Ordinanza ingiunzione o revoca n. 484 del 03/07/2026

EstEnergy S.p.A. - trattamenti illeciti nel credit check e nei riscontri agli interessati

Il provvedimento riguarda EstEnergy S.p.A. e il sistema di verifica dell'affidabilità creditizia dei potenziali clienti per l'attivazione di forniture di energia e gas nel mercato libero. L'istruttoria è stata avviata a seguito di plurime istanze e reclami degli interessati ed è stata integrata da accertamenti ispettivi presso le società del Gruppo Hera e i fornitori di dati/servizi coinvolti.

Origine del procedimento e perimetro dell'accertamento

Il Garante ha riunito più procedimenti scaturiti da richieste di accesso ex art. 15 GDPR e da contestazioni sul diniego di fornitura fondato su uno score di affidabilità. Sono stati esaminati:

• la valutazione interna delle morosità pregresse tra società del Gruppo Hera;
• la valutazione esterna tramite SIC Experian e informazioni commerciali Cerved, veicolate dal software "CGS-X" di Major 1 S.r.l.;
• l'attività di conservazione e ulteriore analisi dei dati per l'affinamento del sistema di rating.

Descrizione del sistema di credit check

Il sistema di "Credit Check" prevedeva una prima verifica interna delle morosità attive non contestate nel settore energetico e, solo in caso di esito positivo, una verifica esterna tramite Cerved ed Experian. Il software CGS-X restituiva uno score sintetico e diversi sotto-score e campi analitici; EstEnergy dichiarava di utilizzare solo il "class value" dello score integrato, assegnando automaticamente un KO in caso di rating pari o superiore a 6. Tuttavia, i tracciati XML contenevano anche ulteriori informazioni, che venivano conservate per possibili usi successivi, incluso il miglioramento del sistema di rating.

Illiceità della valutazione interna delle morosità

Per la c.d. valutazione interna, il Garante ha rilevato che:

• l'informativa resa ai clienti non conteneva alcun riferimento specifico al trattamento delle morosità pregresse tra società del Gruppo, né alla comunicazione di tali dati per la verifica di affidabilità;
• le istruzioni rese a Hera S.p.A. quale responsabile del trattamento non includevano espressamente la verifica delle morosità riferite anche ai clienti di Hera Comm S.p.A.;
• il trattamento risultava quindi contrario ai principi di liceità, correttezza e trasparenza e alle regole sugli obblighi informativi e sui ruoli del trattamento.

Il Garante ha preso atto che, in data 1° agosto 2024, è stato sottoscritto un accordo di contitolarità tra EstEnergy e Hera Comm, con aggiornamento delle informative, ma ha comunque dichiarato illeciti i trattamenti svolti fino a tale data.

Riscontri incompleti alle istanze di accesso

Le risposte fornite da EstEnergy alle richieste ex art. 15 GDPR sono state ritenute inadeguate perché non riportavano lo Score CGS-X, i sotto-score, né le informazioni significative sulla logica del trattamento. Il Garante ha richiamato il principio per cui il diritto di accesso serve a consentire all'interessato il controllo effettivo dei dati e delle modalità del loro trattamento, specialmente quando incida su decisioni automatizzate o semi-automatizzate.

L'Autorità ha inoltre osservato che il titolare disponeva in realtà delle informazioni necessarie, presenti nei propri sistemi, e che in un caso aveva persino oscurato parti del report consegnato all'interessato. Tale condotta ha impedito agli interessati di verificare correttezza ed esattezza dei dati e di esercitare in modo pieno gli ulteriori diritti di rettifica e contestazione della decisione.

Conservazione dei dati e principio di limitazione

Il provvedimento rileva che, al momento degli accertamenti, non esistevano tempi specifici di conservazione per i dati del credit check e che era previsto solo un termine generale di 10 anni riferito alla documentazione contabile, non giustificato rispetto alle finalità concrete del trattamento. Questo è stato giudicato in contrasto con l'art. 5, par. 1, lett. e) GDPR. Il Garante ha preso atto che nel febbraio 2026 è stata adottata una policy aggiornata con un termine di conservazione di 5 anni per i dati relativi alla verifica dell'affidabilità creditizia.

Trattamento per l'affinamento del sistema di rating

Un ulteriore profilo di illiceità ha riguardato l'uso, da parte del Gruppo Hera, dei dati raccolti nel credit check per analisi di "affinamento" del sistema di rating. L'Autorità ha ritenuto che:

• per i dati provenienti dai SIC Experian, il riutilizzo per finalità ulteriori rispetto alla valutazione di un concreto rischio di credito collegato a una richiesta contrattuale viola il principio di limitazione della finalità;
• analogamente, per i dati di informazione commerciale Cerved, l'uso per scopi diversi da quelli previsti dal contratto e dal codice di condotta di settore è incompatibile con la disciplina applicabile;
• la conservazione e ri-elaborazione di dati potenzialmente non aggiornati incide anche sul principio di esattezza.

Valutazione complessiva e sanzione

Il Garante ha dichiarato l'illiceità dei trattamenti per violazione degli artt. 5, par. 1, lett. a), b), d) ed e), 12, 13, 14 e 15, nonché 28 GDPR. Ha ritenuto non applicabile la qualificazione di violazioni minori e, ai sensi dell'art. 83 GDPR, ha irrogato a EstEnergy S.p.A. una sanzione di euro 1.400.000.

Nella quantificazione ha valorizzato:

• la gravità delle violazioni, la loro durata e la pluralità delle condotte;
• il numero elevato di interessati coinvolti, circa un milione;
• la natura colposa della condotta e l'inadeguatezza delle misure organizzative;
• l'assenza di precedenti specifici;
• la cooperazione con l'Autorità;
• le misure spontaneamente adottate per attenuare gli effetti delle violazioni;
• la delicatezza delle informazioni trattate, idonee a incidere sull'accesso a servizi essenziali.

Misure correttive e termini

Il Garante ha ingiunto a EstEnergy di adeguarsi entro sei mesi dalla notifica, con riscontro documentato, alle seguenti prescrizioni:

• predisporre un nuovo modello di risposta alle richieste di accesso che includa Score CGS-X, sotto-score e logiche di calcolo;
• trasmettere il nuovo modello anche ai soggetti interessati indicati nel provvedimento;
• adottare una procedura che garantisca il pieno esercizio del diritto di rettifica e le tutele di cui all'art. 22, par. 3 GDPR, inclusa la possibilità di intervento umano, di esprimere opinioni e di contestare la decisione.

Ulteriori disposizioni

Il provvedimento dispone inoltre:

• la pubblicazione dell'ordinanza ingiunzione sul sito del Garante;
• la pubblicazione del provvedimento sul sito istituzionale;
• l'annotazione delle violazioni nel registro interno dell'Autorità.

È infine ricordata la facoltà di opposizione davanti all'autorità giudiziaria ordinaria nei termini di legge.