Sapete che siete in un database centralizzato? Uno score può negarvi luce e gas

Vi abbiamo già raccontato perché i call center sanno già tutto sui contatori luce e gas e cosa è cambiato dal 19 giugno 2026 in maniera di contratti nel settore dell’energia. C’è però anche il problema opposto: un contratto di luce o gas può essere rifiutato non per una morosità accertata, ma perché un sistema informatico assegna al potenziale cliente un punteggio di affidabilità troppo basso. Il problema nasce quando quella valutazione resta opaca: l’interessato non conosce i dati utilizzati, non comprende la logica del calcolo e non dispone di una procedura efficace per correggere informazioni inesatte. Il Garante per la protezione dei dati personali è intervenuto proprio su uno scenario di questo tipo, sanzionando quattro società per un totale di 7,72 milioni di euro.

I provvedimenti, adottati il 3 luglio 2026 e comunicati il 21 luglio, descrivono le verifiche che hanno portato alla ricostruzione di un sistema di controllo del rischio attivo almeno dal 2021, capace di interrogare banche dati interne ed esterne prima della stipula di un contratto sul mercato libero. Tra il 2022 e il marzo 2024, la sola valutazione esterna ha interessato oltre 1 milione di persone fisiche.

La vicenda mostra con chiarezza cosa accade quando un punteggio generato da più fornitori, applicativi e basi informative produce conseguenze concrete sulla vita di una persona. Il GDPR richiede trasparenza, dati pertinenti, tempi di conservazione giustificati e strumenti reali per contestare il risultato.

Come funzionava il controllo sull’affidabilità dei clienti

Il processo analizzato dal Garante è partito da un controllo interno sulle eventuali morosità verso società di vendita di una nota multiutility italiana. Il sistema interrogava SAP utilizzando dati come nome, cognome, codice fiscale e identificativo del cliente; restituiva quindi un esito OK oppure KO.

Le regole interne consideravano, tra le altre situazioni, fatture scadute da oltre 60 giorni per più di 100 euro, rate scadute da oltre 30 giorni per importi superiori a 50 euro e crediti affidati al recupero legale oltre determinate soglie. In presenza di un KO interno, la procedura si fermava: se invece il controllo superava la prima fase, partiva la consultazione delle fonti esterne.

Entrava allora in gioco CGS-X, software fornito da Major 1 e utilizzato per combinare due indicatori: lo Score ESX di Experian e lo Score Retail Utilities di Cerved. L’elaborazione produceva uno Score Integrato Utilities, chiamato anche Score CGS-X, dal quale dipendeva l’accettazione o il rifiuto della richiesta contrattuale.

Dal punto di vista tecnico, il codice fiscale del richiedente serviva per interrogare i sistemi informativi dei due fornitori. Major 1 costruiva uno schema XML contenente punteggi, classi di rischio, indicatori granulari e diversi sotto-score; il file passava poi ai sistemi della multiutility. SAP confrontava il valore ottenuto con le soglie definite nella credit policy e restituiva al CRM l’esito finale.

La valutazione nasceva ex novo per ogni richiesta e risultava valida soltanto nella giornata dell’interrogazione. Eppure i dati prodotti non sparivano dopo la decisione: il tracciato XML e le informazioni collegate restavano archiviati nei sistemi aziendali, sia in caso di esito positivo sia in caso di rifiuto.

Il punteggio dipendeva anche da fattori statistici e territoriali

Uno degli aspetti più delicati riguarda la composizione dello score: il sistema non utilizzava soltanto informazioni direttamente riconducibili a insolvenze o rapporti finanziari negativi. Alcuni sotto-score consideravano elementi anagrafici e statistici, tra cui età, luogo di nascita, residenza e rischiosità attribuita alla zona nella quale viveva l’interessato.

In pratica, una persona poteva ricevere una valutazione sfavorevole anche senza eventi pregiudizievoli specificamente registrati a suo carico. Alcuni cittadini, dopo il diniego della fornitura, si erano rivolti a Cerved ed Experian; le risposte ricevute indicavano l’assenza di informazioni negative o eventi pregiudizievoli nelle rispettive banche dati. Restava però un punteggio complessivo sufficiente a bloccare il contratto.

Perché dire soltanto che esiste uno score non basta

Si apprende che le aziende multate avevano informato gli interessati dell’impiego di indicatori e tecniche automatizzate, facendo riferimento alla consultazione di sistemi gestiti da Cerved ed Experian. Secondo il Garante, le risposte restavano però troppo generiche: non indicavano lo Score CGS-X concretamente attribuito, i sotto-score, le soglie applicate né i criteri che avevano condotto al KO.

Il diritto di accesso previsto dall’articolo 15 del GDPR non si esaurisce nella consegna di un elenco astratto delle categorie di dati trattati: quando esiste un processo decisionale automatizzato, l’interessato deve ricevere informazioni significative sulla logica utilizzata, sull’importanza del trattamento e sulle conseguenze previste.

La Corte di giustizia dell’Unione europea ha chiarito un principio analogo nella causa C-203/22: l’informazione deve consentire alla persona di comprendere la procedura e i principi concretamente applicati ai suoi dati per generare il profilo. In altre parole, “lo ha deciso l’algoritmo” non rappresenta una risposta compatibile con il GDPR.

Il cliente deve poter correggere i dati e contestare il risultato

La trasparenza serve soprattutto a rendere esercitabili gli altri diritti: se l’interessato non conosce i dati utilizzati per attribuirgli una classe di rischio, non può capire se contengano errori, informazioni superate oppure riferimenti a un’altra persona.

Il Garante ha quindi ordinato alle multiutility sanzionate di predisporre un nuovo modello di risposta alle richieste di accesso: le comunicazioni dovranno includere lo Score CGS-X, gli ulteriori sotto-score e informazioni sulle logiche e sui criteri applicati dal sistema di calcolo.

Le aziende dovranno inoltre adottare una procedura capace di garantire il diritto di rettifica previsto dall’articolo 16: non basta insomma rimandare il cliente ai fornitori delle banche dati, soprattutto quando il titolare conserva nei propri sistemi il tracciato completo ricevuto e usa quel risultato per decidere sulla stipula di un contratto.

Inoltre, il principio di limitazione della conservazione impone di mantenere i dati identificativi soltanto per il tempo necessario alle finalità dichiarate. Non esiste una durata universale valida per ogni trattamento: il titolare deve collegare ciascun termine a esigenze concrete, come la gestione di contestazioni, obblighi normativi o difesa in giudizio.

Cosa può fare chi riceve un rifiuto basato su un punteggio

Chi si vede negare una fornitura può esercitare il diritto di accesso chiedendo quali dati personali siano stati utilizzati, da quali fonti provengano, quale punteggio sia stato attribuito e quali criteri abbiano determinato l’esito. È utile domandare anche se la decisione sia derivata unicamente da un trattamento automatizzato e come ottenere un riesame umano.

In presenza di dati inesatti o incompleti, l’interessato può chiederne la rettifica e domandare una nuova valutazione: la richiesta dovrebbe essere inviata al titolare che ha rifiutato il contratto, senza escludere istanze parallele ai soggetti che hanno fornito le informazioni.

Il titolare deve rispondere senza ingiustificato ritardo e, di regola, entro un mese: se la risposta resta generica, non chiarisce lo score oppure rinvia semplicemente ad altre società, la persona può presentare un reclamo al Garante o rivolgersi all’Autorità giudiziaria.

La decisione dell’Autorità italiana fissa quindi un principio concreto: un punteggio che incide sull’accesso a un servizio deve poter essere conosciuto, spiegato e contestato. L’automazione può aiutare le aziende a gestire il rischio; non può però trasformare una valutazione statistica in una sentenza senza motivazione.