CREDIT SCORING E ALGORITMI: IL GARANTE PRIVACY SANZIONA HERA ED ESTENERGY PER LE DECISIONI AUTOMATIZZATE

Un algoritmo può incidere sulla possibilità di un consumatore di stipulare un contratto di fornitura energetica? E soprattutto: quali informazioni possono essere utilizzate per attribuire un punteggio al cliente e quali diritti deve avere la persona sottoposta alla valutazione automatizzata? Il tema è al centro del provvedimento del Garante per la Protezione dei Dati Personali del 22 luglio 2026, richiamato nel documento allegato, relativo all’impiego di sistemi di credit scoring e profilazione automatizzata da parte di Hera ed EstEnergy. Secondo il documento, il sistema poteva rifiutare o condizionare la stipula di contratti nel mercato libero sulla base di verifiche incrociate e valutazioni automatizzate. L’Autorità ha contestato, tra gli altri aspetti, la base giuridica del trattamento, i tempi di conservazione dei dati e la carenza di trasparenza sulle logiche utilizzate dall’algoritmo, richiamando gli artt. 13, 14 e 22 del GDPR.

COME FUNZIONAVA IL CREDIT SCORING

Secondo quanto riportato nell’approfondimento allegato, il sistema attribuiva agli utenti un punteggio utilizzando informazioni provenienti da fonti differenti.

La valutazione non si basava esclusivamente sullo storico interno del cliente o sui dati provenienti dai Sistemi di Informazioni Creditizie (SIC), ma prendeva in considerazione anche indici statistici territoriali ISTAT associati al livello di “degrado” dell’area di residenza e consistenze catastali.

Il risultato della profilazione poteva quindi incidere concretamente sull’accesso del consumatore al contratto di fornitura.

Proprio quando una decisione automatizzata produce conseguenze significative sulla persona, la protezione dei dati non può essere considerata un semplice adempimento formale.

IL PROBLEMA DELLA BASE GIURIDICA

Tra le criticità indicate nel documento figura l’assenza di un’adeguata base giuridica per i trattamenti contestati.

Il GDPR richiede che ogni trattamento di dati personali trovi fondamento in una delle condizioni previste dal Regolamento.

La disponibilità tecnica di un’informazione, pertanto, non significa automaticamente che questa possa essere utilizzata per costruire un profilo destinato a incidere sulle decisioni relative a un cliente.

Per le imprese che adottano sistemi di scoring, profilazione o intelligenza artificiale diventa quindi essenziale individuare preventivamente quali dati vengono utilizzati, da quali fonti provengono e quale sia la base giuridica che ne consente il trattamento.

TRASPARENZA: IL CLIENTE DEVE COMPRENDERE LA DECISIONE

Un altro punto centrale riguarda la trasparenza dell’algoritmo.

Gli artt. 13 e 14 GDPR disciplinano le informazioni che devono essere fornite agli interessati, mentre l’art. 22 interviene sulle decisioni basate unicamente su trattamenti automatizzati quando producano effetti giuridici o incidano significativamente sulla persona.

Secondo il documento allegato, il Garante ha riscontrato una marcata carenza di trasparenza sulle logiche del sistema e ha imposto, tra le altre misure, di consentire agli utenti di conoscere il proprio punteggio algoritmico, comprenderne la logica e chiedere la rettifica dei dati inesatti.

La trasparenza non può quindi ridursi alla generica comunicazione che viene utilizzato un algoritmo: la persona deve poter comprendere come il trattamento incida sulla propria posizione.

CONSERVARE I DATI “PERCHÉ POTREBBERO SERVIRE” NON È SUFFICIENTE

Il provvedimento richiamato nel documento evidenzia inoltre una conservazione sproporzionata dei dati, anche nei casi in cui il contratto fosse stato rifiutato.

Il principio di limitazione della conservazione impone invece di mantenere i dati personali per un periodo coerente con le finalità per cui sono stati raccolti.

Per le organizzazioni ciò significa stabilire tempi di conservazione motivati e verificare periodicamente se le informazioni debbano ancora essere mantenute.

ALGORITMI E DISCRIMINAZIONE: IL RISCHIO DEI DATI TERRITORIALI

L’utilizzo di indicatori collegati all’area geografica di residenza pone inoltre una questione particolarmente delicata.

Attribuire rilevanza a caratteristiche statistiche del territorio può determinare conseguenze sul singolo consumatore sulla base di elementi che non descrivono necessariamente la sua effettiva affidabilità individuale.

Il caso mostra quindi quanto sia importante valutare non soltanto la correttezza tecnica di un modello, ma anche quali dati alimentano il sistema e quali conseguenze producono le correlazioni utilizzate.

COSA CAMBIA PER LE IMPRESE CHE UTILIZZANO ALGORITMI

Il provvedimento rappresenta un richiamo importante per tutte le organizzazioni che utilizzano sistemi automatizzati nei rapporti con clienti e utenti.

Prima di adottare strumenti di scoring o profilazione è necessario definire finalità, dati utilizzati, basi giuridiche, tempi di conservazione e modalità con cui vengono fornite le informazioni agli interessati.

Occorre inoltre prevedere procedure che consentano di gestire richieste di accesso e rettifica e, quando applicabile, le garanzie connesse alle decisioni automatizzate.

La compliance deve quindi essere progettata prima che l’algoritmo inizi a produrre decisioni, non soltanto dopo l’intervento dell’Autorità.