TL;DR per il DPO
Tre provvedimenti del 3/7/2026 sulla stessa filiera: chi fornisce lo score (Experian, Cerved) e chi lo usa per decidere se attivare una fornitura (Hera Comm). Violazioni ricorrenti: artt. 5, 12, 13, 14, 15 e 28 GDPR, oltre a privacy by design e by default. Per Experian pesano la gravita' (trasparenza, diritti, minimizzazione), la pluralita' di condotte ripetute e la durata: circa due anni e mezzo.
I tre punti che contano
- La responsabilita' non si delega al fornitore dello score: l'azienda che usa il credit check per decidere se attivare un contratto e' titolare di quel trattamento. Deve informare l'interessato, indicare la logica della valutazione e garantire il diritto di accesso, anche quando i dati arrivano da un provider esterno.
- L'art. 28 e' il punto debole della filiera: rapporti fra titolare e fornitore di scoring vanno regolati con contratti che descrivano davvero il trattamento, non con clausole generiche. Nel caso Hera Comm la violazione dell'art. 28 e' contestata insieme a quelle sui principi.
- Privacy by design e by default (art. 25) diventano contestazione autonoma: non basta correggere dopo, il sistema doveva nascere con impostazioni protettive. E' la stessa linea vista nel provvedimento AgID e in quello su Character.AI.
Cosa fare adesso, in pratica
Per i clienti che valutano l'affidabilita' dei propri clienti (utilities, telco, noleggio, leasing, e-commerce con pagamento dilazionato): 1) verifica che l'informativa dica chiaramente che si effettua una valutazione e con quali dati; 2) mappa nel registro art. 30 il flusso verso il provider di scoring e controlla l'accordo art. 28; 3) prepara una procedura di riscontro alle richieste di accesso che copra anche lo score e la sua logica; 4) documenta le scelte di privacy by design, comprese le impostazioni predefinite.
Perche' conta per i tuoi clienti
Il credit check e' una di quelle attivita' che quasi nessuno censisce nel registro perche' viene percepita come 'una verifica commerciale'. Tre provvedimenti nello stesso giorno dicono il contrario: e' un trattamento a se', con obblighi informativi e diritti da garantire. Per un DPO e' un'occasione concreta di audit su un processo che i clienti spesso ignorano di avere.
Fonte ufficiale:Garante per la protezione dei dati personali - provvedimenti del 3 luglio 2026, doc. web nn. 10273659 (Experian Italia), 10273926 (Hera Comm), 10273976 (Cerved)Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
