L’uso dei sistemi di “scoring”, cioè software che attribuiscono ai potenziali clienti energia un punteggio di affidabilità per decidere se attivare o no il contratto di fornitura, finisce nel mirino del Garante per la protezione dei dati personali.
In quest’ambito, con quattro provvedimenti datati 3 luglio e disponibili in basso, l’Autorità ha sanzionato i fornitori di elettricità e gas Hera Comm e EstEnergy Spa, rispettivamente per 5,8 mln € e 1,4 mln €, e due società coinvolte nella fornitura dei dati trattati dal sistema di scoring utilizzato dalle società energetiche, Cerved Group ed Experian Italia, rispettivamente per 400.000 € e 120.000 €.
Per i due operatori elettricità/gas il Garante parla di violazioni della normativa sulla privacy nell’utilizzo dei sistemi di “score”.
Le istruttorie, in particolare, sono state avviate a seguito delle segnalazioni di alcuni cittadini a cui era stata negata la fornitura sulla base di un punteggio di affidabilità negativo, senza ricevere informazioni chiare sui criteri e sulla logica utilizzati per attribuirlo, come si legge in una nota.
L’Autorità ha dunque “accertato numerose e gravi violazioni in materia di trasparenza, informazione agli interessati, conservazione dei dati e gestione delle richieste di esercizio dei diritti” che si sono protratte per circa due anni e mezzo coinvolgendo “un elevato numero di persone”.
È stato dunque richiesto alle società di adottare misure correttive per rendere i trattamenti conformi al regolamento Ue sui dati personali (Gdrp), tra cui procedure più trasparenti che consentano agli interessati di comprendere il funzionamento del sistema di scoring, di ottenere informazioni complete sui punteggi attribuiti e di chiedere la rettifica di eventuali dati inesatti utilizzati nelle valutazioni.
Quanto a Cerved ed Experian, “l’Autorità ha accertato gravi violazioni del Gdpr, tra cui quella relativa al diritto di accesso degli interessati e, nel caso di Experian, anche al rispetto del principio di minimizzazione, per aver trattato dati non necessari all’elaborazione dello score di affidabilità”.
La posizione di Hera e EstEnergy
Con un comunicato datato 21 luglio Hera Comm ed EstEnergy sottolineano che nei provvedimenti l’Autorità riconosce la piena collaborazione prestata nel corso dell’intera istruttoria e le numerose iniziative spontaneamente adottate dalle due società per rafforzare ulteriormente i presidi già esistenti.
Le aziende precisano che le contestazioni mosse riguardano “solo alcuni aspetti specifici delle procedure adottate per la verifica dell’affidabilità creditizia di potenziali clienti applicate nell’ambito di una limitata porzione dell’attività commerciale e confermano il proprio costante impegno a garantire elevati standard di compliance, trasparenza e tutela dei dati personali”.
Al momento l’opposizione ai provvedimenti nei termini di legge è in corso di valutazione.
Il caso di Enel Energia
Sulla newsletter del Garante pubblicata il 16 luglio, inoltre, si segnala un provvedimento di maggio, sempre nel medesimo settore ma di diversa natura, riguardante Enel Energia.
Il procedimento trae origine da un reclamo in cui l’utente lamentava il diniego, da parte della società, di accedere alle informazioni contenute in una registrazione telefonica avvenuta con il servizio clienti.
Durante la conversazione, ha fatto notare Enel, l’operatore ha fornito dettagli che avrebbero potuto consentirne l’identificazione, come il nome e la matricola.
Il diniego al cliente è quindi legato all’esigenza di tutelare la privacy della società.
Sul punto il Garante ha ricordato che tale valutazione implica un’analisi da effettuare caso per caso, in base agli effettivi rischi per i diritti e le libertà del terzo coinvolto.
Il tutto valutando la possibilità di adottare misure per mitigare l’eventuale pregiudizio, ad esempio mediante l’oscuramento dei dati personali dell’operatore, l’applicazione di tecniche di camuffamento della voce e le trascrizioni.
La relazione annuale del Garante
È di inizio luglio, infine, la pubblicazione della relazione annuale del Garante per la privacy.
Nel documento si segnala che dal 1° gennaio al 31 dicembre 2025 sono state notificate all’Autorità 2.415 violazioni dei dati personali, ai sensi dell’art. 33 del regolamento Rgpd o dell’art. 26 del D.lgs. n. 51/2018, da parte di soggetti pubblici (21,3% dei casi) e privati (78,7% dei casi).
Nel pubblico le violazioni dei dati personali hanno riguardato soprattutto Comuni, strutture sanitarie e istituti scolastici; nel privato sono state coinvolte società del settore assicurativo, bancario, energetico, sanitario, dei trasporti e delle telecomunicazioni, ma anche piccole e medie imprese e professionisti.
Una specifica sezione della relazione è dedicata al telemarketing illegale nel settore energetico, in cui si rileva che “continuano a verificarsi con sempre maggiore frequenza acquisizioni illecite di liste sovente non aggiornate, utilizzate per effettuare contatti promozionali nell’ambito dei quali gli operatori, già a conoscenza dei dati anagrafici e di fornitura, paventando problemi tecnici o bonus di fantasia, cercano di indurre l’utente alla sottoscrizione di un nuovo contratto”.
Nel corso del 2025 si è inoltre assistito con una certa frequenza anche ad attività di “telemarketing e teleselling realizzate sulla base di anagrafiche acquisite mediante form presenti su siti web di comparazione o portali riguardanti concorsi a premi e social network riconducibili a società aventi sede all’estero o a siti web non navigabili, che utilizzano informative generiche e poco trasparenti non idonee a verificare l’identità del soggetto che conferisce i dati e l’esattezza delle informazioni acquisite”.
- Provvedimento Hera (pdf)
- Provvedimento EstEnergy (pdf)
- Provvedimento Cerved (pdf)
- Provvedimento Experian (pdf)
