Ordinanza ingiunzione o revoca n. 485 del 03/07/2026

Cerved Group S.p.A. - riscontri incompleti alle istanze di accesso sullo "Score Retail Utilities"

Il provvedimento riguarda Cerved Group S.p.A., nell’ambito del servizio "CGS-X" utilizzato da fornitori di energia per valutare l’affidabilità dei potenziali clienti. L’istruttoria è nata da più istanze di interessati ai quali era stata negata la fornitura di energia a seguito di uno score di rischio elaborato anche con dati e servizi di Cerved.

Origine del procedimento e accertamenti svolti

L’Autorità ha riunito le diverse istanze e ha avviato un’istruttoria d’ufficio per ricostruire le modalità del trattamento. Sono stati eseguiti accertamenti ispettivi presso Hera, Major 1, Cerved ed Experian, oltre a verifiche successive presso Major 1 e Cerved. L’istruttoria ha riguardato non solo i riscontri forniti agli interessati, ma anche il funzionamento del software CGS-X e il ruolo di Cerved nel calcolo dello "Score Retail Utilities".

Struttura del trattamento e funzionamento dello score

Il sistema prevede che il fornitore di energia inserisca i dati del potenziale cliente, agendo come titolare autonomo, mentre Major 1 opera come responsabile del trattamento e interroga i sistemi di Cerved ed Experian. Cerved fornisce lo "Score Retail Utilities", combinato poi con lo "Score ESX" di Experian per ottenere uno score integrato di affidabilità. Lo score di Cerved deriva da vari sotto-score, alcuni legati a elementi anagrafici, all’età, al luogo di nascita e alla zona di residenza dell’interessato.

Qualificazione giuridica: processo decisionale automatizzato e diritto di accesso

Il Garante ha richiamato la sentenza CGUE C-634/21 del 7 dicembre 2023 per affermare che, nel contesto esaminato, il calcolo automatizzato dello score rientra nell’art. 22 GDPR, poiché il punteggio è determinante per la decisione del fornitore di energia di stipulare o meno il contratto. Di conseguenza, ai sensi dell’art. 15, par. 1, lett. h), l’interessato ha diritto a conoscere informazioni significative sulla logica utilizzata, sull’importanza e sulle conseguenze del trattamento.

Violazioni accertate: riscontri incompleti e non trasparenti

Cerved, nei riscontri alle istanze di accesso, aveva spesso confermato solo l’esistenza o meno dell’anagrafica e aveva comunicato i dati anagrafici presenti, omettendo però:

• lo "Score Retail Utilities";
• i sotto-score che lo compongono;
• le logiche e i criteri di elaborazione;
• le informazioni necessarie a comprendere l’effettivo peso delle variabili considerate.

Il Garante ha rilevato che tali informazioni erano ancora presenti nei sistemi della società al momento delle richieste e che, quindi, avrebbero dovuto essere comunicate in modo completo, conciso e intelligibile, in conformità agli artt. 12 e 15 GDPR e al principio di trasparenza di cui all’art. 5, par. 1, lett. a).

Misure adottate dalla società e loro insufficienza residua

Dopo gli accertamenti, Cerved ha introdotto una dashboard interna per l’ufficio reclami e ha predisposto nuovi modelli di risposta per consentire la ricerca delle interrogazioni CGS-X e una migliore comprensione dello score. Tuttavia, il Garante ha accertato che anche i nuovi modelli restavano incompleti, perché non includevano alcuni sotto-score né spiegazioni adeguate sulla loro definizione. Pertanto, il diritto di accesso non risultava ancora pienamente soddisfatto.

Valutazione finale, prescrizione e sanzione

Il Garante ha dichiarato illecito il trattamento per violazione degli artt. 5, par. 1, lett. a), 12 e 15 GDPR e ha ritenuto che le violazioni abbiano riguardato circa 2.094 interessati tra maggio 2022 e ottobre 2024. In sede correttiva ha ordinato a Cerved di adottare, entro sei mesi dalla notifica, una procedura idonea ad assicurare il pieno esercizio del diritto di rettifica ex art. 16 GDPR in caso di dati inesatti o incompleti relativi allo score. In sede sanzionatoria ha applicato una multa amministrativa di 400.000 euro, tenendo conto della gravità, della durata, del numero di interessati, della colpa, delle misure mitigative adottate, della cooperazione con l’Autorità, dell’assenza di precedenti specifici e delle condizioni economiche della società. Il provvedimento e l’ordinanza ingiunzione devono essere pubblicati sul sito del Garante.