Il Garante, Experian e il sistema che ti dà un punteggio

Un punteggio che decide, e i dati che ci stanno dietro

Quando una persona chiede un finanziamento, spesso non è un funzionario a decidere per primo, ma un sistema. I Sistemi di Informazioni Creditizie — i SIC — raccolgono la storia dei pagamenti e restituiscono un profilo di affidabilità che le banche e le finanziarie consultano prima di dire sì o no. Experian Italia S.p.A. gestisce uno di questi sistemi. È un ruolo delicato: chi tiene quei dati non custodisce un archivio qualsiasi, custodisce il materiale con cui si giudica la vita finanziaria delle persone.

Il provvedimento del Garante del 3 luglio 2026 arriva proprio su questo terreno. L'Autorità ha ingiunto a Experian Italia il pagamento di 120.000 euro, ai sensi dell'articolo 83 del GDPR, e ha disposto misure correttive. Non è la cifra a rendere il caso interessante — nel panorama delle sanzioni europee è contenuta — ma i principi che chiama in causa.

Trasparenza, minimizzazione, "by design"

I principi al centro della decisione sono quelli che si citano spesso e si applicano meno. La liceità, correttezza e trasparenza dell'articolo 5, paragrafo 1, lettera a: la persona valutata deve poter sapere e verificare come i suoi dati vengono trattati, e — richiama il Garante, in linea con le indicazioni del Comitato europeo — avere gli strumenti per conoscere la liceità e l'esattezza di quel trattamento. La minimizzazione della lettera c: si trattano i dati che servono, non più di quelli. E la privacy by design e by default dell'articolo 25: la protezione dei dati non è un accessorio da aggiungere alla fine, ma un requisito da incorporare fin dalla progettazione del sistema.

Nel corso del procedimento la Società ha adottato alcune misure: ha aggiornato l'informativa nel gennaio 2025 per coniugare — sono parole sue riportate negli atti — completezza e intelligibilità, e si è dotata di una policy specifica sui tempi di conservazione. Il Garante ne ha tenuto conto. È un dettaglio che conta: la collaborazione e le correzioni spontanee incidono sull'esito, ma non cancellano la violazione già avvenuta.

Perché riguarda anche chi non si occupa di credito

Si può leggere questo caso in due modi. Il primo, stretto: una società che gestisce dati creditizi è stata sanzionata per come li trattava. Il secondo, più utile: è un promemoria di cosa significhino, concretamente, tre principi che ogni titolare del trattamento è tenuto a rispettare. Quando un sistema decide qualcosa su una persona, quella persona ha diritto a capire e a verificare; i dati raccolti devono essere quelli necessari; e la tutela va progettata dentro il sistema, non appiccicata dopo.

L'onestà impone un limite: qui riassumiamo il nucleo del provvedimento — soggetto, importo, articoli, contesto — non l'intera motivazione giuridica, che sta nel testo integrale pubblicato dal Garante ed è la fonte da leggere per i dettagli. Ma il messaggio che se ne ricava non ha bisogno di note a piè di pagina. Dove i dati servono a dare un punteggio alle persone, trasparenza e misura non sono cortesie: sono obblighi, e il Garante li fa valere.