Il Garante privacy ha sanzionato due società per violazione del GDPR a causa delle modalità di trattamento dei dati personali poste in essere nell’ambito dell’attività di verifica dell’affidabilità creditizia – tramite scoring – della potenziale clientela, svolta per conto di società terze fornitrici di energia elettrica e gas.
I provvedimenti in oggetto sono il n. 485 del 3 luglio 2026 e n. 486 del 3 luglio 2026.
In particolare, tale verifica dell’affidabilità creditizia veniva realizzata tramite un sistema automatizzato di scoring. Dal risultato dello scoring dipendeva la sottoscrizione o meno del contratto di fornitura da parte delle società energetiche.
Con riguardo alle società coinvolte nella fornitura dei dati trattati dal sistema di scoring utilizzato dalle due società energetiche, il Garante ha rilevato come vi fossero violazioni del GDPR con riguardo all’esercizio del diritto di accesso da parte degli interessati e, per una delle due società, anche con riguardo al principio di minimizzazione dei dati.
Sul diritto di accesso
Il Garante, in adesione alla pronuncia della Corte di Giustizia UE (C-634/21), ha dapprima precisato come debba interpretarsi l’art. 22 del GDPR disciplinante il processo decisionale automatizzato relativo alle persone fisiche.
Perché possa applicarsi tale diposizione devono sussistere tre condizioni:
- l’esistenza di una decisione
- che questa sia basata unicamente sul trattamento automatizzato, compresa la profilazione
- e che produca effetti giuridici ovvero incida significativamente sulla sua persona.
La decisione, si precisa, consiste in atti, compresi quelli non in grado di produrre effetti giuridici diretti sull’interessato, purché in grado di incidere in maniera significativa su quest’ultimo.
In tale concetto ben può rientrare il risultato del calcolo della solvibilità di una persona sotto forma di tasso di probabilità relativo alla capacità di tale persona di onorare impegni di pagamento in futuro.
La decisione oggetto del caso di specie, si precisa, si fondava esclusivamente su un calcolo automatizzato e il suo risultato incideva sulla persona in maniera significativa, impedendole di avere accesso al servizio richiesto.
I trattamenti in oggetto costituiscono quindi processi decisionali automatizzati relativi a persone fisiche e, di conseguenza, trovano applicazione gli artt. 15, par. 1, lett. h) e 22 GDPR.
Il Garante, in occasione delle istruttorie realizzate, ha rilevato come dette società avessero fornito riscontri inadeguati a fronte delle istante di esercizio dei diritti di cui agli artt. 15-22 del Regolamento, in quanto si erano limitate a confermare la presenza o meno dei dati degli interessati nei propri sistemi e, in caso positivo, a comunicare i dati personali conservati.
Non è stata comunicata, però, alcuna indicazione relativa allo score, né agli elementi sulla base delle quali lo stesso era stato elaborato. Allo stesso modo, non sono state fornite informazioni circa la logica utilizzata ai fini dell’elaborazione del profilo.
Il diritto di accesso, precisa il Garante, è volto a garantire agli interessati di controllare quali e come i propri dati vengono trattati dal titolare assicurandogli piena consapevolezza al riguardo.
Le informazioni fornite devono, quindi, essere complete, corrette e aggiornate e rese in maniera concisa, trasparente, comprensibile e facilmente accessibile.
Nel caso in esame, inoltre, le società erano tenute a fornire anche le informazioni circa la logica utilizzata, l’importanza e le conseguenze previste di tale trattamento per l’interessato. In particolare, gli interessati avevano diritto a conoscere tutti gli elementi di cui si componeva la valutazione, anche quelli valutati per l’attribuzione dello score e i criteri di calcolo utilizzati a tal fine.
Gli interessati non hanno, quindi, potuto verificare la liceità e correttezza del trattamento, si sono visti preclusi l’esercizio del diritto di rettifica in caso di dati inesatti o incompleti nonché il diritto di ottenere l’intervento umano da parte del titolare del trattamento.
Il Garante ha quindi evidenziato la violazione da parte delle società di scoring degli articoli 5, paragrafo 1, lettera a), 12 e 15 del GDPR.
Sui principi di privacy by design e privacy by default e di minimizzazione dei dati
Il Garante durante l’istruttoria ha rilevato inoltre, come, una delle due società incaricate dell’attività di scoring avesse raccolto dati non necessari ai fini del calcolo dello score e non avesse adottato misure tecniche e organizzative adeguate in grado di rispettare i principi di cui all’articolo 5 GDPR.
In aggiunta, tale società non aveva, al momento della progettazione del sistema, implementato opzioni in gradi di assicurare che venissero trattati, by default, solo i dati necessari per la specifica finalità nel rispetto, in conformità con il principio di minimizzazione dei dati ex art. 5 par. 1 lett. c) GDPR.
In particolare, ricorda il Garante, l’art. 25 del GDPR prevede l’obbligo, in capo al titolare, di pianificare il trattamento predisponendo le garanzie necessarie a permettere, per impostazione predefinita, il rispetto dei diritti previsti nel GDPR.
Il titolare, quindi, non deve raccogliere più dati del necessario e non deve trattare i dati acquisiti oltre quanto sia necessario per le sue finalità. Il titolare deve garantire la c.d. privacy by design e by default, tramite valutazioni periodiche dell’efficacia delle misure adottate.
La predetta società è risultata, quindi, operare in violazione anche degli artt. 5 par. 1 lett. c) e 25 del GDPR.
In tale occasione, il Garante ha, inoltre, ricordato come le citate violazioni prescindano da un effettivo pregiudizio in capo agli interessati.
L’Autorità, si precisa infine, ha adottato delle misure correttive ex art. 58, par. 2, lett. d), del GDPR.
In particolare, nei confronti di entrambe ha ordinato di adottare una procedura volta ad assicurare all’interessato il pieno esercizio del diritto di rettifica ex art. 16 del GDPR e, nei confronti della sola società che è risultata operare in violazione anche dei principi di privacy by design e privacy by default e di minimizzazione dei dati ha ordinato anche:
- di aggiornare il modello di riscontro alle istanze di accesso
- di revisionare una privacy policy
- di eliminare i dati non necessari dai propri database.
