Hera ed EstEnergy multate per lo score che negava i contratti energia

🛡️ Executive Summary

• Un sistema automatizzato combinava dati interni, informazioni commerciali e creditizie per assegnare ai potenziali clienti uno score di affidabilità.
• Il Garante ha contestato carenze su trasparenza, accesso, correttezza, minimizzazione e conservazione dei dati personali utilizzati nelle valutazioni.
• Hera Comm ed EstEnergy dovranno spiegare punteggi e logiche, consentire rettifiche e adeguare entro sei mesi procedure e tempi di conservazione.

Il Garante per la protezione dei dati personali ha inflitto sanzioni per complessivi 7,72 milioni di euro a Hera Comm, EstEnergy, Cerved Group ed Experian Italia per il trattamento dei dati utilizzati nello scoring dei potenziali clienti del mercato energetico. Il sistema attribuiva un punteggio di affidabilità e poteva determinare il rifiuto di un contratto di luce o gas, senza consentire agli interessati di comprendere pienamente quali dati, criteri e logiche avessero prodotto l’esito negativo. L’Autorità ha imposto anche misure correttive: le società dovranno rendere accessibile lo score, spiegare il funzionamento della valutazione e permettere la rettifica delle informazioni inesatte.

Quattro sanzioni per 7,72 milioni di euro

La sanzione più elevata, pari a 5,8 milioni di euro, è stata applicata a Hera Comm, mentre EstEnergy dovrà pagare 1,4 milioni. Cerved Group è stata sanzionata per 400.000 euro ed Experian Italia per 120.000 euro. Le decisioni, adottate il 3 luglio 2026 e comunicate il 21 luglio, arrivano dopo un’istruttoria avviata dalle segnalazioni di cittadini ai quali era stata negata l’attivazione di una fornitura energetica. Gli utenti avevano chiesto spiegazioni, ma non erano riusciti a ottenere una rappresentazione completa del punteggio attribuito e degli elementi che avevano determinato il rifiuto. Nel comunicato dedicato allo scoring dei contratti energetici, il Garante contesta violazioni riguardanti trasparenza, informazione, tempi di conservazione, gestione delle richieste di accesso e correttezza dei dati. Le irregolarità sarebbero proseguite per circa due anni e mezzo e avrebbero coinvolto un numero elevato di persone, elementi considerati insieme alla capacità economica delle società nella determinazione delle multe.

Come funzionava lo Score Integrato Utilities

La valutazione adottata dal gruppo Hera prevedeva innanzitutto un controllo interno sulle eventuali morosità maturate dal potenziale cliente. In assenza di criticità, il sistema interrogava le banche dati esterne di Cerved ed Experian attraverso il software CGS-X, fornito da Major 1. Il codice fiscale veniva utilizzato per acquisire lo Score Retail Utilities di Cerved e lo Score ESX di Experian, insieme a diversi sotto-punteggi. Questi valori venivano inseriti in un tracciato XML e combinati nello Score Integrato Utilities, successivamente interpretato dai sistemi SAP del gruppo per restituire un esito OK o KO. Una soglia predefinita poteva quindi trasformare automaticamente la valutazione in un diniego del contratto. La questione non riguarda il divieto assoluto di verificare l’affidabilità economica dei clienti, ma il rispetto dei principi illustrati nella guida al GDPR e ai diritti degli interessati: finalità determinate, dati pertinenti, informazioni comprensibili e possibilità concreta di accedere ai dati utilizzati. L’istruttoria ha rilevato circa 700.000 interrogazioni annuali e oltre un milione di persone fisiche sottoposte alla valutazione esterna tra il 2022 e il marzo 2024. Alcuni sotto-score tenevano conto anche di informazioni anagrafiche e della rischiosità statistica associata alla zona di residenza.

Il cliente non riusciva a conoscere il vero punteggio

Il nodo principale riguarda la distanza tra le informazioni possedute dalle società e quelle effettivamente comunicate alle persone interessate. Hera Comm indicava genericamente che il profilo di rischio derivava da sistemi automatizzati e dalla consultazione delle banche dati di Cerved ed Experian, ma non forniva lo Score CGS-X, i sotto-score e tutti gli elementi conservati nei propri sistemi. In diversi casi invitava inoltre i cittadini a rivolgersi direttamente ai fornitori dei dati, sebbene i tracciati completi delle interrogazioni fossero disponibili nell’infrastruttura del gruppo. Per il Garante, il diritto di accesso non può ridursi alla comunicazione dell’esistenza di una valutazione negativa: chi perde la possibilità di stipulare un contratto deve poter conoscere il punteggio, l’origine dei dati e gli elementi indispensabili per contestare eventuali errori. È lo stesso problema emerso in precedenti interventi sul settore finanziario, come la sanzione contro Volkswagen Leasing per la gestione dei dati creditizi. La trasparenza assume un valore sostanziale perché un dato inesatto, una classificazione statistica o una correlazione non spiegata possono produrre conseguenze economiche immediate senza che il cittadino disponga degli strumenti necessari per correggerle.

Conservazione e minimizzazione aggravano le violazioni

L’Autorità ha contestato anche la quantità di informazioni conservate e l’assenza, durante gli accertamenti, di una politica adeguata sui tempi di cancellazione. Hera Comm utilizzava principalmente il valore finale necessario a stabilire l’esito della richiesta, ma il tracciato XML conteneva ulteriori dati e sotto-score mantenuti anche per analisi finalizzate al possibile affinamento del sistema di rating. La documentazione esaminata indicava un periodo potenziale di conservazione fino a dieci anni dall’ultimo documento registrato in SAP, comprendendo anche i tracciati delle interrogazioni esterne. Experian è stata sanzionata inoltre per una violazione del principio di minimizzazione, avendo trattato dati ritenuti non necessari alla produzione dello score. Cerved ed Experian non avrebbero poi risposto in modo completo alle richieste di accesso, contribuendo a creare un circuito nel quale ogni società rimandava il cittadino a un altro soggetto della catena. I provvedimenti non qualificano ogni scoring come illecito, ma stabiliscono che l’uso di modelli statistici non elimina la responsabilità dei titolari del trattamento. Un sistema analogo al social scoring già esaminato dal Garante in Emilia-Romagna diventa particolarmente critico quando caratteristiche personali o territoriali vengono convertite in indicatori capaci di limitare l’accesso a servizi essenziali.

Le società dovranno rendere contestabile lo score

Hera Comm ed EstEnergy hanno sei mesi dalla notifica per adeguare i trattamenti alle prescrizioni del Garante. Le nuove procedure dovranno consentire ai potenziali clienti di comprendere il funzionamento del sistema, ottenere informazioni complete sui punteggi attribuiti e chiedere la rettifica dei dati inesatti. Dovranno essere rivisti anche gli obblighi informativi, i rapporti con i responsabili del trattamento, le finalità delle analisi successive e i tempi di conservazione. Cerved ed Experian dovranno invece modificare le modalità di risposta alle richieste degli interessati, evitando comunicazioni parziali che impediscano di ricostruire la valutazione trasmessa ai fornitori energetici. La decisione produce un effetto che supera il caso Hera: chi utilizza score per accettare o rifiutare clienti non può considerare il modello una scatola nera appartenente al fornitore tecnologico. La società che assume la decisione resta responsabile della base giuridica, della qualità dei dati e della possibilità di spiegare l’esito. Nell’economia dei servizi automatizzati, la conoscibilità del punteggio diventa così una condizione necessaria per rendere realmente esercitabili i diritti previsti dal GDPR.