[doc. web n. 10273976]

Provvedimento del 3 luglio 2026

Registro dei provvedimenti
n. 485 del 3 luglio 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il d.lgs. del 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. del 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Agostino Ghiglia;

PREMESSO

1. Premessa.

Sono pervenute a questa Autorità diverse istanze aventi ad oggetto il trattamento dei dati personali posto in essere da Cerved Group S.p.A. (di seguito anche “Società”), ai fini della verifica dell’affidabilità dei potenziali clienti di Hera Comm S.p.A. e di EstEnergy S.p.A. 
Nello specifico, gli istanti hanno lamentato il diniego della fornitura di energia, da parte di Hera Comm S.p.A. e di EstEnergy S.p.A., in ragione della rilevazione di un profilo di rischio degli interessati che sarebbe emerso, a seguito di verifiche effettuate dalle predette Società, anche attraverso l’utilizzo di servizi di informazioni commerciali (il cui gestore è Cerved Group S.p.A.) e la consultazione di sistemi di informazioni creditizie (il cui gestore è Experian Italia S.p.A.). 
Trattasi di un profilo di rischio elaborato all’interno del Gruppo Hera, mediante l’utilizzo di un software, messo a disposizione da Major 1 S.r.l., denominato “CGS-X”. 
Tale software consente, ai sopra menzionati fornitori di energia, di elaborare un profilo di rischio in relazione all’affidabilità dei potenziali clienti, sulla base di un indicatore integrato denominato “Score Integrato Utilities” (di seguito anche definito “Score CGS-X”). 
Quest’ultimo è il risultato della combinazione di due indicatori valutativi, uno denominato “Score ESX” (fornito da Experian Italia S.p.A.) e uno definito “Score Retail Utilities” (messo a disposizione da Cerved Group S.p.A.).
Al riguardo, gli istanti hanno evidenziato che, sebbene il diniego della fornitura di energia sia stato la conseguenza dell’attribuzione agli stessi di un punteggio (score) di sintesi, in termini di scarsa affidabilità, derivante dalla consultazione delle banche dati gestite da Cerved Group S.p.A. e da Experian Italia S.p.A., queste ultime Società, specificamente interpellate sul punto mediante istanze di accesso ai sensi dell’art. 15 del Regolamento, avevano dichiarato l’assenza, all’interno dei propri sistemi, di informazioni negative e/o eventi pregiudizievoli a carico dei predetti interessati, tali da giustificare una valutazione non positiva. 
In merito a quanto sopra, si fa presente che l’Autorità, viste le molteplici istanze ricevute, ha in primis ritenuto di procedere alla riunione dei singoli procedimenti sopra richiamati, al fine di effettuare un esame organico delle questioni ad essi sottese e successivamente ha avviato d’ufficio, ai sensi dell’art. 21 del Regolamento del Garante n. 1/2019, un’attività istruttoria volta a valutare, nel complesso, le modalità e le finalità del trattamento posto in essere da Cerved Group S.p.A. nell’ambito del servizio, messo a disposizione da Major 1 S.r.l. e denominato “CGS-X”.
In tale ottica, sono stati effettuati diversi accertamenti ispettivi, che hanno avuto luogo nei confronti di Hera S.p.A., in data 18, 19 e 20 marzo 2024; di Major 1 S.r.l., il 15 e 16 aprile 2024; di Cerved Group S.p.A., in data 16 aprile 2024, nonché nei confronti di Experian Italia S.p.A., il 13 e 14 giugno 2024. 
In seguito, considerata la particolare complessità dell’istruttoria e al fine di acquisire maggiori informazioni in merito al trattamento dei dati di cui sopra, sono state poste in essere ulteriori verifiche in loco, presso Major 1 S.r.l., il 15 e 16 ottobre 2024, e presso Cerved Group S.p.a., in data 16 ottobre 2024.

2. L’attività istruttoria.

L’attività istruttoria nei confronti di Cerved Group S.p.A. ha tenuto conto, oltre che delle risultanze degli accertamenti ispettivi sopra citati, anche degli ulteriori elementi pervenuti con la documentazione integrativa, trasmessa dalla Società, in data 10 maggio e 31 ottobre 2024, a scioglimento delle riserve formulate nel corso delle verifiche in loco, nonché della comunicazione del 4 aprile 2025, pervenuta in riscontro alla richiesta di informazioni dell’Autorità del 7 marzo 2025.
Nell’ambito dell’istruttoria, in relazione ai profili evidenziati in premessa, è emerso quanto di seguito riportato.

2.1. Gli esiti degli accertamenti in loco.

Il software “CGS-X” è distribuito “sulla base di un pacchetto contrattuale che prevede la sottoscrizione, da parte del cliente [ovvero il fornitore di energia], di tre distinti documenti contrattuali rispettivamente con Cerved Group S.p.A., Experian Italia S.p.A. e Major 1 S.r.l.” (v. verbale di Major 1 S.r.l. del 15 aprile 2024, pag. 3).
Una volta aderito al servizio, il fornitore di energia inserisce, all’interno del software “CGS-X”, i dati dei propri potenziali clienti, agendo quale autonomo titolare del trattamento e nominando, al contempo, Major 1 S.r.l. responsabile del trattamento, ex art. 28 del Regolamento. 
Quest’ultima opera come outsourcer tecnologico, fornendo la licenza d’uso del software “CGS-X” e, in tale contesto, a fronte dell’interrogazione effettuata dal fornitore di energia, provvede a consultare i sistemi di informazioni commerciali, gestiti da Cerved Group S.p.A. e quelli di informazioni creditizie, il cui gestore è Experian Italia S.p.A. 
Secondo quanto emerso in sede di ispezione presso Major 1 S.r.l., “l’accesso ai sistemi informativi di Cerved e di Experian è effettuato da Major 1 S.r.l., in nome e per conto del cliente [fornitore di energia] (..) e si configura quale comunicazione di dati tra titolari autonomi del trattamento (tra Experian/Cerved e il cliente)” (v. verbale di Major 1 S.r.l. del 15 aprile 2024, pag. 3).  
Dal punto di vista operativo, “il funzionamento del predetto software prevede che il cliente [fornitore di energia] esegua un’interrogazione (..) con chiamata puntuale sulla base del codice fiscale [dell’interessato]” (v. verbale di Major 1 S.r.l. del 15 aprile 2024, pag. 2). 
Il sistema “provvede ad interrogare per i medesimi codici fiscali i sistemi informativi di Cerved e di Experian” acquisendo lo “Score Retail Utilities” di Cerved Group S.p.A. e lo “Score ESX” di Experian Italia S.p.A., unitamente ai relativi sotto-score (v. verbale di Major 1 S.r.l. del 15 aprile 2024, pag. 3). 
Tali informazioni “vengono elaborate dal software di Major 1 al fine di ottenere (..), in risposta alle predette interrogazioni, (..) uno score integrato (c.d. Score CGS-X) relativo alla valutazione di “affidabilità” degli interessati; score che è il risultato della combinazione, (..), dei punteggi acquisiti presso le banche dati di Experian (SIC) e di Cerved (informazioni commerciali)” (v. verbale di Major 1 S.r.l. del 15 aprile 2024, pagg. 2-3). 
Più nello specifico, con riferimento al trattamento effettuato da Cerved Group S.p.A. ai fini del calcolo dello “Score Retail Utilities”, è stato verificato che quest’ultimo si compone delle seguenti voci, tutte presenti nel tracciato XML:

‒ «Informazioni su eventi negativi»: che include “l’indicazione di protesti e pregiudizievoli di conservatoria” (v. verbale di Major 1 S.r.l. del 16 aprile 2024, pag. 3);

‒ «Score class»: “punteggio che va da 1 a 7 ove il valore 7 corrisponde a nessuna affidabilità” (v. verbale di Major 1 S.r.l. del 16 aprile 2024, pag. 3);

‒ «Score class ante override»: strumento “di controllo e di riclassificazione nella determinazione della classe, nei limitati casi in cui [si] rilevi che un evento negativo [quale ad es. un protesto o un pignoramento] non è stato pesato adeguatamente dal modello statistico” (v. verbale di Major 1 S.r.l. del 16 aprile 2024, pag. 3; v. anche nota di Major 1 S.r.l. del 10 maggio 2024, pag. 1).

A sua volta, lo “Score Retail Utilities” è “il risultato dell’elaborazione di diversi sotto-score, anch’essi presenti nel tracciato XML”. Si tratta delle seguenti voci:

‒ «Sub-score public data»: “score di rischio concernente solo persone fisiche, basato sulle informazioni anagrafiche del soggetto interessato (in particolare residenza/luogo di nascita ed età) e sugli eventi negativi (protesti, pregiudizievoli, ecc.) afferenti all’interessato. Il livello di rischio è determinato sulla base di un modello statistico elaborato da Cerved” e si articola in 5 fasce (cc.dd. Score class), ove la quarta corrisponde a “scarsa affidabilità” e la quinta a “nessuna affidabilità” (v. verbale di Major 1 S.r.l. del 16 aprile 2024, pag. 3);

‒ «Sub-score real estate»: riguarda “la consistenza immobiliare, la cui fonte è il registro catastale. Si articola in 7 fasce da 0 (soggetto non censito) a 6 (consistenza immobiliare non significativa)” (v. verbale di Major 1 S.r.l. del 16 aprile 2024, pag. 3);

‒ «Sub-score Istat»: è “un valore inerente alla rischiosità della zona di residenza del soggetto interessato ed è elaborato sulla base degli indici Istat (riguarda ad es. il livello di degrado di una determinata zona censuaria). Non viene categorizzato in una classe specifica e pertanto è individuato unicamente tramite uno Score value” (v. verbale di Major 1 S.r.l. del 16 aprile 2024, pagg. 3-4);

‒ «Sub-score P4»: “punteggio ricavato dalla consultazione degli eventi negativi inerenti a procedure, protesti e pregiudizievoli di conservatoria. Si declina in 6 classi a rischio crescente” (v. verbale di Major 1 S.r.l. del 16 aprile 2024, pag. 4).

Per quanto concerne le istanze avanzate dagli interessati ai sensi dell’art. 15 del Regolamento, la Società ha fornito risposte differenziate, a seconda che l’anagrafica degli stessi fosse censita (o meno) nei propri sistemi. 

In particolare, Cerved Group S.p.A. ha chiarito che “ove nessun cliente di Cerved abbia mai effettuato una richiesta a nome [dei predetti interessati] o non siano mai stati acquisiti dati [relativi a questi ultimi] dalle fonti utilizzate da Cerved per erogare i servizi di informazione commerciale”, non è presente alcuna anagrafica nella propria banca dati (v. verbale della Società del 16 ottobre 2024, pag. 3). 
In tali casi (v. riscontri resi: il 5 agosto 2022, al Sig. XX; il 25 marzo 2024, al Sig. XX; il 19 settembre 2023, al Sig. XX; il 21 maggio 2024, al Sig. XX), la Società ha pertanto risposto, alle istanze di accesso ex art. 15 del Regolamento, rappresentando che non erano presenti, nei propri sistemi, informazioni negative a carico di questi ultimi e che parimenti non erano state effettuate operazioni di trattamento di dati personali che li riguardavano per finalità di informazioni commerciali. 
Ciò nonostante rispetto agli stessi era stato comunque generato uno “Score Retail Utilities”, quale risultato basato, in prevalenza, sul grado di rischio associato all’interessato, in relazione all’indirizzo di residenza (c.d. Sub-score Istat), nonché all’età e alla zona di nascita di quest’ultimo (c.d. Sub-score public data). 
In altre ipotesi (v. riscontri resi: il 4 ottobre 2022, al Sig. XX e il 31 maggio 2023, alla Sig.ra XX), ove invece era stata rilevata un’anagrafica inerente all’istante, la Società ha provveduto a trasmettere a quest’ultimo un rapporto informativo che recava i dati personali presenti nella banca dati di Cerved Group S.p.A. (es. cariche e/o qualifiche gestionali; partecipazioni in società; ecc.). 
Il predetto documento riportava anche un punteggio, denominato “Score eventi negativi”, rappresentato sotto forma di semaforo verde, corrispondente a un profilo di rischio pari a “zero – assenza di eventi negativi”.
È stato altresì accertato che, in nessuno dei casi oggetto di doglianza, il riscontro fornito dalla Società recava riferimenti allo “Score Retail Utilities” e ai connessi sotto-score attribuiti agli interessati.
Tutto ciò, sebbene sia emerso che, nei sistemi di Cerved Group S.p.A., erano presenti i tracciati delle interrogazioni effettuate da Major 1 S.r.l., rispetto ai codici fiscali di tutti i reclamanti, ivi compresi anche quelli sopra indicati per i quali era stato dato riscontro negativo, nonché le relative risposte inviate dai sistemi di Cerved Group S.p.A. e contenenti lo “Score Retail Utilities” e i connessi sotto-score, riferiti a questi ultimi (v. verbale della Società del 16 aprile 2024, pag. 2 e All. 2; v. anche verbale della Società del 16 ottobre 2024, pag. 4 e All. 7).
Sul punto, Cerved Group S.p.A. ha rappresentato che l’Ufficio deputato a rispondere alle istanze ex artt. 15-22 del Regolamento (denominato “Ufficio reclami”), non ha fornito alcuna indicazione inerente ai predetti score in quanto “non ave[va] modo sul piano tecnico di verificare autonomamente e direttamente se, con riferimento ad un determinato interessato, fossero presenti le predette informazioni”; tutto ciò, sebbene le stesse fossero state “precedentemente elaborate a seguito di richieste di clienti a ciò abilitati” (v. nota della Società del 10 maggio 2024, pagg. 2 e 3). 
Ha altresì puntualizzato che tali “informazioni non sono di norma riportate nei documenti informativi resi disponibili nei confronti della prevalenza della clientela (..) essendo peraltro possibili loro variazioni anche in brevi intervalli di tempo” (v. nota della Società del 10 maggio 2024, pagg. 2 e 3). 
Pertanto, rispetto alle istanze di accesso avanzate, è emerso che –come espressamente dichiarato dalla Società– Cerved Group S.p.A. ha fornito riscontro agli interessati “senza includere, per le ragioni sopra rappresentate, i dati concernenti il valore dello Score Retail Utilities e dei connessi sotto-score, in quanto l'Ufficio non ha avuto modo nell'immediato di accedere direttamente anche a queste ulteriori informazioni, che erano state appositamente elaborate ed inviate” ai fornitori energetici richiedenti (v. nota della Società del 10 maggio 2024, pag. 3).

2.2. Le misure adottate dalla Società a seguito degli accertamenti ispettivi.

A seguito degli accertamenti dell'Ufficio, Cerved Group S.p.A. ha implementato –inizialmente in via provvisoria, a partire da maggio 2024 e, in via definitiva, dal mese di agosto 2024– misure volte a consentire all’Ufficio reclami, “nel caso di richieste di esercizio del diritto di accesso ai dati personali, di verificare in modo immediato e diretto la presenza di dati personali relativi anche allo “Score Retail Utilities” e ai relativi sotto-score, ove elaborati ed inviati ai clienti (…) e di comunicarli agli interessati mediante una loro rappresentazione che li renda facilmente comprensibili, con sintetica spiegazione dei criteri e [delle] logiche di elaborazione” (nota della Società del 10 maggio 2024, pag. 3; v. anche All. 1 della nota della Società del 31 ottobre 2024).

Tutto ciò mediante:

- l’adozione di un sistema idoneo a “tenere traccia della presenza, a nome di un’anagrafica, di una interrogazione presso Cerved [da parte di Major S.r.l.], anche in ragione delle richieste di informazioni effettuate dai clienti [fornitori energia] in relazione all’utilizzo del software CGS-X” (v. verbale della Società del 16 ottobre 2024, pag. 4);

- l’implementazione di uno “strumento ad uso del team dedicato al riscontro alle istanze di esercizio dei diritti, volto a consentire allo stesso di interfacciarsi con il sistema (..) contenente i tracciati riguardanti le interrogazioni effettuate da Major1 (..) e ricevute da Cerved, relative alla fruizione da parte del cliente del software CGSX” (v. verbale della Società del 16 ottobre 2024, pag. 4).

La Società “ha quindi realizzato un cruscotto (dashboard), a disposizione dell’Ufficio Reclami, tramite cui possono essere ricercate, mediante appositi filtri (..), le interrogazioni relative allo “Score Retail Utilities”, effettuate da Major 1 per conto dei clienti che utilizzano il software CGS-X. (..) In tal modo, è possibile rendere un riscontro completo all’interessato, che tenga conto, in tempi relativamente rapidi, anche delle valutazioni (punteggio “Score Retail Utilities” e dei relativi sotto-score) inerenti agli interessati” (v. verbale della Società del 16 ottobre 2024, pag. 4 e All. 1 della nota della Società del 31 ottobre 2024). 

Al contempo, la Società ha predisposto un nuovo modello di riscontro alle istanze ex art. 15 del Regolamento agli interessati, oggetto di interrogazione nell’ambito del software “CGS-X”, volto a consentire a questi ultimi di “meglio comprendere gli elementi essenziali utilizzati per calcolare lo Score Retail Utilities” (v. verbale della Società del 16 ottobre 2024, pag. 3). 
Al riguardo, è stato accertato che, nelle more dell’adozione in via definitiva delle nuove modalità di riscontro, la Società ha comunque provveduto a inviare, ad alcuni reclamanti (nella specie alla Sig.ra XX, in data 5 agosto 2024 e alla Sig.ra XX, in data 23 settembre 2024) una risposta interlocutoria, contenente prime indicazioni in ordine alle informazioni comunicate da Cerved Group S.p.A. a Hera Comm S.p.A. nell’ambito dei servizi alla stessa erogati (v. All. 2 del verbale della Società del 16 ottobre 2024; v. nota della Società del 4 aprile 2025, pag. 1). 
Tutto ciò, facendo riserva di procedere “con gli specifici approfondimenti necessari a livello tecnico a verificare l’esistenza di ulteriori (..) dati personali oggetto di trasmissione alla [predetta] Hera”, al fine di fornire un riscontro definitivo (v. All. 2 del verbale della Società del 16 ottobre 2024; v. nota della Società del 4 aprile 2025, pag. 1). 
A partire dal 15 ottobre 2024, è entrato a regime il sistema sopra descritto e Cerved Group S.p.A. ha trasmesso agli istanti un riscontro, sulla base del nuovo modello adottato (v. nota della Società del 31 ottobre 2024 e nota della Società del 4 aprile 2025, pag. 1).
Più nel dettaglio, anche con riferimento a quest’ultimo nuovo modello (v. Allegati nn. 1, 4.2 e 5.2 della nota della Società del 31 ottobre 2024; cfr. Allegati nn. 3a, 3b_1, 3b_2, 3b_3 e 4 della nota della Società del 4 aprile 2025), è emerso che il titolare, rispetto alle istanze formulate dai Sig.ri XX, XX, XX, XX, XX, XX e XX, ha comunque reso un riscontro incompleto in quanto privo dei sotto-score denominati “Sub-score public data” e “Sub-score Istat”, nonché delle indicazioni in ordine alla logica sottesa alla definizione degli stessi. 
Da ultimo, è emerso che la Società, nel periodo ricompreso tra maggio 2022 e ottobre 2024, ha ricevuto “circa 50 istanze di esercizio dei diritti [ex artt. 15-22 del Regolamento] al mese da parte di clienti Hera Comm/EstEnergy” per un totale complessivo di 2.094 richieste (v. verbale della Società del 16 ottobre 2024, pag. 4 e All. 6).

3. La notifica ex art. 166, comma 5 del Codice.

A seguito della contestazione delle violazioni di cui agli artt. 5, par. 1, lett. a), 12 e 15 del Regolamento, trasmessa a Cerved Group S.p.A. con comunicazione del 16 luglio 2025, la Società, con nota del 15 settembre 2025, ha fatto pervenire i propri scritti difensivi, ulteriormente integrati in sede di audizione dell’11 maggio 2026, nonché per il tramite di una comunicazione del 25 maggio 2026.

Nell’ambito delle sopra menzionate memorie, la Società ha rappresentato quanto di seguito riportato:
- rispetto alla contestazione in ordine all’inadeguatezza del riscontro fornito da Cerved Group S.p.A. agli interessati, in quanto privo delle indicazioni relative allo “Score Retail Utilities”, agli ulteriori sotto-score, nonché alle logiche e ai criteri applicati al sistema di calcolo, il predetto “Score Retail Utilities, per come elaborato e trasmesso da Cerved, non costituisce, (..) un autonomo processo decisionale automatizzato”, ai sensi dell’art. 22 del Regolamento. Si tratta piuttosto di “un mero indicatore parziale dell’affidabilità della clientela (..) messo a disposizione di committenti terzi –come, nel caso in esame, Hera Comm S.p.A. ed EstEnergy S.p.A.– affinché lo utilizzino in piena autonomia e secondo proprie logiche valutative e decisionali interne”. Più nello specifico, la Società ritiene di aver adempiuto a tutti gli obblighi informativi nei confronti degli interessati. Da una parte, infatti, “la messa a disposizione dello “Score Retail Utilities” costituisce, di per sé, la corretta e sufficiente rappresentazione del risultato valutativo e dei criteri sottesi al calcolo, senza che vi fosse alcun obbligo ulteriore di fornire i sotto-score”. Ciò tenuto conto che quest’ultimi “non sono qualificabili come informazioni ulteriori aventi una natura autonoma rispetto allo “Score Retail Utilities”, bensì rappresentano l’articolazione interna del sistema valutativo, (..) che consente di giungere alla determinazione dello “Score Retail Utilities”. Dall’altra, inoltre, “non incombeva in alcun modo su Cerved l’onere di fornire i chiarimenti in ordine alle logiche interne e ai criteri decisionali adottati dai fornitori di energia”, considerato che questi ultimi sono gli “unici soggetti che hanno effettivamente assunto –in piena autonomia valutativa e discrezionale– la decisione in ordine all’attivazione o meno della fornitura” (v. nota della Società del 15 settembre 2025, pagg. 4-5; v. anche verbale dell’audizione dell’11 maggio 2026, pagg. 1-2);
- con specifico riferimento al reclamo presentato dal Sig. XX in data 15 luglio 2024, rileva una questione procedurale in quanto l’Autorità non ha formulato, nei confronti del titolare, l’invito a esercitare la facoltà di comunicare all’istante e all’Ufficio la propria eventuale adesione spontanea, come previsto dall’art. 15, comma 1, del Regolamento interno del Garante n. 1/2019; tutto ciò “nonostante tale reclamo avesse esclusivamente a oggetto l’esercizio del diritto di accesso nei confronti della Società” (v. nota del 15 settembre 2025, pag. 3);
- in ordine al numero di interessati coinvolti dalla violazione, lo stesso non è riconducibile a quello di “2.094 interessati che hanno trasmesso richieste a Cerved nel periodo compreso tra maggio 2022 e ottobre 2024”, come indicato nell’atto di notifica ai sensi dell’art. 166, comma 5 del Codice, ma deve essere ricondotto “esclusivamente agli 8 soggetti le cui istanze sono state poste alla base del procedimento” (v. nota del 15 settembre 2025, pagg. 2 e 6; v. anche verbale dell’audizione dell’11 maggio 2026, pag. 3).

Inoltre, per quanto concerne gli elementi da prendere in considerazione ai fini della commisurazione dell’eventuale sanzione, tra quelli individuati nell’art. 83, par. 2 del Regolamento, la Società ha rappresentato che, rispetto al fatturato rilevante per il caso di specie, “negli ultimi tre esercizi, la fornitura da parte di Cerved dello Score Retail Utilities nell’ambito del più ampio servizio denominato “CGS-X” ha inciso in misura del tutto marginale sul fatturato di Cerved” (v. nota della Società del 15
settembre 2025, pag. 9; v. nota integrativa del 25 maggio 2026).

La Società ha, altresì, sottolineato il rilevante impegno profuso dalla stessa, a seguito dell’avvio del procedimento da parte del Garante, nell’ottica di ulteriormente conformare la propria attività alla disciplina in materia di protezione dei dati personali.
In tale prospettiva, ha provveduto a redigere, a partire da settembre 2025, un ulteriore modello di riscontro alle istanze di accesso ex art. 15 del Regolamento “che comprende i sotto-score denominati “Sub-score public data” e “Sub-score Istat”, e [fornisce] maggiori indicazioni in ordine alla logica sottesa alla definizione degli stessi”. Quest’ultimo è stato trasmesso agli interessati “a ulteriore integrazione di quanto già comunicato in precedenza” (v. nota della Società del 15 settembre 2025, pag. 8; v. anche verbale dell’audizione dell’11 maggio 2026, pag. 3).
Da ultimo, Cerved Group S.p.A. ha sottolineato, ai sensi e per gli effetti dell’art. 166, comma 7 del Codice, di avere “costantemente realizzato e diffuso, attraverso il proprio sito istituzionale (sezione “News & Educational”), numerosi contributi volti a informare gli utenti e accrescerne la consapevolezza circa i rischi connessi al trattamento dei dati personali e alle minacce digitali” (v. nota della Società del 15 settembre 2025, pag. 9).

4. Le valutazioni dell’Autorità.

Innanzitutto, si rappresenta che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”. 
Alla luce degli elementi acquisiti nel corso dell’attività istruttoria sopra descritta, risulta accertato che Cerved Group S.p.A. ha fornito, rispetto alle istanze di esercizio dei diritti ex art. 15-22 del Regolamento presentate dagli interessati, riscontri inadeguati e incompleti. Tutto ciò con specifico riferimento al trattamento di dati personali effettuato dalla stessa ai fini dell’erogazione del servizio “CGS-X”.
Tanto doverosamente premesso, occorre osservare preliminarmente che, ai fini della trattazione delle questioni oggetto della presente decisione, è necessario tener conto del peculiare contesto sotteso alle attività di trattamento poste in essere nei casi di specie.

4.1. Il trattamento di dati personali effettuato a fini di informazione commerciale e la sentenza C-634/21 della Corte di Giustizia dell’Unione Europea del 7 dicembre 2023.

Con sentenza del 7 dicembre 2023, nella causa n. C-634/21, la Corte di Giustizia dell’Unione Europea (di seguito “Corte”) si è pronunciata in merito all’interpretazione dell’art. 22 del Regolamento, con riferimento ai trattamenti di dati personali effettuati a fini di informazione commerciale.
In tale sede, la stessa ha precisato che l’applicabilità della sopra richiamata disposizione è soggetta al ricorrere di tre condizioni cumulative riconducibili all’esistenza di una «decisione», alla circostanza che quest’ultima sia «basata unicamente sul trattamento automatizzato, compresa la profilazione», e che produca «effetti giuridici [riguardanti l’interessato]», ovvero incida «in modo analogo significativamente sulla sua persona» (v. par. 43, Sentenza CGUE, C-634/21, cit.).
La Corte ha in particolare osservato che la nozione di «decisione», ai sensi dell’articolo 22, par. 1, del Regolamento, può includere diversi atti, compresi quelli che, pur non avendo effetti giuridici diretti sull’interessato, incidono comunque in modo analogo in maniera significativa su quest’ultimo (v., in tal senso, anche cons. 71 del Regolamento). 
Tale nozione, pertanto, è “sufficientemente ampia da ricomprendere il risultato del calcolo della solvibilità di una persona sotto forma di tasso di probabilità relativo alla capacità di tale persona di onorare impegni di pagamento in futuro”. Tutto ciò, anche laddove il risultato, come configurabile nella fattispecie in esame, sia elaborato da una società che fornisce a terzi informazioni commerciali (cfr. par. 46, sentenza CGUE, C-634/21, cit.). 
Per quanto concerne le ulteriori condizioni di cui all’art. 22 del Regolamento, la Corte ne ha constatato la sussistenza, nello specifico contesto di riferimento. 
La pronuncia ha infatti chiarito, innanzi tutto, che la decisione di cui sopra si fonda esclusivamente su un calcolo automatizzato basato sul trattamento di dati personali dell’interessato che riguarda l’affidabilità di quest’ultimo, in termini di puntualità dei pagamenti.
In secondo luogo, ha rappresentato che il risultato del predetto calcolo, sotto forma di tasso di probabilità, incide sulla persona in maniera significativa, impedendole di avere accesso al servizio richiesto, quale quello inerente alla fornitura di energia di cui ai casi di specie. 
Sul punto, è stato precisato dalla stessa Corte che, nel predetto contesto, “l’azione del terzo al quale è trasmesso il tasso di probabilità è guidata «in modo decisivo» da tale tasso” (v. par. 48, sentenza CGUE, C-634/21, cit.), così come emerso, nel corso del presente procedimento, rispetto alle decisioni assunte da Hera Comm S.p.A. ed EstEnergy S.p.A. 
Tale interpretazione è in linea con la ratio sottesa all’art. 22 del Regolamento, volta a garantire la tutela dei diritti e delle libertà fondamentali della persona, contro i rischi specifici derivanti dal trattamento automatizzato di dati personali, compresa la profilazione (v. par. 51, Sentenza CGUE, C-634/21, cit.).
D’altronde, un’interpretazione restrittiva della predetta disposizione comprometterebbe le garanzie a tutela dell’interessato, previste dal Regolamento, in quanto quest’ultimo non potrebbe far valere, nei confronti delle società di informazioni commerciali, il proprio diritto di accesso ai dati che lo riguardano, come stabilito dall’art. 15, par. 1, lettera h), del Regolamento (v. paragrafi 61-63, Sentenza CGUE, C-634/21, cit.). 
In conclusione, secondo la Corte, “l’articolo 22, paragrafo 1, del Regolamento deve essere interpretato nel senso che il calcolo automatizzato, da parte di una società che fornisce informazioni commerciali, di un tasso di probabilità basato su dati personali relativi a una persona e riguardanti la capacità di quest’ultima di onorare in futuro gli impegni di pagamento costituisce un «processo decisionale automatizzato relativo alle persone fisiche», ai sensi di tale disposizione, qualora da tale tasso di probabilità dipenda in modo decisivo la stipula, l’esecuzione o la cessazione di un rapporto contrattuale con tale persona da parte di un terzo, al quale è comunicato tale tasso di probabilità” (v. par. 73, Sentenza CGUE, C-634/21, cit.).
Ne consegue quindi che, diversamente da quanto sostenuto dalla Società (v. supra, par. 3, lett. a) della presente decisione), i trattamenti posti in essere da Cerved Group S.p.A., nei casi oggetto della presente decisione, sono riconducibili alla fattispecie delineata nella summenzionata sentenza e, pertanto, rispetto agli stessi, trovano applicazione gli artt. 15, par. 1, lett. h) e 22 del Regolamento come più dettagliatamente esplicitato nel prosieguo (v. infra paragrafi 4.2. e 4.3. della presente decisione).
Da ultimo, merita evidenziare che il procedimento in esame ha avuto ad oggetto unicamente le misure adottate da Cerved Group S.p.A. al fine di garantire il corretto adempimento degli obblighi di cui all’art. 15 e ss. del Regolamento in materia di esercizio dei diritti; tutto ciò in ragione degli specifici profili di violazione emersi nel corso dell’istruttoria avviata dall’Autorità a seguito della presentazione delle istanze indicate in premessa.
Per quanto concerne invece la più ampia tematica relativa ai presupposti di legittimità, ai sensi dell’art. 22, par. 2 del Regolamento, del trattamento dei dati personali dell’interessato posto in essere dai fornitori di servizi di informazioni commerciali, nonché delle garanzie che il titolare è tenuto ad attuare ai sensi dell’art. 22, paragrafi 3 e 4 del Regolamento, l’Autorità si riserva di avviare ogni eventuale opportuna iniziativa volta alla verifica della sussistenza delle condizioni di cui sopra (v. sul tema, anche quanto rappresentato dall’Autorità l’11 settembre 2025, nel corso dell’Audizione del Presidente del Garante per la protezione dei dati personali relativa al “Disegno di legge as 1578 recante la legge annuale per il mercato e la concorrenza per il 2025”, doc. web n. 10166076).
4.2. Le violazioni in materia di esercizio del diritto di accesso ex art. 15 del Regolamento.
In primis, all’esito dell’attività istruttoria, è emersa l’inadeguatezza dei riscontri, forniti da Cerved Group S.p.A., alle istanze di esercizio dei diritti ex art. 15-22 del Regolamento presentate dagli interessati, volte ad ottenere informazioni in ordine allo “Score Retail Utilities”. 
Con gli stessi la Società si è, infatti, limitata a confermare la presenza (o meno) dell’anagrafica degli interessati nei propri sistemi e, in caso positivo, a comunicare i dati personali ivi conservati; ciò senza riportare però alcuna indicazione in ordine al punteggio afferente al profilo di affidabilità elaborato dalla Società e messo a disposizione dei fornitori di energia, né agli elementi sulla base delle quali lo stesso era stato elaborato. Parimenti, in tali riscontri, non venivano forniti agli interessati informazioni in ordine alla logica utilizzata ai fini dell’elaborazione del predetto profilo.
Il tutto, sebbene le informazioni in questione fossero invece −come accertato nel corso delle verifiche in loco− ancora presenti, alla data di ricezione delle predette istanze, nei sistemi di Cerved Group S.p.A. (v. supra, par. 2.1. della presente decisione). 
Sul punto, merita evidenziare che il diritto di accesso ex art. 15 del Regolamento è principalmente concepito quale strumento volto a consentire, in linea generale, all’interessato di esercitare un “controllo” sui propri dati personali e sul loro uso da parte dei titolari, assicurando alla persona a cui si riferiscono piena consapevolezza delle informazioni oggetto di trattamento e delle effettive modalità di quest’ultimo; ciò in conformità a quanto previsto, in termini generali, dal principio di liceità, correttezza e trasparenza (art. 5, par. 1, lett. a) del Regolamento). 
Lo scopo del diritto di accesso è quindi primariamente quello di rendere noti “quali” dati e “come” siano stati trattati dal titolare, al fine di fornire all’interessato gli strumenti per “conoscere e verificare la liceità e l’esattezza del trattamento”, allo stesso riferito (v. cons. 63 del Regolamento; Comitato Europeo per la protezione dei dati, “Linee guida 1/2022 sui diritti degli interessati - Diritto di accesso”, adottate il 28 marzo 2023, paragrafi nn. 10-13). 
Ai sensi dell’art. 15 del Regolamento, pertanto, il titolare, in sede di riscontro a un’istanza di accesso, non può limitarsi a rilasciare “una descrizione generale dei dati [o] un semplice riferimento alle categorie di dati personali trattate”, né può omettere informazioni, in suo possesso, ove riferibili all’interessato; al contrario è invece tenuto a fornire allo stesso l’accesso a “tutte le informazioni di cui all'articolo 15”, effettivamente oggetto di trattamento.
Tali informazioni quindi “devono essere complete, corrette e aggiornate, corrispondenti per quanto possibile allo stato del trattamento dei dati nel momento in cui la richiesta è stata ricevuta” e devono essere fornite “in forma concisa, trasparente, intelligibile e facilmente accessibile” a quest’ultimo (cfr. Comitato Europeo per la protezione dei dati, “Linee guida 1/2022”, cit., par. 34; art. 12, par. 1 del Regolamento).
Si rileva altresì che, nel caso in esame, il peculiare contesto sotteso alle istanze di esercizio del diritto di accesso presentate dagli interessati, richiede una particolare attenzione, da parte del titolare del trattamento, anche in ordine all’obbligo di fornire “informazioni significative sulla logica utilizzata, nonché [sul]l’importanza e [sul]le conseguenze previste di tale trattamento per l’interessato” (art. 15, par. 1, lett. h) del Regolamento). 
Rispetto alla predetta disposizione, la Corte di Giustizia dell’Unione Europea ha di recente fornito utili indicazioni operative, da un punto di vista sostanziale, circa il tipo di informazioni che l’interessato può esigere dal titolare, nonché, da un punto di vista formale, in ordine alle modalità con cui le stesse devono essere rese da quest’ultimo (cfr. sentenza CGUE, del 27 febbraio 2025, C-203/22). 
In particolare, nel chiarire l’espressione “informazioni significative sulla logica utilizzata”, la Corte ha precisato che le stesse riguardano “qualsiasi informazione pertinente relativa alla procedura e ai principi di utilizzo, con mezzi automatizzati, di dati personali al fine di ottenerne un determinato risultato” (v. par. 58, sentenza CGUE, C-203/22, cit.).
Ne consegue pertanto che gli interessati, nel caso in esame, vantano il diritto ad avere piena contezza di tutti gli elementi di cui si compone la valutazione, in ordine alla propria affidabilità creditizia, inclusi quelli presi in considerazione dal titolare ai fini dell’attribuzione dello score, nonché i criteri di calcolo utilizzati a tal fine (cfr., in tal senso, ordinanza Corte di Cassazione, sez. I, del 25 maggio 2021, n. 14381). 
In merito, invece, alle modalità con cui le predette informazioni devono essere rese, la Corte di Giustizia dell’Unione Europea ha ribadito l’obbligo del titolare di fornire le stesse “in forma concisa, trasparente, comprensibile e facilmente accessibile, con un linguaggio semplice e chiaro”; tutto ciò nell’osservanza del principio di trasparenza di cui agli artt. 5, par. 1, lett. a) e 12, par. 1, del Regolamento.
Pertanto, “non può soddisfare tali requisiti né la semplice comunicazione di una formula matematica complessa, come un algoritmo, né la descrizione dettagliata di tutte le fasi di un processo decisionale automatizzato, in quanto nessuno di questi metodi costituirebbe una spiegazione sufficientemente concisa e comprensibile” (paragrafi nn. 58-59, sentenza CGUE, C-203/22, cit.). 
Nel complesso, la previsione di fornire le “informazioni significative sulla logica utilizzata”, ai sensi dell’articolo 15, par. 1, lettera h), del Regolamento, si sostanzia, dunque, nell’obbligo, in capo al titolare, di “descrivere la procedura e i principi concretamente applicati in modo tale che l’interessato possa comprendere quali dei [propri] dati personali sono stati utilizzati e in che modo (..), senza che la complessità delle operazioni da eseguire nel contesto del processo decisionale automatizzato possa esonerare il titolare del trattamento dal suo dovere di spiegazione” (par. 61, sentenza CGUE, C-203/22, cit.).
Alla luce di quanto sopra esplicitato, ne consegue pertanto che Cerved Group S.p.A., nei casi in esame, ha tenuto una condotta in contrasto con gli artt. 5, par. 1, lett. a), 12 e 15 del Regolamento, considerato che la stessa non ha fornito, agli interessati, alcuna indicazione relativa allo “Score Retail Utilities”, né agli ulteriori sotto-score che hanno contribuito a generare tale punteggio. Inoltre, la Società non ha reso edotti gli istanti, in merito alle logiche e ai criteri applicati al sistema di calcolo sotteso all’elaborazione del profilo di rischio creditizio.

4.3. Il modello di riscontro ex art. 15 del Regolamento, predisposto a seguito dell’istruttoria, e ulteriori profili.

Merita evidenziare che le violazioni di cui sopra permangono anche con riferimento al modello di riscontro che Cerved Group S.p.A. ha predisposto (e trasmesso agli interessati), a partire dal 15 ottobre 2024 (v. supra, par. 2.2.); ciò al fine di rendere agli stessi maggiori informazioni tali da consentire “di meglio comprendere gli elementi essenziali utilizzati per calcolare” il sopra citato score (v. verbale della Società del 16 ottobre 2024, pag. 3).  
Dall’attività istruttoria, è emerso infatti che la Società, rispetto alle istanze formulate nei casi oggetto di contestazione, ha fornito, anche sulla base del modello aggiornato, un riscontro comunque incompleto, in quanto privo dei sotto-score denominati “Sub-score public data”  e “Sub-score Istat”, nonché delle indicazioni in ordine alla logica sottesa alla definizione degli stessi (v. Allegati nn. 1, 4.2 e 5.2 della nota della Società del 31 ottobre 2024; cfr. Allegati nn. 3a, 3b_1, 3b_2, 3b_3 e 4 della nota della Società del 4 aprile 2025). 
Trattasi di sotto-score che, come già riportato nel par. 2.1. della presente decisione, si riferiscono a un livello di rischio che varia, a seconda dell’età dell’interessato e in rapporto al luogo di nascita e di residenza di quest’ultimo, e rispetto ai quali non sono state fornite, con riferimento ai singoli casi concreti, informazioni in ordine al “peso effettivo” di tali variabili sull’elaborazione dello “Score Retail Utilities”.
Da ciò ne consegue, che neanche l’utilizzo del nuovo modello adottato da Cerved Group S.p.A., a partire da settembre 2025, è in grado di assicurare agli interessati l’effettivo soddisfacimento del proprio diritto di accesso di cui agli artt. 12 e 15 del Regolamento rispetto agli specifici trattamenti in questione.
Da ultimo, in merito alla specifica contestazione sollevata dalla Società, in ordine alla questione procedurale relativa alle modalità di gestione del reclamo presentato dal Sig. XX (v., supra, par. 3, lett. b) della presente decisione), si fa presente che, nel caso di specie, la previsione volta a trasmettere l’invito ad aderire al titolare (v. art. 15, comma 1, del Regolamento del Garante n. 1/2019) non poteva trovare applicazione.
Tutto ciò in quanto l’Autorità, all’atto della ricezione del reclamo, non disponeva degli elementi relativi allo specifico trattamento in questione, e pertanto non poteva constatare l’inadeguatezza del riscontro fornito all’interessato da Cerved Group S.p.A. in data 21 maggio 2024 (v. par. 2.1. della presente decisione). 
Invero, soltanto a seguito dell’avvio dell’istruttoria, una volta avuta contezza delle caratteristiche e delle modalità del trattamento effettuato ai fini dell’elaborazione dello “Score Retail Utilities”, l’Autorità ha potuto accertare l’inidoneità del predetto riscontro e la sussistenza dell’obbligo in capo alla Società di ottemperare alle richieste del reclamante.

4.4. Valutazioni conclusive.

In conseguenza di quanto riportato nei paragrafi precedenti, emerge che l’inadeguatezza dei riscontri complessivamente resi dalla Società ha di fatto precluso agli interessati che hanno esercitato i diritti di cui al Regolamento, di avere accesso a tutte le informazioni personali effettivamente trattate per l’elaborazione del proprio profilo di rischio, nonché di comprendere adeguatamente le modalità di impiego di quest’ultimo, ai fini delle decisioni assunte da Hera Comm S.p.A. e da EstEnergy S.p.A., nei loro confronti e che hanno condotto al diniego della fornitura di energia. 
Ciò, con la conseguenza di impedire di fatto agli stessi di avere contezza della liceità e correttezza del trattamento, nonché dell’esattezza dei dati utilizzati, nel contesto in esame, pregiudicando così la facoltà di esercitare, se del caso, il diritto di rettifica, nell’ipotesi di dati inesatti e/o incompleti (v. art. 16 del Regolamento) e, al contempo, quello di “ottenere l’intervento umano da parte del titolare del trattamento, [di] esprimere la propria opinione e contestare la decisione” assunta da quest’ultimo nei propri confronti (cfr. art. 22, par. 3 del Regolamento).
Tale rischio emerge, in particolare, nell’ipotesi in cui, pur non essendo presente “alcuna anagrafica nella (..) banca dati [della Società]”, come constatato nel corso dell’istruttoria, sia stato comunque attribuito all’interessato uno “Score Retail Utilities” basato in prevalenza sul grado di inaffidabilità associato a quest’ultimo, in relazione all’indirizzo di residenza, c.d. Sub-score Istat, nonché all’età e alla zona di nascita dello stesso, c.d. Sub-score public data (v. paragrafo 2.1. della presente decisione).
Il tutto −stante la natura particolarmente delicata delle informazioni trattate da Cerved Group S.p.A. nella fattispecie in esame, in quanto afferenti all’affidabilità della clientela− con possibili conseguenze pregiudizievoli sui diritti e sulle libertà fondamentali degli interessati (quali ad esempio, come avvenuto nei casi in esame, il diniego della sottoscrizione del contratto di fornitura di energia). 
Per le ragioni, complessivamente evidenziate, si rileva pertanto la violazione, a carico di Cerved Group S.p.A., degli artt. 5, par. 1, lett. a), 12 e 15 Regolamento. 
Si rappresenta, infine, che le predette condotte illecite –nel periodo ricompreso tra maggio 2022 e ottobre 2024– hanno riguardato circa 2.094 interessati (v. par. 2.2 della presente decisione). 
A quest’ultimo proposito, infatti, non può essere accolto quanto rappresentato dalla Società, in ordine alla circostanza che il dato numerico di riferimento, nella fattispecie in esame, non è di 2.094 ma “esclusivamente [quello relativo] agli 8 soggetti le cui istanze sono state poste alla base del procedimento” (v., supra, par. 3, lett. c) della presente decisione). 
Sul punto, merita infatti evidenziare che, diversamente da quanto sostenuto dalla Società (v. verbale dell’audizione dell’11 maggio 2026, pag. 3), il perimetro del procedimento in oggetto non può essere ricondotto esclusivamente ai casi degli otto interessati che hanno presentato segnalazioni e/o reclami all’Autorità. 
Tutto ciò in quanto, il Garante, nell’esercizio dei propri compiti di controllo ‒ considerata anche la pluralità di istanze giunte all’Autorità in tempi successivi‒ ha ravvisato la necessità di avviare, ai sensi dell’art. 21 del Regolamento del Garante n. 1/2019, un’attività istruttoria di portata generale, volta a valutare, nel complesso, le modalità e le finalità del trattamento posto in essere da Cerved Group S.p.A. nell’ambito del servizio messo a disposizione da Major 1 S.r.l. e denominato “CGS-X”. 
Si rileva, inoltre, che le affermazioni della Società sul punto non sono state in alcun modo comprovate da Cerved Group S.p.A., per il tramite di adeguata allegazione documentale. 
Al fine di individuare il numero di interessati convolti nel presente procedimento, deve pertanto essere considerato quanto acquisito nel corso degli accertamenti del 16 ottobre 2024.
In tale sede, è stato esibito dalla Società un grafico recante il numero di istanze, in materia di esercizio dei diritti, presentate dai clienti Hera Comm S.p.A. ed EstEnergy S.p.A., negli anni 2022, 2023 e 2024, che riporta chiaramente il dato numerico sopra indicato, ossia 2.094 (v. verbale del 16 ottobre 2024, pag. 4 e relativo allegato n. 6).

5. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ex art. 58, par. 2, Regolamento.

Alla luce di quanto complessivamente rilevato, l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dal titolare del trattamento, nel corso dell’istruttoria, non consentano di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che risultino pertanto inidonee a disporre l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.
Il trattamento dei dati personali effettuato da Cerved Group S.p.A., oggetto della presente decisione, è stato pertanto posto in essere in violazione degli artt. 5, par. 1 lett. a), 12 e 15 del Regolamento.
Per quanto concerne l’esercizio dei poteri correttivi di cui all’art. 58, par. 2, del Regolamento, si prende atto della circostanza che Cerved Group S.p.A., nel corso del procedimento, ha provveduto ad adottare alcune prime misure volte ad allineare, in conformità al quadro normativo sopra descritto, il trattamento dei dati dei clienti al Regolamento come dettagliatamente riportate nella presente decisione (v. supra, paragrafi 2.2. e 3 della presente decisione). 
Si fa in particolare riferimento all’adozione, nel settembre 2025, di un ulteriore nuovo modello di riscontro, ex art. 15 del Regolamento, che comprende il punteggio “Score Retail Utilities” e i relativi sotto-score e fornisce quindi indicazioni più chiare, in ordine alla logica sottesa alla definizione degli stessi, nonché all’avvenuta implementazione della c.d. Dashboard, strumento messo a disposizione dell’Ufficio Reclami della Società, nell’ottica di consentire a tale funzione di rendere un riscontro completo all’interessato nei termini di cui sopra.
Ferme restando le summenzionate azioni già poste in essere dalla Società, si ritiene ad ogni modo necessario, alla luce delle ulteriori criticità rilevate a carico del titolare del trattamento, ingiungere allo stesso una misura correttiva ai sensi dell’art. 58, par. 2, lett. d), del Regolamento, nell’ottica di garantire i diritti, le libertà e i legittimi interessi dell’interessato in conformità con l’art. 22, par. 3 del Regolamento.
Si tratta della misura consistente nell’adozione di una procedura volta ad assicurare all’interessato il pieno esercizio del diritto di rettifica ai sensi dell’art. 16 del Regolamento, in caso di trattamento di dati inesatti e/o incompleti relativi allo “Score Retail Utilities” attribuito allo stesso. 
Tutto ciò, in particolare, qualora il predetto score sia in prevalenza basato sul grado di rischio associato all’interessato, in relazione all’indirizzo di residenza (c.d. Sub-score Istat), nonché all’età e alla zona di nascita di quest’ultimo (c.d. Sub-score public data). 
Da ultimo, si rileva che le violazioni, accertate nei termini di cui in motivazione, non possono in alcun modo essere considerate “minori”, ai sensi del considerando 148 del Regolamento; ciò tenuto conto della pluralità delle violazioni contestate e del numero di interessati coinvolti, nonché degli ulteriori elementi più diffusamente esplicitati al paragrafo 6 della presente decisione.

6. Ordinanza ingiunzione.

Il Garante, ai sensi dell’art. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, ha il potere di infliggere una sanzione amministrativa pecuniaria prevista dall’art. 83 del Regolamento, mediante l’adozione di una ordinanza ingiunzione (art. 18. L. 24 novembre 1981 n. 689), in relazione al trattamento dei dati personali posto in essere da Cerved Group S.p.A., di cui è stata accertata l’illiceità, nei termini esposti. 
La violazione delle disposizioni sopra richiamate comporta l’applicazione della sanzione amministrativa prevista dall’art. 83, par. 5, lettere a) e b) del Regolamento.
Ritenuto di dover applicare il paragrafo 3 dell’art. 83 del Regolamento laddove prevede che “se, in relazione allo stesso trattamento o a trattamenti collegati, un titolare del trattamento […] viola, con dolo o colpa, varie disposizioni del presente Regolamento, l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave”, l’importo totale della sanzione è calcolato in modo da non superare il massimo edittale previsto dal medesimo art. 83, par. 5 del Regolamento.
Con riferimento agli elementi elencati dall’art. 83, par. 2 del Regolamento ai fini dell’applicazione della sanzione amministrativa pecuniaria e della relativa quantificazione, tenuto conto che la sanzione deve essere “in ogni singolo caso effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nell’ipotesi in esame, sono state tenute in considerazione le circostanze sotto riportate:
- la rilevante gravità della violazione (art. 83, par. 2, lett. a) del Regolamento), in relazione alla natura (concernente l’inosservanza delle disposizioni in materia di trasparenza e di diritti dell’interessato), alle modalità (la pluralità di condotte illecite ripetute nel tempo) e alla durata della stessa (circa 2 anni e mezzo). Si considerano altresì, a tal fine, le caratteristiche e le finalità del trattamento, nonché l’elevato numero di interessati coinvolti e la tipologia di danno da questi subito. Tutto ciò, ravvisato che: le operazioni oggetto di contestazione sono state poste in essere, al fine di elaborare un profilo di rischio relativo all’affidabilità in termini di puntualità nei pagamenti degli interessati, attività che rientra nel core business del titolare; le condotte illecite hanno riguardato 2.094 interessati; le violazioni accertate hanno determinato, nella maggior parte delle ipotesi, a danno degli interessati, il diniego della sottoscrizione del contratto di fornitura di energia e/o di gas;
- la natura colposa della condotta e il significativo grado di responsabilità del titolare in ordine alle misure tecniche e organizzative messe in atto (art. 83, par. 2, lett. b) e lett. d) del Regolamento). Tutto ciò, con particolare riguardo alla carenza e all’inadeguatezza delle misure e dei processi implementati dalla Società, in materia di adempimento degli obblighi concernenti l’esercizio dei diritti degli interessati, nello specifico contesto di riferimento. Rispetto all’elemento soggettivo, si tiene conto della circostanza che, in merito alle attività di trattamento effettuate da Cerved Group S.p.A. e volte all’elaborazione dello “Score Retail Utilities”, la stessa ha erroneamente ritenuto non applicabile la disposizione dell’art. 22 del Regolamento;
- il fatto che non risultino precedenti violazioni pertinenti commesse dal titolare del trattamento o precedenti provvedimenti di cui all’art. 58 del Regolamento relativamente allo stesso oggetto (art. 83, par. 2, lettere e) ed i) del Regolamento);
- l’adozione, da parte del titolare, di misure atte a mitigare o a eliminare le conseguenze della violazione (art. 83, par. 2, lett. c), del Regolamento). Al riguardo, va positivamente considerata la circostanza che Cerved Group S.p.A. abbia spontaneamente adottato, una volta avuta contezza della violazione, alcune prime misure per attenuare gli effetti dell’illecito trattamento; misure che, per quanto solo parzialmente idonee a ridurre i rischi, possono essere comunque ritenute ragionevoli;
- la circostanza che la Società abbia attivamente cooperato con l’Autorità nel corso del procedimento (art. 83, par. 2, lett. f) del Regolamento);
- la tipologia delle informazioni oggetto di violazione (art. 83, par. 2, lett. g) del Regolamento) che, sebbene non annoverabili nell’ambito dei dati particolari, sono comunque da considerarsi delicate in quanto atte ad evidenziare l’affidabilità in termini di puntualità dei pagamenti dei clienti; ciò tenuto conto anche delle possibili conseguenze sul piano economico e sociale che possono derivare, per gli interessati, da un loro illecito trattamento;
- altri fattori attenuanti (art. 83, par. 2, lett. k) del Regolamento), quali, in primis, l’avvenuta realizzazione di campagne di comunicazione, da parte della Società, volte alla promozione della consapevolezza del diritto alla protezione dei dati personali, effettuate anteriormente alla commissione della violazione per il tramite del proprio sito istituzionale, alla sezione “News & Educational” (v. supra, par. 3 della presente decisione), nonché l’avvenuta adesione, da parte di Cerved Group S.p.A., al “Codice di condotta per il trattamento dei dati personali effettuato a fini di informazione commerciale”, approvato dal Garante, ai sensi dell’art. 41 del Regolamento, con deliberazione del 29 aprile 2021. 

Si ritiene, inoltre, che assumano rilevanza, nell’ipotesi di specie, in ragione dei richiamati principi di effettività, proporzionalità e dissuasività ai quali l’Autorità deve attenersi nella determinazione dell’ammontare della sanzione (art. 83, par. 1, del Regolamento), le condizioni economiche del contravventore, determinate in base al volume d’affari della Società, di cui al bilancio d’esercizio per l’anno 2025 (come trasmesso dalla Società con nota del 25 maggio 2026).

Alla luce degli elementi sopra indicati e delle valutazioni effettuate, si ritiene, nel caso di specie, di applicare nei confronti di Cerved Group S.p.A. la sanzione amministrativa del pagamento di una somma pari ad euro 400.000,00 (quattrocentomila/00).

In tale quadro, si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l’ordinanza ingiunzione sul sito Internet del Garante.

Ciò, in considerazione della peculiare natura dei dati oggetto del trattamento dedotto in contestazione, in quanto inerenti all’affidabilità creditizia dell’interessato, nonché della tipologia delle violazioni accertate che hanno interessato i principi generali del trattamento, in particolare il principio di trasparenza e gli obblighi in materia di esercizio dei diritti dell’interessato. 
Si ritiene, infine, che ricorrano i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019.

TUTTO CIÒ PREMESSO, IL GARANTE

a) dichiara, ai sensi degli artt. 57, par. 1, lett. f) del Regolamento, l’illiceità del trattamento effettuato da Cerved Group S.p.A., con sede in San Donato Milanese, p. iva n. 08587760961, nei termini di cui in motivazione, per la violazione dell’art. 5, par. 1 lett. a), e degli artt. 12 e 15 del Regolamento;

b) ingiunge, ai sensi dell'art. 58, par. 2, lett. d) del Regolamento, alla summenzionata Società di conformarsi, entro sei mesi dalla data della notifica del presente provvedimento, alla prescrizione formulata al par. 5 della presente decisione, richiedendo al contempo alla stessa di fornire, entro il predetto termine, un riscontro adeguatamente documentato ai sensi dell'art. 157 del Codice; l’eventuale mancato riscontro può comportare l'applicazione della sanzione amministrativa pecuniaria prevista dall'art. 83, par. 5, lett. e) del Regolamento;

ORDINA

ai sensi dell’art. 58, par. 2, lett. i) del Regolamento alla medesima Cerved Group S.p.A., di pagare la somma di euro 400.000,00 (quattrocentomila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento;

INGIUNGE

ai sensi dell’art. 58, par. 2, lett. i) del Regolamento alla medesima Società di pagare la predetta somma di euro 400.000,00 (quattrocentomila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento, secondo le modalità illustrate in allegato, entro trenta giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall'art. 27 della legge n. 689/1981. 

Si rappresenta che, ai sensi dell’art. 166, comma 8 del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento di un importo pari alla metà della sanzione irrogata entro il termine di cui all'art. 10, comma 3, del d. lgs. n. 150 del 1° settembre 2011 previsto per la proposizione del ricorso come sotto indicato;

DISPONE

- ai sensi dell’art. 166, comma 7, del Codice e dell'art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell'ordinanza ingiunzione sul sito internet del Garante;
- ai sensi dell’art. 154-bis, comma 3 del Codice e dell'art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell'Autorità;
- ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l'annotazione delle violazioni e delle misure adottate in conformità all'art. 58, par. 2 del Regolamento, nel registro interno dell'Autorità previsto dall'art. 57, par. 1, lett. u) del Regolamento.

Ai sensi dell’art. 78 del Regolamento (UE) 2016/679, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 3 luglio 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Montuori