Merito creditizio e privacy: le linee CNIL tra GDPR e scoring

L’Autorità Garante per la protezione dei dati personali francese – CNIL – ha pubblicato un documento riguardante la valutazione del merito creditizio in una prospettiva di tutela dei dati personali degli interessati.

Il documento, del 7 maggio 2026, è davvero interessante perché ribadisce concetti chiave ai fini della compliance normativa, in un ambito divenuto nel tempo sempre più delicato e foriero di rischi di varia natura.

La normativa europea e quindi quella interna, ormai, perseguono un duplice obiettivo:

• quello di ridurre il rischio primario di sovraindebitamento
• quello, strettamente collegato al primo, di evitare il rischio di concedere crediti in maniera “irresponsabile”.

Valutazione del merito creditizio e tutela dei dati personali

Il tema del credito è centrale nel mercato e deve prevedere forme di tutela nei confronti dei consumatori, non solo attraverso la regolamentazione bancaria e consumeristica, ma anche in una prospettiva di protezione dei dati personali.

Pensiamo ai casi di illegittimi trattamenti di dati legati alle segnalazioni alla Centrale Rischi o al sistema di Informazioni Creditizie, che possono causare danni anche di tipo patrimoniale, come il mancato accesso ad un credito.

Gestire in maniera corretta le informazioni, al pari di conservarle e trasmetterle lecitamente, è essenziale per garantire il rispetto dei diritti riconosciuti in capo all’interessato, nello specifico alla protezione dei suoi dati, poiché rende possibile ridurre i rischi indicati sopra, nonché a monte quelli legati ad una perdita di riservatezza, integrità e disponibilità.

Ciò va anche integrarsi con le regole introdotte di recente in tema di ESG, i cui fattori possono essere integrati nella valutazione del merito creditizio.

Insomma, la tematica non è più solo “economica”, ma ambientale e sociale; pertanto, occorre integrare i propri strumenti e metodologie di lavoro con ogni aspetto e per quanto qui interessa con l’esigenza di garantire tutela ai dati personali trattati.

Che tipo di tutela intende garantire la CNIL e a chi si rivolge

L’Autorità francese intende rivolgersi agli organismi definiti dalla legge francese quali competenti per la concessione del credito, inclusi gli intermediari relativamente ad operazioni bancarie e servizi di pagamento.

Il quadro è quindi limitato al settore bancario-creditizio, lasciando fuori ad esempio il settore delle assicurazioni, come esplicitamente chiarito nel documento stesso.

Il campo di applicazione territoriale è ristretto alla Francia e ai titolari che esercitano la loro attività in Francia.

La CNIL ricorda che il documento in analisi non è di tipo mandatorio, ben potendo ogni titolare non applicarlo: in tal caso, però, bisogna ricordare l’importanza della conformità alla normativa europea ed anche il compito proprio di ogni Autorità di Controllo, ossia quello di diffondere e promuovere la consapevolezza dei titolari e responsabili, oltre a quello sanzionatorio, considerando altresì la facoltà di irrogare sanzioni anche per difformità rispetto al contenuto delle Linee Guida.

Finalità, basi giuridiche e valutazione della solvibilità

La CNIL chiarisce che la finalità è quella della valutazione della solvibilità, i cui trattamenti comprendono la raccolta, la registrazione e l’utilizzo:

• di dati personali forniti dai richiedenti (documenti, informazioni, ecc.)
• di informazioni interne ed esterne relative ai richiedenti che hanno avuto difficoltà nel rimborso di precedenti crediti.

Proseguendo, la stessa Autorità chiarisce un nodo fondamentale del documento, ossia che tale finalità non ricomprende:

• il trattamento dei dati relativi alle difficoltà incontrate dagli interessati nel rimborso di precedenti crediti per finalità diverse dalla valutazione della solvibilità (ad esempio, ai fini del recupero dei crediti o dell’identificazione dei clienti di cui all’articolo L. 312-1-3 del Codice monetario e finanziario)
• i trattamenti di elaborazione, aggiornamento e valutazione della pertinenza dei «modelli di punteggio» utilizzati come riferimento nella valutazione del rischio di insolvenza dei richiedenti di credito.

Su questo ultimo punto, ossia i modelli del c.d. credit scoring, si rimanda a quanto già pubblicato con riferimento al regolamento europeo sull’intelligenza artificiale (link https://www.cnil.fr/fr/les-fiches-pratiques-ia) anche ai fini della FRIA.

Riguardo la base giuridica di cui all’art. 6 GDPR, la CNIL richiama la legge francese applicabile e nello specifico gli articoli L. 312-16 e L. 313-16 del Codice del Consumo, chiarendo anche la possibilità di consultare – per gli organismi già indicati sopra e identificati in maniera restrittiva – i registri della Banca di Francia (FCC e FICB) relativamente agli insoluti.

Le categorie di dati personali oggetto di trattamento

Sul punto la CNIL enumera per categorie una serie di dati inclusi nei trattamenti, ossia:

• posizione personale e lavorativa del richiedente il credito (età, nazionalità etc..)
• natura e importo dei redditi e delle spese complessive dell’intero nucleo familiare fiscale, posizione della persona all’interno del nucleo (coniuge, convivente, figlio, genitore, altra persona a carico), stato civile (indicato come «celibe/nubile», «vedovo», «sposato», «altra convivenza»), regime matrimoniale
• caratteristiche del credito
• situazione finanziaria del richiedente il credito
• identificazioni di eventuali garanti personali
• score.

Un chiarimento ulteriore viene dato riguardo i dati relativi alla posizione geografica, i quali possono essere inclusi solo per una strategia geografica specifica, atta a rispondere alle esigenze o alle peculiarità di determinati territori e che tenga conto del tipo di credito da concedere. Risulta evidente qui che l’obiettivo della specifica è ridurre il rischio di discriminazioni legate alla concessione del credito.

Ulteriore indicazione utile è quella per cui la CNIL suggerisce l’uso di un menu a tendina e di una nomenclatura specifica per facilitare il rispetto del principio di minimizzazione.

Ad esempio:

• vive da solo/a e provvede autonomamente alle proprie spese e al proprio reddito
• vive con un’altra persona che condivide il nucleo fiscale, i redditi e le spese
• vive con un’altra persona che non condivide il nucleo fiscale, ma partecipa ai redditi e alle spese
• vive con un’altra persona che non condivide né il nucleo fiscale né i redditi e le spese.

Con riferimento agli insoluti la CNIL ribadisce poi l’esigenza di limitare al massimo il trattamento di tali dati, valutando caso per caso il contesto e raccogliendo esclusivamente i dati strettamente necessari per un periodo limitato nel tempo, indicato di seguito.

Rispetto del principio del minimo privilegio

All’interno del documento vengono individuati i soggetti autorizzati dal titolare come coloro che possono trattare i dati personali per categorie in base alle loro funzioni.

Ad esempio, le persone incaricate di gestire i modelli di scoring sono le uniche ad avere accesso ai dati coinvolti per il suo funzionamento, mentre coloro che devono decidere circa la concessione del credito potranno avere accesso al solo risultato (score).

Per quanto tempo possono essere conservati i dati?

Tale paragrafo risulta particolarmente pratico e concreto, quando si fa riferimento al periodo di prescrizione per i dati trattati ai fini della concessione, mentre si indicano altri riferimenti per gli inadempimenti contrattuali, ad esempio si suggerisce di conservare per massimo 24 mesi i dati relativi ai debiti sussistenti.

Ciò consente di rispettare appieno il principio di limitazione della conservazione, in particolare con riferimento agli insoluti, riguardo i quali è essenziale restringere al massimo la durata, per evidenti rischi di discriminazione nei confronti degli interessati e per mancati aggiornamenti riguardo la situazione debitoria, che invece deve essere costantemente monitorata.

Art. 22 GDPR e decisioni automatizzate

La CNIL ricorda qui che la decisione automatizzata potrà essere utilizzata ove prevista ex lege oppure quando necessaria per la conclusione di un contratto e in tal caso, c’è un espresso rinvio a quanto prevede la legge francese sul punto, quando richiama tali verifiche.

Qui – a parere di chi scrive – poteva rendersi un chiarimento anche a tutte quelle società che, al fine della concessione di servizi di varia natura, vogliono valutare l’affidabilità del singolo interessato e quindi la sua capacità a pagare il servizio stesso in maniera continuativa.

Spesso vengono consultati sistemi di informazione creditizia, come CRIF ad esempio, da parte di ulteriori e diverse società rispetto a quelle qui individuate, allo scopo ad esempio di concedere o meno una fornitura e quindi vengono trattati dati ai fini dell’assegnazione del cosiddetto credit scoring.

In questi casi, chiarire gli ambiti di tutela nei confronti degli interessati – ribadendo l’esigenza di garantire il rispetto il GDPR e quindi l’identificazione di una valida e lecita base giuridica e finalità per il trattamento posto in essere – può costituire uno sforzo efficace, considerando i compiti e poteri di ogni Autorità, come sopra indicato, anche se formalmente estraneo all’oggetto delle linee guida qui in analisi.

In questo senso, si ricorda il considerando 71 del GDPR, che anticipa e spiega l’art. 22 GDPR, nella parte in cui prevede che “Al fine di garantire un trattamento corretto e trasparente nel rispetto dell’interessato, tenendo in considerazione le circostanze e il contesto specifici in cui i dati personali sono trattati, è opportuno che il titolare del trattamento utilizzi procedure matematiche o statistiche appropriate per la profilazione, metta in atto misure tecniche e organizzative adeguate al fine di garantire, in particolare, che siano rettificati i fattori che comportano inesattezze dei dati e sia minimizzato il rischio di errori e al fine di garantire la sicurezza dei dati personali secondo una modalità che tenga conto dei potenziali rischi esistenti per gli interessi e i diritti dell’interessato e che impedisca tra l’altro effetti discriminatori nei confronti di persone fisiche sulla base della razza o dell’origine etnica, delle opinioni politiche, della religione o delle convinzioni personali, dell’appartenenza sindacale, dello status genetico, dello stato di salute o dell’orientamento sessuale, ovvero che comportano misure aventi tali effetti.”

L’esigenza di implementare misure di sicurezza adeguate, valutare in maniera dettagliata i rischi (PIA) è fondamentale, in uno con la necessità di informare gli interessati. L’art. 22 GDPR deve quindi essere rispettato anche in questi ulteriori ambiti, avendo su di essi un impatto significativo, a fronte delle modalità con cui viene realizzata una decisione automatizzata.

Di seguito le specifiche.

Informativa, diritti e rifiuto della domanda di credito

L’Autorità qui esplicita che l’informativa viene resa ai sensi dell’art. 14 con riferimento al trattamento di dati relativi ai debiti già sussistenti: quindi i titolari dovranno adeguare le loro informative a quanto previsto da detto articolo, includendo il riferimento alle categorie di dati trattati e la fonte.

Particolarmente rilevante il tema riguardo il rifiuto della domanda di credito e quindi il richiamo alla sentenza Schufa del 27 febbraio 2025, nella causa C-203-22 sul punto, specialmente con riferimento all’esigenza di chiarire la portata della decisione e il funzionamento.

Infatti, è diritto di ciascun interessato comprendere la logica utilizzata e richiedere un intervento umano, se del caso a fini correttivi.

Valutazione d’impatto e misure di sicurezza: come fare

In questo caso, risulta significativo rispettare una serie di articoli del GDPR, in primis dagli articoli 32 a 36, financo il 22.

La valutazione d’impatto, oltre alla FRIA, sono analisi imprescindibili che nel contesto qui in analisi sono volte a garantire una riduzione del rischio di discriminazioni, proprio per arrivare ad assicurare il fine ultimo, ossia un accesso al credito equo.

Come fare a garantire davvero un intervento umano e come fare a dare evidenza delle modalità con cui è stata resa la decisione?

La CNIL suggerisce di rispondere ad una serie di domande, fra cui ad esempio la seguente: “Il titolare del trattamento tiene traccia dei casi in cui la decisione finale ha seguito il risultato proposto dal sistema utilizzato o se ne è discostata?”

Ecco, tali verifiche sembrano essere davvero imprescindibili al fine della valutazione dell’intervento umano, quella capace di fornire evidenze della sua effettività e sostanza.

Di aiuto, in tal senso anche il questionario allegato, dove la CNIL elenca una serie di verifiche che ciascun titolare può porre in essere per l’analisi della conformità, ripercorrendo tutti i punti di cui alle linee guida.

Conclusioni

Il documento pubblicato dalla CNIL, frutto di un lavoro lanciato già nel 2025, risulta un intervento “discreto”, in alcuni punti un’occasione mancata, perché, sempre a parere di chi scrive, non approfondisce affatto la tematica relativa all’impatto dell’uso dei sistemi di intelligenza artificiale in tale contesto e in particolare nel credit scoring: un semplice rimando a quanto già indicato sul tema dell’intelligenza artificiale non consente infatti di riflettere in maniera adeguata sui rischi connessi.

Se si pensa alle decisioni automatizzate e all’uso di sistemi di intelligenza artificiale risulta chiara l’esigenza di una tutela approfondita nell’ambito della valutazione del merito creditizio, proprio al fine di garantire un’adeguata tutela e trasparenza nei confronti degli interessati.

Integrare le regolamentazioni vigenti è necessario ed inevitabile, se si vuole assicurare nella sostanza un’attività conforme e virtuosa, pertanto anche le Autorità di Controllo, seppur nell’ambito delle proprie competenze, non possono tacerne con riferimento ai vari punti connessi, nello specifico riguardo l’art. 22 GDPR.