Il contratto negato dal punteggio che nessuno ti spiega: 7,72 milioni dal Garante

Che cosa succede quando chiedi un contratto della luce

Chiedete di attivare una fornitura di energia elettrica o gas sul mercato libero. Compilate i dati, li mandate, e vi arriva un rifiuto. Nessuna spiegazione utile: la richiesta non è stata accolta.

Quello che è successo nel mezzo, e che quasi nessuno immagina, è che i vostri dati sono stati mandati a una o più banche dati esterne, che hanno restituito un giudizio sintetico sulla vostra affidabilità come pagatori. Un programma ha combinato quei giudizi in un unico numero e, sulla base di quel numero, ha deciso.

Il software in questione si chiama CGS-X, fornito da Major 1 S.r.l.; l'indicatore che produce è lo «Score Integrato Utilities», alimentato dallo Score Retail Utilities di Cerved e dallo Score ESX di Experian, oltre a una serie di sotto-punteggi. Il volume dichiarato agli atti: «vengono effettuate, complessivamente, circa 700.000 interrogazioni all'anno».

Non stiamo parlando di un mutuo. Stiamo parlando della luce.

I quattro provvedimenti

Il 3 luglio 2026 il Garante adotta quattro ordinanze ingiunzione, pubblicate il 21 luglio insieme a un comunicato stampa. Il totale è 7,72 milioni di euro.

A Cerved Group vengono contestati l'art. 5.1 lett. a) e gli artt. 12 e 15; a Experian Italia l'art. 5.1 lett. a) e c) e gli artt. 12, 15 e 25. Sulle sanzioni pesa la capacità economica calcolata sul bilancio d'esercizio 2024; le misure correttive vanno attuate entro sei mesi.

Una precisazione doverosa, perché tocca un articolo del GDPR che qui non c'entra come si potrebbe pensare: l'articolo 22, sulle decisioni automatizzate, non compare fra le norme dichiarate violate. Compare nelle prescrizioni, al paragrafo 3, sul diritto di ottenere l'intervento umano. Non è quindi corretto dire che le società sono state sanzionate per violazione dell'art. 22.

Il cuore della decisione: cosa vuol dire «spiegare»

Il passaggio più importante non riguarda le cifre, ma il contenuto del diritto di accesso. Il Garante scrive che «gli interessati, nel caso in esame, vantano il diritto ad avere piena contezza di tutti gli elementi di cui si compone la valutazione in ordine alla propria affidabilità creditizia, inclusi quelli presi in considerazione dal titolare ai fini dell'attribuzione dello score, nonché i criteri di calcolo utilizzati».

E qui l'Autorità richiama la Corte di giustizia dell'Unione europea, sentenza del 27 febbraio 2025 nella causa C-203/22, che aveva già delimitato il perimetro da entrambi i lati: «non può soddisfare tali requisiti né la semplice comunicazione di una formula matematica complessa, come un algoritmo, né la descrizione dettagliata di tutte le fasi di un processo decisionale automatizzato».

È una definizione con due muri. Da un lato non basta dire è un algoritmo, ecco il codice: non è una spiegazione, è un rinvio a un oggetto che l'interessato non può leggere. Dall'altro non serve raccontare ogni passaggio della catena: nessuno chiede il manuale di manutenzione. Quello che va comunicato sta nel mezzo: quali informazioni sono state usate, e con che criterio hanno pesato.

1. 01
   La richiesta di contratto

   i dati partono verso le banche dati esterne
2. 02
   Il punteggio

   CGS-X combina gli score dei fornitori in un numero unico
3. 03
   La decisione

   il contratto viene accettato o rifiutato · e qui nasce il diritto a capire

Nel caso concreto la contestazione è molto pratica: le risposte date a chi chiedeva conto del proprio caso non mettevano la persona in condizione di capire. Il Garante lo dice così a proposito di una delle società: «L'inadeguatezza dei riscontri forniti da Hera Comm S.p.A. non ha dunque posto l'interessato nella condizione di avere contezza della liceità e correttezza del trattamento».

La prescrizione che ne consegue è altrettanto concreta: la «definizione di un nuovo modello di riscontro alle istanze di accesso, ai sensi dell'art. 15 del Regolamento, che contenga tutte le indicazioni relative allo "Score CGS-X" e agli ulteriori sotto-score, nonché alle logiche e ai criteri applicati al sistema di calcolo».

Non una dichiarazione di principio: un modulo da riscrivere.

Perché questo caso riguarda anche chi si occupa di sicurezza

C'è un motivo per cui una decisione sul credit scoring finisce su un sito di cybersecurity, e non è la contiguità fra le due materie.

Un sistema che interroga banche dati esterne 700.000 volte l'anno è, tecnicamente, un flusso continuo di dati personali verso terze parti, governato da contratti di responsabile del trattamento — l'art. 28 contestato è esattamente questo. Ogni interrogazione è una superficie: un dato che esce, un fornitore che risponde, un registro che si accumula da qualche parte. La domanda di sicurezza «chi ha accesso a cosa, per quanto tempo, e con quale contratto» e la domanda di protezione dati sono, in un impianto del genere, la stessa domanda posta con parole diverse.

E c'è un secondo punto, più sottile. Un archivio che contiene, per milioni di persone, un giudizio sintetico di affidabilità economica è un bersaglio di valore indipendentemente da come è stato costruito. La minimizzazione dei dati — l'art. 5.1 lett. c) contestato a Experian — non è solo un principio giuridico: è la misura di sicurezza che riduce il danno di una violazione che non è ancora avvenuta.

Cosa potete fare voi

Se vi hanno negato un contratto, potete chiedere di sapere perché. Il diritto di accesso dell'art. 15 GDPR copre anche gli elementi che hanno determinato il punteggio e i criteri di calcolo, non solo l'elenco dei dati trattati.

Non accettate «è il sistema» come risposta. Secondo la Corte di giustizia e questi provvedimenti, né il rinvio all'algoritmo né il silenzio soddisfano l'obbligo.

Potete chiedere l'intervento umano. È l'art. 22, paragrafo 3, richiamato nelle prescrizioni: una decisione automatizzata che produce effetti significativi non deve restare l'ultima parola.

Chiedete anche di correggere il dato a monte. Se il punteggio poggia su un'informazione sbagliata in una banca dati esterna, la rettifica va chiesta anche lì: correggere l'esito senza correggere la fonte serve una volta sola.

Cosa non sappiamo

Una discrepanza reale fra le fonti va segnalata: il comunicato stampa parla di violazioni «protrattesi per circa due anni e mezzo», ma nei provvedimenti Hera Comm ed EstEnergy si legge «circa 2 anni». Il periodo più lungo riguarda Cerved ed Experian. Non è un dettaglio da uniformare per comodità.

Non è quantificato il numero complessivo di persone coinvolte: nelle prescrizioni si citano cinque reclamanti, anonimizzati. I sotto-punteggi sono [OMISSIS] nel testo pubblicato, quindi la composizione esatta dello score non è di dominio pubblico. Non è noto se le società pagheranno in misura ridotta o presenteranno opposizione nei termini di legge.

Infine una nota di continuità: il provvedimento da 120.000 euro nei confronti di Experian Italia fa parte di questo stesso gruppo di decisioni ed è già stato trattato su queste pagine dal punto di vista dei Sistemi di Informazioni Creditizie. Qui l'angolo è un altro — la fornitura di energia e il contratto negato — e le due letture non si sostituiscono.