[doc. web n. 10273659]

Provvedimento del 3 luglio 2026

Registro dei provvedimenti
n. 486 del 03 luglio 2026

 
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
 

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il d.lgs. del 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. del 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Agostino Ghiglia;

PREMESSO

1. Premessa.

Sono pervenute a questa Autorità diverse istanze aventi ad oggetto il trattamento dei dati personali posto in essere da Experian Italia S.p.A. (di seguito anche “Società”), ai fini della verifica dell’affidabilità dei potenziali clienti di Hera Comm S.p.A. e di EstEnergy S.p.A.

Nello specifico, gli istanti hanno lamentato il diniego della fornitura di energia, da parte di Hera Comm S.p.A. e di EstEnergy S.p.A., in ragione della rilevazione di un profilo di rischio degli interessati che sarebbe emerso, a seguito di verifiche effettuate dalle predette Società, anche attraverso la consultazione di sistemi di informazioni creditizie (il cui gestore è Experian Italia S.p.A.) e l’utilizzo di servizi di informazioni commerciali (il cui gestore è Cerved Group S.p.A.).

Trattasi di un profilo di rischio elaborato all’interno del Gruppo Hera, mediante l’utilizzo di un software, messo a disposizione da Major 1 S.r.l., denominato “CGS-X”.

Tale software consente, ai sopra menzionati fornitori di energia, di elaborare un profilo di rischio in relazione all’affidabilità dei potenziali clienti, sulla base di un indicatore integrato denominato “Score Integrato Utilities” (di seguito anche definito “Score CGS-X”).

Quest’ultimo è il risultato della combinazione di due indicatori valutativi, uno denominato “Score ESX” (fornito da Experian Italia S.p.A.) e uno definito “Score Retail Utilities” (messo a disposizione da Cerved Group S.p.A.).

Al riguardo, gli istanti hanno evidenziato che, sebbene il diniego della fornitura di energia sia stato la conseguenza dell’attribuzione agli stessi di uno score di sintesi, in termini di scarsa affidabilità, derivante dalla consultazione delle banche dati gestite da Cerved Group S.p.A. e da Experian Italia S.p.A., queste ultime Società, specificamente interpellate sul punto mediante istanze di accesso ai sensi dell’art. 15 del Regolamento, avevano dichiarato l’assenza, all’interno dei propri sistemi, di informazioni negative e/o eventi pregiudizievoli a carico dei predetti interessati, tali da giustificare una valutazione non positiva.

In merito a quanto sopra, si fa presente che l’Autorità, viste le molteplici istanze ricevute, ha in primis ritenuto di procedere alla riunione dei singoli procedimenti sopra richiamati, al fine di effettuare un esame organico delle questioni ad essi sottese e successivamente ha avviato d’ufficio, ai sensi dell’art. 21 del Regolamento del Garante n. 1/2019, un’attività istruttoria volta a valutare, nel complesso, le modalità e le finalità del trattamento posto in essere da Experian Italia S.p.A. nell’ambito del servizio, messo a disposizione da Major 1 S.r.l. e denominato “CGS-X”.

In tale ottica sono stati effettuati diversi accertamenti ispettivi, che hanno avuto luogo nei confronti di Hera S.p.A., in data 18, 19 e 20 marzo 2024; di Major 1 S.r.l., il 15 e 16 aprile 2024; di Cerved Group S.p.A., in data 16 aprile 2024, nonché nei confronti di Experian Italia S.p.A., il 13 e 14 giugno 2024.

In seguito, considerata la particolare complessità dell’istruttoria e al fine di acquisire maggiori informazioni in merito al trattamento dei dati di cui sopra, sono state poste in essere ulteriori verifiche in loco, presso Major 1 S.r.l., il 15 e 16 ottobre 2024, e presso Cerved Group S.p.a., in data 16 ottobre 2024.

2. L’attività istruttoria.

L’attività istruttoria nei confronti di Experian Italia S.p.A. ha tenuto conto, oltre che delle risultanze degli accertamenti ispettivi sopra citati, anche degli ulteriori elementi pervenuti con la documentazione integrativa, trasmessa dalla Società, il 27 giugno 2024, a scioglimento delle riserve formulate nel corso delle verifiche in loco, nonché della comunicazione di Experian Italia S.p.A. del 6 febbraio 2025 e di quanto riportato nella nota del 18 aprile 2025, pervenuta in riscontro alla richiesta di informazioni dell’Autorità del 19 marzo 2025.

Nell’ambito dell’istruttoria, in relazione ai profili evidenziati in premessa, è emerso quanto di seguito riportato.

2.1. Gli esiti degli accertamenti in loco.

Il software “CGS-X” è distribuito “sulla base di un pacchetto contrattuale che prevede la sottoscrizione, da parte del cliente [ovvero il fornitore di energia], di tre distinti documenti contrattuali rispettivamente con Cerved Group S.p.A., Experian Italia S.p.A. e Major 1 S.r.l.” (v. verbale di Major del 15 aprile 2024, pag. 3).

Una volta aderito al servizio, il fornitore di energia inserisce, all’interno del software CGS-X, i dati dei propri potenziali clienti, agendo quale autonomo titolare del trattamento e designando, al contempo, Major 1 S.r.l. responsabile del trattamento, ex art. 28 del Regolamento.

Quest’ultima opera come outsourcer tecnologico, fornendo la licenza d’uso del software “CGS-X” e, in tale contesto, a fronte dell’interrogazione effettuata dal fornitore di energia, provvede a consultare i sistemi di informazioni commerciali, gestiti da Cerved Group S.p.A., e quelli di informazioni creditizie, il cui gestore è Experian Italia S.p.A.

Secondo quanto emerso in sede di ispezione presso Major 1 S.r.l., “l’accesso ai sistemi informativi di Cerved e di Experian è effettuato da Major 1 S.r.l., in nome e per conto del cliente [fornitore di energia] (..) e si configura quale comunicazione di dati tra titolari autonomi del trattamento (tra Experian/Cerved e il cliente)” (v. verbale di Major 1 S.r.l. del 15 aprile 2024, pag. 3).  

Dal punto di vista operativo, “il funzionamento del predetto software prevede che il cliente [fornitore di energia] esegua un’interrogazione (..) con chiamata puntuale sulla base del codice fiscale [dell’interessato]” (v. verbale di Major 1 S.r.l. del 15 aprile 2024, pag. 2).

Il sistema “provvede ad interrogare per i medesimi codici fiscali i sistemi informativi di Cerved e di Experian” acquisendo lo “Score Retail Utilities” di Cerved Group S.p.A. e lo “Score ESX” di Experian Italia S.p.A., unitamente ai relativi sotto-score.

Tali informazioni “vengono elaborate dal software di Major 1 al fine di ottenere (..), in risposta alle predette interrogazioni, (..) uno score integrato (c.d. Score CGS-X) relativo alla valutazione di “affidabilità” degli interessati; score che è il risultato della combinazione (..) dei punteggi acquisiti presso le banche dati di Experian (Sistema di informazioni creditizie -SIC) e di Cerved (informazioni commerciali)” (v. verbale di Major 1 S.r.l. del 15 aprile 2024, pagg. 2-3).

Più nello specifico, con riferimento al trattamento effettuato da Experian Italia S.p.A. ai fini del calcolo dello “Score ESX”, è stato verificato che quest’ultimo viene elaborato sulla base delle variabili di seguito indicate:

- “Delphi per utilities (D4U)”: modello statistico, sviluppato “sulla base di dati degli accedenti al SIC, elaborato ad hoc per il mondo delle utilities e che tiene conto anche delle insolvenze rilevate in tale settore” (v. verbale di Experian Italia S.p.A. del 13 giugno 2024, pagg. 3-4);

- “DG3r”: indicatore “inerente alla probabilità di default dell’anagrafica interrogata. Utilizza esclusivamente i dati presenti nel SIC relativi al credito al consumo (mutui, prestiti, finanziamenti)” (v. verbale di Experian Italia S.p.A. del 13 giugno 2024, pag. 3);

- “CDI”: indicatore “della probabilità di sovraindebitamento dell’anagrafica, che si basa sulle informazioni contenute nel SIC” (v. verbale Experian Italia S.p.A. del 13 giugno 2024, pag. 3);

- “GeoDelphi”: modello statistico “di rischio, sviluppato sulla base delle informazioni presenti nel SIC, che tiene conto del luogo di residenza dell’anagrafica dell’interessato per il quale è effettuata l’interrogazione (..). Tale indicatore non tiene conto del luogo di nascita dell’interessato. (..) L’indirizzo di residenza viene acquisito dai dati forniti dal cliente al momento dell’interrogazione” (v. verbale Experian Italia S.p.A. del 13 giugno 2024, pagg. 3-4).

Si rileva inoltre che, Experian Italia S.p.A., in riscontro alle interrogazioni effettuate da Major 1 S.r.l. per il tramite del software “CGS-X”, trasmette a quest’ultima, un tracciato XML recante le seguenti informazioni:

- il punteggio denominato “ESX score” e quello definito “ESX index” (v. verbale del 13 giugno 2024, pagg 4 e 5);

- il “Flag-hit: posizione censita nel SIC” che indica la presenza dell’anagrafica dell’interessato nel SIC di Experian S.p.A. (v. verbale Experian Italia S.p.A., del 13 giugno 2024, pag. 4);

- il valore “E5-35: variabile che indica il peggiore degli stati di pagamento dell’interessato tra i contratti presenti nel SIC” (v. verbale di Major 1 S.r.l., del 14 ottobre 2024, pag. 3);

- il valore del “DG3r index” e del “DG3r score” (v. verbale Experian Italia S.p.A., del 13 giugno 2024, pag. 5); 

- l’indicatore “D4U index” e quello inerente al “D4U score” (v. verbale di Experian Italia S.p.A., del 13 giugno 2024, pag. 5).

È stato, inoltre, verificato che “di contro, il tracciato di risposta che Major 1, sempre nell’ambito della fornitura del prodotto CGS-X, trasmette a Hera S.p.A. (..) non riporta alcuni dei predetti indici (in particolare il D4U e, in alcuni casi, l’E5-35). Nel predetto tracciato è sempre presente non solo l’ESX (score e index) ma anche il DG3r (index e score)” (v. verbale di Major 1 S.r.l., del 14 ottobre 2024, pagg. 2 e 3).

In ordine alle motivazioni alla base di tale differenza tra i predetti tracciati, è emerso che:

- “con riferimento all’indice E5-35, lo stesso viene restituito al cliente (HERA)” nei soli casi in cui “il valore Flag hit è pari a “true” (equivalente a posizione presente nel SIC Experian). Tale valore può andare da 0 a 8 (dove 8 indica una situazione di sofferenza creditizia sul SIC Experian). Nello specifico l’indice E5-35 pari a 8, genera un override del CGS-X il cui valore viene modificato a seconda dei casi in 7a o 7b, ovvero consente di dare una valutazione negativa ad una data anagrafica, indipendentemente dal valore dell’ESX” (v. verbale di Major 1 S.r.l., del 14 ottobre 2024, pag. 3; cfr. anche verbale di Major 1 S.r.l., del 15 ottobre 2024, pag. 2);

- “in ordine all'indice Dg3r, lo stesso non è utilizzato da Major1 per il calcolo del CGS-X per utilities, ma è fornito a Hera in quanto il modello utilizzato per inviare il tracciato è quello standardizzato rivolto sia al settore delle utilities sia al settore bancario” (v. verbale di Major 1 S.r.l., del 14 ottobre 2024, pag. 3);

- “relativamente all'indice D4U, lo stesso viene trasmesso da Experian ma non è mai utilizzato da Major1 per il calcolo del CGS-X. Tale indice non è trasmesso [da Major 1 S.r.l.] al cliente Hera” (v. verbale di Major 1 S.r.l., del 14 ottobre 2024, pag. 3). Sul punto è stato rappresentato che, “verosimilmente, il tracciato XML era stato inizialmente concepito, d’accordo con Cerved, con il dettaglio delle predette variabili, e che, solo successivamente, le società [Experian Italia S.p.A. e Cerved Group S.p.A] hanno condiviso di limitare le informazioni necessarie all’elaborazione dello score CGS-X (..). Il tracciato XML però non è stato modificato in tale senso ed è rimasto come inizialmente previsto” (v. verbale di Experian Italia S.p.A. del 14 giugno 2024, pag. 2).

2.2. Le istanze in materia di esercizio dei diritti presentate agli interessati ad Experian Italia S.p.A.

Per quanto concerne, nello specifico, i riscontri oggetto di contestazione da parte dei reclamanti – forniti dalla Società ai sensi degli artt. 12 e 15 del Regolamento – è emerso che di Experian Italia S.p.A. si è limitata a trasmettere agli istanti un rapporto informativo contenente esclusivamente i dati personali presenti nei SIC.

Più nel dettaglio, nelle comunicazioni rese agli interessati, sono state riportate, in alcuni casi, indicazioni in merito alla presenza di una richiesta di prestito in fase di approvazione (v. riscontro del 30 settembre 2022, reso al Sig. XX; in altri, è stato invece fatto riferimento ad alcuni rapporti di credito in essere e in regola con i pagamenti e ad ulteriori rapporti di credito già regolarmente estinti (cfr. risposta del 29 settembre 2023, fornita al Sig. XX); in altri ancora è stata attestata l’assenza di informazioni riferite all’interessato registrate nel SIC (v. riscontro del 10 ottobre 2022, reso al Sig. XX; comunicazione del 4 aprile 2024, trasmessa al Sig. XX; riscontro del 31 maggio 2024, fornito al Sig. XX).

È emerso anche che, in nessuno dei casi oggetto di doglianza, il riscontro fornito dalla Società recava riferimenti espliciti allo “Score ESX” e ai connessi sotto-score attribuiti agli interessati.

Tutto ciò, sebbene sia stato constatato che Experian Italia S.p.A. ha fornito i predetti score e sotto-score, riferiti a questi ultimi, in risposta alle interrogazioni effettuate da Major 1 S.r.l., nell’ambito della fornitura del software “GCS-X” (cfr. in merito i tracciati acquisiti presso Major 1 S.r.l. nel corso degli accertamenti ispettivi del 15 ottobre 2024; v., in particolare, l’All. 8 del verbale di Major 1 S.r.l. del 16 aprile 2024; v. altresì agli allegati nn. 3, 4 e 5 del verbale del di Major 1 S.r.l., del 15 ottobre 2024).

È parimenti stato accertato che “anche ove [l’interessato] non era presente nel SIC (..), è [comunque stato] attribuito [allo stesso] uno score”.

Sul punto è infatti emerso che il predetto score è “generato sulla base dell’indicatore GeoDelphi”, che è il “risultato di un modello statistico, elaborato sui dati SIC, basato esclusivamente sull’indirizzo di residenza dell’interessato”. Per tali ragioni, anche laddove l’interessato non sia presente nel SIC, viene comunque generato uno “Score ESX” riferito a quest’ultimo (v. verbale di Experian Italia S.p.A. del 14 giugno 2024, pag. 3).

In ordine alle motivazioni fornite da Experian Italia S.p.A. rispetto al contenuto dei riscontri resi agli interessati oggetto di contestazione nel caso in esame, la stessa ha rappresentato che, “a meno che le [predette] richieste non contengano un esplicito riferimento agli score, la società considera [queste ultime] adeguatamente evase fornendo esclusivamente i dati relativi alla posizione dell’interessato nel SIC, tenuto conto dell’esigenza degli interessati di conoscere la propria posizione creditizia. Per tale motivo, nel riscontro fornito ai reclamanti la società ha attestato solo la presenza o meno dell’anagrafica nel SIC e, qualora presente, i dati ivi contenuti” (v. verbale di Experian Italia S.p.A., del 14 giugno 2024, pag. 3).

Si fa inoltre presente che, in data successiva agli accertamenti ispettivi effettuati presso la Società, e con specifico riferimento all’istanza presentata, ex art. 15 del Regolamento, dalla Sig.ra XX, (nella specie il 10 settembre 2024), Experian Italia S.p.A. ha fornito riscontro il 20 settembre 2024, “chiarendo la logica di funzionamento dello score e comunicando il relativo valore calcolato a seguito dell’interrogazione da parte di Hera Comm S.p.A. (..). Nel medesimo riscontro, la Società si è resa disponibile a fornire, su richiesta dell’interessata, un ulteriore livello di dettaglio circa le informazioni elaborate, in conformità ai principi fondamentali di trasparenza e correttezza” (v. nota di Experian Italia S.p.A. del 18 aprile 2025, pagg. 3-4 e All. 2.).

Tutto ciò, in quanto “la Società ha avviato un percorso strutturato di rafforzamento delle proprie procedure interne in materia di gestione dei diritti degli interessati, con l’obiettivo di consolidare un approccio sempre più trasparente e chiaro, ed in linea con le mutate esigenze degli interessati e con gli stessi principi del Regolamento. In tale contesto, a decorrere dal 27 giugno 2024, (..) ha adottato un nuovo modello di riscontro alle istanze di accesso ai sensi dell’art. 15 del Regolamento, finalizzato a fornire agli interessati informazioni più articolate e più intellegibili, con particolare attenzione alle variabili considerate dal modello e allo score restituito a seguito dell’interrogazione dell’ente di riferimento” (v. nota di Experian Italia S.p.A. del 18 aprile 2025, pag. 3).

Il predetto nuovo approccio “è stato recepito anche nella documentazione interna denominata Procedure attività di riscontro agli interessati” −aggiornata nell’aprile 2025− “che è stata oggetto, tra l’altro, di una specifica sessione formativa rivolta al personale del servizio consumatori di Experian” (v. nota di Experian Italia S.p.A. del 18 aprile 2025, pag. 3).

In merito ai modelli di risposta, la Società “a partire da gennaio 2025, ha ulteriormente affinato il testo utilizzato per fornire riscontro alle richieste di accesso, con l’obiettivo di offrire un livello di dettaglio ancora più chiaro, sintetico e comprensibile” (v. nota di Experian Italia S.p.A. del 18 aprile 2025, pag. 3).

Inoltre, “il riscontro fornito in risposta a un’istanza di accesso può essere, su richiesta dell’interessato, ulteriormente arricchito con informazioni di maggior dettaglio, secondo quanto previsto [all’art. 5.1] nella procedura aggiornata” (v. nota di Experian Italia S.p.A. del 18 aprile 2025, pag. 4 e Allegati nn. 2, 3, 4 e 5).

Con riferimento al nuovo modello, dall’esame della documentazione in atti (v. Allegati nn. 3 e 5 della nota di Experian Italia S.p.A. del 18 aprile 2025), è emerso che il titolare, rispetto all’istanza formulata dalla Sig.ra XX, ha fornito, in data 8 luglio 2024, un riscontro che risulta incompleto, in quanto privo del sotto-score E5-35, nonostante la presenza nel SIC di informazioni creditizie riferibili all’interessata (Flag hit pari a “true”); parimenti la risposta trasmessa al Sig. XX, in data 17 gennaio 2025, sulla base del modello aggiornato, non contiene il riferimento al valore “ESX-score”, riportando unicamente quello corrispondente all’“ESX-index”.

Da ultimo, è stato verificato che la Società, nel periodo ricompreso tra gennaio 2022 e giugno 2024, ha ricevuto 561 istanze di esercizio dei diritti, presentate da potenziali clienti di Hera Comm S.p.A. e/o di EstEnergy S.p.A. e attinenti alla specifica questione in esame (v. nota di Experian Italia S.p.A. del 18 aprile 2025, pag. 4).

Infine, in ordine ai tempi di conservazione, la Società ha dichiarato che, alla data degli accertamenti, “conserva[va] il tracciato XML dell’interrogazione e della relativa risposta sui propri sistemi on premises per 8 mesi”; ciò sebbene la Procedura in materia di conservazione dei dati, adottata da Experian Italia S.p.A., fosse “impostata originariamente a 12 mesi. Ad agosto 2023, [infatti] a causa del riempimento dello spazio disco sui sistemi della società, [era] stato deciso di ridurre tale tempo a 8 mesi, avviando altresì le necessarie verifiche volte a individuare un termine che risulti adeguato a tale attività di trattamento” (v. verbale di Experian Italia S.p.A., del 14 giugno 2024, pag. 2).

È stato, inoltre, rappresentato, con nota del 18 aprile 2025, che la Società ha adottato “una policy specifica in materia di data retention, denominata Record Retention Schedule, che disciplina i periodi di conservazione applicabili ai dati personali trattati e conservati dalla Società, con riferimento alle diverse tipologie di trattamento” (v. nota di Experian Italia S.p.A. del 18 aprile 2025, pagg. 4-5).

Al suo interno, è stato nuovamente impostato a dodici mesi il periodo di conservazione dei “tracciati XML di colloquio con Major1”. La “finalità di tale conservazione è agevolare l’esercizio dei diritti degli interessati, facilitando la gestione di eventuali richieste o reclami, pervenuti anche non nell’immediato, e provenienti anche dagli enti nostri clienti” (v. nota di Experian Italia S.p.A. del 18 aprile 2025, pag. 5).

3. La notifica ex art. 166, comma 5 del Codice.

A seguito della contestazione delle violazioni di cui agli artt. 5, par. 1, lett. a), 12 e 15 del Regolamento, trasmessa a Experian Italia S.p.A. con comunicazione del 16 luglio 2025, la Società, con nota del 15 settembre 2025, ha fatto pervenire i propri scritti difensivi, ulteriormente integrati in sede di audizione del 21 maggio 2026 e con successiva comunicazione del 29 maggio 2026.

Nell’ambito delle sopra menzionate memorie, Experian Italia S.p.A. ha rappresentato quanto di seguito riportato:

a) rispetto alla contestazione in ordine all’inadeguatezza dei riscontri forniti agli interessati, in quanto privi delle indicazioni relative allo “Score ESX”, agli ulteriori sotto-score, nonché alle logiche e ai criteri applicati al sistema di calcolo, le risposte fornite dal titolare hanno seguito un approccio di “disclosure stratificata”. Lo stesso è stato “giustificato [dalla ricezione di] un numero (..) ampio di richieste che impone [a Experian Italia S.p.A.] di implementare e applicare una procedura di riscontro che si articoli su più livelli di risposta e che preveda, quanto meno al primo livello, l’utilizzo di modelli standardizzati di risposta”. Sulla base di tale impostazione, la Società, al fine di evitare “un sovraccarico tecnico che avrebbe compromesso la finalità di trasparenza perseguita dal Regolamento”, ha dunque fornito agli interessati, in prima battuta, “l’accesso ai dati personali contenuti nel SIC”. In tal modo, gli stessi sono stati “posti nelle condizioni (..) di richiedere eventuali approfondimenti”. Da giugno 2024, Experian Italia S.p.A. ha, poi, provveduto ad introdurre una versione aggiornata del modello di riscontro, ulteriormente perfezionato nel gennaio 2025; ciò al fine di “coniugare completezza informativa e intellegibilità” delle indicazioni fornite in tale sede (v. nota della Società del 15 settembre 2025, pagg. 4, 9 e 10);

b) relativamente all’applicazione, al caso di specie, dell’art. 22 del Regolamento,  “gli indicatori messi a disposizione da Experian” per il tramite dello “Score ESX” non incidono in maniera significativa sulla decisione in ordine al contratto di fornitura del cliente, trattandosi  di autonome “variabili statistiche destinate ad essere combinate con altre variabili e sintetizzate in un ulteriore indice (il CGS-X)”; indice “che a sua volta ha il solo scopo di supportare l’analisi e le determinazioni [effettuate a valle dal fornitore di energia], che restano responsabilità esclusiva” di quest’ultimo (v. nota della Società del 15 settembre 2025, pag. 5: v. anche verbale dell’audizione del 21 maggio 2026, pag. 2);

c) in ordine alla contestazione relativa alla conservazione dei tracciati XML per la durata di otto mesi, quest’ultima è stata determinata “da esigenze tecniche contingenti e non ha compromesso l’effettivo esercizio dei diritti degli interessati”. Sul punto, la Società ha evidenziato che “la pressoché totalità di richieste di esercizio dei diritti da parte degli interessati viene ricevuta da Experian entro i sei mesi dalla comunicazione dello score da parte di Experian al Fornitore di Energia”. La misura temporanea di riduzione ad 8 mesi del periodo di conservazione non ha, pertanto, “causato di fatto alcun pregiudizio per gli interessati”. La Società, inoltre, dal 31 marzo 2025 ha, comunque, “riallineato a dodici mesi la retention, in linea con il Record Retention Schedule” (v. nota della Società del 15 settembre 2025, pagg. 4 e 16);

d) con riferimento alla prospettata violazione dell’art. 25 del Regolamento per aver trasmesso a Major1 S.r.l., nei tracciati XML, alcuni sotto-score non necessari per il calcolo dello “Score CGS-X” (nella specie, gli indici D4U e DG3r), l’inclusione di questi ultimi “non ha prodotto effetti pregiudizievoli sugli interessati”. Ad ogni modo, la Società, nell’ambito di un confronto con Cerved Group S.p.A., ha avviato l’attività di “razionalizzazione del tracciato XML dedicato al comparto utilities, al fine di limitarne il contenuto informativo, trasmesso a Major 1 S.r.l., alle variabili funzionali al CGS-X per il medesimo comparto, e al conseguente aggiornamento dei tracciati XML di risposta per modificare il predetto tracciato” (v. nota integrativa del 29 maggio 2026, pag. 2). Ciò al fine di “superare le criticità e rafforzare i presidi di conformità in linea con i principi di privacy by design e by default” (v. nota della Società del 15 settembre 2025, pagg. 4, 16, 17 e 19);

e) rispetto all’elemento soggettivo della violazione, “si dovrebbe escludere, nel caso di specie, la sussistenza del dolo o della colpa in capo ad Experian”. Il tutto, considerato che, all’epoca dei fatti, la condotta di quest’ultima è stata posta in essere in linea con l’interpretazione degli artt. 22 e 15, par. 1, lett. h), del Regolamento, derivante dall’applicazione del “Codice di condotta per i sistemi informativi gestiti da soggetti privati in tema di crediti al consumo, affidabilità e puntualità nei pagamenti”.
Quest’ultimo “costituiva [allora] il principale riferimento settoriale disponibile in punto di interpretazione e applicazione della normativa stabilita dal Regolamento nello specifico settore del credit scoring”. In merito, la Società ha sostenuto che il predetto Codice di condotta, all’articolo 10 comma 1, attribuisce “al partecipante -e non al gestore- l’obbligo di fornire la spiegazione delle logiche di scoring”. La stessa ha inoltre evidenziato che la sentenza della Corte di Giustizia del 27 febbraio 2025, C-203/22, “è successiva al periodo nel corso del quale Experian avrebbe tenuto le condotte oggetto di contestazione” (v. verbale dell’audizione del 21 maggio 2026, pagg. 2 e 3);

f) in ordine al numero di clienti coinvolti dalla violazione, lo stesso non è riconducibile a quello di 561 interessati che hanno trasmesso richieste a Experian nel periodo compreso tra gennaio 2022 e giugno 2024, come indicato nell’atto di notifica ai sensi dell’art. 166, comma 5 del Codice, ma deve essere ricondotto esclusivamente ai sei soggetti le cui istanze sono state poste alla base del procedimento (v. verbale dell’audizione del 21 maggio 2026, pagg. 3 e 4).

La Società ha, inoltre, sottolineato il rilevante impegno profuso dalla stessa, a seguito dell’avvio del procedimento da parte del Garante, nell’ottica di ulteriormente conformare la propria attività alla disciplina in materia di protezione dei dati personali.

In tale prospettiva, nel giugno 2025, Experian Italia S.p.A. “ha pubblicato una sezione di Frequently Asked Questions (FAQ) dedicate al credit scoring”, all’interno della quale sono stati chiariti “in maniera granulare i profili tecnici del credit scoring con un linguaggio accessibile e comprensibile anche a un pubblico non specialistico” (v. nota della Società del 15 settembre 2025, pagg. 7, 19).

Più in generale, la Società ha ribadito di aver adottato, già a seguito degli accertamenti ispettivi, una serie di misure a tutela degli interessati, quali: “l’aggiornamento dei modelli di risposta (giugno 2024 e gennaio 2025), il riallineamento della retention a dodici mesi (marzo 2025), la revisione dei tracciati XML, l’implementazione di procedure interne di controllo qualità, [nonché] misure che incrementano ulteriormente la trasparenza verso gli interessati (..) (5 giugno 2025)” (v. nota della Società del 15 settembre 2025, pag. 20).

Da ultimo, ha rappresentato di aver promosso e aderito al “Codice di condotta per i sistemi informativi gestiti da soggetti privati in tema di crediti al consumo, affidabilità e puntualità nei pagamenti”, approvato con deliberazione del Garante del 6 ottobre 2022, e di aver attivamente partecipato, nel 2024, “a diverse iniziative volte all’aggiornamento del [predetto] Codice” (v. nota della Società del 15 settembre 2025, pag. 21).

4. Le valutazioni dell’Autorità.

Innanzitutto, si rappresenta che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”.

Alla luce degli elementi acquisiti nel corso dell’attività istruttoria sopra descritta, risulta accertato che Experian Italia S.p.A., ha fornito, rispetto alle istanze di esercizio dei diritti ex art. 15-22 del Regolamento presentate dagli interessati, riscontri inadeguati e incompleti. Tutto ciò con specifico riferimento al trattamento di dati personali effettuato dalla stessa ai fini dell’erogazione del servizio “CGS-X”.

In tale ambito, ha altresì violato l’art. 5, par. 1, lett. c) e l’art. 25 del Regolamento, come più diffusamente esplicitato nel prosieguo.

Tanto doverosamente premesso, occorre osservare preliminarmente che, ai fini della trattazione delle questioni oggetto della presente decisione, è necessario tener conto del peculiare contesto sotteso alle attività di trattamento poste in essere nei casi di specie.

4.1. Il trattamento di dati personali effettuato nell’ambito di sistemi di informazioni creditizie e la sentenza C-634/21 della Corte di Giustizia dell’Unione Europea del 7 dicembre 2023.

Con sentenza del 7 dicembre 2023, nella causa n.  C-634/21, la Corte di Giustizia dell’Unione Europea (di seguito “Corte”), si è pronunciata in merito all’interpretazione dell’art. 22 del Regolamento, con riferimento ai trattamenti di dati personali effettuati nell’ambito di sistemi di informazioni creditizie.
In tale sede, la stessa ha precisato che l’applicabilità della sopra richiamata disposizione è soggetta al ricorrere di tre condizioni cumulative riconducibili all’esistenza di una «decisione», alla circostanza che quest’ultima sia «basata unicamente sul trattamento automatizzato, compresa la profilazione», e che produca «effetti giuridici [riguardanti l’interessato]», ovvero incida «in modo analogo significativamente sulla sua persona» (v. par. 43, Sentenza CGUE, C-634/21, cit.).
La Corte ha in particolare osservato che la nozione di «decisione», ai sensi dell’articolo 22, par. 1, del Regolamento, può includere diversi atti, compresi quelli che, pur non avendo effetti giuridici diretti sull’interessato, incidono comunque in modo analogo in maniera significativa su quest’ultimo (v., in tal senso, anche Cons. 71 del Regolamento). 
Tale nozione, pertanto, è “sufficientemente ampia da ricomprendere il risultato del calcolo della solvibilità di una persona sotto forma di tasso di probabilità relativo alla capacità di tale persona di onorare impegni di pagamento in futuro”. Tutto ciò anche laddove il risultato, come configurabile nella fattispecie in esame, sia elaborato da una società che fornisce a terzi informazioni in ordine al merito creditizio degli interessati (cfr. par. 46, sentenza CGUE, C-634/21, cit.). 
Per quanto concerne le ulteriori condizioni di cui all’art. 22 del Regolamento, la Corte ne ha constatato la sussistenza nello specifico contesto di riferimento. 
La pronuncia ha infatti chiarito, innanzi tutto, che la decisione di cui sopra si fonda esclusivamente su un calcolo automatizzato basato sul trattamento di dati personali dell’interessato che riguarda l’affidabilità di quest’ultimo in termini di puntualità dei pagamenti.
In secondo luogo, ha rappresentato che il risultato del predetto calcolo, sotto forma di tasso di probabilità, incide sulla persona in maniera significativa, impedendole di avere accesso al servizio richiesto, quale quello inerente alla fornitura di energia di cui ai casi di specie. 
Sul punto, è stato invero precisato dalla stessa Corte che, nel predetto contesto, “l’azione del terzo al quale è trasmesso il tasso di probabilità è guidata «in modo decisivo» da tale tasso” (v. par. 48, sentenza CGUE, C-634/21, cit.), così come emerso, nel corso del presente procedimento, rispetto alle decisioni assunte da Hera Comm S.p.A. ed EstEnergy S.p.A. 
Tale interpretazione è in linea con la ratio sottesa all’art. 22 del Regolamento, volta a garantire la tutela dei diritti e delle libertà fondamentali della persona, contro i rischi specifici derivanti dal trattamento automatizzato di dati personali, compresa la profilazione (v. par. 51, Sentenza CGUE, C-634/21, cit.).
D’altronde, un’interpretazione restrittiva della predetta disposizione comprometterebbe le garanzie a tutela della persona previste dal Regolamento, in quanto quest’ultima non potrebbe far valere, nei confronti di società che forniscono informazioni in ordine al merito creditizio degli interessati, il proprio diritto di accesso ai dati che la riguardano, come stabilito dall’art. 15, par. 1, lettera h), del Regolamento (v. paragrafi 61-63, Sentenza CGUE, C-634/21, cit.). 
In conclusione, secondo la Corte, “l’articolo 22, paragrafo 1, del Regolamento deve essere interpretato nel senso che il calcolo automatizzato, (...) di un tasso di probabilità basato su dati personali relativi a una persona e riguardanti la capacità di quest’ultima di onorare in futuro gli impegni di pagamento costituisce un «processo decisionale automatizzato relativo alle persone fisiche», ai sensi di tale disposizione, qualora da tale tasso di probabilità dipenda in modo decisivo la stipula, l’esecuzione o la cessazione di un rapporto contrattuale con tale persona da parte di un terzo, al quale è comunicato tale tasso di probabilità” (v. par. 73, Sentenza CGUE, C-634/21, cit.).
Ne consegue quindi che, diversamente da quanto sostenuto dalla Società (v. supra, par. 3, lett. b) della presente decisione), i trattamenti posti in essere da Experian Italia S.p.A., nei casi oggetto della presente decisione, sono riconducibili alla fattispecie delineata nella summenzionata sentenza e, pertanto, rispetto agli stessi, trovano applicazione gli artt. 15, par. 1, lett. h) e 22 del Regolamento come più dettagliatamente esplicitato nel prosieguo (v. infra paragrafi 4.2. e 4.3. della presente decisione).

Da ultimo, merita evidenziare che il procedimento in esame ha avuto ad oggetto unicamente le misure adottate da Experian Italia S.p.A. al fine di garantire il corretto adempimento degli obblighi di cui all’art. 15 e ss. del Regolamento in materia di esercizio dei diritti; tutto ciò in ragione degli specifici profili di violazione emersi nel corso dell’istruttoria avviata dall’Autorità a seguito della presentazione delle istanze indicate in premessa.

Per quanto concerne invece la più ampia tematica relativa ai presupposti di legittimità, ai sensi dell’art. 22, par. 2 del Regolamento, del trattamento dei dati personali dell’interessato effettuato dai gestori di sistemi di informazioni creditizie, nonché alle garanzie che il titolare è tenuto ad attuare, ai sensi dell’art. 22, paragrafi 3 e 4 del Regolamento, l’Autorità si riserva di avviare ogni eventuale opportuna iniziativa volta alla verifica della sussistenza delle condizioni di cui sopra (v. sul tema, anche quanto rappresentato dall’Autorità l’11 settembre 2025, nel corso dell’Audizione del Presidente del Garante per la protezione dei dati personali relativa al “Disegno di legge as 1578 recante la legge annuale per il mercato e la concorrenza per il 2025”, doc. web n. 10166076).

4.2. Le violazioni in materia di esercizio del diritto di accesso ex art. 15 del Regolamento.

In primis, all’esito dell’attività istruttoria, è emersa l’inadeguatezza dei riscontri resi, da Experian Italia S.p.A., alle istanze di esercizio dei diritti ex art. 15-22 del Regolamento presentate dagli interessati, volte ad ottenere informazioni in ordine allo “Score ESX”.

In base agli elementi acquisiti nel corso dell’attività istruttoria nonché alle successive valutazioni svolte da questo Dipartimento, risulta accertato che Experian Italia S.p.A. ha fornito, rispetto alle istanze di esercizio dei diritti ex. art. 15-22 del Regolamento presentate dagli interessati, riscontri inadeguati e incompleti.

Con gli stessi la Società si è, infatti, limitata a confermare la presenza (o meno) dell’anagrafica degli interessati nel SIC e, in caso positivo, a comunicare i dati personali ivi conservati; ciò senza riportare però alcuna indicazione in ordine al punteggio afferente al profilo di affidabilità elaborato dalla Società e messo a disposizione dei fornitori di energia, né agli elementi sulla base delle quali lo stesso era stato elaborato. Parimenti, in tali riscontri, non venivano forniti agli interessati informazioni in ordine alla logica utilizzata ai fini dell’elaborazione del predetto profilo.

In merito, la Società ha rappresentato di essersi limitata a comunicare agli istanti le informazioni concernenti la loro posizione all’interno del SIC, “in quanto le [relative] richieste [ai sensi dell’art. 15 del RGPD] non contenevano un esplicito riferimento agli score” (v. verbale di Experian Italia S.p.A., del 14 giugno 2024, pag. 3).

Dall’esame della documentazione agli atti, è invece emerso che diverse istanze, tra quelle in esame, avanzate nei confronti di Experian Italia S.p.A., contenevano l’espresso riferimento alla circostanza che il diniego della fornitura di energia, da parte di Hera Comm S.p.A. e/o di EstEnergy S.p.A., fosse dovuto all’attribuzione di un rating negativo a carico degli stessi (v., in particolare, le istanze: del Sig. XX, del 3 agosto 2022; del Sig. XX, del 2 aprile 2024; del Sig. XX, del 18 settembre 2023).
Il tutto, sebbene le informazioni in questione fossero invece −come accertato nel corso delle verifiche in loco− ancora presenti, alla data di ricezione delle predette istanze, nei sistemi del titolare (v. supra, par. 2.2. della presente decisione).

Sul punto, merita evidenziare che il diritto di accesso ex art. 15 del Regolamento è principalmente concepito quale strumento volto a consentire, in linea generale, all’interessato di esercitare il “controllo” sui dati personali che lo riguardano, assicurando allo stesso piena consapevolezza delle informazioni oggetto di trattamento e delle effettive modalità di quest’ultimo; ciò in conformità a quanto previsto, in termini generali, dal principio di liceità, correttezza e trasparenza (art. 5, par. 1, lett. a) del Regolamento).

Lo scopo del diritto di accesso è quindi primariamente quello di rendere noti “quali” dati e “come” siano stati trattati dal titolare al fine di fornire all’interessato gli strumenti per “conoscere e verificare la liceità e l’esattezza del trattamento” allo stesso riferito (v. cons. 63 del Regolamento; Comitato Europeo per la protezione dei dati, “Linee guida 1/2022 sui diritti degli interessati - Diritto di accesso”, adottate il 28 marzo 2023, paragrafi 10-13).

Ai sensi dell’art. 15 del Regolamento, pertanto, il titolare, in sede di riscontro ad un’istanza di accesso, non può limitarsi a rilasciare “una descrizione generale dei dati [o] un semplice riferimento alle categorie di dati personali trattate”, né può omettere informazioni in suo possesso ove riferibili all’interessato; al contrario è piuttosto tenuto a fornire l’accesso a “tutte le informazioni di cui all'articolo 15”, riferite all’interessato, effettivamente oggetto di trattamento.

Tali informazioni “devono essere complete, corrette e aggiornate, corrispondenti per quanto possibile allo stato del trattamento dei dati nel momento in cui la richiesta è stata ricevuta” e devono essere fornite “in forma concisa, trasparente, intelligibile e facilmente accessibile” a quest’ultimo (cfr. Comitato Europeo per la protezione dei dati, “Linee guida 1/2022 sui diritti degli interessati - Diritto di accesso”, cit., par. 34; art. 12, par. 1 del Regolamento).

Sul punto, si richiama altresì quanto stabilito nel “Codice di condotta per i sistemi informativi gestiti da soggetti privati in tema di crediti al consumo, affidabilità e puntualità nei pagamenti”, approvato con deliberazione del Garante del 6 ottobre 2022, ove sono previsti specifici obblighi per il gestore di un SIC volti a garantire un riscontro puntuale e tempestivo, da parte di quest’ultimo, alle richieste di esercizio dei diritti presentate dagli interessati (v. art. 9).

A tale proposito, non appare in linea con il Regolamento, l’interpretazione resa dalla Società in ordine all’articolo 10, comma 1, del Codice di condotta, in base alla quale è attribuito “al partecipante -e non al gestore- l’obbligo di fornire la spiegazione delle logiche di scoring” riferite ai dati, contenuti in un SIC, qualora siano trattati mediante processi decisionali automatizzati (v. par. 3, lettera e), della presente decisione).

Sul punto, va infatti chiarito che la predetta disposizione, pur riconoscendo, in capo all’interessato, la specifica facoltà di rivolgersi al partecipante nei termini di cui sopra (v. in particolare art. 10, comma 1, lett. d) del Codice di condotta), non esenta Experian Italia S.p.A. dall’adempiere agli obblighi del titolare del trattamento, in materia di esercizio dei diritti degli interessati, ai sensi degli artt. 12 e 15 del Regolamento.

Inoltre, non può essere accolto quanto sostenuto dalla Società rispetto all’adozione, da parte di quest’ultima, di un “approccio stratificato” volto ad evitare un sovraccarico di informazioni nei riscontri forniti alle istanze degli interessati di cui all’art. 15 del Regolamento (v. paragrafo 3, lett. a) della presente decisione).

Ciò, in quanto “il ricorso [a tale approccio] non è considerato appropriato (..) in tutte le situazioni”. Lo stesso, invero, può trovare giustificazione “soltanto qualora il titolare del trattamento tratti una grande quantità di dati personali riguardanti l'interessato che presenta la richiesta, e quando l'interessato abbia evidenti difficoltà a cogliere o comprendere le informazioni se queste sono fornite contemporaneamente” (v. Comitato Europeo per la protezione dei dati, “Linee guida 1/2022 sui diritti degli interessati - Diritto di accesso”, cit., par. 147).

Parimenti, l’approccio stratificato “dev'essere impiegato in modo da non limitare il diritto di accesso” ovvero “imporre un onere supplementare all'interessato”. Ne consegue che “il titolare del trattamento deve essere in grado di dimostrare che il ricorso [al predetto approccio] offre un valore aggiunto all'interessato, in quanto lo aiuta a comprendere le informazioni fornite” (v. Comitato Europeo per la protezione dei dati, “Linee guida 1/2022 sui diritti degli interessati - Diritto di accesso”, cit., paragrafi 143 e 147).

Di contro, nelle ipotesi in esame, non si ravvisano i presupposti sopra esplicitati. Ciò considerato che, sebbene il titolare abbia ricevuto un cospicuo numero di istanze ai sensi dell’art. 15 del Regolamento, ai fini dell’applicazione di tale approccio, rileva piuttosto la “grande quantità” di informazioni personali trattate da quest’ultimo rispetto al singolo interessato. Tale circostanza, infatti, non è riscontrabile con riferimento alle richieste avanzate dagli istanti, volte specificatamente a conoscere le sole informazioni personali a fronte delle quali è stata rifiutata la fornitura di energia.

Inoltre, le modalità di riscontro, adottate dal titolare nella fattispecie in esame, hanno di fatto limitato il diritto di accesso esercitato dagli interessati, non comportando alcun valore aggiunto per quest’ultimi. Il tutto, tenuto conto che, nei riscontri forniti da Experian Italia S.p.A., non sono state riportate le informazioni concernenti lo “Score ESX”, gli ulteriori sotto-score, nonché le logiche e i criteri applicati al sistema di calcolo.

Si rileva altresì che il peculiare contesto sotteso alle istanze di esercizio del diritto di accesso presentate dagli interessati, richiede una particolare attenzione, da parte del titolare del trattamento, anche in ordine all’obbligo di fornire “informazioni significative sulla logica utilizzata, nonché [sul]l’importanza e [sul]le conseguenze previste di tale trattamento per l’interessato” (art. 15, par. 1, lett. h) del Regolamento).

Rispetto alla predetta disposizione, la Corte di Giustizia dell’Unione Europea ha di recente fornito utili indicazioni operative, da un punto di vista sostanziale, circa il tipo di informazioni che l’interessato può esigere dal titolare, nonché, da un punto di vista formale, in ordine alle modalità con cui le stesse devono essere rese da quest’ultimo (cfr. sentenza CGUE, del 27 febbraio 2025, C-203/22).

In particolare, con riferimento all’espressione “informazioni significative sulla logica utilizzata”, la Corte ha confermato che le stesse riguardano “qualsiasi informazione pertinente relativa alla procedura e ai principi di utilizzo, con mezzi automatizzati, di dati personali al fine di ottenerne un determinato risultato” (v. par. 58, decisione CGUE, n. C-203/22, cit.).

Ne consegue pertanto che gli interessati, nel caso in esame, vantano il diritto ad avere piena contezza di tutti gli elementi di cui si compone la valutazione in ordine alla propria affidabilità creditizia, inclusi quelli presi in considerazione dal titolare ai fini dell’attribuzione dello score, nonché i criteri di calcolo utilizzati a tal fine (cfr., in tal senso, ordinanza Corte di Cassazione, sez. I, del 25 maggio 2021, n. 14381).

In merito invece alle modalità con cui le predette informazioni devono essere rese, la Corte di giustizia dell’Unione Europea ha ribadito l’obbligo del titolare di fornire le stesse “in forma concisa, trasparente, comprensibile e facilmente accessibile, con un linguaggio semplice e chiaro”; tutto ciò nell’osservanza del principio di trasparenza di cui agli artt. 5, par. 1, lett. a) e 12, par. 1, del Regolamento.

Pertanto, “non può soddisfare tali requisiti né la semplice comunicazione di una formula matematica complessa, come un algoritmo, né la descrizione dettagliata di tutte le fasi di un processo decisionale automatizzato, in quanto nessuno di questi metodi costituirebbe una spiegazione sufficientemente concisa e comprensibile” (paragrafi nn. 58-59, decisione CGUE, n. C-203/22, cit.).

Nel complesso, la previsione di fornire le “informazioni significative sulla logica utilizzata”, ai sensi dell’articolo 15, paragrafo 1, lettera h), del Regolamento, si sostanzia, dunque, nell’obbligo, in capo al titolare del trattamento, di “descrivere la procedura e i principi concretamente applicati in modo tale che l’interessato possa comprendere quali dei [propri] dati personali sono stati utilizzati e in che modo (..), senza che la complessità delle operazioni da eseguire nel contesto del processo decisionale automatizzato possa esonerare il titolare del trattamento dal suo dovere di spiegazione” (par. 61, decisione CGUE, n. C-203/22, cit.).

Alla luce di quanto sopra complessivamente esplicitato, ne consegue pertanto che Experian Italia S.p.A., nei casi in esame, ha tenuto una condotta in contrasto con gli artt. 5, par. 1, lett. a), 12 e 15 del Regolamento, a fronte della quale è stata poi negata agli interessati, da Hera Comm S.p.A. e/o EstEnergy S.p.A., l’attivazione della relativa fornitura di energia.

Da ultimo, non possono essere accolte le argomentazioni della Società in ordine alla circostanza che la violazione di cui sopra non sia configurabile in quanto posta in essere prima dell’emanazione della sopra citata decisione n. C-203/22 (v. par. 3, lettera e) della presente decisione). Tale decisione, infatti, fornisce chiarimenti interpretativi in ordine ad obblighi normativi (artt. 12 e 15, comma 1, lett. h) del Regolamento) comunque a tutti gli effetti vigenti all’epoca del verificarsi della condotta oggetto di contestazione.

Sul punto, merita ad ogni modo evidenziare che i riscontri forniti da Experian Italia S.p.A. agli interessati, nella fattispecie in esame, non recavano alcuna indicazione relativa allo “Score ESX”, né agli ulteriori sotto-score. Gli stessi inoltre non contenevano nessun riferimento in merito alla “logica utilizzata” sottesa all’elaborazione del profilo di rischio creditizio.

4.3. Il modello di riscontro ex art. 15 del Regolamento predisposto a seguito dell’istruttoria del Garante e altri profili di violazione.

Merita evidenziare che le violazioni di cui sopra permangono anche con riferimento ai nuovi modelli di riscontro che Experian Italia S.p.A. ha predisposto, a partire dal 27 giugno 2024 (v. supra, par. 2.2), al fine di fornire agli interessati maggiori informazioni anche con riferimento “alle variabili considerate dal modello e allo score” attribuito a questi ultimi (v. nota della Società del 18 aprile 2025, pag. 3).

In particolare, dall’attività istruttoria è emerso infatti che la Società, sulla base dei modelli aggiornati, rispetto all’istanza formulata dalla Sig.ra XX ha fornito, in data 8 luglio 2024, un riscontro che risulta incompleto in quanto privo del sotto-score “E5-35”, nonostante la presenza nel SIC di informazioni creditizie riferibili all’interessata (Flag hit pari a “true”); parimenti la risposta trasmessa al Sig. XX, in data 17 gennaio 2025, non contiene il riferimento al valore “ESX-score”, riportando unicamente quello corrispondente all’“ESX-index” (v. Allegati nn. 3 e 5 della nota di Experian Italia S.p.A. del 18 aprile 2025).

Da ciò, ne consegue che neanche l’utilizzo del nuovo modello, adottato da Experian Italia S.p.A. a giugno 2024 (e poi aggiornato nel gennaio 2025), è in grado di assicurare agli interessati l’effettivo soddisfacimento del proprio diritto di accesso di cui agli artt. 12 e 15 del Regolamento, rispetto agli specifici trattamenti in questione.

L’inadeguatezza dei riscontri complessivamente resi dalla Società ha quindi di fatto precluso, ai predetti interessati, di avere accesso alle tipologie di dati personali effettivamente utilizzate per l’elaborazione del relativo profilo di rischio e di comprendere le effettive modalità di impiego di tali informazioni.

Ciò con la conseguenza di impedire agli stessi di avere contezza della liceità e della correttezza del trattamento, nonché dell’esattezza dei dati utilizzati nel contesto in esame, compromettendo la facoltà di quest’ultimi di poter esercitare, se del caso, il diritto di rettifica nell’ipotesi di dati inesatti e/o incompleti (v. art. 16 del Regolamento), e, al contempo, quello di “ottenere l’intervento umano da parte del titolare del trattamento, [di] esprimere la propria opinione e contestare la decisione” assunta nei propri confronti dal titolare (cfr. art. 22, par. 3 del Regolamento).

Tale rischio emerge, in particolare, nell’ipotesi in cui, come constatato nel corso dell’istruttoria, “anche ove [l’interessato] non era presente nel SIC (..), è [comunque stato] attribuito [allo stesso] uno Score ESX” associato ad un grado di inaffidabilità, basato esclusivamente sull’indirizzo di residenza dell’interessato (v. paragrafo 2.2. della presente decisione).

Il tutto −stante la natura particolarmente delicata delle informazioni trattate da Experian Italia S.p.A., nella fattispecie in esame, in quanto afferenti all’affidabilità della clientela− con possibili conseguenze pregiudizievoli sui diritti e sulle libertà fondamentali degli interessati (quali ad esempio, come avvenuto nei casi in esame, il diniego della sottoscrizione del contratto di fornitura di energia). 
Le predette condotte illecite –nel periodo ricompreso tra il 1° gennaio 2022 e il 14 giugno 2024– hanno riguardato circa 561 interessati (v. nota di Experian Italia S.p.A. del 18 aprile 2025, pag. 4).

A quest’ultimo proposito, infatti, non può essere accolto quanto rappresentato dalla Società in ordine alla circostanza che il dato numerico di riferimento, nella fattispecie in esame, non è di 561 ma esclusivamente quello relativo ai sei soggetti le cui istanze sono state poste alla base del procedimento (v., supra, par. 3, lett. f) della presente decisione).

Sul punto merita ravvisare che, diversamente da quanto sostenuto dalla Società (v. verbale dell’audizione del 21 maggio 2026), il perimetro del procedimento in oggetto non può essere ricondotto esclusivamente ai casi degli interessati che hanno presentato segnalazioni e/o reclami all’Autorità.

Tutto ciò in quanto, il Garante, nell’esercizio dei propri compiti di controllo ‒considerata anche la pluralità di istanze giunte all’Autorità in tempi successivi‒ ha ravvisato la necessità di avviare, ai sensi dell’art. 21 del Regolamento del Garante n. 1/2019, un’attività istruttoria di più ampia portata, volta a valutare, nel complesso, le modalità e le finalità del trattamento posto in essere in generale da Experian Italia S.p.A. nell’ambito del servizio messo a disposizione da Major 1 S.r.l. e denominato “CGS-X”.

Si osserva, inoltre, che le affermazioni della Società sul punto non sono state in alcun modo comprovate da Experian Italia S.p.A., per il tramite di adeguata allegazione documentale. Al fine di individuare il numero di interessati convolti nel presente procedimento, rileva pertanto solo quanto espressamente dichiarato dalla Società, nella nota del 18 aprile 2025, in ordine al dato numerico di 561 interessati (v. pag. 4; v. anche in tal senso verbale dell’audizione del 21 maggio 2026, pagg. 3 e 4).

Da ultimo, con specifico riguardo alla violazione dell’art. 12 del Regolamento in ordine alla conservazione per otto mesi dei tracciati XML, come prospettata nella notifica dell’Autorità del 16 luglio 2025, si ritiene che non sussistano gli estremi per adottare provvedimenti ai sensi dell’art. 58 del Regolamento.

Si accoglie, dunque, limitatamente a tale circoscritto profilo, la richiesta, avanzata da Experian Italia S.p.A., di archiviazione della contestazione nella parte riguardante tale specifica fattispecie di violazione (v. par. 3, lett. c) della presente decisione).

4.4. La violazione dei principi di privacy by design e privacy by default.

Nel corso del procedimento, è emerso che Experian Italia S.p.A., in riscontro alle interrogazioni effettuate da Major 1 S.r.l. per il tramite del software “CGS-X”, trasmette a quest’ultima, un tracciato XML recante una molteplicità di informazioni, come descritte al paragrafo 2.1. della presente decisione. 

In particolare, è stato verificato che, nel predetto tracciato, sono presenti alcuni sotto-score, nella specie il D4U e il Dg3r, non necessari ai fini del calcolo dello “Score CGS-X”. In merito, infatti, Major 1 S.r.l. ha espressamente dichiarato di non utilizzare tali sotto-score nell’ambito della fornitura del summenzionato servizio (v. verbale di Major 1 S.r.l., del 14 ottobre 2024, pag. 3).
Più nel dettaglio, sul punto, si rileva che Experian Italia S.p.A., ai fini della trasmissione a Major 1 S.r.l. delle informazioni necessarie al calcolo dello “Score CGS-X”, non ha elaborato un modello di tracciato XML ad hoc per il settore di riferimento dei casi in esame, limitandosi a utilizzare quello originariamente previsto con riguardo al solo contesto bancario; modello, quest’ultimo, recante, in quanto tale, dati (nella fattispecie, i sotto-score D4U e Dg3r) non necessari per il calcolo dello “Score CGS-X” afferente invece allo specifico settore delle utilities (v. verbale di Major 1 S.r.l., del 14 ottobre 2024, pag. 3).

La Società, inoltre, sebbene abbia poi condiviso con Cerved Group S.p.A “di limitare le informazioni necessarie all’elaborazione dello score CGS-X per utilities” (v. All. 1 del verbale di Experian Italia S.p.A. del 14 giugno 2024), non ha, in seguito, provveduto a modificare il tracciato XML “in tal senso e [quest’ultimo pertanto] è rimasto come inizialmente previsto” (v. verbale di Experian Italia S.p.A. del 14 giugno 2024, pag. 2).

Experian Italia S.p.A. dunque, da una parte, nell’ambito dell’individuazione delle procedure che definiscono le modalità di trasmissione dei dati necessari all’elaborazione dello “Score CGS-X” per utilities, non ha messo in atto misure tecniche e organizzative adeguate volte ad attuare in modo efficace i principi di protezione dei dati di cui all’art. 5 del Regolamento, né ad integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti del Regolamento; dall’altra, all’atto della progettazione del sistema in esame, non ha implementato opzioni e impostazioni predefinite tali da assicurare che fossero trattati, by default, in conformità con il principio di minimizzazione di cui all’art. 5, par. 1, lett. c) del Regolamento, solo i dati personali necessari per il perseguimento della specifica finalità del trattamento in questione.

Occorre rilevare che il titolare, ai sensi dell’art. 25 del Regolamento, ha l’obbligo, fin dalla pianificazione del trattamento, nonché costantemente nel corso dello stesso, di predisporre misure adeguate e garanzie necessarie che permettano un’attuazione efficace dei principi della protezione dei dati fin dalla progettazione e per impostazione predefinita, verificando regolarmente l’efficacia delle misure e delle garanzie così individuate.

Ne consegue quindi che, “per impostazione predefinita, il titolare non deve raccogliere più dati del necessario [e al contempo] non deve trattare i dati acquisiti oltre quanto sia necessario per le sue finalità”; lo stesso, inoltre, “una volta avviato il trattamento, (..) è tenuto a mantenere su base continuativa la [privacy by design e by default]”, mediante “valutazioni e riesami periodici dell’efficacia delle misure e garanzie che ha scelto” (v. Comitato Europeo per la protezione dei dati, “Linee guida 4/2019 sull’articolo 25 Protezione dei dati fin dalla progettazione e per impostazione predefinita” adottate  il 20 ottobre 2020, paragrafi 37 e 42).

Experian Italia S.p.A., con riferimento al trattamento oggetto di contestazione, ha dunque utilizzato un modello di tracciato XML, concepito per la fornitura di un servizio destinato a un settore differente da quello delle utilities, ponendo in essere una condotta in contrasto con l’art. 25 del Regolamento.
L'utilizzo del predetto modello ha inoltre di fatto comportato, come diffusamente esplicitato in precedenza, la trasmissione a Major 1 S.r.l. di informazioni eccedenti, rispetto alla specifica finalità perseguita; tutto ciò, in violazione anche del principio di minimizzazione di cui all’art. 5, par. 1, lett. c) del Regolamento.

Da ultimo, per quanto concerne le osservazioni formulate dalla Società (v. par. 3, lett. d) della presente decisione), si osserva che, ai fini della valutazione della condotta tenuta da Experian Italia S.p.A., rispetto all’applicazione dell’art. 25 del Regolamento, diversamente da quanto sostenuto da quest’ultima, non rileva la circostanza che gli interessati, nel caso di specie, abbiamo o meno subito un pregiudizio.

Il fulcro della predetta disposizione, invero, è proprio quello di garantire una adeguata ed efficace protezione dei dati fin dalla progettazione e una protezione per impostazione predefinita. 
Ciò significa, dunque, che i titolari devono essere in grado di dimostrare di aver adottato ab origine misure e garanzie adeguate ad assicurare l’osservanza dei principi di protezione dei dati e che l’efficacia di tali misure sia regolarmente verificata; tali circostanze non sono state invece riscontrate nell’ipotesi in esame.

5. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ex art. 58, par. 2, Regolamento.

Alla luce di quanto complessivamente rilevato, l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dal titolare del trattamento, nel corso dell’istruttoria, non consentano di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che risultino pertanto inidonee a disporre l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Il trattamento dei dati personali effettuato da Experian Italia S.p.A., oggetto della presente decisione, è stato pertanto posto in essere in violazione degli artt. 5, par. 1 lettere a) e c), 12, 15, 25 del Regolamento.

Per quanto concerne l’esercizio dei poteri correttivi di cui all’art. 58, par. 2, del Regolamento, sebbene si prenda atto della circostanza che Experian Italia S.p.A., nel corso del procedimento, abbia provveduto ad adottare spontaneamente alcune prime misure volte ad allineare il trattamento dei dati dei clienti al Regolamento, queste ultime non appaiono adeguate, per le motivazioni già esplicitate (v. supra, paragrafi 2.2. e 3 della presente decisione).

Si ritiene dunque necessario, alla luce delle criticità rilevate a carico del titolare del trattamento, ingiungere allo stesso ai sensi dell’art. 58, par. 2, lettere c) e d), del Regolamento, le misure correttive di seguito indicate:

a) aggiornamento del modello di riscontro alle istanze di accesso, ai sensi dell’art. 15 del Regolamento, predisposto dalla Società a partire da gennaio 2025, al fine di includere nello stesso anche le informazioni relative al sotto-score E5-35 e al valore “ESX-score”, nonché le logiche e i criteri applicati al sistema di calcolo e contestuale trasmissione dello stesso anche ai Sig.ri XX, XX, XX, XX, XX e XX;

b) revisione della policy denominata “Procedure attività di riscontro all’interessato (Servizio Consumatori)”, nella versione 8.0 del 15 aprile 2025, con specifico riferimento ai paragrafi 4.1. e 5.1. della stessa, nell’ottica di garantire, per le motivazioni di cui al paragrafo 4.2. della presente decisione, che l’interessato non sia tenuto a rivolgere ad Experian Italia S.p.A. una pluralità di richieste di accesso, al fine di ottenere tutte le informazioni inerenti allo “Score ESX”, trattate nel contesto in esame. È pertanto necessario che la predetta policy preveda che –a seguito della presentazione di un’istanza ex art. 15 del Regolamento volta a conoscere “il proprio score o i propri score di credito” – la Società utilizzi, già in prima battuta e in sede di riscontro ai sensi dell’art. 12 del Regolamento, il modello aggiornato di cui al punto a);

c) l’adozione di una procedura volta ad assicurare all’interessato il pieno esercizio del diritto di rettifica, ai sensi dell’art. 16 del Regolamento, in caso di trattamento di dati inesatti e/o incompleti relativi allo “Score ESX” attribuito allo stesso. Ciò, in particolare, qualora il predetto score sia in prevalenza basato sul grado di rischio associato a quest’ultimo, in relazione al proprio indirizzo di residenza (c.d. indicatore Geodelphi). Il tutto, considerato che, anche ove l’interessato non sia presente nel SIC, viene comunque generato uno “Score ESX” in ragione del sopra menzionato indicatore;

d) il completamento delle attività di modifica del tracciato XML da trasmettere a Major1 S.r.l., volte all’eliminazione dei sotto-score non necessari per il calcolo dello “Score CGS-X”, nella specie, gli indici D4U e DG3r (v., supra, par. 4.4. della presente decisione).

Da ultimo, si rileva che le violazioni, accertate nei termini di cui in motivazione, non possono in alcun modo essere considerate “minori”, ai sensi del considerando 148 del Regolamento; ciò tenuto conto della pluralità delle violazioni contestate e del numero di interessati coinvolti, nonché degli ulteriori elementi più diffusamente esplicitati al paragrafo 6 della presente decisione.

6. Ordinanza ingiunzione.

Il Garante, ai sensi dell’art. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, ha il potere di infliggere una sanzione amministrativa pecuniaria prevista dall’art. 83 del Regolamento, mediante l’adozione di una ordinanza ingiunzione (art. 18. L. 24 novembre 1981 n. 689), in relazione al trattamento dei dati personali posto in essere da Experian Italia S.p.A., di cui è stata accertata l’illiceità, nei termini esposti.

La violazione delle disposizioni sopra richiamate comporta l’applicazione della sanzione amministrativa prevista dall’art. 83, par. 4, lett. a) e par. 5, lettere a) e b) del Regolamento.
Ritenuto di dover applicare il paragrafo 3 dell’art. 83 del Regolamento laddove prevede che “se, in relazione allo stesso trattamento o a trattamenti collegati, un titolare del trattamento […] viola, con dolo o colpa, varie disposizioni del presente Regolamento, l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave”, l’importo totale della sanzione è calcolato in modo da non superare il massimo edittale previsto dal medesimo art. 83, par. 5 del Regolamento.

Con riferimento agli elementi elencati dall’art. 83, par. 2 del Regolamento ai fini dell’applicazione della sanzione amministrativa pecuniaria e della relativa quantificazione, tenuto conto che la sanzione deve essere “in ogni singolo caso effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nell’ipotesi in esame, sono state tenute in considerazione le circostanze sotto riportate:

- la rilevante gravità della violazione (art. 83, par. 2, lett. a) del Regolamento), in relazione alla natura (concernente l’inosservanza delle disposizioni in materia di trasparenza e di diritti dell’interessato, nonché del principio di minimizzazione dei dati, di privacy by design e di privacy by default), alle modalità (la pluralità di condotte illecite ripetute nel tempo) e alla durata della stessa (circa 2 anni e mezzo). Si considerano altresì rilevanti, a tal fine, le caratteristiche e le finalità del trattamento, nonché l’elevato numero di interessati coinvolti e la tipologia di danno da questi subito. Tutto ciò, ravvisato che: le operazioni oggetto di contestazione sono state poste in essere, al fine di elaborare un profilo di rischio relativo all’affidabilità in termini di puntualità nei pagamenti degli interessati, attività che rientra nel core business del titolare; le condotte illecite hanno riguardato 561 interessati; le violazioni accertate hanno contribuito a determinare nella maggior parte delle ipotesi, a danno degli interessati, il diniego della sottoscrizione del contratto di fornitura di energia e/o di gas;

- la natura colposa della condotta e il significativo grado di responsabilità del titolare in ordine alle misure tecniche e organizzative messe in atto (art. 83, par. 2, lett. b) e lett. d) del Regolamento). Tutto ciò, con particolare riguardo alla carenza e all’inadeguatezza, nello specifico contesto di riferimento, delle misure e dei processi implementati dalla Società, in materia di adempimento degli obblighi concernenti l’esercizio dei diritti degli interessati, nonché dei principi di privacy by design e privacy by default. Rispetto all’elemento soggettivo, si tiene conto della circostanza che, in merito alle attività di trattamento effettuate da Experian Italia S.p.A. e volte all’elaborazione dello “Score ESX”, la stessa ha erroneamente ritenuto non applicabile la disposizione dell’art. 22 del Regolamento;

- il fatto che non risultino precedenti violazioni commesse dal titolare del trattamento o precedenti provvedimenti di cui all’art. 58 del Regolamento relativamente allo stesso oggetto (art. 83, par. 2, lettere e) ed i) del Regolamento). Sul punto, si osserva che non è stato tenuto in considerazione a tal fine, il provvedimento n. 630 del 23 ottobre 2025 (doc. web n. 10196194), adottato nei confronti di Experian Italia S.p.A. Ciò in ragione della contestualità dell’attività istruttoria inerente alla presente decisione con quella che ha condotto all’adozione del menzionato provvedimento;

- l’adozione, da parte del titolare, di misure atte a mitigare o a eliminare le conseguenze della violazione (art. 83, par. 2, lett. c), del Regolamento). Al riguardo, va positivamente considerata la circostanza che Experian Italia S.p.A. abbia spontaneamente adottato, una volta avuta contezza della violazione, alcune prime misure per attenuare gli effetti dell’illecito trattamento, sebbene solo parzialmente idonee a ridurne i rischi;

- la circostanza che la Società abbia attivamente cooperato con l’Autorità nel corso del procedimento (art. 83, par. 2, lett. f) del Regolamento);

- la tipologia delle informazioni oggetto di violazione (art. 83, par. 2, lett. g) del Regolamento) che, sebbene non annoverabili nell’ambito dei dati particolari, sono comunque da considerarsi delicate in quanto atte ad evidenziare l’affidabilità in termini di puntualità dei pagamenti dei clienti; ciò tenuto conto anche delle possibili conseguenze sul piano economico e sociale che possono derivare, per gli interessati, da un loro illecito trattamento;

- altri fattori attenuanti (art. 83, par. 2, lett. k) del Regolamento), quali, in primis, l’avvenuta realizzazione, da parte della Società, di iniziative volte alla promozione della consapevolezza del diritto alla protezione dei dati personali per il tramite del proprio sito istituzionale; ciò con particolare riferimento, stante la specifica fattispecie in esame, a quella posta in essere nel giugno 2025 attraverso la pubblicazione di una sezione di Frequently Asked Questions (FAQ) dedicate esclusivamente al credit scoring (v., supra, par. 3 della presente decisione). Si è tenuto conto, altresì, dell’avvenuta adesione da parte di Experian Italia S.p.A. al “Codice di condotta per i sistemi informativi gestiti da soggetti privati in tema di crediti al consumo, affidabilità e puntualità nei pagamenti”, approvato, ai sensi dell’art. 41 del Regolamento, con deliberazione del Garante del 6 ottobre 2022.

Si ritiene, inoltre, che assumano rilevanza, nell’ipotesi di specie, in ragione dei richiamati principi di effettività, proporzionalità e dissuasività ai quali l’Autorità deve attenersi nella determinazione dell’ammontare della sanzione (art. 83, par. 1, del Regolamento), le condizioni economiche del contravventore, determinate in base al volume d’affari della Società, di cui al bilancio d’esercizio al 31 marzo 2025 (ultimo disponibile).

Alla luce degli elementi sopra indicati e delle valutazioni effettuate, si ritiene, nel caso di specie, di applicare nei confronti di Experian Italia S.p.A. la sanzione amministrativa del pagamento di una somma pari ad euro 120.000,00 (centoventimila/00).

In tale quadro, si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l’ordinanza ingiunzione sul sito Internet del Garante.

Ciò, in considerazione della peculiare natura dei dati oggetto del trattamento dedotto in contestazione, in quanto inerenti all’affidabilità creditizia dell’interessato, nonché della tipologia delle violazioni accertate che hanno interessato i principi generali del trattamento, in particolare il principio di trasparenza e gli obblighi in materia di esercizio dei diritti dell’interessato. 
Si ritiene, infine, che ricorrano i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019.

TUTTO CIÒ PREMESSO, IL GARANTE

- dichiara, ai sensi degli artt. 57, par. 1, lett. f) del Regolamento, l’illiceità del trattamento effettuato da Experian Italia S.p.A., con sede in Roma, p. iva n. 06016221001, nei termini di cui in motivazione, per la violazione dell’art. 5, par. 1, lettere a) e c), e degli artt. 12, 15 e 25 del Regolamento; 

- ingiunge, ai sensi dell'art. 58, par. 2, lettere c) e d) del Regolamento, alla summenzionata Società di conformarsi, entro sei mesi dalla data della notifica del presente provvedimento, alle prescrizioni formulate al par. 5 della presente decisione, richiedendo al contempo alla stessa di fornire, entro il predetto termine, un riscontro adeguatamente documentato ai sensi dell'art. 157 del Codice; l’eventuale mancato riscontro può comportare l'applicazione della sanzione amministrativa pecuniaria prevista dall'art. 83, par. 5, lett. e) del Regolamento;

ORDINA

ai sensi dell’art. 58, par. 2, lett. i) del Regolamento alla medesima Experian Italia S.p.A., di pagare la somma di euro 120.000,00 (centoventimila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento;

INGIUNGE

ai sensi dell’art. 58, par. 2, lett. i) del Regolamento alla medesima Società di pagare la predetta somma di euro la somma di euro 120.000,00 (centoventimila/00), a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento, secondo le modalità illustrate in allegato, entro trenta giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall'art. 27 della legge n. 689/1981.

Si rappresenta che, ai sensi dell’art. 166, comma 8 del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento di un importo pari alla metà della sanzione irrogata entro il termine di cui all'art. 10, comma 3, del d. lgs. n. 150 del 1° settembre 2011 previsto per la proposizione del ricorso come sotto indicato;

DISPONE

- ai sensi dell'art. 166, comma 7, del Codice e dell'art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell'ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell'art. 154-bis, comma 3 del Codice e dell'art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell'Autorità;

- ai sensi dell'art. 17 del Regolamento del Garante n. 1/2019, l'annotazione delle violazioni e delle misure adottate in conformità all'art. 58, par. 2 del Regolamento, nel registro interno dell'Autorità previsto dall'art. 57, par. 1, lett. u) del Regolamento.

Ai sensi dell’art. 78 del Regolamento (UE) 2016/679, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 03 luglio 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Montuori