiamano inoltre l’attenzione sulla necessità di definire adeguate politiche di conservazione dei dati e di verificare attentamente la compatibilità tra le finalità originarie della raccolta e gli eventuali utilizzi successivi delle informazioni. In particolare, il riutilizzo dei dati raccolti durante il credit check per attività di sviluppo o miglioramento degli algoritmi richiede una specifica valutazione sotto il profilo della limitazione della finalità e della liceità del trattamento.

Infine, l’utilizzo di sistemi di scoring proprietari o forniti da terzi rende ancora più centrale il ruolo della valutazione d’impatto sulla protezione dei dati (DPIA), quale strumento di analisi preventiva dei rischi derivanti dall’impiego di processi decisionali automatizzati che possono incidere significativamente sui diritti e sulle libertà delle persone.

Sì, e secondo me questo è un aspetto che vale davvero la pena inserire, perché è uno dei punti più originali dei provvedimenti e spesso passa inosservato.

Il Garante non si limita infatti a irrogare una sanzione pecuniaria, ma utilizza in maniera molto incisiva i poteri correttivi ex art. 58 GDPR, indicando puntualmente cosa le società dovranno fare per rendere conforme il trattamento. Questo trasforma i provvedimenti da semplici atti repressivi a vere e proprie linee guida operative.

Oltre la sanzione: le misure correttive come guida operativa

Un aspetto di particolare interesse dei due provvedimenti è rappresentato dalle misure correttive adottate dal Garante ai sensi dell’art. 58 GDPR, che affiancano le rilevanti sanzioni economiche. L’Autorità indica in modo estremamente puntuale gli interventi organizzativi che le società dovranno adottare per conformarsi al Regolamento.

Tra le prescrizioni figurano, in particolare, la predisposizione di un nuovo modello di riscontro alle richieste di accesso che renda comprensibili lo Score CGS-X, i relativi sotto-score e la logica della valutazione, l’adozione di una procedura che garantisca l’effettivo esercizio del diritto di rettifica e delle garanzie previste dall’art. 22 GDPR, nonché l’obbligo di trasmettere tali informazioni anche agli interessati che avevano originato i procedimenti.

La scelta del Garante conferma una tendenza ormai consolidata nell’attività dell’Autorità: i provvedimenti sanzionatori assumono una funzione conformativa, oltre che repressiva, offrendo indicazioni concrete su come progettare processi di credit scoring rispettosi dei principi di trasparenza, accountability e tutela effettiva dei diritti degli interessati.

La governance dei dati come presupposto del credit scoring

I due provvedimenti del Garante sono rilevanti perché precisano i limiti entro i quali gli strumenti di credit scoring possono essere impiegati nel rispetto del GDPR. Muovendosi nel solco della più recente giurisprudenza europea in materia di decisioni automatizzate, il Garante offre indicazioni destinate a orientare (ben oltre il settore energetico) l’utilizzo di sistemi algoritmici nei rapporti con cittadini e consumatori.

La conformità di un sistema di credit scoring dipende, in sostanza, dalla corretta governance dell’intero trattamento dei dati personali che lo alimenta.

Trasparenza, qualità dei dati, limitazione delle finalità, tempi di conservazione proporzionati ed effettività dei diritti degli interessati costituiscono elementi inscindibili di un unico modello di accountability.