Il 3 luglio 2026 il Garante per la protezione dei dati personali ha sanzionato per 7,72 milioni di euro due fornitori di luce e gas e due società di informazioni commerciali e creditizie. Ad alcuni cittadini la fornitura era stata negata per un punteggio negativo, senza informazioni chiare sui criteri (comunicato del 21 luglio 2026).
Non è un prestito, ma lo schema è quello del credito: un punteggio fornito o calcolato da terzi decide l'esito. Per la Corte di giustizia UE (sentenza C-634/21, SCHUFA Holding, nata da un prestito negato) il calcolo del punteggio può essere una decisione automatizzata.
⚖️ SCHUFA: lo score come decisione
Il 7 dicembre 2023 la Corte ha deciso che il calcolo automatizzato di un tasso di probabilità sulla capacità di pagare è un processo decisionale automatizzato ai sensi dell'art. 22(1) del Regolamento (UE) 2016/679 (GDPR). Vale se da quel tasso dipende in modo decisivo la decisione di un terzo sul contratto. La SCHUFA aveva comunicato il livello del punteggio, ma non gli elementi considerati né il loro peso, invocando il segreto commerciale. Sosteneva di limitarsi a trasmettere informazioni (punti 15-16). Per la Corte considerare decisione solo l'atto del terzo creerebbe un rischio di elusione dell'art. 22 (punti 61-63).
L'art. 22(1) è un divieto di principio (punto 52), con tre eccezioni (art. 22(2)): necessità contrattuale, legge con garanzie, consenso esplicito. Con contratto o consenso il titolare garantisce almeno intervento umano, opinione e contestazione (art. 22(3)). L'intervento deve essere reale: per le linee guida WP29 (WP251 rev.01, pp. 21 e 27) chi controlla deve avere autorità e competenza per cambiare la decisione.
🔎 Spiegare la logica: C-203/22
Il 27 febbraio 2025 la sentenza C-203/22, Dun & Bradstreet Austria ha riconosciuto, per le decisioni automatizzate dell'art. 22(1), un diritto alla spiegazione, sulla base dell'art. 15(1)(h) GDPR (punto 57). Il titolare deve descrivere procedura e principi applicati così che la persona capisca quali dati sono stati usati e come (punto 61). Non bastano una formula matematica complessa né l'elenco di tutte le fasi (punto 59). Sul segreto commerciale non decide il titolare: comunica le informazioni all'autorità di controllo o al giudice, che bilanciano i diritti (punti 74-76). Per Ciraolo (2025) servono informazione ex ante sul meccanismo e spiegazione ex post dell'esito.
🏛️ I provvedimenti del Garante
Le sanzioni sono di 5.800.000 euro per Hera Comm (n. 483), 1.400.000 per EstEnergy (n. 484), 400.000 per Cerved Group (n. 485) e 120.000 per Experian Italia (n. 486).
Hera Comm rispondeva alle richieste di accesso con un mero riferimento a un profilo di rischio, senza score, sotto-score e logica, rinviando i clienti a Cerved ed Experian. Per il Garante deve rispondere il titolare (artt. 12 e 15): ha ordinato un modello di risposta con punteggio, sotto-score, logica e criteri di calcolo, entro sei mesi.
Cerved ed Experian ritenevano inapplicabile l'art. 22. Richiamando la C-634/21, il Garante ha ritenuto applicabili anche a loro gli artt. 15(1)(h) e 22 (nn. 485-486). I quattro provvedimenti accertano violazioni degli artt. 5, 12, 13, 14, 15, 25 e 28 GDPR, ma non dell'art. 22. Sui suoi presupposti e sulle garanzie il Garante si riserva ulteriori iniziative (nn. 485-486).
⚠️ Dati e variabili
Cerved ha attribuito lo score anche a chi non aveva anagrafica nella banca dati, basandolo in prevalenza sul rischio associato a residenza, età e zona di nascita (n. 485). Experian lo ha fatto anche per chi non risultava nel sistema di informazioni creditizie, con l'indicatore GeoDelphi, basato solo sull'indirizzo di residenza (n. 486).
📜 TUB e direttiva 2023/2225
Il d.lgs. 31 dicembre 2025, n. 212 ha recepito la direttiva (UE) 2023/2225, che dal 20 novembre 2026 abroga la direttiva 2008/48/CE. Per l'art. 124-bis del Testo unico bancario (TUB) il consumatore può chiedere l'intervento umano se la valutazione del merito creditizio si fonda anche solo in parte su un trattamento automatizzato. Comprende spiegazione di logica e rischi, opinione e riesame della decisione (comma 2-bis). Se il trattamento è di un terzo di cui il finanziatore si avvale, questi deve adottare le misure per acquisire dal terzo le informazioni necessarie alla spiegazione (comma 2-ter).
L'art. 127-ter estende la regola ai contratti di finanziamento «anche ai fini dell'articolo 22, paragrafo 2, lettera b)» del GDPR. L'art. 122-bis vieta condizioni discriminatorie verso i consumatori legalmente soggiornanti nell'UE (cittadinanza, residenza o altri motivi dell'art. 21 della Carta), salvo criteri oggettivi. Finanziatori e intermediari devono adeguarsi entro il 20 novembre 2026 o, se successivo, novanta giorni dopo le norme della Banca d'Italia (art. 6(2) del decreto).
🤖 AI Act: obblighi e date
Il Regolamento (UE) 2024/1689 (AI Act) classifica ad alto rischio i sistemi di IA per valutare l'affidabilità creditizia delle persone fisiche, esclusi quelli per individuare frodi finanziarie (allegato III, punto 5(b)). Il Regolamento (UE) 2026/1744 dell'8 luglio 2026 ha spostato dal 2 agosto 2026 al 2 dicembre 2027 gli obblighi del capo III, sezioni 1-3, per questi sistemi. Per il considerando 63 il regolamento non va inteso come fondamento giuridico per trattare dati personali, salvo disposizioni specifiche.
🏦 EBA/GL/2020/06: modelli automatizzati
Le linee guida EBA si applicano dal 30 giugno 2021 (par. 18); gli enti devono compiere ogni sforzo per conformarsi (par. 1). Per i modelli automatizzati (par. 54-55) chiedono politiche contro il bias, tracciabilità, backtesting, override, escalation e documentazione. La transizione al 30 giugno 2024 riguarda solo i dati per il monitoraggio dei crediti esistenti (par. 22).
🧩 Responsabilità e Modelli 231
Il titolare deve poter dimostrare la conformità (art. 24 GDPR). Non può scaricare sul fornitore le risposte agli interessati (Garante, n. 483).
Il d.lgs. 231/2001 prevede la responsabilità amministrativa dell'ente per i reati commessi nel suo interesse o a suo vantaggio (art. 5); i Modelli 231 prevedono segnalazioni interne e divieto di ritorsione (art. 6(2-bis)). Il d.lgs. 24/2023 include tra le violazioni segnalabili gli illeciti, in settori come servizi finanziari, protezione dei consumatori e dati personali, rientranti negli atti dell'allegato al decreto (art. 2(1)(a)(3)).
📌 Cosa può chiedere il cliente
- Accesso a dati, score e, almeno nelle decisioni automatizzate, logica (art. 15(1)(h)), entro un mese, prorogabile di due (art. 12(3)).
- Rettifica dei dati inesatti o incompleti (art. 16).
- Opposizione, per motivi legati alla sua situazione particolare, se il trattamento si basa sull'art. 6(1)(e) o (f) (art. 21(1)).
- Intervento umano, opinione e contestazione, se la decisione è solo automatizzata e si fonda su necessità contrattuale o consenso esplicito (art. 22(3)).
- Per i consumatori, intervento umano anche se lo score concorre solo in parte (art. 124-bis TUB), per i contratti stipulati dopo il termine di adeguamento.
#CreditScoring #GDPR #Art22 #AIAct #TrasparenzaAlgoritmica #EBA
