Quattro società sanzionate per complessivi 7,72 milioni di euro perché un sistema automatizzato decideva, sulla base di un punteggio di affidabilità, se attivare o no una fornitura di luce e gas; e i clienti a cui il contratto veniva rifiutato non riuscivano a sapere come quel punteggio fosse stato costruito. Con il comunicato del 21 luglio 2026 il Garante per la protezione dei dati personali ha reso noti i provvedimenti del 3 luglio che colpiscono Hera Comm, EstEnergy, Cerved Group ed Experian Italia, e ha affermato un principio netto: chi si vede negare un servizio in forza di uno scoring automatizzato ha diritto di conoscerne la logica.
Un punteggio che apre o chiude l’accesso al contratto
Le istruttorie sono nate dalle segnalazioni di alcuni cittadini ai quali la fornitura era stata negata sulla base di un punteggio di affidabilità negativo, senza che ricevessero informazioni chiare sui criteri e sulla logica impiegati per attribuirlo. Hera Comm ed EstEnergy, fornitori di energia elettrica e gas, utilizzavano un sistema che assegnava ai potenziali clienti uno score per stabilire se dare corso al contratto. Il Garante ha accertato violazioni numerose e gravi in materia di trasparenza, informazione agli interessati, conservazione dei dati e gestione delle richieste di esercizio dei diritti, e ha inflitto 5 milioni e 800 mila euro a Hera Comm e 1 milione e 400 mila euro a EstEnergy. Non è la potenza di calcolo a essere sanzionata, ma l’opacità: un punteggio che produce un effetto concreto sulla vita della persona, cioè l’accesso a un bene essenziale, non può restare una scatola chiusa.
La logica dietro lo score, e il diritto di accedervi
Oltre alle sanzioni, l’Autorità ha ordinato misure correttive: procedure più trasparenti che permettano agli interessati di comprendere il funzionamento del sistema di scoring, di ottenere informazioni complete sui punteggi attribuiti e di chiedere la rettifica dei dati inesatti usati nelle valutazioni. È il cuore della disciplina sulle decisioni automatizzate: quando una determinazione che incide in modo significativo sulla persona si fonda unicamente su un trattamento automatizzato, il titolare deve rendere intelligibile la logica che vi sta dietro, secondo gli articoli 13, 15 e 22 del GDPR. Il punto merita attenzione perché lo scoring privato di affidabilità economica resta terreno del diritto alla protezione dei dati, laddove il social scoring degli enti pubblici ricade invece nel divieto dell’AI Act: due binari distinti, che convergono sulla stessa esigenza, chi valuta un cittadino con un numero deve poterlo spiegare.
Chi fornisce i dati risponde: Cerved ed Experian
Nella stessa istruttoria il Garante ha adottato due provvedimenti anche nei confronti di Cerved Group, sanzionata con 400 mila euro, ed Experian Italia, sanzionata con 120 mila euro, entrambe coinvolte nella fornitura dei dati trattati dal sistema di scoring. Per tutte e due l’Autorità ha accertato gravi violazioni del GDPR, tra cui quella relativa al diritto di accesso degli interessati; per Experian anche la lesione del principio di minimizzazione, avendo trattato dati non necessari all’elaborazione del punteggio. La responsabilità, dunque, non si ferma a chi usa lo score: risale a chi alimenta il modello con i dati, e la catena della conformità va ricostruita per intero, come mostra il perimetro mobile della nozione stessa di dato personale.
Cosa resta sul tavolo
Nel quantificare le sanzioni il Garante ha considerato la capacità economica delle società, la gravità delle violazioni protrattesi per circa due anni e mezzo, il numero elevato di persone coinvolte e i danni subiti dagli interessati. Per le quattro società l’esito immediato è duplice: pagare e, soprattutto, riscrivere procedure e informative perché il cliente possa capire il punteggio, accedervi e correggerne i presupposti. Per il settore il messaggio è più ampio: un algoritmo che filtra l’accesso a un servizio essenziale deve essere spiegabile, i dati che lo alimentano devono essere esatti e ridotti al necessario, e la trasparenza non è un adempimento formale ma la condizione perché quella decisione sia lecita. È una delle aree che il piano ispettivo dell’Autorità tiene sotto osservazione, e chi tratta profili di affidabilità farebbe bene a rileggere adesso i propri modelli.
