Ordinanza ingiunzione o revoca n. 483 del 03/07/2026

Hera Comm S.p.A. – trattamento illecito dei dati nel credit check e riscontri incompleti all'accesso, con sanzione

Il provvedimento riguarda Hera Comm S.p.A. e il trattamento dei dati personali dei potenziali clienti nell'ambito delle verifiche di affidabilità creditizia per l'attivazione di forniture di energia elettrica e gas nel mercato libero. L'istruttoria è nata da più istanze di interessati e si è sviluppata attraverso accertamenti ispettivi presso le società del Gruppo Hera e i fornitori esterni coinvolti nelle consultazioni di banche dati e nei servizi di scoring.

Origine del procedimento e attività istruttoria

Il Garante ha riunito diverse istanze presentate dagli interessati, che lamentavano il diniego della fornitura di energia a seguito di valutazioni negative basate su controlli interni e su interrogazioni di sistemi di informazioni creditizie e servizi di informazioni commerciali. Il procedimento ha riguardato, in particolare, il software "CGS-X" messo a disposizione da Major 1 S.r.l., che consente di costruire un indicatore integrato di affidabilità, lo "Score Integrato Utilities" o "Score CGS-X".

Sono stati svolti accertamenti ispettivi presso Hera S.p.A. il 18, 19 e 20 marzo 2024, presso Major 1 S.r.l. il 15 e 16 aprile 2024, presso Cerved Group S.p.A. il 16 aprile 2024 e presso Experian Italia S.p.A. il 13 e 14 giugno 2024; ulteriori verifiche presso Major 1 e Cerved sono state eseguite il 15, 16 e 16 ottobre 2024.

Sistema di credit check e ruolo delle società coinvolte

Hera S.p.A., nell'ambito della funzione di Credit Management, cura le implementazioni informatiche e le attività operative relative al controllo del merito creditizio per le società di vendita del Gruppo, tra cui Hera Comm S.p.A. e EstEnergy S.p.A. La valutazione prevede:

• una valutazione interna, basata sulla verifica di morosità pregresse e sussistenti nel perimetro del Gruppo;
• una valutazione esterna, basata sulla consultazione di SIC e servizi di informazioni commerciali per ottenere uno score sintetico di affidabilità.

Per la fase interna, il sistema interrogava in tempo reale i dati anagrafici del cliente e verificava la presenza di morosità non contestate nel settore energetico, con esito OK o KO in presenza di specifiche soglie di insoluto. Per la fase esterna, in caso di esito positivo della valutazione interna, venivano interrogate le banche dati di Experian e Cerved tramite il software CGS-X.

Struttura delle informazioni trattate e uso effettivo dello score

Il tracciato XML generato da Major 1 riportava una pluralità di informazioni, tra cui:

• lo score integrato CGS-X per persone fisiche, con class value da 1 a 7b;
• i dettagli SIC di Experian, inclusi Experian score, posizione nel SIC ed Experian index;
• il Retail Score Info di Cerved, comprendente informazioni su eventi negativi, score class, score class ante override e score value;
• diversi sotto-score del Retail Score Utilities, come subscore public data, real estate, istat e P4.

Secondo quanto accertato, Hera S.p.A. utilizzava solo il class value dello score integrato, assegnando automaticamente un KO per valori pari o superiori a 6. Le altre informazioni del tracciato XML non erano usate per la decisione sul singolo cliente, ma venivano comunque conservate per eventuali ulteriori attività, tra cui il miglioramento del sistema di rating.

Violazioni sulla valutazione interna e sull'informativa

Il Garante ha ritenuto che, fino alla sottoscrizione dell'accordo di contitolarità del 1° agosto 2024 tra Hera Comm S.p.A. ed EstEnergy S.p.A., il trattamento dei dati per la verifica delle morosità pregresse fosse illecito. In particolare, la società non aveva reso agli interessati un'informativa adeguata sulle operazioni di trattamento connesse alla valutazione interna e sulla comunicazione dei dati tra società del gruppo per tale specifica finalità.

È stata quindi accertata la violazione degli artt. 5, par. 1, lett. a), 13, 14 e 28 GDPR. Il Garante ha preso atto che l'accordo di contitolarità ha successivamente definito le rispettive responsabilità e che Hera S.p.A. sarebbe stata designata responsabile per le attività connesse alla valutazione interna, ma ha comunque qualificato come illeciti i trattamenti effettuati prima di tale assetto.

Riscontro incompleto alle richieste di accesso

Hera Comm S.p.A. aveva risposto alle istanze ex art. 15 GDPR in modo generico, riferendo soltanto che il diniego era conseguenza di verifiche effettuate mediante indicatori o punteggi automatizzati e rinviando gli interessati a Cerved ed Experian. Nel corso delle verifiche è emerso, però, che la società disponeva nei propri sistemi delle informazioni rilevanti, inclusi i tracciati XML e i dettagli dello score.

L'Autorità ha chiarito che il titolare del trattamento deve fornire all'interessato tutte le informazioni di cui dispone, in forma concisa, trasparente, intelligibile e facilmente accessibile, comprendendo anche le "informazioni significative sulla logica utilizzata" ai sensi dell'art. 15, par. 1, lett. h), GDPR. La mancata indicazione di score, sotto-score e criteri di elaborazione ha violato gli artt. 12 e 15 GDPR e ha impedito agli interessati di verificare la liceità del trattamento, di contestare la decisione e, se del caso, di esercitare il diritto di rettifica.

Conservazione dei dati e principio di limitazione della finalità

È stato accertato che Hera Comm S.p.A. conservava sistematicamente i dati delle interrogazioni e i tracciati relativi ai clienti oggetto di credit check, sia in caso di esito positivo sia negativo. Al momento degli accertamenti non era ancora stata adottata una policy di data retention specifica; nella bozza disponibile figurava un termine generale di dieci anni riferito alla documentazione contabile, applicato anche ai tracciati di interrogazione.

Il Garante ha ritenuto che tale impostazione non rispettasse l'art. 5, par. 1, lett. e), GDPR, perché non erano indicati tempi specifici e non era giustificata la durata in relazione alle finalità effettive del trattamento. È stato comunque preso atto che nel febbraio 2026 la società ha adottato una policy aggiornata con un termine quinquennale per le informazioni trattate ai fini di verifica dell'affidabilità creditizia.

Affinamento del sistema di rating: finalità ulteriore e trattamento illecito

Un ulteriore profilo riguardava l'uso dei dati raccolti nel credit check per un'attività di analisi finalizzata all'affinamento del sistema di valutazione del rating della clientela del Gruppo Hera. Tale attività veniva svolta da Hera S.p.A. su base mensile, mediante analisi di dati aggiornati confluiti in un datawarehouse di gruppo e lavorati con applicativi di data analysis ed Excel.

L'Autorità ha ritenuto che il riutilizzo dei dati acquisiti presso Experian e Cerved per questa finalità fosse illecito:

• per i dati SIC, perché il trattamento è consentito solo per la valutazione, assunzione o gestione del rischio di credito connesso a una specifica richiesta del potenziale cliente;
• per i dati di informazione commerciale, perché il Codice di condotta del settore consente l'uso dei dati solo per le finalità contrattualmente previste, ossia le verifiche sulla solidità, solvibilità e affidabilità in funzione dell'instaurazione del rapporto.

Il riutilizzo per l'affinamento del modello di rating è stato quindi giudicato contrario al principio di limitazione della finalità di cui all'art. 5, par. 1, lett. b), GDPR. Inoltre, poiché i dati conservati e successivamente riesaminati potevano non essere più aggiornati, il trattamento è stato considerato in contrasto anche con il principio di esattezza di cui all'art. 5, par. 1, lett. d), GDPR.

Valutazioni del Garante e provvedimenti correttivi

Il Garante ha dichiarato l'illiceità del trattamento effettuato da Hera Comm S.p.A. per violazione degli artt. 5, par. 1, lett. a), b), d) ed e), 12, 13, 14, 15 e 28 GDPR. Ha inoltre ritenuto che le violazioni non fossero minori, alla luce della pluralità delle condotte, della durata, del numero di interessati coinvolti e della natura delicata delle informazioni trattate.

Sono state ingiunte, ai sensi dell'art. 58, par. 2, lett. c) e d), GDPR, le seguenti misure correttive, da adottare entro sei mesi dalla notifica:

• definire un nuovo modello di riscontro alle istanze di accesso, che includa tutte le indicazioni sullo score CGS-X, sui sotto-score e sulle logiche e criteri di calcolo;
• trasmettere il nuovo modello anche ai soggetti già interessati dai riscontri inadeguati;
• adottare una procedura idonea a garantire il pieno esercizio del diritto di rettifica e le tutele previste dall'art. 22, par. 3, GDPR, inclusi intervento umano, possibilità di esprimere opinioni e di contestare la decisione.

Sanzione amministrativa e criteri di quantificazione

Per le violazioni accertate, il Garante ha applicato a Hera Comm S.p.A. una sanzione amministrativa pecuniaria di euro 5.800.000,00. Nella quantificazione sono stati considerati, ai sensi dell'art. 83, par. 2, GDPR:

• la gravità della violazione, per natura, durata e modalità, nonché l'elevato numero di interessati coinvolti;
• la natura colposa della condotta e il significativo grado di responsabilità della società;
• l'assenza di precedenti pertinenti, con esclusione di un precedente provvedimento adottato in parallelo;
• le misure adottate per attenuare le conseguenze della violazione;
• la cooperazione con l'Autorità;
• la delicatezza dei dati trattati, relativi all'affidabilità creditizia;
• il fatto che i trattamenti contestati riguardassero solo una parte della clientela.

Il Garante ha disposto la pubblicazione dell'ordinanza ingiunzione sul proprio sito internet e la pubblicazione del provvedimento, oltre all'annotazione nel registro interno. È stata inoltre richiamata la possibilità di definire la controversia con il pagamento della metà della sanzione nei termini di legge e la facoltà di opposizione davanti all'autorità giudiziaria ordinaria entro trenta giorni dalla comunicazione del provvedimento.