[doc. web n. 10273926]

Provvedimento del 3 luglio 2026

Registro dei provvedimenti
n. 483 del 3 luglio 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il d.lgs. del 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. del 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE parte il prof. Pasquale Stanzione;

PREMESSO

1. Premessa.

Sono pervenute a questa Autorità diverse istanze aventi ad oggetto il trattamento dei dati personali posto in essere da Hera Comm S.p.A. ai fini della verifica dell’affidabilità dei potenziali clienti.
Nello specifico, gli istanti hanno lamentato il diniego della fornitura di energia, da parte di Hera Comm S.p.A., in ragione della rilevazione di un profilo di rischio degli interessati che sarebbe emerso, a seguito di verifiche effettuate dalle predette Società, anche attraverso la consultazione di sistemi di informazioni creditizie (il cui gestore è Experian Italia S.p.A.) e l’utilizzo di servizi di informazioni commerciali (il cui gestore è Cerved Group S.p.A.). 
Trattasi di una valutazione elaborata all’interno del Gruppo Hera, mediante l’utilizzo di un software, messo a disposizione da Major 1 S.r.l., denominato “CGS-X”. 
Tale software consente, ai sopra menzionati fornitori di energia, di individuare un profilo di rischio in relazione all’affidabilità dei potenziali clienti, sulla base di un indicatore integrato denominato “Score Integrato Utilities” (di seguito anche definito “Score CGS-X”). 
Gli istanti hanno evidenziato in merito che, sebbene il diniego della fornitura di energia sia stato la conseguenza dell’attribuzione agli stessi di un punteggio (di seguito anche “score”) di sintesi, in termini di scarsa affidabilità, derivante dalla consultazione delle banche dati gestite da Cerved Group S.p.A. ed Experian Italia S.p.A., queste ultime Società, interpellate sul punto, hanno invece dichiarato l’assenza, all’interno dei propri sistemi, di informazioni negative e/o eventi pregiudizievoli a carico dei predetti interessati.
Tutto ciò, in riscontro alle richieste di accesso avanzate da quest’ultimi, nei confronti di Cerved Group S.p.A. ed Experian Italia S.p.A., ai sensi dell’art. 15 del Regolamento (cfr. istanza del Sig. XX del 1° marzo 2023, istanza del Sig. XX del 29 giugno 2023, istanza del Sig. XX del 14 giugno 2024, istanza del Sig. XX del 15 luglio 2024 e istanza della Sig.ra XX del 13 settembre 2024).
In merito a quanto sopra, si fa presente che l’Autorità, viste le molteplici istanze ricevute, ha in primis ritenuto di procedere alla riunione dei singoli procedimenti sopra richiamati, al fine di effettuare un esame organico delle questioni ad essi sottese e successivamente ha avviato d’ufficio, ai sensi dell’art. 21 del Regolamento del Garante n. 1/2019, un’attività istruttoria volta a valutare, nel complesso, le modalità e le finalità del trattamento posto in essere da Hera Comm S.p.A. nell’ambito del servizio, messo a disposizione da Major 1 S.r.l. e denominato “CGS-X”.
In tale ottica, sono stati effettuati diversi accertamenti ispettivi, che hanno avuto luogo nei confronti di Hera S.p.A., in data 18, 19 e 20 marzo 2024; di Major 1 S.r.l., il 15 e 16 aprile 2024; di Cerved Group S.p.A., in data 16 aprile 2024, nonché nei confronti di Experian Italia S.p.A., il 13 e 14 giugno 2024. 
In seguito, considerata la particolare complessità dell'istruttoria e al fine di acquisire maggiori informazioni in merito al trattamento dei dati di cui sopra, sono state poste in essere ulteriori verifiche in loco, presso Major 1 S.r.l., il 15 e 16 ottobre 2024, e presso Cerved Group S.p.A., in data 16 ottobre 2024.

2. L’attività istruttoria.

Nell’ambito del procedimento, in relazione ai profili evidenziati in premessa, è emerso quanto riportato di seguito.

2.1. L’attività di Credit Check.

Hera S.p.A., “tramite la funzione di Credit Management, individua le «regole di accettazione dei clienti», in termini di rischio creditizio, fornendo i servizi inerenti all’affidabilità degli stessi, alle seguenti società che operano nel settore della vendita di energia: Hera Comm S.p.A. (…) [ed] EstEnergy S.p.A.” (v. verbale di Hera S.p.A. del 18 marzo 2024, pag. 2). 
Hera S.p.A., infatti, “in un’ottica di servizio alle società controllate, cura le implementazioni informatiche relative ai sistemi di gestione del credito e provvede allo svolgimento delle varie attività operative finalizzate al raggiungimento degli obiettivi condivisi” (v. nota di Hera S.p.A. del 19 aprile 2024, pag. 1).
In particolare, “al fine di limitare il rischio creditizio delle attività rese sul libero mercato, il Gruppo Hera, (..), ha adottato una Credit Policy e ha implementato un sistema di verifica e valutazione di indici di solvibilità/affidabilità dei soggetti che avanzano richieste di adesione ad una delle offerte a mercato libero (di seguito, “Credit Check”). Il Credit Check prevede una valutazione interna, consistente nella verifica di eventuali morosità, [pregresse e sussistenti nell’ambito delle società di vendita di energia del Gruppo Hera], del cliente (di seguito, “Valutazione interna”), e una valutazione esterna, che consiste nell’acquisizione, da soggetti autorizzati a svolgere attività di informazione commerciale [e dai SIC], di uno “score” di sintesi    –che si può basare anche su informazioni di tipo statistico– relativo all’affidabilità creditizia del cliente (di seguito, “Valutazione esterna”)” (v. nota di Hera Comm S.p.A. del 30 luglio 2024, pag. 2).
L’attività di verifica dell’affidabilità della clientela è posta in essere da Hera S.p.A. in forza del “Contratto per la gestione delle attività in materia amministrazione finanza e controllo”, sottoscritto il 18 luglio 2013 da Hera Comm S.p.A. e da Hera S.p.A., e del relativo “Addendum” del 3 luglio 2023. A tal fine, “Hera S.p.A. è nominata responsabile del trattamento” (v. verbale di Hera S.p.A. del 18 marzo 2024, pag. 2 e All. 2).
Tale attività è svolta in conformità ad una procedura denominata “Regole di origination clienti privati” “predisposta da Hera S.p.A.” e “operativa a partire da maggio 2017, data di messa in esercizio del sistema di Credit [Check]” (v. verbale di Hera S.p.A. del 18 marzo 2024, pag. 2 e All. 3; v., anche, verbale di Hera S.p.A. del 19 marzo 2024, pag. 2). 
Quest’ultima Società ha inoltre adottato, il 15 aprile 2024, un “documento denominato “ATF TK 1054336C – verifica regola CATTIVO PAGATORE – origination”; documento che descrive le “logiche funzionali e tecniche utilizzate nella regola del cattivo pagatore (sistema origination)” (v. nota di Hera S.p.A. del 19 aprile 2024, pag. 1 e All. 1). 
La sopra menzionata procedura prevede che, “ove un potenziale cliente del libero mercato chieda l’attivazione di una fornitura con una società del gruppo, il CRM (..) effettua una chiamata a SAP”, sistema “utilizzato dalle società del Gruppo Hera per gestire, una serie di servizi, fra cui la fatturazione e il recupero del credito” (v. verbale di Hera S.p.A. del 18 marzo 2024, pag. 3). 
Tramite il predetto sistema, Hera S.p.A. “verifica, sulla base dei dati anagrafici (nome, cognome, c.f. e business partner) del potenziale cliente, la presenza di eventuali morosità pregresse, restituendo esito OK o KO. (…) L’interrogazione, effettuata on-line e real time, riguarda morosità attive non contestate e riferite al solo settore energetico nel mercato libero. In particolare, l’entità della morosità che determina il KO è [individuata nelle seguenti ipotesi]:

- almeno una fattura scaduta da oltre 60 giorni con importo maggiore di 100€;
- almeno una rata scaduta da oltre 30 giorni di importo maggiore di 50€;§
- crediti in stato gestionale al legale (es. contratti cessati a recupero stragiudiziale di importo maggiore di 50€)” (v. verbale di Hera S.p.A. del 18 marzo 2024, pag. 3).

Se “all’esito delle verifiche interne viene generato un OK, sono interrogate anche le banche dati esterne di Cerved Group S.p.A. ed Experian Italia S.p.A. [per il tramite di un software messo a disposizione da Major 1 S.r.l. e denominato “CGS-X”]. 
Le predette “interrogazioni vengono effettuate [per conto di Hera Comm S.p.A.] dal 2021”. Tutto ciò “sulla base di un pacchetto contrattuale che prevede la sottoscrizione, da parte del cliente [ovvero Hera Comm S.p.A.], di tre distinti documenti (..) rispettivamente con Cerved Group S.p.A., Experian Italia S.p.A. e Major 1 S.r.l.”. 
Il fornitore di energia agisce in qualità di autonomo titolare del trattamento, nominando Major 1 S.r.l.  –che opera come outsourcer tecnologico, fornendo la licenza d’uso del software “CGS-X”– quale responsabile ai sensi dell’art. 28 del Regolamento (cfr. verbale di Hera S.p.A. del 18 marzo 2024, pag. 3 e verbale di Major 1 S.r.l. del 15 aprile 2024, pag. 3). 
Qualora “l’esito delle verifiche interne generi un KO, non hanno invece luogo verifiche esterne ulteriori” (cfr. verbale di Hera S.p.A. del 18 marzo 2024, pag. 3). 
Il sopra menzionato software “CGS-X” consente ad Hera Comm S.p.A., di elaborare un profilo di rischio in relazione all’affidabilità dei potenziali clienti sulla base dell’indicatore integrato “Score CGS-X”.
Quest’ultimo è il risultato della combinazione degli indicatori valutativi denominati rispettivamente “Score ESX” (fornito da Experian Italia S.p.A.) e “Score Retail Utilities” (messo a disposizione da Cerved Group S.p.A.). 
Più nel dettaglio, vengono interrogati, attraverso il codice fiscale del potenziale cliente, “i sistemi informativi di Cerved e di Experian acquisendo lo “Score Retail Utilities” di Cerved Group S.p.A. e lo “Score ESX” di Experian Italia S.p.A. unitamente ai relativi sotto-score”. A fronte di tale interrogazione, “Major 1 provvede a predisporre un tracciato XML del rating del cliente, (..), che viene poi trasferito sui sistemi di Hera Spa”. Lo stesso “viene analizzato da SAP, che restituisce al CRM [di Hera Comm S.p.A.] un OK/KO sulla base di soglie di accettazione impostate dalla [Credit] Policy di Hera Spa (..). L’interrogazione su SAP è generata ex novo per ogni nuova richiesta di verifica dell’affidabilità del potenziale cliente, ed è valida esclusivamente nella giornata in cui viene effettuata” (cfr. verbale di Hera S.p.A. del 18 marzo 2024, pag. 4 e verbale di Major 1 S.r.l. del 15 aprile 2024, pag. 3). 

Il tracciato XML “è unico e riporta una serie di informazioni di varia natura”, come di seguito indicate:

A) «Score CGS-X persone fisiche» - rappresentato da un punteggio “che va da 100 a 0, personalizzato per singolo cliente”, nonché da un indicatore “denominato class value che comprende 8 classi: 1-5 (semaforo verde); 6 - scarsa affidabilità (semaforo giallo); 7a-minima affidabilità e 7b-nessuna affidabilità (entrambi semaforo rosso)”; tali classi sono distinte sulla base del valore dello score sopra indicato “ad es. il punteggio ricompreso tra 21 e 35 si riferisce alla class value 6 - semaforo giallo”;

B) «Dettagli SIC» - si tratta della risposta fornita dai sistemi informativi di Experian e si compone delle seguenti voci:

1) «Experian score» - è un valore granulare corrispondente ad una fascia di affidabilità (c.d. Experian index);
2) «Posizione individuata» - indica se il soggetto è presente o meno nel SIC;
3) «Experian index» - si tratta di un valore inerente al profilo di rischio creditizio ricompreso tra 1 e 11 rispetto al quale il valore 11 corrisponde a “sicurezza elevata”;

C) «Retail Score Info» - si tratta delle informazioni inerenti al c.d. Score [Retail Utilities] fornito da Cerved che si compone di diverse voci:
1) «Informazioni su eventi negativi» - che include “l’indicazione di protesti e pregiudizievoli di conservatoria;
2) «Score class» - “punteggio che va da 1 a 7 ove il valore 7 corrisponde a nessuna affidabilità”;
3) «Score class ante override» - strumento “di controllo e di riclassificazione nella determinazione della classe, nei limitati casi in cui lo stesso rilevi che un evento negativo [quale ad es. un protesto o un pignoramento] non è stato pesato adeguatamente dal modello statistico”;
4) «Score value» - “valore granulare che corrisponde a varie fasce ricomprese tra 1 e 7 dello Score class” (v. verbale di Major 1 S.r.l. del 16 aprile 2024, pagg. 2-4 e verbale di Hera S.p.A. del 18 marzo 2024, pag. 4). 

A sua volta, lo “Score Retail Utilities” è “il risultato dell’elaborazione di diversi sotto-score, anch’essi presenti nel tracciato XML”. Si tratta delle seguenti voci:
A) «Subscore public data» - “score di rischio concernente solo persone fisiche, basato sulle informazioni anagrafiche del soggetto interessato (in particolare residenza/luogo di nascita ed età) e sugli eventi negativi (protesti, pregiudizievoli, ecc.) afferenti all’interessato. Il livello di rischio è determinato sulla base di un modello statistico elaborato da Cerved” e si articola in 5 fasce (c.d. Score class) ove la quarta corrisponde a “scarsa affidabilità” e la quinta a “nessuna affidabilità”, nonché in un “punteggio granulare denominato «Score value»”;
B) «Subscore real estate» - riguarda “la consistenza immobiliare, la cui fonte è il registro catastale. Si articola in 7 fasce da 0 (soggetto non censito) a 6 (consistenza immobiliare non significativa). È composto nel dettaglio da uno score class e un punteggio granulare denominato Score value”;
C) «Subscore istat» - è “un valore inerente alla rischiosità della zona di residenza del soggetto interessato ed è elaborato sulla base degli indici Istat (riguarda ad es. il livello di degrado di una determinata zona censuaria). Non viene categorizzato in una classe specifica e pertanto è individuato unicamente tramite uno Score value”;
D) «Subscore P4» - si tratta “del punteggio ricavato dalla consultazione degli eventi negativi inerenti a procedure, protesti e pregiudizievoli di conservatoria. Si declina in 6 classi a rischio crescente” (v. verbale di Major 1 S.r.l. del 16 aprile 2024, pagg. 3-4).

Sul punto, è stato precisato che, di tutte le informazioni sopra indicate e presenti nel tracciato XML, “Hera S.p.A. utilizza solo quelle riferite al cosiddetto “class value” [relativo allo Score CGS-X persone fisiche recante] un punteggio ricompreso tra 1 e 7b, assegnando, in automatico, un KO in caso di rating maggiore e uguale a 6” (cfr. verbale di Hera S.p.A. del 18 marzo 2024, pag. 4). 
È stato inoltre rappresentato che le ulteriori informazioni riportate nel tracciato XML non sono utilizzate “per le finalità di verifica dell’affidabilità della clientela”, ma vengono comunque conservate “per eventuali ulteriori attività, fra cui il miglioramento del sistema di rating” (cfr. verbale di Hera S.p.A. del 18 marzo 2024, pag. 4). 
Dagli accessi effettuati presso Hera S.p.A., è emerso che “sono conservati i dati del Credit Check [effettuato per conto di Hera Comm S.p.A.] sia in caso di esito positivo (OK) che in caso di esito negativo (KO)” (v. verbale di Hera S.p.A. del 18 marzo 2024, pagg. 4 e 5).
In particolare, “il tracciato dell’interrogazione alle banche dati esterne riporta l’indicazione di tutti i dati contenuti nelle diverse maschere, ivi comprese le valutazioni di class value ed Experian score” e “vengono effettuate, complessivamente, circa 700.000 interrogazioni all’anno” (v. verbale di Hera S.p.A. del 18 marzo 2024, pagg. 4 e 5). 
Più nello specifico, è stato dichiarato che negli anni 2022, 2023, 2024 (fino alla data del 18 marzo 2024), sono stati oggetto di interrogazione nell’ambito della fase di Valutazione esterna del Credit Check 1.003.657 di persone fisiche (All. 3 del verbale di Hera S.p.A. del 19 marzo 2024).
Da ultimo, è stato rappresentato che, alla data degli accertamenti ispettivi, “non [era] stata adottata una policy [di gruppo in materia] di data retention (..) ma che la stessa [era] in corso di definizione” (v. verbale di Hera S.p.A. del 18 marzo 2024, pag. 5).
Quest’ultima, in particolare, “con specifico riferimento ai tempi di conservazione relativi al sistema SAP, (…) prevede[va] un termine di 10 anni dalla data di registrazione dell’ultimo documento contabile, ove per documento contabile si intende qualsiasi documento, anche di natura non fiscale, conservato in SAP (ad esempio, i tracciati di interrogazione delle banche dati esterne)” (v. verbale di Hera S.p.A. del 18 marzo 2024, pag. 5 e All. 8).

2.2. Le modalità di riscontro all’esercizio dei diritti degli interessati.

Per quanto concerne le istanze avanzate dagli interessati ai sensi art. 15 del Regolamento, sebbene la Società abbia risposto nei termini di cui all’art. 12 del Regolamento, nei riscontri dalla stessa forniti, si è limitata a fare riferimento alla sola rilevazione di un profilo di rischio degli interessati. 
In particolare, veniva infatti ivi genericamente rappresentato agli interessati che il profilo in questione era il risultato di verifiche effettuate da Hera Comm S.p.A., sulla base di valutazioni che prevedono l’utilizzo di “indicatori o punteggi elaborati mediante l’uso di tecniche o sistemi automatizzati di scoring relativamente ai (..) dati” (cfr. note di Hera Comm S.p.A. del 17 agosto 2022, del 29 agosto 2023 e del 25 agosto 2023). 
La Società comunicava agli interessati che le predette valutazioni erano “conseguenti a verifiche effettuate anche attraverso la consultazione di sistemi con informazioni provenienti da fonti pubbliche (il cui gestore è Cerved) e di sistemi di informazioni creditizie (il cui gestore è Experian”); consultazione che “restitui[va] uno score di sintesi” (cfr. nota di Hera Comm S.p.A. del 25 agosto 2023, ma v., anche, note della Società del 17 agosto 2022 e del 29 agosto 2023). 
Hera Comm S.p.A. precisava, in tali riscontri, di non avere contezza di tutti gli elementi di dettaglio inerenti al predetto score e invitava, pertanto, gli interessati a rivolgersi direttamente a Cerved Group S.p.A. e a Experian Italia S.p.A., per avere maggiori informazioni al riguardo (cfr. note di Hera Comm S.p.A. del 17 agosto 2022, del 29 agosto 2023 e del 25 agosto 2023).
Nel corso delle verifiche, è stato ulteriormente accertato che, in nessuno dei casi oggetto di doglianza, i predetti riscontri facevano riferimento allo “Score CGS-X” e i connessi sotto-score attribuiti all’interessato.
Tutto ciò, sebbene sia emerso che, nei sistemi di Hera S.p.A., risultavano presenti le interrogazioni effettuate a Major 1 S.r.l., rispetto ai codici fiscali degli istanti, nonché i tracciati XML delle risposte inviate da quest’ultima ad Hera S.p.A. 
Parimenti, è stato accertato che la Società conserva sistematicamente i dati inerenti alle interrogazioni e ai sopra menzionati tracciati dei potenziali clienti interessati dall’attività di Credit Check (v. verbale di Hera S.p.A. del 19 marzo 2024, pag. 1, 3 e 4 e Allegati nn. 1 e 10; v., anche, verbale di Hera S.p.A. del 20 marzo 2024, pagg. 1 e 3 e Allegati nn. 1 e 7).
2.3. L’attività di affinamento del servizio di rating della clientela del Gruppo Hera.
Le informazioni presenti nel sopra menzionato tracciato XML riferito allo “Score CGS-X” −diverse dal “class value” (v. supra) − “non sono ad oggi utilizzate [da Hera Comm S.p.A.] per effettuare le valutazioni di affidabilità della clientela” (v. verbale di Hera S.p.A. del 20 marzo 2024, pag. 2). 
Le stesse, infatti, “sono conservate e utilizzate per l’effettuazione di un’analisi attualmente in corso finalizzata ad un possibile affinamento del servizio di rating fornito alle società del gruppo” (v. verbale di Hera S.p.A. 19 marzo 2024, pag. 3). 
Tale attività comprende “l’analisi dei dati relativi all’affidabilità della clientela e ai profili di rischio della customer base” ed è posta in essere da Hera S.p.A. “in qualità di responsabile del trattamento, in nome e per conto delle società di vendita di energia Hera Comm (..) ed EstEnergy” nell’ambito di una specifica area di Hera S.p.A. denominata “Credit Management” (v. verbale di Hera S.p.A. del 20 marzo 2024, pag. 2).
I dati analizzati dalla predetta funzione sono quelli inerenti a “tutte le richieste di contrattualizzazione –riguardanti sia l’energia elettrica che il gas– relative a clienti persone fisiche (..) in relazione alle quali è stata effettuata una valutazione esterna con consultazione della banca dati di Cerved Group S.p.A.” e di quella di Experian Italia S.p.A. (v. nota di Hera S.p.A. del 19 aprile 2024, pag. 2). 
Tali analisi –rispetto alle quali è stata acquisita la legenda dei relativi campi (v. allegato n. 2 della nota di Hera S.p.A. del 19 aprile 2024) – “vengono effettuate da Hera S.p.A. con cadenza circa mensile e su dati costantemente aggiornati” (v. verbale di Hera S.p.A. del 20 marzo 2024, pag. 2). 
I predetti “dati, che risiedono su SAP SFCM, vengono [conservati in un], (..), datawarehouse di gruppo, in cui confluiscono anche i dati relativi al c.d. estratto conto del cliente” (v. verbale di Hera S.p.A. del 20 marzo 2024, pag. 2). 
Gli stessi vengono inoltre analizzati attraverso specifici applicativi di data analysis ovvero attraverso l’uso di Excel (v. verbale di Hera S.p.A. del 20 marzo, pag. 2). Tutto ciò, nell’ottica di “un possibile affinamento del servizio di rating della clientela del gruppo Hera” (v. verbale di Hera S.p.A. del 20 marzo 2024, pag. 2). 
A titolo esemplificativo, è stato rappresentato da Hera S.p.A. che, con riferimento all’anno 2022, l’attività sopra descritta ha riguardato “circa 500.000 interrogazioni inerenti a clienti persone fisiche effettuate da Hera S.p.A. alle banche dati esterne nel 2022” (v. verbale di Hera S.p.A. del 20 marzo 2024, pag. 2). 
È inoltre stato accertato che la sopra descritta attività di trattamento è stata posta in essere a partire dal 2022 e che complessivamente, negli anni 2022, 2023, 2024 (fino alla data del 18 marzo), la stessa ha riguardato 1.003.657 di persone fisiche (All. 3 del verbale di Hera S.p.A. del 19 marzo 2024).
In particolare, nel corso delle verifiche ispettive, è stato esaminato “un report di esempio dell’analisi effettuata, relativa ai clienti entrati in origination nel 2022, con dati di estratto conto aggiornati ad oggi, che riporta i dati di credito aperto e scaduto per diverse tipologie di attivazione (voltura, switch, prima attivazione…) e per classe di rischio (class value, con valori 1-6)” (v. verbale di Hera S.p.A. del 20 marzo 2024, pag. 2).

3. La notifica ex art. 166, comma 5 del Codice.

A seguito della contestazione delle violazioni di cui agli artt. 5, par. 1, lett. a), 12 e 15 del Regolamento, trasmessa a Hera Comm S.p.A. con comunicazione del 14 luglio 2025, la Società, con nota del 10 ottobre 2025, ha fatto pervenire i propri scritti difensivi, ulteriormente integrati in sede di audizione del 20 maggio 2026 e con successiva nota del 29 maggio 2026.

Nell’ambito delle sopra menzionate memorie, Hera Comm S.p.A. ha rappresentato quanto di seguito riportato:
a) rispetto alla contestazione inerente all’illiceità del trattamento dei dati dei potenziali clienti nell’ambito delle attività della c.d. Valutazione interna delle morosità pregresse, “è stato sottoscritto un contratto di contitolarità tra Hera Comm ed EstEnergy, ai sensi dell’art. 26 del Regolamento”. Ciò nell’ottica di condividere, conservare e trattare congiuntamente i dati personali raccolti dalle Società per la finalità di verifica dell’affidabilità della clientela del segmento mercato libero di energia elettrica e gas. Tale trattamento è preordinato a garantire la tutela della solidità finanziaria del Gruppo Hera e ridurre al minimo l’esposizione al rischio di insolvenza, attraverso l’acquisizione di clienti solidi e affidabili dal punto di vista creditizio. Si tratta, in conclusione, di un’attività che rappresenta “un presidio essenziale volto a garantire l’affidabilità delle forniture e la sostenibilità economica dell’attività di vendita nel mercato libero” (v. nota del 10 ottobre 2025, pag. 3). In ragione della sottoscrizione del contratto di contitolarità sopra citato, “sono state aggiornate le relative informative rese alla clientela, con lo scopo di assicurare la piena trasparenza del trattamento”, anche con riferimento al nuovo assetto di ruoli e responsabilità condivise (v. nota del 10 ottobre 2025, pag. 4; cfr., anche, nota del 29 maggio 2026, pagg. 1-2);
b) in merito alla prospettata violazione relativa agli inadeguati riscontri forniti agli interessati che avevano esercitato il diritto di accesso ai sensi dell’articolo 15 del Regolamento, la Società “non conoscendo tutte le evidenze prese in considerazione per produrre [lo score CGS-X] né, tantomeno, le logiche di elaborazione e produzione della valutazione stessa, metteva a disposizione dell’interessato tutte le informazioni in suo possesso per le quali poteva fornire una spiegazione”. In particolare, “piuttosto che fornire informazioni incomplete o che avrebbero dato la percezione di essere inaccurate, ha ritenuto maggiormente tutelante limitarsi ad invitare l’interessato a rivolgersi ai provider esterni, fornendo altresì tutti i canali di contatto utili allo scopo”. Sebbene la Società disponesse dello “Score CGS-X” e dei relativi sotto-score “le informazioni rinvenibili negli stessi non erano intellegibili né utili al fine di redigere il testo del riscontro da inviare all’interessato”. Hera Comm S.p.A. ha inoltre rappresentato che, ad oggi, non si avvale più del servizio “CGS-X”, messo a disposizione da Major 1 S.r.l., avendo adottato, rispetto alle attività di valutazione esterna, un “nuovo sistema, che restituisce esclusivamente lo score sintetico e non più i sub-punteggi analitici”. Inoltre, sono stati predisposti nuovi “modelli di risposta, (..) arricchiti di elementi aggiuntivi volti ad assicurare una più completa rappresentazione delle informazioni trattate e a rafforzare la trasparenza nei confronti della clientela” (v. nota del 10 ottobre 2025, pagg. 5-8 e All. 3);
c) rispetto al profilo inerente ai tempi di conservazione dei dati relativi ai clienti, con riferimento all’attività di Valutazione esterna, non ritenuti conformi al principio di limitazione della conservazione, la Società “ha predisposto e progressivamente implementato una policy di data retention specifica per i dati creditizi, che definisce termini certi di conservazione e procedure automatizzate di cancellazione al decorso dei periodi stabiliti, in piena conformità all’articolo 5, paragrafo 1, lettera e) del GDPR” (v. nota del 10 ottobre 2025, pag. 8 e nota del 29 maggio 2026, pagg. 2-3 e All. 1);
d) in merito alla contestata illiceità dell’attività di analisi dei dati personali dei clienti acquisiti nell’ambito del Credit Check, finalizzata all’affinamento del sistema di valutazione del rating della clientela del Gruppo Hera, è stato rappresentato che “la finalità dei trattamenti (..) era di natura statistica e i report elaborati avrebbero avuto la sola funzione di fornire al management una base di valutazione per eventuali revisioni dei parametri di scoring”. Sul punto, Hera Comm S.p.A. ha evidenziato che tale attività, ad oggi, non ha avuto alcun “effetto [sulle] singole pratiche di contrattualizzazione (..) poiché le analisi non hanno inciso sull’esito delle pratiche individuali, né sono state utilizzate per determinare decisioni automatizzate” (v. nota del 10 ottobre 2025, pag. 9). 

Da ultimo, per quanto concerne gli elementi da prendere in considerazione ai fini della commisurazione dell’eventuale sanzione, tra quelli individuati nell’art. 83, par. 2 del Regolamento, la Società ha rappresentato che “l’attività di credit check”, oggetto del procedimento, riguarda solo una parte dei trattamenti dei dati personali della clientela posti in essere da Hera Comm S.p.A.; ciò in quanto la predetta attività è “svolta nei confronti dei soli clienti domestici richiedenti l’attivazione di contratti di somministrazione di energia elettrica e gas nel mercato libero, nonché nei confronti dei clienti richiedenti l’attivazione di contratti nel servizio di tutela della vulnerabilità gas”  (v. nota del 29 maggio 2026, pag. 4). 

La Società ha altresì evidenziato, al fine di assicurare una piena conformità dei trattamenti in questione al Regolamento, di aver adottato alcune misure anche di carattere organizzativo quali la “riconduzione sotto il presidio privacy dei riscontri alle richieste di chiarimento in merito alla mancata contrattualizzazione” (nota del 29 maggio 2026, pag. 3). 
Infine, è stato osservato che, nel corso dell’istruttoria, Hera Comm S.p.A. ha tempestivamente e in maniera proattiva “abbandonato il progetto relativo alle attività di affinamento del sistema di valutazione del rating della clientela” (v. nota del 29 maggio 2026, pag. 2).
Tale progetto peraltro “non ha mai visto la luce perché il blocco delle attività è intervenuto in una fase propedeutica all’avvio dello stesso” e “non si è, dunque, mai verificata (..) alcuna lesione concreta dei diritti degli interessati, poiché le analisi non hanno inciso sull’esito delle pratiche individuali, né sono state utilizzate per determinare decisioni automatizzate” (cfr. nota del 29 maggio 2026, pagg. 2-3 e v. nota del 10 ottobre 2025, pag. 9).

4. Le valutazioni dell’Autorità.

Innanzitutto, si rappresenta che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”. 
Alla luce degli elementi acquisiti nel corso dell’attività istruttoria sopra descritta, nonché delle successive valutazioni svolte, emergono, a carico di Hera Comm S.p.A. i profili di violazione di seguito esplicitati.

4.1. L’illiceità del trattamento dei dati dei clienti per finalità di verifica di eventuali morosità pregresse (c.d. “Valutazione interna”)

Si fa innanzitutto riferimento alla policy −denominata “Credit Check”− che introduce, a livello di gruppo, un sistema di verifica in ordine alla solvibilità/affidabilità dei soggetti che intendono sottoscrivere offerte di luce e/o gas nel mercato libero. 
Tale policy “è unica per tutte le società del gruppo operanti nel settore del mercato libero dell’energia e (…) prevede che, ove un potenziale cliente del libero mercato, chieda l’attivazione di una fornitura con una società del gruppo” è effettuata, in prima battuta, una “verifica, sulla base dei dati anagrafici (..) del potenziale cliente, della presenza di eventuali morosità pregresse” (v. verbale di Hera S.p.A. del 18 marzo 2024, pag. 3). 
Più nel dettaglio, Hera Comm S.p.A., in conformità con tale procedura, effettua, a fronte delle richieste avanzate dai propri potenziali clienti, la c.d. Valutazione interna, consistente nella verifica della presenza di eventuali morosità, a carico di questi ultimi, relative a rapporti di fornitura di energia nel mercato libero instaurati anche con altre società del Gruppo.
In concreto, tale attività è posta in essere da Hera S.p.A., per conto di Hera Comm S.p.A., in forza del “Contratto per la gestione delle attività in materia amministrazione finanza e controllo”, sottoscritto il 18 luglio 2013 dalle Società, e del relativo “Addendum” del 3 luglio 2023. 
Hera S.p.A., infatti, pone in essere “in maniera centralizzata all’interno del Gruppo (..) l’attività di controllo del merito creditizio della clientela”. A tal fine, quest’ultima è nominata, da Hera Comm S.p.A., responsabile del trattamento ai sensi dell’art. 28 del Regolamento (v. verbale di Hera S.p.A. del 18 marzo 2024, pag. 2 e All. 2).
Sul punto, è in particolare emerso che, nell’ambito dello svolgimento della predetta verifica, Hera Comm S.p.A. tiene conto, non solo delle morosità del potenziale cliente presenti nei propri sistemi, ma anche delle informazioni inerenti a eventuali ulteriori morosità pregresse, in carico a quest’ultimo, nei confronti di EstEnergy S.p.A. 
Tutto ciò fornendo, al termine della stessa, un riscontro in termini di “OK”, in caso di esito positivo, ovvero di “KO”, in caso di esito negativo (v. verbale di Hera S.p.A. del 18 marzo 2024, pag. 3 e nota di Hera S.p.A. del 19 aprile 2024, pag. 1).
La sopra descritta attività, effettuata per il tramite del responsabile del trattamento Hera S.p.A., comporta quindi, di fatto, una condivisione dei dati dei clienti tra le società del Gruppo operanti in qualità di fornitori di energia; condivisione che ha ad oggetto informazioni personali inerenti alle morosità pregresse della clientela, come individuate dalla procedura denominata “Regole di origination clienti privati” (quali ad es. fatture insolute, rate di un piano di rientro scadute, crediti affidati al recupero legale), nonché quelle relative ai giudizi sintetici di OK/KO riferiti ai singoli interessati (v. All. 3 del verbale di Hera S.p.A. del 18 marzo 2024). 
Rispetto a tale specifica attività di trattamento di dati, Hera Comm S.p.A., non ha provveduto a rendere edotti gli interessati ai sensi degli artt. 13 e 14 del Regolamento. 
L’informativa a suo tempo fornita dalla Società, all’atto della sottoscrizione del contratto da parte del cliente, non contiene infatti alcuna indicazione, in ordine alla predetta attività e alle succitate tipologie di dati personali (v. Allegato denominato “Plico Famiglie HC-Gennaio 2023” della nota di Hera Comm S.p.A. del 21 marzo 2025).
Inoltre, l’informativa si limita a riportare genericamente la circostanza che “i dati personali [della clientela] potranno essere comunicati a società del Gruppo Hera e/o a terzi legati contrattualmente alle Società del Gruppo”, senza fare alcun specifico riferimento all’operazione di comunicazione dei sopra menzionati dati tra Hera Comm S.p.A. ed EstEnergy S.p.A. effettuata per la finalità di Valutazione interna (v. Allegato denominato “Plico Famiglie HC-Gennaio 2023” della nota di Hera Comm S.p.A. del 21 marzo 2025). 
Alla luce del quadro sopra descritto, emerge l’inadeguatezza dell’informativa resa agli interessati da Hera Comm S.p.A., in quanto la stessa non contiene alcuna informazione circa le operazioni di trattamento connesse all’attività di Valutazione interna della clientela, poste in essere dalla Società. Tutto ciò in violazione dell’art. 5, par. 1, lett. a), nonché degli artt. 13 e 14 del Regolamento.
Si rileva altresì che, rispetto alla sopra menzionata attività, le istruzioni fornite da Hera Comm S.p.A., ai sensi dell’art. 28 del Regolamento al responsabile del trattamento Hera S.p.A., non includono le operazioni di trattamento consistenti nella verifica delle morosità pregresse dei clienti afferenti ad EstEnergy S.p.A. 
Infatti, all’interno dell’atto di designazione ex art. 28 del Regolamento sottoscritto il 3 luglio 2023 da Hera Comm S.p.A. e Hera S.p.A., non è stato rinvenuto alcun riferimento all’incarico di trattare, nell’ambito del perseguimento delle predette specifiche finalità, anche le informazioni inerenti alla clientela di EstEnergy S.p.A. 
Il predetto atto di designazione si limita infatti a prevedere che Hera S.p.A. svolge, in favore di Hera Comm S.p.A., le prestazioni inerenti all’attività di “Supporto in approfondimento ad analisi di Origination della [propria] Clientela” (v. All. 2 “Addendum” al “Contratto per la gestione delle attività in materia amministrazione finanza e controllo”, del verbale del 18 marzo 2024). Ne consegue la violazione, da parte di Hera Comm S.p.A., dell’art. 28 del Regolamento.
Fermo restando quanto sopra esplicitato, si prende al contempo atto dell’avvenuta sottoscrizione, in data 1° agosto 2024, dell’Accordo di contitolarità tra Hera Comm S.p.A. ed EstEnergy S.p.A., ai sensi dell’art. 26 del Regolamento, nei termini descritti al paragrafo 3, lett. a) della presente decisione, nonché del conseguenziale aggiornamento dei modelli di informativa resa alla clientela ai sensi dell’art. 13 del Regolamento.
Più nello specifico, si rileva che, con il predetto Accordo, sono state definite le rispettive responsabilità, in ordine al trattamento dei dati inerenti alla verifica interna dell’affidabilità della clientela.
Quest’ultimo viene posto in essere congiuntamente da Hera Comm S.p.A. ed EstEnergy S.p.A. ai sensi dell’art. 6, par. 1, lett. f) del Regolamento, per il perseguimento del legittimo interesse delle Società, in considerazione dell’esigenza di garantire la tutela della solidità finanziaria delle stesse, nonché del Gruppo Hera nella sua interezza, e ridurre al minimo l’esposizione al rischio di mancato pagamento da parte della clientela (v., in tal senso, Cons. 47 del Regolamento).
In merito, si tiene conto altresì delle ragionevoli aspettative degli interessati rispetto al trattamento in questione, considerato che lo stesso coinvolge esclusivamente Società appartenenti al medesimo gruppo ed è al contempo circoscritto alla sola fase precontrattuale, nonché limitato allo specifico settore della fornitura di energia e gas nel mercato libero (cfr., al riguardo, Comitato europeo per la protezione dei dati personali, “Linee guida 1/2024 sul trattamento dei dati personali basato su Articolo 6, paragrafo 1, lettera f), RGPD”, adottate l'8 ottobre 2024, paragrafi 31-60).
Da ultimo, si osserva inoltre che, con il predetto Accordo di contitolarità, Hera Comm S.p.A., congiuntamente ad EstEnergy S.p.A., si impegna a designare Hera S.p.A., in relazione allo svolgimento delle operazioni connesse all’attività di c.d. Valutazione interna, quale responsabile del trattamento ai sensi dell’art. 28 del Regolamento (cfr. art. 8, del citato Accordo). 
Tanto complessivamente rilevato, i trattamenti dei dati dei clienti posti in essere da Hera Comm S.p.A., fino alla data di sottoscrizione del sopra menzionato Accordo di contitolarità per la finalità di verifica di eventuali morosità pregresse nell’ambito della c.d. Valutazione interna, risultano illeciti in quanto contrari agli artt. 5, par. 1, lett. a), 13, 14 e 28 del Regolamento.

4.2. Violazioni in materia di esercizio dei diritti e del principio di limitazione della conservazione.

In base agli elementi acquisiti nel corso dell’attività istruttoria nonché alle successive valutazioni svolte, risulta accertato che Hera Comm S.p.A. ha fornito, alle istanze di esercizio dei diritti ex. art. 15-22 del Regolamento presentate dagli interessati, riscontri inadeguati e incompleti. 
Gli stessi, infatti, si limitavano a contenere un mero riferimento alla rilevazione di un profilo di rischio degli interessati, senza però riportare, né l’indicazione inerente allo “Score CGS-X” e ai connessi sotto-score attribuiti all’interessato, né le informazioni sulla logica utilizzata ai fini dell’elaborazione del predetto profilo. 
Più nello specifico, Hera Comm S.p.A., in tutti i riscontri oggetto di doglianza, ha rappresentato di non avere contezza degli elementi di dettaglio inerenti allo “Score CGS-X”. In particolare, asserendo di non conoscere “tutte le evidenze prese in considerazione per produrre la [predetta] valutazione integrata né, tantomeno, le logiche di elaborazione e produzione della valutazione stessa”, invitava gli interessati a rivolgersi direttamente a Cerved Group S.p.A. e a Experian Italia S.p.A., al fine di avere maggiori indicazioni al riguardo (cfr. nota del 10 ottobre 2025, pag. 5).
Il tutto, sebbene le informazioni in questione fossero invece −come accertato nel corso delle verifiche in loco− presenti nei sistemi del titolare (v. supra, par. 2.2 del presente atto di notifica di violazione). 
Al riguardo, si osserva che, alla luce del quadro normativo vigente in materia di protezione dei dati personali in ordine all’esercizio dei diritti da parte dell’interessato, in base all’art. 15, par. 1, del Regolamento, “l'interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l'accesso ai dati personali e [a talune] informazioni” indicate in tale disposizione.
Il destinatario della richiesta avanzata ai sensi dell’art. 15 del Regolamento è dunque il titolare del trattamento −nel caso di specie Hera Comm S.p.A.− nei confronti del quale quest’ultima è stata presentata; lo stesso è infatti tenuto, in virtù dell’art. 12, par. 3 del Regolamento, a fornire all’interessato tutte le informazioni personali oggetto del relativo trattamento.
Ne consegue, pertanto, che non può essere accolto quanto sostenuto sul punto dalla Società, come riportato nel paragrafo 3, lettera b) della presente decisione, gravando innanzitutto sulla stessa, quale titolare del trattamento in questione, l’obbligo sopra esplicitato, di cui agli artt. 12 e 15 del Regolamento.
Merita altresì evidenziare che il diritto di accesso ex art. 15 del Regolamento è principalmente concepito quale strumento volto a consentire, in linea generale, all’interessato di esercitare il “controllo” sui dati personali che lo riguardano, assicurando allo stesso piena consapevolezza delle informazioni oggetto di trattamento e delle effettive modalità di quest’ultimo. 
Lo scopo del diritto di accesso è quindi primariamente quello di rendere noti “quali” dati e “come” siano stati trattati dal titolare al fine di fornire all’interessato gli strumenti per “conoscere e verificare la liceità e l’esattezza del trattamento” allo stesso riferito (v. cons. 63 del Regolamento; Comitato Europeo per la protezione dei dati, “Linee guida 1/2022 sui diritti degli interessati - Diritto di accesso”, cit., paragrafi 10-13). 
Ai sensi dell’art. 15 del Regolamento, pertanto, il titolare, in sede di riscontro ad un’istanza di accesso, non può limitarsi a rilasciare “una descrizione generale dei dati [o] un semplice riferimento alle categorie di dati personali trattate”, né può omettere informazioni in suo possesso ove riferibili all’interessato; al contrario è piuttosto tenuto a fornire l’accesso a “tutte le informazioni di cui all'articolo 15”, riferite all’interessato, effettivamente oggetto di trattamento.
Tali informazioni “devono essere complete, corrette e aggiornate, corrispondenti per quanto possibile allo stato del trattamento dei dati nel momento in cui la richiesta è stata ricevuta” e devono essere fornite “in forma concisa, trasparente, intelligibile e facilmente accessibile” a quest’ultimo (cfr. Comitato Europeo per la protezione dei dati, “Linee guida 1/2022 sui diritti degli interessati - Diritto di accesso”, cit., par. 34; art. 12, par. 1 del Regolamento).
Si rileva altresì che, nel caso in esame, il peculiare contesto (trattamento volto alla elaborazione di uno score inerente all’affidabilità della clientela), sotteso alle istanze di esercizio del diritto di accesso presentate dagli interessati, richiede una particolare attenzione, da parte del titolare del trattamento, anche in ordine all’obbligo di fornire “informazioni significative sulla logica utilizzata, nonché [sul]l’importanza e [sul]le conseguenze previste di tale trattamento per l’interessato” (art. 15, par. 1, lett. h) del Regolamento). 
Rispetto alla predetta disposizione, la Corte di Giustizia dell’Unione Europea ha di recente fornito utili indicazioni operative, da un punto di vista sostanziale, circa il tipo di informazioni che l’interessato può esigere dal titolare, nonché, da un punto di vista formale, in ordine alle modalità con cui le stesse devono essere rese da quest’ultimo (cfr. sentenza CGUE, del 27 febbraio 2025, C-203/22). 
In particolare, nel chiarire l’espressione “informazioni significative sulla logica utilizzata”, la Corte ha precisato che le stesse riguardano “qualsiasi informazione pertinente relativa alla procedura e ai principi di utilizzo, con mezzi automatizzati, di dati personali al fine di ottenerne un determinato risultato” (v. par. 58, sentenza CGUE n. C-203/22, cit.).
Ne consegue pertanto che gli interessati, nel caso in esame, vantano il diritto ad avere piena contezza di tutti gli elementi di cui si compone la valutazione in ordine alla propria affidabilità creditizia, inclusi quelli presi in considerazione dal titolare ai fini dell’attribuzione dello score, nonché i criteri di calcolo utilizzati (cfr., in tal senso, ordinanza Cass. 25 maggio 2021 n. 14381). 
In merito invece alle modalità con cui le predette informazioni devono essere rese, la Corte di giustizia dell’Unione Europea ha ribadito l’obbligo del titolare di fornire le stesse “in forma concisa, trasparente, comprensibile e facilmente accessibile, con un linguaggio semplice e chiaro”; tutto ciò, nell’osservanza del principio di trasparenza di cui all’art. 12, par. 1, del Regolamento. Pertanto “non può soddisfare tali requisiti né la semplice comunicazione di una formula matematica complessa, come un algoritmo, né la descrizione dettagliata di tutte le fasi di un processo decisionale automatizzato, in quanto nessuno di questi metodi costituirebbe una spiegazione sufficientemente concisa e comprensibile” (paragrafi nn. 58-59, sentenza CGUE n. C-203/22, cit.). 
Nel complesso, la previsione di fornire le “informazioni significative sulla logica utilizzata”, ai sensi dell’articolo 15, paragrafo 1, lettera h), del Regolamento, si sostanzia, dunque, nell’obbligo in capo al titolare di “descrivere la procedura e i principi concretamente applicati in modo tale che l’interessato possa comprendere quali dei [propri] dati personali sono stati utilizzati e in che modo (..), senza che la complessità delle operazioni da eseguire nel contesto del processo decisionale automatizzato possa esonerare il titolare del trattamento dal suo dovere di spiegazione” (par. 61, sentenza CGUE n. C-203/22, cit.).
Alla luce di quanto sopra esplicitato, ne consegue pertanto che Hera Comm S.p.A., nei casi in esame, ha tenuto una condotta in contrasto con gli artt. 12 e 15 del Regolamento, considerato che la stessa non ha fornito agli interessati alcuna indicazione relativa allo “Score CGS-X”, a fronte del quale è stata rifiutata la richiesta di attivazione della fornitura di energia, né agli ulteriori punteggi (c.d. sotto-score) che hanno contribuito a generare il predetto “Score CGS-X”. Inoltre, la Società non ha reso edotti gli istanti in merito alle logiche e ai criteri applicati al sistema di calcolo sotteso all’elaborazione del profilo di rischio creditizio. 
Ciò, ha quindi di fatto impedito a quest’ultimi di avere accesso alle tipologie di informazioni personali effettivamente utilizzate a tal fine, nonché di comprendere le modalità di impiego delle stesse. 
L’inadeguatezza dei riscontri forniti da Hera Comm S.p.A. non ha dunque posto l’interessato nella condizione di avere contezza della liceità e correttezza del trattamento, né dell’esattezza dei dati utilizzati nel contesto in esame, compromettendo la facoltà di quest’ultimo di poter esercitare, se del caso, il diritto di rettifica nell’ipotesi di dati inesatti e/o incompleti (v. art. 16 del Regolamento), nonché quello di “ottenere l’intervento umano da parte del titolare del trattamento, [di] esprimere la propria opinione e contestare la decisione” assunta nei propri confronti dal titolare (cfr. art. 22, par. 3 del Regolamento).
Tutto ciò −stante la natura particolarmente delicata delle informazioni trattate da Hera Comm S.p.A. nella fattispecie in esame in quanto afferenti all’affidabilità creditizia della clientela− con il rischio di conseguenze pregiudizievoli sui diritti e sulle libertà fondamentali degli interessati (quali ad esempio, come avvenuto nei casi in esame, il diniego della sottoscrizione del contratto di fornitura di energia). 
Si tenga altresì conto che, in ragione della condotta tenuta dalla Società, gli interessati hanno subito un aggravio in termini di costi e di tempi, stante l’onere di dover presentare ulteriori istanze ex art. 15 del Regolamento, anche a Cerved Group S.p.A. e Experian Italia S.p.A., al fine di ottenere informazioni che erano invero nella piena disponibilità di Hera Comm S.p.A.
Sul punto, nel prendere atto dei nuovi modelli di risposta adottati dalla Società in caso di diniego della fornitura in ragione delle proprie politiche di accettazione dei clienti, di cui all’Allegato 3 della nota del 10 ottobre 2025, merita evidenziare che anche quest’ultimi non contengono ancora tutti gli elementi previsti dall’art. 15 del Regolamento, nei termini sopra esplicitati.
In ragione di quanto sopra complessivamente esplicitato, si rileva pertanto la violazione, a carico di Hera Comm S.p.A. degli artt. 12 e 15 del Regolamento. 
Da ultimo, si osserva che, rispetto al trattamento dei dati personali dei clienti acquisiti nell’ambito della sopra menzionata Valutazione esterna, sono stati riscontrati ulteriori profili di violazione concernenti i tempi di conservazione dei dati dei predetti interessati.
In particolare, sul punto, risulta accertato che Hera Comm S.p.A., all’atto delle verifiche in loco, non disponeva di tempistiche specifiche, in ordine alla conservazione dei dati dei clienti acquisiti per le finalità di Valutazione esterna e che, all’interno della policy di data retention all’epoca ancora in corso di definizione, risultava individuato, rispetto a tali dati personali, il termine decennale genericamente previsto per la conservazione della documentazione di natura contabile (v. All. 8 del verbale del 18 marzo 2024). 
Al riguardo, si fa invero presente che l’art. 5, par. 1, lett. e) del Regolamento prevede che i dati personali devono essere conservati in modo da consentire l’identificazione dell’interessato per un arco di tempo non superiore a quello necessario a conseguire le finalità del trattamento.
Il principio di conservazione, infatti, impone al titolare l’onere di valutare la durata del trattamento in necessaria correlazione con le specifiche finalità prefissate a monte all’atto della raccolta; ciò al fine di “assicurare che il periodo di conservazione dei dati personali sia limitato al minimo necessario” (v. cons. 39 del Regolamento). 
Trattasi, invero, dell’obbligo del titolare di garantire una “corretta” durata del trattamento che, in caso contrario, potrebbe protrarsi oltre il raggiungimento delle specifiche finalità dello stesso con impatto sui principi di liceità, correttezza e trasparenza (art. 5 del Regolamento).
Rispetto al trattamento dei dati in esame, si evidenzia, pertanto, in primis, che all’atto dell’accertamento ispettivo non erano stati previsti da Hera Comm S.p.A. specifici tempi di conservazione. 
Si rileva altresì che, sebbene all’epoca fosse in corso di adozione una Policy in materia di data retention, nella stessa non sono state specificatamente indicate, dalla Società, le ragioni connesse all’applicazione, a tali trattamenti, del termine decennale di conservazione previsto in linea generale per la documentazione contabile, né è stata debitamente giustificata la rispondenza di tale previsione a quanto strettamente necessario al conseguimento delle finalità del relativo trattamento. 
Ne consegue che Hera Comm S.p.A. ha tenuto una condotta in violazione dell’art. 5, par. 1, lett. e), del Regolamento. 
Sul punto, si prende ad ogni modo atto dell’avvenuta adozione, nel mese di febbraio 2026 da parte della Società, di una versione aggiornata di una Policy in materia di data retention (c.d. “Policy di Data Retention”), ove è stato individuato uno specifico termine di conservazione quinquennale con riferimento alle informazioni personali trattate per finalità di verifica dell’affidabilità creditizia della clientela (v. All. 1 della nota del 29 maggio 2026, pag. 2).

4.3. L’Illiceità del trattamento posto in essere nell’ambito dell’attività di affinamento del sistema di valutazione del rating della clientela del Gruppo.

All’esito degli accertamenti ispettivi, è altresì emerso che Hera Comm S.p.A., per il tramite di Hera S.p.A. designata responsabile del trattamento, pone in essere un’attività di analisi dei dati personali dei clienti, acquisiti nell’ambito del Credit Check; tutto ciò, nell’ottica di affinamento del sistema di valutazione del rating della clientela del Gruppo Hera (v. verbale di Hera S.p.A. del 20 marzo 2024, pag. 2). 
Tale attività, più nello specifico, consiste nel “monitoraggio del profilo di rischio del portafoglio crediti di Gruppo tramite l’analisi di dati creditizi e finanziari sia interni che esterni”, volto a definire le “regole per la valutazione del profilo di rischio del cliente, monitorandone l’efficacia” (v. All. 4 del verbale di Hera S.p.A. del 20 marzo 2024).  
A tal fine, la Società conserva, a partire dal 2022, le informazioni inerenti a “tutte le richieste di contrattualizzazione –riguardanti sia l’energia elettrica che il gas− relative a clienti persone fisiche (..) in relazione alle quali è stata effettuata una valutazione esterna con consultazione della banca dati di Cerved Group S.p.A. [e di Experian Italia S.p.A.]” (v. nota di Hera S.p.A. del 19 aprile 2024, pag. 2). 
Si tratta delle informazioni acquisite da Hera Comm S.p.A., nell’ambito della fase di valutazione esterna e contenute nel tracciato XML recante il rating del cliente; informazioni che, nello specifico, concernono i dati relativi allo “Score CGS-X”, ai “Dettagli SIC” e al “Retail Score Info”, nonché ai sotto-score ricompresi nelle predette voci (cfr., più nel dettaglio, supra par. 2.1.). 
Sono inoltre oggetto della predetta attività di analisi anche i dati personali dei clienti –inerenti alle morosità pregresse– raccolti dalla Società ai fini della Valutazione interna (v. verbale di Hera S.p.A. del 20 marzo 2024, pag. 2; v., anche, All. 2 della nota di Hera S.p.A. del 19 aprile 2024 e All. 8 del verbale di Hera S.p.A. del 20 marzo 2024).
Rispetto al trattamento delle informazioni personali sopra descritte, che Hera Comm S.p.A. acquisisce da Experian Italia S.p.A. e da Cerved Group S.p.A., merita evidenziare quanto segue.
Innanzitutto, si rappresenta che il trattamento dei dati forniti da Experian Italia S.p.A., nell’ambito del Sistema di Informazioni Creditizie (c.d. SIC), è lecitamente effettuato, a condizione che siano rispettate le specifiche disposizioni normative di settore (v. art. 6-bis della Legge 14 settembre 2011, n. 148; art. 30-ter del D. lgs. 141/2010; v. anche legge n. 124/2017), nonché le previsioni del Codice di condotta per i sistemi informativi gestiti da soggetti privati in tema di crediti al consumo, affidabilità e puntualità nei pagamenti (di seguito “Codice di condotta SIC”, adottato con deliberazione del Garante del 6 ottobre 2022 e reperibile sul sito internet dell’Autorità al doc. web n. 9818201). 
Il Codice di condotta SIC individua adeguate garanzie, a tutela dei diritti degli interessati, e prevede specifiche regole di comportamento che gli operatori del settore sono tenuti a rispettare, al fine di dimostrare la conformità del trattamento al Regolamento (v. considerando 77 e artt. 24, par. 3, 32, par. 3, 28, par. 5 del Regolamento). 
Sul punto, il legislatore è intervenuto a più riprese per consentire l’accesso ai dati presenti nei suddetti SIC a diversi soggetti tra i quali, attualmente, in forza dell’articolo 6-bis, del D.L. 138/2011 e dell’art. 30-ter del D. lgs. 141/2010, sono ricompresi “anche i soggetti autorizzati a svolgere le attività di vendita a clienti finali di energia elettrica e di gas naturale ai sensi della normativa vigente”. 
Per effetto delle predette norme, “tali soggetti (cosiddetti accedenti) (..) hanno facoltà di consultare i dati personali presenti nei SIC, stipulando a tal fine appositi accordi con uno o più gestori di SIC” (v. al riguardo punti 5 e 6 delle “Premesse” del citato Codice di condotta SIC). 
In linea con tale previsione, è stato sottoscritto il 3 novembre 2021, da Hera Comm S.p.A. ed Experian Italia S.p.A., l’accordo denominato “Condizioni Generali” (v. All. 6 e relativi allegati del verbale di Hera S.p.A. del 19 marzo 2024 e All. 5 del verbale di Hera S.p.A. del 18 marzo 2024).
Alla luce di quanto sopra precisato, Hera Comm S.p.A., in qualità di accedente, può trattare le informazioni acquisite dal SIC “esclusivamente per le finalità connesse alla valutazione, all’assunzione o alla gestione di un rischio di credito, [nonché] alla valutazione dell’affidabilità e della puntualità nei pagamenti [del potenziale cliente]” che abbia chiesto di instaurare un rapporto contrattuale con la Società (v. art. 3, art. 8, comma 1, e art. 18, comma 1, del Codice di condotta SIC).
Più diffusamente, il sopra menzionato accordo del 3 novembre 2021 prevede che Hera Comm S.p.A., appartenendo “ad una delle categorie di soggetti di cui comma 5 dell'articolo 30-ter del decreto legislativo 13 agosto 2010, n. 141, (..) può (..) avere accesso al SIC Experian con facoltà di consultare i dati ivi presenti nei limiti degli Scopi Consentiti e secondo i termini e condizioni di cui alle presenti Condizioni Particolari, alle Condizioni Generali ed al Codice di Condotta SIC” (v. artt. 1.2. e 6.1. dell’“Allegato 1 alle Condizioni generali – condizioni particolari”).
Al riguardo, merita evidenziare che tutti i soggetti che accedono ai SIC devono rispettare il principio di finalità, consistente nella tutela del credito e nel contenimento del relativo rischio, in virtù del quale la consultazione dei dati personali di un interessato può avvenire soltanto se strettamente connessa all’istruttoria di una richiesta volta all’instaurazione di un rapporto con il predetto soggetto. 
Sono pertanto illeciti i trattamenti dei dati acquisiti dai SIC ove posti in essere per scopi ulteriori o comunque non specificatamente collegati ad una richiesta del potenziale cliente volta alla sottoscrizione di un contratto con il partecipante/accedente (v., tra i tanti, provv. del Garante del 31 luglio 2002, doc. web n. 30000; provv. del 4 maggio 2002, doc. web n. 1302311; provv. del 4 maggio 2006, doc. web n. 1302373).
Con specifico riferimento al caso di specie, alla luce dei principi sopra riportati, ne consegue che le operazioni di trattamento dei dati acquisiti da Experian Italia S.p.A., poste in essere da Hera Comm S.p.A. per le finalità di affinamento del sistema di valutazione del rating della clientela, sono effettuate in violazione dell’art. 5, par. 1, lett. b) del Regolamento. 
Tutto ciò, in quanto volte –diversamente da quanto sostenuto dalla Società nei termini di cui al paragrafo 3, lettera d) della presente decisione− al perseguimento di una finalità ulteriore e incompatibile con quella originaria alla base della raccolta dei predetti dati personali.  
Analoghe considerazioni possono essere formulate con riferimento al trattamento, posto in essere da Hera Comm S.p.A., e avente ad oggetto le informazioni commerciali acquisite da quest’ultima presso Cerved Group S.p.A.
Sul punto, va rammentato che l’attività di informazione commerciale è esercitata, previa specifica licenza prefettizia rilasciata ai sensi dell’art. 134 del Testo unico delle leggi di pubblica sicurezza (R.D. n. 773/1931 e successive modificazioni e integrazioni), e che la stessa è disciplinata da puntuali disposizioni che ne individuano caratteristiche e modalità di svolgimento (cfr. D.M. del 1° dicembre 2010, n. 269 e D.M. del 25 febbraio 2015, n. 56, nonché R.D. n. 773/1931).
Nell’ambito di tale quadro normativo, il sotteso trattamento di dati personali deve essere posto in essere, in conformità al Codice di condotta per il trattamento dei dati personali in materia di informazioni commerciali (di seguito “Codice di condotta informazioni commerciali”), adottato dal Garante con deliberazione del 29 aprile 2021 (reperibile sul sito internet dell’Autorità al doc. web n. 9586215). 
Quest’ultimo prevede che le informazioni commerciali siano fornite ai committenti, nell’ottica di porre in essere “verifiche sulla situazione economica, finanziaria e patrimoniale degli interessati, nonché sulla loro solidità, solvibilità ed affidabilità”, con la finalità di instaurare e gestire i rapporti, anche precontrattuali, con gli interessati e fornire loro beni, prestazioni e servizi (v. artt. 2, comma 2, lett. c) e 6 del Codice di condotta informazioni commerciali).
Tutto ciò, sulla base di specifici accordi definiti con i fornitori di servizi di informazioni commerciali, quale quello sottoscritto, nel caso in esame, il 3 novembre 2021 da Hera S.p.A., in nome e per conto di Hera Comm S.p.A., e da Cerved Group S.p.A. (v. All. 4 “Contratto di fornitura servizi di informazioni commerciale” del verbale di Hera S.p.A. del 18 marzo 2024); contratto che, nello specifico, riguarda la fornitura di un servizio avente ad oggetto “l’implementazione e la messa in produzione di scorecard per l'accettazione di nuovi clienti” (v. anche Premessa delle “Condizioni Economiche -Accesso ai servizi Cerved & Experian in fase di valutazione mediante l'adozione di modelli integrati per i segmenti Privati e Business”, del verbale di Hera S.p.A., del 18 marzo 2024, All. 4).  
Tale accordo, in linea con quanto previsto dal Codice di condotta informazioni commerciali, prevede che “tutti i Dati Personali [raccolti] nel corso dello svolgimento del Contratto saranno trattati rispettivamente da ciascuna delle Parti per le sole finalità indicate nel Contratto ed in modo strumentale all'espletamento dello stesso, nonché per adempiere ad eventuali obblighi di legge, della normativa comunitaria e/o prescrizioni del Garante per la protezione dei dati personali” (cfr. art. 23.1. del “Contratto di fornitura servizi di informazioni commerciale”, del verbale di Hera S.p.A., del 18 marzo 2024, All. 4).
Ne deriva pertanto che le informazioni personali acquisite, nel caso di specie, da Hera Comm S.p.A., presso Cerved Group S.p.A., non possono essere trattate per finalità ulteriori e incompatibili con quelle individuate nel Contratto e nel citato Codice di condotta informazioni commerciali, volte a valutare l’affidabilità di un potenziale cliente ai fini dell’accettazione o meno della sua richiesta di instaurazione di un rapporto contrattuale. 
Il trattamento effettuato dalla Società, rispetto ai predetti dati personali, risulta, pertanto, illecito ai sensi dell’art. 5, par. 1, lett. b) del Regolamento.
Da ultimo, si rileva altresì che le operazioni di trattamento dei dati dei clienti complessivamente poste in essere da Hera Comm S.p.A. nel caso di specie, comportano la conservazione nel tempo delle informazioni acquisite presso Experian Italia S.p.A. e Cerved Group S.p.A. per una loro successiva elaborazione, volta alla predetta attività di affinamento del sistema di valutazione del rating della clientela del Gruppo Hera.
Nella fattispecie in esame, la conservazione dei dati trattati in vista di un loro possibile (ri-)utilizzo, determina il rischio che, a distanza di tempo, i dati originariamente raccolti presso le banche dati gestite da Experian Italia S.p.A. e Cerved Group S.p.A., e successivamente conservati da Hera Comm S.p.A., possano subire variazioni e pertanto non essere più aggiornati. 
Ciò, in quanto l’attività di trattamento per finalità di informazione commerciale e quella connessa alla gestione di un SIC –entrambe peraltro poste in essere da società specializzate in tali ambiti e, nel caso delle informazioni commerciali, specificamente autorizzate da una licenza prefettizia– è presidiata da precipue disposizioni normative e deontologiche, volte ad assicurare anche l’esattezza dei dati messi a disposizione dei committenti.
Il trattamento effettuato da Hera Comm S.p.A. con le modalità sopra descritte, si pone dunque anche in violazione del principio di esattezza di cui all’art. 5, par. 1, lett. d) del Regolamento. 
Si tenga conto, inoltre, che un trattamento di dati non aggiornati, nei termini di cui al presente paragrafo –tenuto conto della peculiare natura delle predette informazioni (inerenti all’affidabilità creditizia degli interessati) e dell’incidenza delle stesse sulle determinazioni assunte dalla Società nei confronti dei clienti–, potrebbe determinare conseguenze pregiudizievoli per i diritti e le libertà fondamentali di questi ultimi. 
Si fa presente, infine, che la sopra descritta attività di trattamento è stata posta in essere, a partire dal 2022, e che, negli anni 2022, 2023, 2024 (fino alla data del 18 marzo), ha riguardato 1.003.657 di persone fisiche (All. 3 del verbale di Hera S.p.A. del 19 marzo 2024).
Tutto ciò complessivamente considerato, si rileva pertanto la violazione, a carico di Hera Comm S.p.A., dell’art. 5, par. 1, lettere a), b) e d) del Regolamento.

5. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ex art. 58, par. 2, Regolamento.

Alla luce di quanto complessivamente rilevato, l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dal titolare del trattamento, nel corso dell’istruttoria, non consentano di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che risultino pertanto inidonee a disporre l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.
Il trattamento dei dati personali effettuato da Hera Comm S.p.A., oggetto della presente decisione, è stato pertanto posto in essere in violazione dell’art. 5, par. 1, lettere a), b) e d) ed e); nonché degli artt. 12, 13, 14 e 15 e dell’art. 28 del Regolamento. 
Per quanto concerne l’esercizio dei poteri correttivi di cui all’art. 58, par. 2, del Regolamento, si prende innanzitutto atto della circostanza che Hera Comm S.p.A., nel corso del procedimento, ha provveduto ad adottare spontaneamente alcune prime misure volte ad allineare, in conformità al quadro normativo sopra descritto, il trattamento dei dati dei clienti al Regolamento. 
Si fa in particolare riferimento all’adozione dell’Accordo di Contitolarità del 1° agosto 2024; all’aggiornamento, a partire da febbraio 2026, della c.d. “Policy di Data Retention”; nonché alla cessazione di ogni attività di trattamento effettuato mediante l’analisi dei dati personali dei clienti acquisiti nell’ambito del Credit Check, per l’affinamento del sistema di valutazione del rating della clientela del Gruppo Hera (supra, paragrafi 3, lett. d), 4.1. e 4.2. della presente decisione). 
Fermo restando quanto sopra, si ritiene comunque necessario, alla luce delle ulteriori criticità rilevate a carico del titolare del trattamento come dettagliatamente riportato nella presente decisione, ingiungere allo stesso ai sensi dell’art. 58, par. 2, lettere c) e d), del Regolamento, le misure correttive di seguito indicate:

a) definizione di un nuovo modello di riscontro alle istanze di accesso, ai sensi dell’art. 15 del Regolamento, che contenga tutte le indicazioni relative allo “Score CGS-X” e agli ulteriori sotto-score, nonché alle logiche e ai criteri applicati al sistema di calcolo del predetto score;

b) trasmissione del sopra menzionato modello di riscontro ex art. 15 del Regolamento anche ai Sig.ri XX, XX, Sig. XX, XX e XX;

c) adozione di una procedura volta ad assicurare all’interessato il pieno esercizio del diritto di rettifica ai sensi dell’art. 16 del Regolamento, rispetto a dati personali inesatti e/o incompleti oggetto di trattamento per la finalità di verifica dell’affidabilità della clientela. Tale procedura deve tener conto dell’obbligo, previsto dall’art. 22, par. 3 del Regolamento, di attuare misure appropriate per tutelare i diritti, le libertà e i legittimi interessi degli interessati; ciò in particolare mediante il diritto di “ottenere l’intervento umano da parte del titolare del trattamento, [di] esprimere la propria opinione e contestare la decisione” assunta da quest’ultimo (cfr. art. 22, par. 3 del Regolamento). 

Da ultimo, si rileva che le violazioni, accertate nei termini di cui in motivazione, non possono in alcun modo essere considerate “minori”, ai sensi del considerando 148 del Regolamento; ciò tenuto conto della pluralità delle violazioni contestate e del numero di interessati coinvolti, nonché degli ulteriori elementi più diffusamente esplicitati al paragrafo 6 della presente decisione.

6. Ordinanza ingiunzione.

Il Garante, ai sensi dell’art. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, ha il potere di infliggere una sanzione amministrativa pecuniaria prevista dall’art. 83 del Regolamento, mediante l’adozione di una ordinanza ingiunzione (art. 18. L. 24 novembre 1981 n. 689), in relazione al trattamento dei dati personali posto in essere da Hera Comm S.p.A., di cui è stata accertata l’illiceità, nei termini esposti. 
La violazione delle disposizioni sopra richiamate comporta l’applicazione della sanzione amministrativa prevista art. 83, par. 4, lett. a) e par. 5, lettere a) e b) del Regolamento.
Ritenuto di dover applicare il paragrafo 3 dell’art. 83 del Regolamento laddove prevede che “se, in relazione allo stesso trattamento o a trattamenti collegati, un titolare del trattamento […] viola, con dolo o colpa, varie disposizioni del presente Regolamento, l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave”, l’importo totale della sanzione è calcolato in modo da non superare il massimo edittale previsto dal medesimo art. 83, par. 5 del Regolamento.
Con riferimento agli elementi elencati dall’art. 83, par. 2 del Regolamento ai fini dell’applicazione della sanzione amministrativa pecuniaria e della relativa quantificazione, tenuto conto che la sanzione deve essere “in ogni singolo caso effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nell’ipotesi in esame, sono state tenute in considerazione le circostanze sotto riportate:

- la rilevante gravità della violazione (art. 83, par. 2, lett. a) del Regolamento), in relazione alla natura (concernente l’inosservanza dei principi generali di liceità, correttezza e trasparenza, nonché di quelli di limitazione della finalità, di esattezza e di limitazione della conservazione), alle modalità (la pluralità di condotte illecite ripetute nel tempo) e alla durata della stessa (circa 2 anni). Si considerano altresì rilevanti, a tal fine, il contesto del trattamento, nonché l’elevato numero di interessati coinvolti e la tipologia di danno da questi subito. Tutto ciò, ravvisato che: le operazioni oggetto di contestazione sono state poste in essere, al fine di elaborare un profilo di rischio relativo all’affidabilità in termini di puntualità nei pagamenti dei potenziali clienti; le condotte illecite hanno riguardato circa 1 milione di interessati; le violazioni accertate hanno determinato nella maggior parte delle ipotesi, a danno degli interessati, il diniego della sottoscrizione del contratto di fornitura di energia e/o di gas;

- la natura colposa della condotta e il significativo grado di responsabilità del titolare, in ordine alle misure tecniche e organizzative messe in atto (art. 83, par. 2, lett. b) e lett. d) del Regolamento). Tutto ciò, con particolare riguardo alla carenza e all’inadeguatezza, nello specifico contesto di riferimento, delle misure e dei processi implementati dalla Società, in materia di adempimento degli obblighi concernenti l’esercizio dei diritti degli interessati. Rispetto all’elemento soggettivo, si tiene conto della circostanza che, in merito alle attività di trattamento effettuate da Hera Comm S.p.A. e volte alla verifica dell’affidabilità della clientela, la stessa non ha correttamente individuato le finalità del trattamento relative all’affinamento del sistema di valutazione del rating della clientela del Gruppo Hera, nè i ruoli, rispetto alla disciplina di protezione dei dati personali, da attribuire alle Società coinvolte nell’ambito dell’attività di Valutazione interna;

- il fatto che non risultino precedenti violazioni pertinenti commesse dal titolare del trattamento o precedenti provvedimenti di cui all’art. 58 del Regolamento relativamente allo stesso oggetto (art. 83, par. 2, lettere e) ed i) del Regolamento). Sul punto si osserva che non è stato tenuto in considerazione a tal fine, il provvedimento n. 440, del 17 luglio 2024, adottato nei confronti di Hera Comm S.p.A.; ciò in ragione della contestualità dell’attività istruttoria inerente alla presente decisione con quella che ha condotto all’adozione del menzionato provvedimento;

- in favore del trasgressore, si tiene conto della circostanza che la Società ha adempiuto alle prescrizioni rese dall’Autorità con il provvedimento n. 440, di cui sopra (art. 83, par, 2, lett. i) del Regolamento);

- l’adozione, da parte del titolare, di misure atte a mitigare o a eliminare le conseguenze della violazione (art. 83, par. 2, lett. c), del Regolamento). Al riguardo, va positivamente considerata la circostanza che Hera Comm S.p.A. abbia spontaneamente adottato, una volta avuta contezza della violazione, alcune prime misure per attenuare gli effetti dell’illecito trattamento, sebbene solo parzialmente idonee a ridurne i rischi;

- la circostanza che la Società abbia attivamente cooperato con l’Autorità nel corso del procedimento (art. 83, par. 2, lett. f) del Regolamento);

- la tipologia delle informazioni oggetto di violazione (art. 83, par. 2, lett. g) del Regolamento) che, sebbene non annoverabili nell'ambito dei dati particolari, sono comunque da considerarsi delicate in quanto atte ad evidenziare l’affidabilità in termini di puntualità dei pagamenti dei clienti; ciò tenuto conto anche delle possibili conseguenze sul piano economico e sociale che possono derivare, per gli interessati, da un loro illecito trattamento;

- altri fattori attenuanti (art. 83, par. 2, lett. k) del Regolamento), quali l’avvenuta adozione di alcune misure di carattere organizzativo, nonché la circostanza che i trattamenti di cui alle predette violazioni riguardano solo una parte della clientela della Società. Tutto ciò come più diffusamente descritto al par. 3 della presente decisione.

Si ritiene, inoltre, che assumano rilevanza, nell’ipotesi di specie, in ragione dei richiamati principi di effettività, proporzionalità e dissuasività ai quali l’Autorità deve attenersi nella determinazione dell’ammontare della sanzione (art. 83, par. 1, del Regolamento), le condizioni economiche del contravventore, determinate in base al volume d’affari della Società, di cui al bilancio d’esercizio per l’anno 2024 (ultimo disponibile). 

Alla luce degli elementi sopra indicati e delle valutazioni effettuate, si ritiene, nel caso di specie, di applicare nei confronti di Hera Comm S.p.A. la sanzione amministrativa del pagamento di una somma pari ad euro 5.800.000,00 (cinquemilioniottocentomila/00).

In tale quadro, si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l’ordinanza ingiunzione sul sito Internet del Garante.
Ciò, in considerazione della peculiare natura dei dati oggetto del trattamento dedotto in contestazione, in quanto inerenti all’affidabilità creditizia dell’interessato, nonché della tipologia delle violazioni accertate che hanno interessato i principi generali del trattamento, in particolare il principio di trasparenza e gli obblighi in materia di esercizio dei diritti dell’interessato. 
Si ritiene, infine, che ricorrano i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019.

TUTTO CIÒ PREMESSO, IL GARANTE

- dichiara, ai sensi degli artt. 57, par. 1, lett. f) del Regolamento, l’illiceità del trattamento effettuato da Hera Comm S.p.A., con sede in Imola, p. iva n. 02221101203, nei termini di cui in motivazione, per la violazione dell’art. 5, par. 1, lettere a), b) e d) ed e); nonché degli artt. 12, 13, 14 e 15 e dell’art. 28 del Regolamento

- ingiunge, ai sensi dell'art. 58, par. 2, lettere c) e d) del Regolamento, alla summenzionata Società di conformarsi, entro sei mesi dalla data della notifica del presente provvedimento, alle prescrizioni formulate al par. 5 della presente decisione, richiedendo al contempo alla stessa di fornire, entro il predetto termine, un riscontro adeguatamente documentato ai sensi dell'art. 157 del Codice; l’eventuale mancato riscontro può comportare l'applicazione della sanzione amministrativa pecuniaria prevista dall'art. 83, par. 5, lett. e) del Regolamento;

ORDINA

ai sensi dell’art. 58, par. 2, lett. i) del Regolamento alla medesima Hera Comm S.p.A., di pagare la somma di euro 5.800.000,00 (cinquemilioniottocentomila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento;

INGIUNGE

ai sensi dell’art. 58, par. 2, lett. i) del Regolamento alla medesima Società di pagare la predetta somma di euro 5.800.000,00 (cinquemilioniottocentomila/00), a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento, secondo le modalità illustrate in allegato, entro trenta giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall'art. 27 della legge n. 689/1981.

Si rappresenta che, ai sensi dell’art. 166, comma 8 del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento di un importo pari alla metà della sanzione irrogata entro il termine di cui all'art. 10, comma 3, del d. lgs. n. 150 del 1° settembre 2011 previsto per la proposizione del ricorso come sotto indicato;

DISPONE

- ai sensi dell'art. 166, comma 7, del Codice e dell'art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell'ordinanza ingiunzione sul sito internet del Garante;
- ai sensi dell'art. 154-bis, comma 3 del Codice e dell'art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell'Autorità;
- ai sensi dell'art. 17 del Regolamento del Garante n. 1/2019, l'annotazione delle violazioni e delle misure adottate in conformità all'art. 58, par. 2 del Regolamento, nel registro interno dell'Autorità previsto dall'art. 57, par. 1, lett. u) del Regolamento.

Ai sensi dell’art. 78 del Regolamento (UE) 2016/679, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 3 luglio 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Montuori