Le agenzie di valutazione del merito creditizio sotto esame in materia di protezione dei dati da parte della Corte di giustizia dell’Unione europea, della Corte suprema austriaca e della Corte federale di cassazione tedesca
Le agenzie di informazioni creditizie possono elaborare punteggi di affidabilità creditizia anche in assenza di esperienze concrete di pagamento? Quali dati possono utilizzare a tal fine? E fino a che punto si estende il diritto di accesso alle informazioni relative al calcolo di un punteggio? Le recenti sentenze della Corte Suprema austriaca (OGH), della Corte Federale di Giustizia tedesca (BGH) e della Corte di Giustizia dell’Unione Europea (CGUE) definiscono con maggiore precisione i limiti del modello di business dal punto di vista della protezione dei dati.
Il scoring di solvibilità non è di per sé illegale
In tre sentenze parallele del 12 agosto 2026, l’OGH ha dovuto valutare se un’agenzia di informazioni creditizie possa elaborare punteggi di solvibilità anche in assenza di dati concreti relativi alla storia di pagamento di una persona.
L’OGH ha negato l’esistenza di un divieto generale. Le agenzie di informazioni creditizie e i loro clienti perseguono, in linea di principio, interessi legittimi ai sensi dell’articolo 6, paragrafo 1, lettera f) del GDPR: le informazioni sul merito creditizio hanno lo scopo di ridurre le asimmetrie informative, i rischi di insolvenza e i rischi di frode. Se si richiedessero obbligatoriamente dati concreti relativi alla storia di pagamento, per gran parte dei consumatori non sarebbe possibile fornire alcuna informazione sul merito creditizio. Resta tuttavia da valutare, alla luce delle circostanze concrete del singolo caso, se gli interessi dell’interessato prevalgano comunque.
Conclusione: un punteggio di solvibilità privo di dati concreti relativi alle esperienze di pagamento non è di per sé illegale. Ciò non costituisce tuttavia un via libera all’utilizzo di fonti di dati o metodi di calcolo arbitrari.
I dati di marketing non possono diventare dati di solvibilità
La Corte Suprema austriaca ha tracciato il confine decisivo in base al principio della limitazione della finalità. Nei procedimenti in questione, l’agenzia di informazioni creditizie aveva ottenuto dati quali nome, indirizzo e data di nascita da un editore di elenchi. Tali dati erano stati originariamente raccolti ai sensi dell’articolo 151 del Codice del Commercio (GewO) per le finalità dell’editore di elenchi e del marketing diretto. L’agenzia di informazioni creditizie li ha successivamente utilizzati per l’identificazione delle persone nell’ambito delle richieste di valutazione del merito creditizio.
Secondo la Corte Suprema, già questa verifica dell’identità fa parte della valutazione del merito creditizio. Non è quindi rilevante se i dati di indirizzo acquistati confluiscano direttamente nell’algoritmo di calcolo matematico. L’utilizzo a fini di valutazione del merito creditizio costituisce un cambiamento di finalità. Né l’articolo 151 né l’articolo 152 del Codice del Commercio (GewO) contengono una base giuridica sufficiente per tale ulteriore trattamento.
In assenza di consenso, occorre quindi effettuare il test di compatibilità ai sensi dell’articolo 6, paragrafo 4, del GDPR. In questo caso, il risultato è stato sfavorevole all’agenzia di informazioni creditizie:
- Non sussiste una sufficiente attinenza oggettiva tra il marketing diretto e la valutazione del merito creditizio.
- Non sussisteva alcun nesso originario di raccolta tra gli interessati e l’agenzia di informazioni creditizie.
- Un punteggio negativo può avere conseguenze significative, come il rifiuto di un credito o la mancata stipula di un contratto.
- Non sono state individuate adeguate garanzie supplementari.
- Gli interessati non devono ragionevolmente aspettarsi che i dati raccolti a fini di marketing vengano successivamente utilizzati per verifiche di solvibilità.
Il trattamento era pertanto incompatibile con la finalità originaria.
Diritto di cessazione in Austria?
La Corte Suprema austriaca ha inoltre riconosciuto il diritto di cessazione ai sensi del diritto austriaco: il diritto alla protezione dei dati è un diritto della personalità la cui violazione, in presenza di un rischio di reiterazione, può fondare un diritto ai sensi dell’art. 20, comma 1, del Codice civile austriaco (ABGB).
Quando deve essere reso pubblico il calcolo di un punteggio?
Un secondo sviluppo recente riguarda la trasparenza del scoring. Il 21 ottobre 2026 la Corte federale di giustizia tedesca si è pronunciata, in quattro procedimenti paralleli, sui diritti di accesso nei confronti della SCHUFA.
Secondo la sentenza della Corte di giustizia dell’Unione europea nella causa C-634/21, SCHUFA Holding (scoring), già la determinazione automatizzata di un valore di probabilità può costituire una decisione automatizzata ai sensi dell’articolo 22, paragrafo 1, del GDPR. Il presupposto è che da tale valore dipenda in modo determinante se un terzo stipuli, esegua o risolva un contratto con l’interessato.
La Corte federale di cassazione ha confermato che la determinazione del punteggio può essere qualificata come profilazione e come «decisione» ai sensi dell’articolo 22 del GDPR. Per quanto riguarda il diritto specifico di accesso ai sensi dell’articolo 15, paragrafo 1, lettera h) del GDPR, deve tuttavia essere inoltre accertato che l’interessato abbia subito un pregiudizio giuridico o di entità analoga a causa della decisione automatizzata. Le precedenti constatazioni del giudice di primo grado non erano sufficienti a tal fine; la Corte federale di cassazione ha quindi rinviato il procedimento.
L’onere della prova spetta in linea di principio agli interessati. La Corte federale di cassazione concede loro tuttavia un’alleggerimento sostanziale dell’onere della prova: se viene dimostrato che un punteggio è stato trasmesso a un’impresa e che, in concomitanza temporale con tale trasmissione, è stata presa una decisione contrattuale sfavorevole, sussiste una presunzione di fatto secondo cui il punteggio è stato determinante per tale decisione.
Pertanto, il diritto all’informazione non è né automaticamente garantito né limitato a casi eccezionali. È determinante l’effettiva rilevanza del punteggio ai fini della successiva decisione della controparte contrattuale.
Tre linee guida GEISTWERT per la pratica
Dalla giurisprudenza attuale emergono tre indicazioni chiare:
Il scoring rimane in linea di principio possibile. Anche in assenza di esperienze di pagamento individuali, un punteggio di solvibilità può essere basato su interessi legittimi. Tuttavia, è necessario documentare la necessità, la qualità dei dati, la trasparenza e la concreta ponderazione degli interessi.
L’origine dei dati è determinante. Una verifica di solvibilità ammissibile non sanifica un cambiamento di finalità non consentito. Le agenzie di informazioni creditizie devono essere in grado di dimostrare per quale scopo ogni categoria di dati utilizzata sia stata originariamente raccolta e perché il suo ulteriore utilizzo sia compatibile con tale scopo.
Maggiore è l’impatto decisionale, maggiore è l’obbligo di trasparenza. Se la conclusione di un contratto dipende in modo determinante dal punteggio, il trattamento rientra nell’ambito di applicazione dell’articolo 22 del GDPR. In tal caso, l’interessato deve ricevere informazioni significative sulla logica applicata, la portata e gli effetti previsti del trattamento.
Conclusione di GEISTWERT
I tribunali non mettono in discussione in linea di principio il modello di business delle agenzie di informazioni creditizie. Esigono tuttavia una chiara separazione tra la valutazione ammissibile del merito creditizio e l’uso improprio dei dati per finalità diverse da quelle originarie.
Un punteggio può essere lecito anche in assenza di esperienze di pagamento concrete. I dati raccolti a fini di marketing non possono tuttavia essere utilizzati senza ulteriori indugi per l’identificazione o la valutazione del merito creditizio. E se il punteggio diventa determinante per una decisione contrattuale, i requisiti di trasparenza e tracciabilità aumentano notevolmente.
Decisioni e link di approfondimento