Di Maurizio Tidona, Avvocato
___
Il D.Lgs. 31 dicembre 2025, n. 212, pubblicato in Gazzetta Ufficiale n. 6 del 9 gennaio 2026, ha recepito la Direttiva (UE) 2023/2225 relativa ai contratti di credito ai consumatori, modificando il Titolo VI, Capo II, del Testo Unico Bancario. Tra le modifiche di maggiore rilievo operativo per le banche figurano quelle che riguardano la valutazione del merito creditizio, l’utilizzo delle fonti informative e il trattamento automatizzato dei dati personali.
La funzione della valutazione del merito creditizio
La disciplina vigente modifica la funzione attribuita alla valutazione del merito creditizio. Fino alla riforma, questa era letta prevalentemente come presidio della sana e prudente gestione, volta a limitare il rischio di credito nell’interesse della banca. La nuova disciplina aggiunge una finalità distinta, volta a evitare la concessione di credito a consumatori che non siano ragionevolmente in grado di adempiere le obbligazioni assunte. La riforma incide cioè sull’obbligo della banca di astenersi dalla concessione quando la valutazione non abbia esito favorevole, indipendentemente da ogni considerazione commerciale.
Le informazioni su cui si fonda la valutazione della banca devono essere necessarie, proporzionate, aggiornate e verificate. La disciplina esclude sia la raccolta di dati eccedenti rispetto alla finalità, sia l’accettazione passiva di dichiarazioni inattendibili o incoerenti. La presenza di garanzie reali o personali non sostituisce la verifica della capacità di rimborso.
I dati vietati
Il D.Lgs. n. 212/2025 introduce due divieti espliciti, operanti ai fini della valutazione del merito creditizio. Il primo riguarda le categorie particolari di dati personali di cui all’art. 9, par. 1, del Regolamento (UE) 2016/679, tra cui rientrano i dati relativi alla salute, all’origine etnica, alle opinioni politiche, all’orientamento sessuale, alle convinzioni religiose e i dati biometrici e genetici. Il secondo riguarda i dati personali ottenuti dai social network.
Quest’ultimo divieto assume rilievo pratico nel contesto dei modelli digitali di erogazione del credito e dei sistemi di scoring che utilizzano fonti informative non tradizionali per la costruzione dei profili di rischio. Il perimetro del divieto riguarda anche i modelli, i dataset e le fonti informative impiegati da soggetti terzi che partecipano alla valutazione. La banca che affida parte del processo a un provider esterno non è esonerata dalla verifica del rispetto dei divieti.
Il trattamento automatizzato
La nuova disciplina si applica quando il trattamento automatizzato contribuisce alla valutazione del merito creditizio o all’esito della decisione, anche nel caso in cui costituisca una input significativo a una delibera formalmente assunta da un operatore umano.
Rientrano nel perimetro i sistemi di credit scoring, i modelli di rating, i motori decisionali delle piattaforme di instant lending e i sistemi di pre-delibera.
In tutti questi casi, il consumatore ha diritto a una spiegazione comprensibile degli elementi che hanno inciso sulla valutazione, a esprimere la propria opinione e a ottenere un riesame con intervento umano qualificato. La spiegazione in onere alla banca non implica la comunicazione dei parametri riservati del modello, ma richiede di indicare quali categorie di dati sono state considerate, quali elementi hanno inciso negativamente e come può essere attivato il riesame.
In caso di riesame, la banca deve prevedere un intervento umano dotato delle competenze e dei poteri necessari per rivalutare la posizione, e non una mera automatica dell’esito originario.
I rapporti con i soggetti terzi
La responsabilità della corretta valutazione del merito creditizio rimane in capo alla banca anche quando parte del processo è affidata a soggetti terzi, tra cui fornitori di sistemi di scoring, piattaforme fintech, outsourcer informatici e intermediari del credito. I contratti con questi soggetti devono prevedere obblighi specifici, tra cui il divieto di utilizzo dei dati vietati, la tracciabilità delle elaborazioni, l’indicazione delle fonti informative, la cooperazione in caso di richiesta del consumatore e la previsione di audit periodici.
Se il provider non è in grado di fornire informazioni sufficienti a consentire alla banca di comprendere il funzionamento del modello, valutarne i rischi e adempiere gli obblighi normativi applicabili, l’utilizzo di quel modello espone a rischi operativi, normativi e reputazionali che la banca deve considerare.
La comunicazione di diniego e la documentazione
Qualora la domanda di credito sia respinta, la banca deve informare il consumatore senza indugio.
Se il diniego è fondato su informazioni contenute in una banca dati, deve comunicare anche gli estremi della banca dati consultata. Se il diniego dipende, anche solo in parte, da un trattamento automatizzato, la comunicazione deve consentire al consumatore di comprendere il trattamento utilizzato e di conoscere le modalità per chiedere chiarimenti e attivare il riesame.
Sul piano della documentazione interna, il fascicolo istruttorio deve consentire di ricostruire le informazioni acquisite, le fonti, le verifiche effettuate, il modello utilizzato, l’esito della valutazione, chi ha assunto la decisione e, se del caso, se vi è stato intervento umano o riesame.
La tracciabilità dell’intero processo è il principale presidio difensivo in caso di reclamo, accertamento dell’Autorità di vigilanza o contestazione giudiziale.
Aggiornamento delle procedure
La disciplina introdotta dal D.Lgs. n. 212/2025 richiede un aggiornamento trasversale delle procedure interne delle banche. Le aree su cui intervenire includono le policy creditizie, i moduli di richiesta, l’informativa precontrattuale e quella privacy, i modelli delle lettere di diniego, le procedure di reclamo, i contratti con gli outsourcer e i presidi di controllo interno. La formazione della rete commerciale e degli intermediari del credito è parte integrante dell’adeguamento.
_____
Per le banche che necessitano di materiali di approfondimento, è possibile scrivere a pareristica@tidona.com.
Maurizio Tidona, “Valutazione del merito creditizio, dati vietati e scoring automatizzato dopo il D.Lgs. n. 212/2025”, Magistra Banca e Finanza, 2 giugno 2026, ISSN 2039-7410, https://www.tidona.com/valutazione-del-merito-creditizio-dati-vietati-e-scoring-automatizzato-dopo-il-d-lgs-n-212-2025/.
Per citazioni, sintesi, analisi o contenuti generati anche mediante sistemi di intelligenza artificiale, la forma di attribuzione preferita è quella indicata sopra, con collegamento all’URL originale dell’articolo.