Ordinanza ingiunzione o revoca n. 486 del 03/07/2026

Experian Italia S.p.A. - riscontri incompleti in materia di accesso e trattamenti di credit scoring nel servizio CGS-X

Il Garante per la protezione dei dati personali ha accertato che Experian Italia S.p.A., nell’ambito del servizio di scoring utilizzato dai fornitori di energia Hera Comm S.p.A. ed EstEnergy S.p.A. per valutare l’affidabilità dei potenziali clienti, ha effettuato trattamenti illeciti e ha reso riscontri inadeguati alle istanze degli interessati. Il procedimento è stato avviato a seguito di più segnalazioni e reclami, poi riuniti e approfonditi con attività ispettiva presso i soggetti coinvolti nel flusso di trattamento.

Origine dell’istruttoria e funzionamento del sistema

Le istanze riguardavano il diniego della fornitura di energia motivato dall’attribuzione di un profilo di rischio negativo derivante dal software "CGS-X", fornito da Major 1 S.r.l. e alimentato da dati provenienti da Experian Italia S.p.A. e Cerved Group S.p.A. Il fornitore di energia inseriva i dati del potenziale cliente; Major 1, quale outsourcer tecnologico, interrogava i sistemi di Experian e Cerved e restituiva uno score integrato, denominato "Score CGS-X", utilizzato per supportare la decisione del fornitore.

Dalle verifiche è emerso che Experian elaborava lo "Score ESX" sulla base di variabili e modelli statistici derivati dal SIC, tra cui:

• Delphi per utilities (D4U),
• DG3r,
• CDI,
• GeoDelphi.

La risposta XML inviata da Experian a Major 1 comprendeva diversi elementi, tra cui ESX score, ESX index, flag hit, E5-35, DG3r index/score e D4U index/score. Tuttavia, non tutti questi dati erano effettivamente necessari per il calcolo dello score destinato al settore utilities.

Esito sulle istanze di accesso e trasparenza del trattamento

Il Garante ha ritenuto che Experian, in risposta alle istanze ex artt. 12 e 15 GDPR, si fosse limitata a comunicare la presenza o meno dell’anagrafica nel SIC e, in caso positivo, i dati ivi presenti, senza indicare lo score attribuito, i sotto-score, le logiche di calcolo e le conseguenze del trattamento. In alcuni casi, inoltre, le richieste degli interessati contenevano già un chiaro riferimento al diniego della fornitura di energia dovuto a una valutazione negativa.

L’Autorità ha escluso che fosse sufficiente il modello di risposta “stratificato” giustificato dalla società con esigenze di semplificazione e di gestione del volume delle richieste. Secondo il Garante, nel caso concreto non ricorrevano i presupposti per limitare il diritto di accesso con risposte parziali, poiché l’esigenza di trasparenza richiedeva la comunicazione di tutte le informazioni effettivamente trattate e pertinenti al profilo di rischio elaborato.

Applicabilità dell’art. 22 GDPR ai sistemi di credit scoring

Il provvedimento dedica un passaggio centrale alla giurisprudenza della Corte di giustizia. Richiamando la sentenza C-634/21 del 7 dicembre 2023, il Garante ha affermato che il calcolo automatizzato di un tasso di probabilità sulla capacità di adempiere futuri pagamenti può integrare un processo decisionale automatizzato ai sensi dell’art. 22 GDPR, quando il terzo destinatario dello score si determina in modo decisivo sulla base di quel risultato.

L’Autorità ha quindi respinto l’argomento difensivo di Experian secondo cui lo score non inciderebbe in modo significativo sulla decisione finale del fornitore di energia. Nel caso concreto, infatti, il risultato dello scoring ha inciso in modo determinante sull’esito del rapporto contrattuale, fino al diniego della fornitura. È stata inoltre richiamata la sentenza C-203/22 del 27 febbraio 2025 per precisare che le informazioni significative sulla logica utilizzata devono essere rese in modo conciso, trasparente e comprensibile, senza limitarsi a formule matematiche o a descrizioni eccessivamente tecniche.

Violazioni accertate

Il Garante ha concluso che il trattamento di dati personali effettuato da Experian Italia S.p.A. era illecito per violazione di:

• art. 5, par. 1, lett. a), GDPR, per difetto di trasparenza;
• art. 5, par. 1, lett. c), GDPR, per violazione del principio di minimizzazione;
• artt. 12 e 15 GDPR, per riscontri incompleti e non intelligibili all’interessato;
• art. 25 GDPR, per mancata attuazione efficace di privacy by design e privacy by default.

Ha inoltre chiarito che l’interpretazione fornita dalla società rispetto al Codice di condotta dei SIC, secondo cui l’obbligo di spiegare le logiche di scoring graverebbe solo sul partecipante e non sul gestore, non esonera il titolare Experian dagli obblighi previsti dal GDPR.

Nuovo modello di risposta e permanenza delle criticità

Il Garante ha preso atto che, dal 27 giugno 2024, Experian ha introdotto un nuovo modello di riscontro e che lo ha ulteriormente affinato a gennaio 2025. Tuttavia, anche tale modello è stato ritenuto insufficiente: in un caso mancava il sotto-score E5-35, pur in presenza di informazioni nel SIC, e in un altro il riscontro non riportava il valore ESX-score ma solo l’ESX-index. Ciò ha confermato che nemmeno le misure sopravvenute garantivano il pieno esercizio del diritto di accesso.

L’Autorità ha anche osservato che la mancata completezza dei riscontri impediva agli interessati di controllare liceità ed esattezza del trattamento e poteva ostacolare l’eventuale esercizio del diritto di rettifica, oltre alla possibilità di contestare la decisione automatizzata e chiedere l’intervento umano.

Privacy by design, minimizzazione e tracciati XML

Un ulteriore profilo di illecito ha riguardato la trasmissione a Major 1 di tracciati XML contenenti dati non necessari al calcolo dello score CGS-X per il settore utilities, in particolare i sotto-score D4U e DG3r. Il Garante ha ritenuto che Experian avesse utilizzato un tracciato originariamente concepito per un diverso contesto, quello bancario, senza adattarlo al servizio utilities e senza rimuovere i dati eccedenti, nonostante le dichiarazioni in tal senso rese nel corso dell’istruttoria.

Secondo l’Autorità, ciò integra una violazione dell’art. 25 GDPR, perché il titolare non ha predisposto misure tecniche e organizzative adeguate per applicare, fin dalla progettazione e per impostazione predefinita, il principio di minimizzazione e le garanzie richieste dal Regolamento.

Conservazione dei tracciati XML

In fase istruttoria era emerso che, per un periodo, la conservazione dei tracciati XML era stata ridotta da 12 a 8 mesi per ragioni tecniche. Tuttavia, su questo specifico profilo il Garante ha ritenuto di non adottare provvedimenti correttivi, accogliendo la richiesta di archiviazione limitatamente alla contestazione relativa alla durata di conservazione. La società aveva poi riallineato la retention a 12 mesi con una policy specifica.

Prescrizioni impartite e termini di adempimento

Il Garante ha ingiunto a Experian, ai sensi dell’art. 58, par. 2, lett. c) e d), di adempiere entro sei mesi dalla notifica, con obbligo di riscontro documentato ex art. 157 Codice privacy, alle seguenti prescrizioni:

• aggiornare il modello di risposta ai diritti di accesso includendo E5-35, ESX-score, logiche e criteri di calcolo, e trasmetterlo anche agli interessati coinvolti nel procedimento;
• rivedere la policy interna sui riscontri agli interessati, affinché il nuovo modello sia usato già in prima battuta quando l’interessato chiede di conoscere il proprio score di credito;
• predisporre una procedura per garantire il diritto di rettifica quando lo score sia basato, in prevalenza, sull’indicatore GeoDelphi;
• completare la modifica del tracciato XML eliminando D4U e DG3r, perché non necessari al calcolo dello score per utilities.

Sanzione e criteri di quantificazione

L’Autorità ha applicato una sanzione amministrativa pecuniaria di euro 120.000,00. Nella quantificazione ha considerato, ai sensi dell’art. 83, par. 2, GDPR:

• la gravità della violazione, la sua durata e la pluralità delle condotte;
• l’elevato numero di interessati coinvolti, indicato in circa 561;
• il danno conseguente, consistente spesso nel diniego della fornitura di energia o gas;
• la natura colposa della condotta e l’inadeguatezza delle misure organizzative;
• l’assenza di precedenti specifici rilevanti;
• le misure spontaneamente adottate per attenuare gli effetti;
• la cooperazione con l’Autorità;
• la delicatezza delle informazioni trattate, pur non rientrando nei dati particolari;
• ulteriori fattori attenuanti, tra cui la pubblicazione di FAQ sul credit scoring e l’adesione al Codice di condotta sui SIC.

Pubblicazione e rimedi

Il provvedimento dispone la pubblicazione dell’ordinanza ingiunzione e del provvedimento sul sito del Garante, nonché l’annotazione delle violazioni nel registro interno. È inoltre prevista la possibilità di definire la controversia con il pagamento della metà della sanzione nei termini di legge. Avverso il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria nei termini previsti dal Codice privacy e dal d.lgs. n. 150/2011.