Pubblicato il

Impronte digitali per timbrare: perché il Garante sanziona

Copertina dell'articolo sui dati biometrici dei dipendenti e sulla rilevazione delle presenze con impronta digitale

L’idea sembra ragionevole: un lettore di impronte all’ingresso, nessun badge da dimenticare, nessun cartellino timbrato da un collega. Eppure il trattamento dei dati biometrici dei dipendenti per la rilevazione delle presenze è uno dei terreni su cui il Garante per la protezione dei dati personali interviene con maggiore fermezza, e l’azienda o l’ente che lo adotta si espone a una contestazione che difficilmente si riesce a sanare a posteriori.

Un dato che non è come gli altri

L’impronta digitale, la geometria del volto, l’iride non sono informazioni qualsiasi. Il Regolamento UE 2016/679 le colloca, all’articolo 9, tra le categorie particolari di dati, il cui trattamento è vietato salvo che ricorra una delle condizioni tassativamente previste. La ragione è intuitiva: un dato biometrico identifica in modo univoco una persona e, a differenza di una password o di un badge, non può essere sostituito se viene compromesso.

Da questa premessa discende tutto il resto. Non si tratta di valutare se il sistema sia comodo, se funzioni bene o se risolva un problema reale dell’organizzazione: si tratta di verificare, prima di installarlo, se esista una base giuridica che lo consenta. E nel rapporto di lavoro quella verifica è più stretta che altrove.

Dati biometrici dei dipendenti: perché il consenso non basta

È l’equivoco più diffuso. Molte organizzazioni raccolgono una liberatoria firmata dai lavoratori e ritengono di aver risolto il problema. Non è così, e il motivo è strutturale: nel rapporto di lavoro esiste un’asimmetria tra datore e lavoratore che rende difficile considerare il consenso come liberamente prestato, secondo la nozione che il Regolamento adotta. Un consenso che il dipendente non si sente realmente libero di negare non è un consenso valido.

Il Garante è tornato sul punto con il provvedimento n. 167 del 27 marzo 2025, richiamato nella newsletter n. 536 del 25 giugno 2025, con cui ha sanzionato per 4.000 euro un istituto di istruzione superiore che utilizzava un sistema di riconoscimento biometrico basato sulle impronte digitali del personale amministrativo per rilevare le presenze e prevenire atti vandalici. Erano coinvolti i lavoratori che avevano dato il consenso e che non intendevano usare i sistemi tradizionali di attestazione della presenza.

Il principio affermato è netto: il trattamento di dati biometrici sul luogo di lavoro è ammesso solo quando una norma specifica lo preveda, con adeguate garanzie per i diritti dei lavoratori; deve inoltre perseguire un interesse pubblico rilevante e rispettare i criteri di necessità e proporzionalità. Il Garante ha richiamato anche un proprio precedente parere del 2019, secondo cui la rilevazione biometrica sistematica e generalizzata delle presenze nelle pubbliche amministrazioni non supera il vaglio di proporzionalità.

Dove nasce, in concreto, la contestazione

Chi ha ricevuto una richiesta di informazioni dall’Autorità sa che il procedimento non si apre quasi mai su una denuncia generica. Nasce da una segnalazione di un dipendente, da un reclamo di un ex lavoratore, da un controllo ispettivo o dall’esame di una notifica di violazione dei dati. E una volta aperto, il perimetro dell’istruttoria si allarga rapidamente: informativa, registro dei trattamenti, valutazione d’impatto, tempi di conservazione, misure di sicurezza, rapporti con il fornitore del sistema.

È per questo che il tema non resta mai isolato. Un sistema biometrico installato senza base giuridica porta con sé, quasi sempre, carenze documentali che l’Autorità rileva nella stessa sede: l’assenza della valutazione d’impatto — di cui lo studio ha trattato nell’articolo sulla DPIA e su quando è obbligatoria — e un registro dei trattamenti che non dà conto del trattamento effettivamente in corso.

Il conto economico della scelta

L’articolo 83 del Regolamento articola le sanzioni amministrative pecuniarie su due soglie, e la violazione dei principi e delle condizioni di liceità del trattamento, comprese quelle previste per le categorie particolari di dati, rientra nella fascia più severa. Accanto alla sanzione pecuniaria l’Autorità dispone di poteri correttivi autonomi, tra cui l’ordine di conformare il trattamento e la limitazione o il divieto del trattamento stesso.

Tradotto in termini aziendali: non si rischia soltanto un esborso, ma l’ordine di spegnere un sistema su cui si è investito, con l’obbligo di cancellare i dati già raccolti e di ricostruire da zero il processo di rilevazione delle presenze. A questo si aggiunge il profilo, spesso sottovalutato, della responsabilità verso i lavoratori sul piano risarcitorio.

Il controllo a distanza è un capitolo a parte

C’è poi un secondo fronte, autonomo rispetto alla disciplina sulla protezione dei dati: quello delle garanzie previste dalla normativa giuslavoristica in materia di strumenti dai quali possa derivare un controllo a distanza dell’attività dei lavoratori. Sono due piani che corrono paralleli e che vanno verificati entrambi, perché la regolarità sull’uno non copre l’altro.

Lo studio ha affrontato questioni contigue negli approfondimenti sulla videosorveglianza nel luogo di lavoro e sulla geolocalizzazione dei dipendenti, dove si ritrovano le stesse dinamiche: una tecnologia introdotta per una finalità organizzativa legittima, e un impianto giuridico costruito dopo, quando ormai il sistema è in funzione.

Che cosa conviene fare

La decisione va presa prima dell’acquisto, non dopo l’installazione. Chi ha già un sistema biometrico in funzione si trova in una posizione più scomoda, ma non priva di vie d’uscita: molto dipende da come è configurato, da che cosa viene effettivamente conservato, da quali alternative siano state valutate e documentate.

Non sono valutazioni che si possono fare a distanza, su una descrizione generica. Servono la documentazione del trattamento, il contratto con il fornitore, l’informativa consegnata ai lavoratori e la ricostruzione di che cosa il sistema registra davvero. Lo studio, con sede a Napoli e attività in tutta Italia, offre un esame preliminare di questa documentazione e della posizione dell’ente o dell’azienda: si parte dalla pagina sulla consulenza e compliance privacy oppure direttamente dai contatti. Per i profili amministrativi e di contenzioso che spesso si accompagnano a queste vicende negli enti pubblici, il riferimento è avvocatoelioerrichiello.it.

Avv. Elio Errichiello

Pubblicato il

Ransomware: le carenze che trasformano l’attacco in sanzione

Data breach da ransomware: copertina sulle carenze di sicurezza contestate dal Garante nel 2026

Un lunedì mattina i sistemi non rispondono. L’infrastruttura di virtualizzazione è inaccessibile, la password dell’utenza amministrativa è stata cambiata, un nodo risulta spento e sui dischi compare un file con la richiesta di riscatto. Da quel momento l’azienda ha due problemi: recuperare l’operatività e spiegare al Garante perché l’attacco è riuscito. Un data breach da ransomware non si valuta su quanto è stato abile l’attaccante, ma su quali misure l’azienda aveva e quali no.

Il provvedimento di luglio 2026: 120.000 euro

Il caso riguarda una società di consulenza ingegneristica, titolare del trattamento per i dati di dipendenti e organi sociali e responsabile per oltre 1.200 titolari committenti. L’attacco, attribuito a un gruppo noto di operatori ransomware, è stato rilevato il 9 ottobre 2024.

La dinamica ricostruita nell’istruttoria è istruttiva. L’ipotesi principale è che l’attaccante sia entrato attraverso la VPN utilizzando credenziali già in circolazione nel dark web; il vettore iniziale non è stato accertato con certezza perché i log erano stati cancellati. All’interno della rete è stato creato un account amministrativo, da cui si è proceduto per movimenti laterali verso i controller di dominio, fino al gestionale e ai sistemi di backup. Un dispositivo di backup è stato riportato alle impostazioni di fabbrica, con perdita totale dei dati; il secondo ha consentito un ripristino, ma con dati risalenti a due mesi prima. Nel dicembre 2024 parte dei dati esfiltrati è stata pubblicata nel dark web, incluse categorie particolari di dati.

Il Garante ha contestato la violazione degli articoli 5, paragrafo 1, lettera f) e 32, paragrafi 1 e 2 del Regolamento, irrogando una sanzione di 120.000 euro.

Le cinque carenze contestate

È l’elenco che vale la pena confrontare con la propria situazione, perché nessuna di queste misure è esotica.

  • Protezione debole contro il credential stuffing. Il blocco scattava dopo dieci tentativi falliti ma si riattivava automaticamente dopo cinque minuti: una politica che l’Autorità ha definito molto blanda.
  • Autenticazione a più fattori parziale. Era attiva soltanto su alcuni profili della suite di produttività, e non su VPN, firewall e dispositivi di rete. È il punto decisivo del provvedimento.
  • Segmentazione di rete insufficiente. I controller di dominio avevano accesso a tutte le VLAN, e questo rendeva aggirabile la rete dedicata ai backup.
  • Backup non protetti. Mancava una copia offline o immutabile, e l’ultima copia utilizzabile risaliva a due mesi prima dell’incidente.
  • Nessun processo formalizzato di gestione delle vulnerabilità.

La conclusione del Garante è la parte che più dovrebbe interessare chi dirige un’azienda: la violazione non era né imprevedibile né inevitabile, e misure ormai di uso comune — come l’autenticazione a più fattori sulla VPN — avrebbero verosimilmente impedito l’attacco. È il modo in cui l’articolo 32 viene applicato nella pratica: non si chiede la sicurezza assoluta, si chiede lo stato dell’arte ragionevolmente esigibile.

Data breach da ransomware: perché i rimedi successivi non bastano

La società sanzionata aveva comunicato tempestivamente l’accaduto a dipendenti, pubblico e titolari committenti, non aveva precedenti e ha cooperato con l’Autorità. Dopo l’incidente ha investito oltre 200.000 euro in misure correttive e ha conseguito la certificazione ISO/IEC 27001.

Questi elementi hanno pesato come attenuanti sulla quantificazione della sanzione. Non hanno modificato l’accertamento della violazione. È una distinzione che vale la pena fissare: nel sistema del Regolamento ciò che si fa dopo riduce l’importo, ciò che si aveva prima decide se c’è stata violazione.

Il precedente più pesante del 2026

Lo stesso schema argomentativo si ritrova nella sanzione di 1.715.600 euro irrogata nel maggio 2026 a un operatore di telecomunicazioni. In quel caso non c’era alcun ransomware: alcuni soggetti si erano finti tecnici dell’assistenza e avevano convinto gli addetti di due punti vendita a consentire l’accesso ai sistemi, sottraendo dati anagrafici e di contatto di oltre 365.000 clienti e, per oltre 41.000 di essi, anche i metodi di pagamento. Le contestazioni hanno riguardato la gestione delle credenziali e dei certificati digitali e l’inefficacia delle verifiche di sicurezza, che non avevano rilevato le vulnerabilità.

Il filo comune è evidente: in entrambi i provvedimenti l’Autorità non si è fermata alla notizia dell’attacco, ma ha ricostruito l’assetto organizzativo che lo ha reso possibile. Il tema è approfondito anche nell’articolo sulle misure di sicurezza dell’articolo 32 e le sanzioni del 2026.

La notifica apre un fascicolo, non lo chiude

Molte aziende affrontano la notifica della violazione come l’adempimento conclusivo: si comunica entro settantadue ore e la pratica è archiviata. I provvedimenti dicono l’opposto. La notifica è il documento con cui il titolare mette per iscritto che cosa è accaduto, e da quel testo l’Autorità ricava le domande successive su misure, log, backup, fornitori e tempi di ripristino.

Significa che la notifica va redatta sapendo che sarà letta come atto istruttorio, e non come adempimento formale. Il punto è trattato nell’approfondimento su che cosa il Garante contesta dopo la notifica di data breach.

La verifica che conviene fare adesso

Senza entrare nel dettaglio tecnico, la domanda utile per chi guida un’impresa è se sia in grado di dare oggi una risposta documentata a quattro questioni: dove sono attivi i fattori di autenticazione aggiuntivi e dove non lo sono; quanto indietro va l’ultima copia di backup effettivamente ripristinabile e se esista una copia che un attaccante non possa raggiungere; per quanto tempo sono conservati i log e se qualcuno li guardi; chi risponde, e in quale ruolo, per i sistemi gestiti da fornitori esterni.

Se una di queste risposte non è disponibile, la carenza esiste già, indipendentemente dal fatto che un incidente sia avvenuto. È esattamente la situazione che i provvedimenti del 2026 hanno qualificato come violazione dell’articolo 32.

Lo studio, con sede a Napoli e attività in tutta Italia, assiste aziende ed enti nella gestione delle violazioni dei dati personali e nei procedimenti che ne derivano, in raccordo con i referenti tecnici: l’ambito è descritto nella pagina sui pacchetti di consulenza privacy. Chi ha subito un incidente o ha già effettuato la notifica può chiedere dalla pagina dei contatti un esame preliminare della documentazione e dei termini. Per i profili amministrativi collegati il riferimento è lo studio legale dell’avv. Elio Errichiello.

Avv. Elio Errichiello

Pubblicato il

La telefonata gestionale che diventa una proposta commerciale

Sanzioni telemarketing Garante: copertina sulla telefonata gestionale usata come proposta commerciale

Un cliente chiama per un problema di fatturazione. L’operatore risolve e, prima di chiudere, propone un’offerta. Sembra buon servizio: è invece il trattamento che ha portato il Garante a irrogare una delle sanzioni più pesanti del 2026 in materia di telefonate promozionali. Le sanzioni telemarketing Garante del 2026 non colpiscono soltanto il call center che chiama numeri comprati da terzi: colpiscono anche l’azienda strutturata che usa un contatto nato per altro scopo.

Il provvedimento: oltre 563.000 euro

Con provvedimento del 12 marzo 2026, reso noto nella newsletter del 26 marzo, il Garante ha sanzionato Enel Energia per 563.052 euro. L’istruttoria era nata da un reclamo e da due segnalazioni per chiamate indesiderate.

Secondo l’Autorità, nel corso di contatti gestionali con i clienti — anche effettuati tramite società terze — venivano proposte offerte commerciali senza una base giuridica valida, in alcuni casi anche a clienti che avevano espressamente negato il consenso al marketing. Il Garante ha contestato inoltre l’assenza di misure adeguate nelle procedure di ricontatto e ha raccomandato l’adozione del doppio consenso. Oltre alla sanzione, la società dovrà adottare misure idonee lungo tutta la filiera del trattamento.

Il punto giuridico: il contatto gestionale non è un contatto promozionale

Qui sta il cuore della questione, e vale per qualunque azienda che gestisca un servizio in abbonamento. Il numero di telefono raccolto per eseguire il contratto — assistenza, fatturazione, interventi tecnici — è trattato sulla base dell’articolo 6, paragrafo 1, lettera b) del Regolamento. Quella base giuridica copre l’esecuzione del contratto; non copre la promozione commerciale.

Per la promozione serve altro: il consenso, nelle forme richieste dall’articolo 130 del Codice in materia di protezione dei dati personali per le comunicazioni elettroniche. E dove il consenso è stato negato, nessuna costruzione contrattuale lo rimpiazza. Usare la telefonata gestionale come veicolo di vendita significa cambiare finalità senza cambiare base giuridica, ed è esattamente la contestazione formulata dal Garante.

Sanzioni telemarketing Garante: cosa viene contestato con più frequenza

Dai provvedimenti in materia emerge un elenco di criticità che si ripete con poche variazioni.

  • Il cambio di finalità. Dati raccolti per una ragione e usati per un’altra, senza una base giuridica autonoma.
  • Il consenso negato e non rispettato. Una volta che l’interessato ha detto no, la mancata propagazione di quel no ai sistemi e ai fornitori diventa una violazione.
  • Le procedure di ricontatto. È il tema delle liste di richiamo: senza regole su quando e perché un contatto torna in circolo, il controllo si perde.
  • La filiera. La responsabilità non si ferma al confine dell’azienda. Le società terze che effettuano i contatti agiscono per conto del titolare, e il titolare risponde di come lo fanno.
  • Il Registro pubblico delle opposizioni. La consultazione è un obbligo, e l’omissione è tra le contestazioni classiche nelle vicende di telemarketing.

Il controllo sui fornitori è la contestazione che sorprende

Nel maggio 2026 il Garante è intervenuto su un caso di recupero crediti con due sanzioni distinte: 50.000 euro al titolare e 30.000 euro al responsabile. Al titolare è stato contestato di non avere vigilato in modo adeguato sul fornitore e sulle istruzioni impartite; al responsabile di non avere fornito al titolare un quadro aggiornato dei dati raccolti.

Il principio affermato è molto concreto: il titolare deve svolgere controlli periodici, documentati e verificabili sui fornitori. Non è sufficiente che il contratto preveda il rispetto della normativa; occorre poter dimostrare di avere verificato che venga rispettato. Lo stesso schema è ricostruito nell’articolo dedicato al recupero crediti e alle sanzioni a titolare e responsabile.

Dove nasce il reclamo

Nelle vicende di telefonate promozionali il procedimento parte quasi sempre dal basso: una persona infastidita che scrive al Garante. Non serve un danno quantificabile, non serve un avvocato, non serve nemmeno che la chiamata abbia prodotto un contratto. Basta la segnalazione, e il fascicolo si apre.

Questo spiega perché il rischio in questa materia sia difficile da contenere con la semplice prudenza commerciale: il numero di contatti è alto, la probabilità che qualcuno reagisca è proporzionale, e l’istruttoria che segue non si limita alla singola chiamata ma investe l’intero sistema di gestione dei consensi. Il meccanismo è lo stesso che opera nel canale e-mail, descritto nell’articolo su email marketing, consenso e soft spam.

Gli importi e i criteri

L’articolo 83 del Regolamento consente di arrivare fino a 20 milioni di euro o al 4 per cento del fatturato mondiale annuo, applicando l’importo più elevato, per le violazioni dei principi e delle condizioni del consenso. Le somme effettivamente irrogate dipendono da gravità e durata della violazione, numero di interessati coinvolti, carattere doloso o colposo, misure correttive adottate, grado di cooperazione e precedenti.

È utile osservare che nei provvedimenti recenti le misure adottate dopo la contestazione hanno inciso sull’importo ma non hanno impedito l’accertamento: la correzione tardiva attenua, non elimina. Un quadro degli ordini di grandezza si trova nell’articolo su quanto costa davvero una violazione del GDPR.

La domanda da porsi oggi

Non è se l’azienda abbia un modulo di consenso. È se sia in grado di dimostrare, per un singolo numero di telefono chiamato il mese scorso, su quale base giuridica quel contatto è avvenuto, da dove veniva il numero, chi ha effettuato la chiamata e che fine ha fatto l’eventuale rifiuto espresso in passato. Se la ricostruzione non è possibile, il problema esiste già, anche se nessuno ha ancora scritto al Garante.

Lo studio, con sede a Napoli e attività in tutta Italia, assiste aziende e call center nei procedimenti davanti al Garante e nella revisione dei trattamenti promozionali: l’ambito è descritto nella pagina sui pacchetti di consulenza privacy. Chi ha ricevuto un reclamo o una richiesta di informazioni può chiedere dalla pagina dei contatti un esame preliminare della documentazione e dei termini. Per i profili amministrativi e di contenzioso il riferimento è lo studio legale dell’avv. Elio Errichiello.

Avv. Elio Errichiello

Pubblicato il

La busta del Garante: cosa succede dopo la richiesta di informazioni

Avvocato privacy Napoli: copertina sull'istruttoria del Garante e le sanzioni dell'articolo 83 del GDPR

Il procedimento del Garante non comincia con un’ispezione a sorpresa. Comincia, quasi sempre, con una busta: una richiesta di informazioni che fissa un termine e chiede conto di un trattamento specifico. Chi a quel punto cerca un avvocato privacy Napoli ha davanti un bivio stretto, perché quella prima risposta orienta tutto il seguito, e le sanzioni che l’Autorità ha adottato nel 2026 mostrano che l’ordine di grandezza non è simbolico.

Da dove nasce un procedimento

Le porte di ingresso sono poche e tutte abbastanza prevedibili.

  • Il reclamo di un interessato. È la via più comune: un cliente, un dipendente, un ex dipendente, un paziente che ritiene di avere subito un trattamento illecito. È da un reclamo e da due segnalazioni per telefonate indesiderate che ha preso origine, ad esempio, il procedimento chiuso dal Garante nel marzo 2026 con una sanzione superiore a 563.000 euro a carico di un grande operatore energetico.
  • La notifica di data breach. Comunicare una violazione è un obbligo, ma è anche una dichiarazione che apre un fascicolo: l’Autorità esamina la violazione e, con essa, l’assetto di sicurezza che l’ha resa possibile.
  • L’attività d’ufficio. Istruttorie di settore, segnalazioni di altre amministrazioni, accertamenti a campione.

In tutti i casi il perimetro della verifica si allarga rapidamente: una contestazione su un singolo trattamento porta l’Autorità a chiedere il registro, le informative, i contratti con i fornitori, le misure di sicurezza. Non per cattiveria istruttoria, ma perché l’accountability funziona così: è il titolare che deve dimostrare la conformità.

Avvocato privacy Napoli: cosa viene contestato davvero

I provvedimenti del 2026 disegnano un quadro ricorrente, e nessuna delle contestazioni più pesanti riguarda la mancanza di un documento.

La sicurezza dei sistemi. È il capitolo più costoso. Nel maggio 2026 il Garante ha sanzionato un operatore di telecomunicazioni per 1.715.600 euro dopo due accessi abusivi: alcuni soggetti si erano finti tecnici dell’assistenza e avevano convinto gli operatori di due punti vendita a consentire l’accesso ai sistemi, sottraendo i dati anagrafici e di contatto di oltre 365.000 clienti e, per oltre 41.000 di questi, anche i metodi di pagamento. Le contestazioni sono andate alla gestione delle credenziali e dei certificati digitali e all’inefficacia delle verifiche di sicurezza.

La base giuridica dei contatti commerciali. Nel provvedimento sul telemarketing citato sopra l’Autorità ha rilevato che, durante contatti nati come gestionali, venivano formulate proposte commerciali senza una base giuridica valida, in alcuni casi anche a clienti che avevano negato il consenso al marketing. La responsabilità è stata affermata su tutta la filiera, società terze comprese.

Il controllo sui fornitori. Nel maggio 2026 il Garante ha sanzionato con 50.000 euro il titolare e con 30.000 euro il responsabile in una vicenda di recupero crediti: al titolare è stato contestato di non avere vigilato adeguatamente sul fornitore e sulle istruzioni impartite. È la contestazione che le aziende sottovalutano di più, perché si tende a considerare la nomina ex articolo 28 un adempimento che si esaurisce con la firma. Il tema è ripreso nell’approfondimento sul recupero crediti e le sanzioni a titolare e responsabile.

Quanto si rischia

L’articolo 83 del Regolamento costruisce due fasce: fino a 10 milioni di euro o al 2 per cento del fatturato mondiale annuo per un primo gruppo di violazioni, fino a 20 milioni o al 4 per cento per le violazioni dei principi, delle condizioni del consenso e dei diritti degli interessati. Si applica l’importo più elevato tra i due.

Nella determinazione concreta pesano gravità e durata, carattere doloso o colposo, misure adottate per attenuare il danno, grado di cooperazione con l’Autorità, precedenti. Nei provvedimenti recenti la collaborazione e le misure correttive hanno effettivamente ridotto l’importo: non hanno mai evitato l’accertamento della violazione. È una distinzione che conviene tenere a mente, perché il rimedio tardivo attenua, non sana. Il quadro complessivo degli importi è ricostruito nell’articolo su quanto costa una violazione del GDPR.

L’errore che si fa nelle prime settimane

Rispondere alla richiesta di informazioni da soli, in fretta e in modo esteso. È comprensibile: si vuole dimostrare trasparenza. Il risultato, però, è spesso un’autodenuncia involontaria su trattamenti che non erano oggetto della contestazione, oppure una ricostruzione dei fatti che poi non si può più correggere.

La risposta a un’istruttoria è un atto difensivo, con un termine, un perimetro e conseguenze. Richiede di sapere cosa l’Autorità sta effettivamente chiedendo, cosa va documentato e cosa non va aggiunto. Ed è proprio il tipo di valutazione che non si può ricavare da un modello scaricato.

Prima o dopo

La differenza tra le aziende che escono bene da un’istruttoria e quelle che escono male non sta nella qualità della difesa. Sta in cosa esisteva prima: se il registro dei trattamenti era aggiornato, se le informative corrispondevano ai trattamenti reali, se i contratti con i fornitori contenevano istruzioni verificabili, se qualcuno aveva controllato che fossero rispettate. Chi arriva davanti al Garante con questo materiale discute di un episodio; chi arriva senza discute di un’organizzazione.

Lo studio, con sede a Napoli e attività su tutto il territorio nazionale, assiste aziende, studi professionali ed enti pubblici nei procedimenti davanti al Garante e nell’adeguamento che li precede: il perimetro è descritto nella pagina sui pacchetti di consulenza privacy e nell’approfondimento sulla consulenza privacy a Napoli per aziende e studi. Chi ha ricevuto una richiesta di informazioni, una contestazione o un reclamo può chiedere un esame preliminare della documentazione e dei termini dalla pagina dei contatti. Per il contenzioso amministrativo collegato il riferimento è lo studio legale dell’avv. Elio Errichiello.

Avv. Elio Errichiello

Pubblicato il

Chiamare il numero sbagliato costa 80.000 euro

Recupero crediti e privacy: copertina dell'articolo sulle sanzioni del Garante a titolare e responsabile

C’è una categoria di procedimenti sanzionatori che non nasce da attacchi informatici, da campagne di marketing aggressive o da tecnologie invasive, ma da qualcosa di molto più banale: un numero di telefono non aggiornato. Il tema di recupero crediti e privacy si gioca quasi sempre lì, nello scarto fra i dati che un creditore possiede e la realtà delle persone che quei dati dovrebbero descrivere.

50.000 euro al titolare, 30.000 al responsabile

Nella newsletter del 16 luglio 2026 il Garante per la protezione dei dati personali ha reso noto un provvedimento che riguarda due società impegnate, a titolo diverso, in un’attività di recupero crediti. La sanzione è stata ripartita: 50.000 euro al titolare del trattamento, 30.000 euro alla società che operava come responsabile.

L’origine della vicenda è il reclamo di un debitore, contattato a un numero telefonico che non era più nella sua disponibilità. Da quella segnalazione l’Autorità ha ricostruito due ordini di carenze: un difetto di vigilanza nella catena del trattamento e la mancata fornitura di informazioni aggiornate sui dati trattati.

La ripartizione della sanzione è il dato più significativo

Che l’Autorità abbia sanzionato entrambi i soggetti, ciascuno per la propria parte, non è un dettaglio procedurale. È l’applicazione concreta di un principio che molte organizzazioni continuano a non considerare: affidare un’attività a un terzo non trasferisce la responsabilità, la articola.

Il titolare del trattamento resta responsabile delle scelte di fondo — quali dati vengono trattati, per quale finalità, con quali garanzie, con quale verifica della loro esattezza — e risponde anche di non aver vigilato su chi opera per suo conto. Il responsabile, dal canto suo, non è un mero esecutore: risponde degli obblighi che il Regolamento gli attribuisce direttamente e di quanto fa al di fuori delle istruzioni ricevute.

Nel recupero crediti questa architettura è particolarmente delicata, perché la catena è lunga: creditore originario, eventuale cessionario del credito, società di recupero, call center esterni, agenti sul territorio. Ogni passaggio è un punto in cui l’informazione può degradarsi e in cui la responsabilità va definita per iscritto — e in cui, se non lo è, viene definita dall’Autorità a posteriori.

Il principio di esattezza, che nessuno cita mai

L’art. 5, paragrafo 1, lettera d) del GDPR impone che i dati personali siano esatti e, se necessario, aggiornati, e che siano adottate misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità del trattamento.

È una delle norme meno citate del Regolamento e una di quelle che nel recupero crediti produce più contestazioni. Un numero telefonico raccolto cinque anni prima, un indirizzo rimasto nel gestionale dopo un trasloco, un recapito riferito a una persona diversa: finché il dato giace in archivio, l’inesattezza è teorica. Quando il dato viene usato per contattare qualcuno, l’inesattezza diventa un trattamento illecito che coinvolge un terzo estraneo al rapporto di credito.

Recupero crediti e privacy: cosa si contesta oltre al numero

I procedimenti in questa materia raramente si fermano al fatto segnalato. Dal reclamo l’istruttoria si allarga, e i profili che emergono con maggiore frequenza sono:

  • Le informazioni rese all’interessato. Chi riceve un sollecito ha diritto di sapere chi tratta i suoi dati, su quale base, da chi li ha ricevuti e per quanto tempo li conserverà. Risposte parziali o tardive alle richieste di accesso sono esse stesse oggetto di contestazione.
  • Le modalità del contatto. La frequenza delle chiamate, l’orario, la comunicazione dell’esistenza del debito a persone diverse dal debitore — familiari, colleghi, datore di lavoro — sono profili su cui l’Autorità è intervenuta più volte.
  • La conservazione dei dati dopo la definizione o l’estinzione della posizione.
  • La tracciabilità delle istruzioni impartite al responsabile e dei controlli effettivamente svolti su di lui.

Perché riguarda anche chi non fa recupero crediti di mestiere

Il provvedimento interessa una platea molto più ampia delle società di recupero. Riguarda qualunque impresa che affidi a terzi il sollecito dei propri insoluti: uno studio professionale che si rivolge a una società esterna, un’azienda che esternalizza la gestione del credito, un ente che affida la riscossione a un concessionario privato.

In tutti questi casi la domanda che l’Autorità rivolge al committente è identica: con quale atto hai designato quel soggetto, quali istruzioni gli hai dato, come hai verificato che le rispettasse, e con quale frequenza aggiorni i dati che gli trasmetti. Sono domande a cui si risponde con documenti, e la mancanza di una risposta documentata è già, di per sé, parte della contestazione.

L’ordine di grandezza

Le sanzioni dell’art. 83 del GDPR arrivano a 20 milioni di euro o al 4 per cento del fatturato mondiale annuo per le violazioni dei principi del trattamento e dei diritti degli interessati. Gli 80.000 euro complessivi di questo provvedimento restano quindi ampiamente al di sotto del massimo edittale, ma raccontano qualcosa di più utile: l’Autorità interviene anche su vicende individuali, originate da un singolo reclamo, e lo fa colpendo l’intera catena.

Abbiamo trattato i profili connessi nell’articolo sulla nomina del responsabile del trattamento, in quello sul diritto di accesso ai dati personali e sul termine per riscontrarlo e in quello sui tempi di conservazione. Il servizio di assistenza alle imprese è descritto nella pagina sulla consulenza e compliance privacy; per i profili di crisi d’impresa e sovraindebitamento collegati alla gestione del credito si rimanda allo studio legale dell’avv. Elio Errichiello.

Se la tua organizzazione affida a terzi la gestione degli insoluti, l’esame dei contratti e degli atti di designazione in essere è il modo più rapido per capire dove si collocherebbe, oggi, la responsabilità. Puoi richiederlo dalla pagina contatti.

Avv. Elio Errichiello