C’è una categoria di procedimenti sanzionatori che non nasce da attacchi informatici, da campagne di marketing aggressive o da tecnologie invasive, ma da qualcosa di molto più banale: un numero di telefono non aggiornato. Il tema di recupero crediti e privacy si gioca quasi sempre lì, nello scarto fra i dati che un creditore possiede e la realtà delle persone che quei dati dovrebbero descrivere.
50.000 euro al titolare, 30.000 al responsabile
Nella newsletter del 16 luglio 2026 il Garante per la protezione dei dati personali ha reso noto un provvedimento che riguarda due società impegnate, a titolo diverso, in un’attività di recupero crediti. La sanzione è stata ripartita: 50.000 euro al titolare del trattamento, 30.000 euro alla società che operava come responsabile.
L’origine della vicenda è il reclamo di un debitore, contattato a un numero telefonico che non era più nella sua disponibilità. Da quella segnalazione l’Autorità ha ricostruito due ordini di carenze: un difetto di vigilanza nella catena del trattamento e la mancata fornitura di informazioni aggiornate sui dati trattati.
La ripartizione della sanzione è il dato più significativo
Che l’Autorità abbia sanzionato entrambi i soggetti, ciascuno per la propria parte, non è un dettaglio procedurale. È l’applicazione concreta di un principio che molte organizzazioni continuano a non considerare: affidare un’attività a un terzo non trasferisce la responsabilità, la articola.
Il titolare del trattamento resta responsabile delle scelte di fondo — quali dati vengono trattati, per quale finalità, con quali garanzie, con quale verifica della loro esattezza — e risponde anche di non aver vigilato su chi opera per suo conto. Il responsabile, dal canto suo, non è un mero esecutore: risponde degli obblighi che il Regolamento gli attribuisce direttamente e di quanto fa al di fuori delle istruzioni ricevute.
Nel recupero crediti questa architettura è particolarmente delicata, perché la catena è lunga: creditore originario, eventuale cessionario del credito, società di recupero, call center esterni, agenti sul territorio. Ogni passaggio è un punto in cui l’informazione può degradarsi e in cui la responsabilità va definita per iscritto — e in cui, se non lo è, viene definita dall’Autorità a posteriori.
Il principio di esattezza, che nessuno cita mai
L’art. 5, paragrafo 1, lettera d) del GDPR impone che i dati personali siano esatti e, se necessario, aggiornati, e che siano adottate misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità del trattamento.
È una delle norme meno citate del Regolamento e una di quelle che nel recupero crediti produce più contestazioni. Un numero telefonico raccolto cinque anni prima, un indirizzo rimasto nel gestionale dopo un trasloco, un recapito riferito a una persona diversa: finché il dato giace in archivio, l’inesattezza è teorica. Quando il dato viene usato per contattare qualcuno, l’inesattezza diventa un trattamento illecito che coinvolge un terzo estraneo al rapporto di credito.
Recupero crediti e privacy: cosa si contesta oltre al numero
I procedimenti in questa materia raramente si fermano al fatto segnalato. Dal reclamo l’istruttoria si allarga, e i profili che emergono con maggiore frequenza sono:
- Le informazioni rese all’interessato. Chi riceve un sollecito ha diritto di sapere chi tratta i suoi dati, su quale base, da chi li ha ricevuti e per quanto tempo li conserverà. Risposte parziali o tardive alle richieste di accesso sono esse stesse oggetto di contestazione.
- Le modalità del contatto. La frequenza delle chiamate, l’orario, la comunicazione dell’esistenza del debito a persone diverse dal debitore — familiari, colleghi, datore di lavoro — sono profili su cui l’Autorità è intervenuta più volte.
- La conservazione dei dati dopo la definizione o l’estinzione della posizione.
- La tracciabilità delle istruzioni impartite al responsabile e dei controlli effettivamente svolti su di lui.
Perché riguarda anche chi non fa recupero crediti di mestiere
Il provvedimento interessa una platea molto più ampia delle società di recupero. Riguarda qualunque impresa che affidi a terzi il sollecito dei propri insoluti: uno studio professionale che si rivolge a una società esterna, un’azienda che esternalizza la gestione del credito, un ente che affida la riscossione a un concessionario privato.
In tutti questi casi la domanda che l’Autorità rivolge al committente è identica: con quale atto hai designato quel soggetto, quali istruzioni gli hai dato, come hai verificato che le rispettasse, e con quale frequenza aggiorni i dati che gli trasmetti. Sono domande a cui si risponde con documenti, e la mancanza di una risposta documentata è già, di per sé, parte della contestazione.
L’ordine di grandezza
Le sanzioni dell’art. 83 del GDPR arrivano a 20 milioni di euro o al 4 per cento del fatturato mondiale annuo per le violazioni dei principi del trattamento e dei diritti degli interessati. Gli 80.000 euro complessivi di questo provvedimento restano quindi ampiamente al di sotto del massimo edittale, ma raccontano qualcosa di più utile: l’Autorità interviene anche su vicende individuali, originate da un singolo reclamo, e lo fa colpendo l’intera catena.
Abbiamo trattato i profili connessi nell’articolo sulla nomina del responsabile del trattamento, in quello sul diritto di accesso ai dati personali e sul termine per riscontrarlo e in quello sui tempi di conservazione. Il servizio di assistenza alle imprese è descritto nella pagina sulla consulenza e compliance privacy; per i profili di crisi d’impresa e sovraindebitamento collegati alla gestione del credito si rimanda allo studio legale dell’avv. Elio Errichiello.
Se la tua organizzazione affida a terzi la gestione degli insoluti, l’esame dei contratti e degli atti di designazione in essere è il modo più rapido per capire dove si collocherebbe, oggi, la responsabilità. Puoi richiederlo dalla pagina contatti.
Avv. Elio Errichiello
