Il Garante privacy ha sanzionato due fornitori di energia elettrica e gas – appartenenti allo stesso Gruppo – per aver violato il GDPR a causa dell’utilizzo di un sistema automatizzato di scoring volto a valutare l’affidabilità dei potenziali clienti ai fini dell’attivazione del contratto di fornitura.
I provvedimenti in oggetto sono il n. 483 del 3 luglio 2026 e n. 484 del 3 luglio 2026.
Le istruttorie sono iniziate a seguito delle segnalazioni di alcuni soggetti che si erano visti negata la fornitura a causa di uno score negativo, senza ricevere informazioni sui criteri e sulla logica utilizzati per attribuirlo.
Il Garante ha rilevato come vi fossero carenze in termini di trasparenza, informativa agli interessati, conservazione dei dati e gestione delle richieste di esercizio dei diritti.
Sull’illiceità del trattamento
Il Gruppo di cui fanno parte le società destinatarie delle sanzioni del Garante aveva adottato una procedura di valutazione interna tramite cui veniva verificata la presenza di eventuali morosità, a carico dei potenziali clienti, relative a rapporti di fornitura di energia nel mercato libero instaurati anche con altre società del Gruppo.
Tale attività veniva realizzata da una differente società appartenente al Gruppo alla luce della propria nomina quale responsabile del trattamento ex art. 28 del GDPR (Regolamento (UE) 2016/679).
Il Garante, ha, in tale contesto, dapprima evidenziato la violazione degli artt. 13 e 14 e 5 par. 1 del GDPR poiché le società non avevano provveduto a comunicare agli interessati il trattamento in oggetto ma solo che i dati di cui erano in possesso potevano essere comunicati alle società del Gruppo e/o a terzi loro legati contrattualmente.
Il Garante ha, inoltre, rilevato la violazione dell’art. 28 del GDPR in quanto le istruzioni fornite da ciascuna società energetica al responsabile del trattamento non includevano le operazioni consistenti nella verifica delle morosità pregresse dei clienti afferenti all’altra società.
Il Garante, precisa, però di tenere conto del fatto che le società energetiche abbiano sottoscritto un Accordo di contitolarità ex art. 26 GDPR tramite il quale hanno definito le rispettive responsabilità, in ordine al trattamento dei dati inerenti alla verifica interna dell’affidabilità della clientela, nonché aggiornato i propri modelli di informativa.
Sulla violazione in materia di esercizio dei diritti e del principio di limitazione della conservazione
Il Garante ha evidenziato carenze nei riscontri dati agli interessati che ne facevano richiesta ex art. 15 GDPR, in quanto inadeguati e incompleti.
Le società, infatti, si limitavano a comunicare un mero riferimento alla rilevazione di un profilo di rischio degli interessati, senza riportare né l’indicazione inerente allo “Score CGS-X” e ai connessi sotto-score, né le informazioni sulla logica utilizzata ai fini dell’elaborazione del predetto profilo. Per l’ottenimento di maggiori informazioni rinviavano gli interessati alle società coinvolte nella fornitura dei dati trattati dal sistema di scoring, nonostante i citati dati fossero nella disponibilità del titolare del trattamento.
L’Autorità in tale occasione ricorda come ai sensi dell’art. 15 GDPR il titolare non possa limitarsi a rilasciare una descrizione generale dei dati o un semplice riferimento alle categorie di dati personali trattati e neppure può omettere informazioni in suo possesso.
Il titolare è, infatti, tenuto a fornire l’accesso a tutti i dati di cui all’art. 15 GDPR riferiti all’interessato, in forma concisa, trasparente, intelligibile e facilmente accessibile. Il titolare doveva, inoltre, fornire informazioni significative sulla logica utilizzata, ossia – come evidenziato dalla Corte di Giustizia UE n. C-203/22- “qualsiasi informazione pertinente relativa alla procedura e ai principi di utilizzo, con mezzi automatizzati, di dati personali al fine di ottenerne un determinato risultato”.
Nel caso di specie, quindi, gli interessati vantano il diritto di conoscere tutti gli elementi di cui si compone la valutazione in ordine alla propria affidabilità creditizia, inclusi quelli presi in considerazione dal titolare ai fini dell’attribuzione dello score, nonché i criteri di calcolo utilizzati.
Alla luce di quanto sopra, il Garante ha evidenzia la violazione degli artt. 12 e 15 del GDPR da parte delle società energetiche.
Non solo. E’ stata rilevata anche la violazione del GDPR con riguardo ai tempi di conservazione dei dati dei predetti interessati.
Si ricorda come l’art. 5, par. 1, lett. e) del GDPR prevede che i dati personali debbano essere conservati in modo da consentire l’identificazione dell’interessato per un arco di tempo non superiore a quello necessario a conseguire le finalità del trattamento.
In particolare, nonostante all’epoca dei fatti fosse in corso di adozione una Policy in materia di data retention, nella stessa non sono state specificatamente indicate le ragioni connesse all’applicazione del termine decennale di conservazione, né è stata debitamente giustificata la rispondenza di tale previsione a quanto strettamente necessario al conseguimento delle finalità del relativo trattamento.
Per quanto sopra, il Garante ha rinvenuto la violazione dell’art. 5, par. 1, lett. e), del GDPR.
Sull’illiceità del trattamento dei dati per affinare il sistema di valutazione del rating della clientela del Gruppo
In tale contesto si precisa come le società conservassero le informazioni inerenti a tutte le richieste di contrattualizzazione allo scopo di monitorale il profilo di rischio del portafoglio crediti.
Dapprima si evidenzia come il trattamento dei dati forniti dalle società coinvolte nella fornitura dei dati trattati dal sistema di scoring, nell’ambito del Sistema di Informazioni Creditizie (c.d. SIC), sia stato lecitamente effettuato.
Le società energetiche, si precisa, in qualità di accedenti, ben possono trattare le informazioni acquisite dal SIC ma solo per le finalità connesse alla valutazione, all’assunzione o alla gestione di un rischio di credito, alla valutazione dell’affidabilità e della puntualità nei pagamenti.
Al riguardo, deve evidenziarsi come i soggetti che accedono ai SIC devono rispettare il principio di finalità, consistente nella tutela del credito e nel contenimento del relativo rischio, in virtù del quale la consultazione dei dati personali di un interessato può avvenire soltanto se strettamente connessa all’istruttoria di una richiesta volta all’instaurazione di un rapporto con il predetto soggetto. Sono, quindi, illeciti i trattamenti dei dati acquisiti dai SIC se posti in essere per scopi ulteriori o comunque non specificatamente collegati ad una richiesta del potenziale cliente di sottoscrizione di un contratto.
Nel caso di specie, è stata rilevata la violazione dell’art. 5, par. 1, lett. b) del GDPR poiché le società avevano realizzato i trattamenti per finalità di affinamento del sistema di valutazione del rating della clientela, in quanto volte ad una di una finalità ulteriore e incompatibile con quella originaria alla base della raccolta dei predetti dati personali.
Deve rilevarsi, inoltre, come i dati in oggetto siano conservati nel tempo in vista di un loro possibile riutilizzo, determinando il rischio che, a distanza di tempo, i dati raccolti possano subire variazioni e pertanto non essere più aggiornati.
Per tale motivo il Garante ha rilevato anche la violazione dell’art. 5, par. 1, lett. d) del GDPR.
Il Garante ha quindi ritenuto i trattamenti realizzati dalle società energetiche in violazione dell’art. 5, par. 1, lettere a), b) e d) ed e), degli artt. 12, 13, 14 e 15 e dell’art. 28 del GDPR.
L’Autorità ha, infine, non solo sanzionato le società ma anche imposto loro l’adozione di misure correttive in modo tale da garantire maggiore chiarezza sui criteri di valutazione, accesso alle informazioni relative agli score e possibilità di rettifica dei dati inesatti. In particolare ha ingiunto le società a:
- definire un nuovo modello di riscontro alle istanze di accesso
- adottare una procedura volta ad assicurare all’interessato l’esercizio del diritto di rettifica, ex art. 16 del GDPR, che tenga conto dell’obbligo di attuare misure appropriate per tutelare i diritti.
