// TOM'S HARDWARE ITALIA — MONDO
Scoring per valutare i clienti senza trasparenza, arrivano le multe
Il Garante Privacy sanziona quattro società per complessivi 7,72 milioni di euro, con un provvedimento datato 3 luglio 2026. Il testo integrale diventa pubblico solo il 21 luglio, quasi tre settimane dopo la decisione. Il Garante lo spiega così: due anni di scoring dei clienti opaco, senza spiegazione dei sotto-punteggi e senza modo di correggerli.
Il caso arriva alla cronaca italiana solo a fine luglio, quando Federprivacy la riprende quasi un mese dopo la sanzione. Il provvedimento porta la data del 3 luglio, il comunicato ufficiale quella del 21: fra i due passano diciotto giorni.
Hera Comm ed EstEnergy usano lo stesso sistema, chiamato "Score CGS-X", per decidere se accettare un nuovo cliente di energia. Hera Comm viene sanzionata per 5,8 milioni di euro, EstEnergy viene multata per 1,4 milioni: entrambe hanno violato gli articoli 5, 12, 13, 14 e 15 del GDPR, oltre all'articolo 28 sul rapporto con i fornitori di dati. Le due società condividono lo stesso bacino di circa un milione di persone fisiche valutate in due anni, e in una parte di quei casi lo score ha portato al diniego della fornitura.
Lo "Score CGS-X" nasce fuori da Hera Comm e da EstEnergy. Lo "Score CGS-X" è un punteggio di sintesi che ne assembla altri due: lo "Score Retail Utilities" di Cerved Group S.p.A. e lo "Score ESX" di Experian Italia, e chi riceve il diniego vede solo il numero finale.
Cerved ha sede a San Donato Milanese e calcola il proprio punteggio come titolare autonomo del trattamento: la decisione sul contratto resta alle due aziende di energia, la logica del punteggio resta sua. Per la violazione degli articoli 5, 12 e 15 del GDPR il Garante le ordina 400mila euro di multa, perché a chi chiedeva accesso ai propri dati non comunicava lo "Score Retail Utilities" né i criteri con cui lo calcola. Experian Italia paga anche lei 120mila euro, per aver trasmesso al fornitore del software, "Major 1 S.r.l.", tracciati con sotto-punteggi superflui al calcolo finale.
Un punteggio venduto come servizio chiuso vale di più di un algoritmo spiegato riga per riga, e la richiesta di accesso è precisamente il punto in cui quella riservatezza commerciale incontra un diritto. Il conto più alto è finito su chi ha usato il punteggio per negare un contratto: la responsabilità di spiegarlo a un cliente in carne e ossa resta di chi decide il rapporto contrattuale.
Il Garante lo richiama espressamente: la sentenza della Corte di Giustizia UE C-634/21, il caso tedesco SCHUFA sullo scoring creditizio. Un punteggio con effetti significativi rientra nell'articolo 22 del GDPR sulla decisione automatizzata. Vale anche quando, in fondo alla pratica, a firmare resta un umano che si limita a confermare un numero calcolato altrove.
Il provvedimento chiede procedure vere al posto di quel timbro finale, perché una firma apposta su un numero calcolato altrove lascia la pratica dentro l'articolo 22. Il Garante lo mette nero su bianco, parlando di procedure che permettano "di comprendere il funzionamento del sistema di scoring, di ottenere informazioni complete sui punteggi attribuiti e di chiedere la rettifica di eventuali dati inesatti utilizzati nelle valutazioni". Un provvedimento simile lo aveva affrontato il Garante a inizio luglio, su un'informativa carente in un altro settore.
Il Garante lo impone a tutte e quattro le società: un nuovo modello di riscontro alle richieste di accesso. Score, sotto-score e logiche di calcolo vanno indicati per esteso, entro sei mesi dal provvedimento.
La procedura di rettifica prevista dall'articolo 16 del GDPR esiste sulla carta da anni. Qui va ancora costruita, con un intervento umano effettivo come chiede l'articolo 22 sulla decisione automatizzata.