Privacy e recupero crediti: controlli mancati e multe pesantissime

20 Luglio 2026 - 16:45

lentepubblica.it

Recupero crediti e privacy: il Garante multa due società per 80mila euro, richiamati gli obblighi di controllo sui dati personali.

Nel settore del recupero crediti, il rispetto della normativa sulla protezione dei dati personali non rappresenta un semplice adempimento formale, ma un obbligo sostanziale che coinvolge tanto il soggetto che affida l’incarico quanto la società incaricata di gestire le attività nei confronti dei debitori. A ribadirlo è il Garante per la protezione dei dati personali, che ha sanzionato due aziende per un importo complessivo di 80mila euro, evidenziando come la corretta gestione delle informazioni personali richieda verifiche costanti, procedure trasparenti e una collaborazione continua tra titolare e responsabile del trattamento.

La vicenda offre l’occasione per ricordare che, anche quando un’attività viene esternalizzata, la responsabilità sul corretto trattamento dei dati non viene meno. Al contrario, il titolare deve essere in grado di dimostrare di aver esercitato un controllo concreto sull’operato del soggetto incaricato, mentre quest’ultimo è tenuto a garantire la massima tracciabilità delle informazioni raccolte e utilizzate durante lo svolgimento del mandato.

Le sanzioni del Garante: 50mila euro al titolare e 30mila euro al responsabile

L’Autorità garante ha disposto una sanzione amministrativa di 50mila euro nei confronti della società titolare del trattamento dei dati personali e una ulteriore multa di 30mila euro alla società esterna che si occupava delle attività di recupero del credito, designata quale responsabile del trattamento.

Il provvedimento nasce da un’istruttoria che ha consentito di ricostruire il comportamento delle due aziende e di verificare il rispetto degli obblighi previsti dal Regolamento generale sulla protezione dei dati (GDPR). Dall’analisi è emerso un insieme di criticità che ha portato l’Autorità a ritenere insufficiente sia l’attività di vigilanza esercitata dal titolare sia le modalità operative adottate dal responsabile del trattamento.

La segnalazione partita dal debitore

Tutto ha avuto origine dalla denuncia presentata da un debitore, che aveva contestato le modalità con cui erano stati utilizzati i suoi dati personali durante la procedura di recupero del credito.

In particolare, la persona interessata ha segnalato che era stato utilizzato un numero di telefono cellulare formalmente ancora intestato a lui, ma che non era più nella sua effettiva disponibilità. Da qui è nata una richiesta di chiarimenti rivolta alle società coinvolte per comprendere in quale modo quel recapito fosse stato reperito e successivamente impiegato nell’ambito delle attività di recupero.

Il debitore ha quindi esercitato il proprio diritto di conoscere la provenienza dei dati personali trattati, chiedendo spiegazioni sull’origine del numero telefonico utilizzato per contattarlo.

I controlli del titolare non possono essere soltanto formali

Uno degli aspetti più rilevanti evidenziati dal Garante riguarda il ruolo del titolare del trattamento, che mantiene precisi obblighi anche quando decide di affidare a una società esterna le attività di recupero crediti.

Secondo quanto ribadito dall’Autorità, il titolare deve predisporre controlli periodici, documentati e verificabili per monitorare il rispetto della normativa sulla protezione dei dati personali da parte del soggetto incaricato.

Non è quindi sufficiente conferire l’incarico e limitarsi a impartire istruzioni iniziali. Occorre invece verificare nel tempo che le attività vengano svolte correttamente, conservando elementi che dimostrino l’effettivo esercizio della vigilanza prevista dalla disciplina privacy.

Nel caso esaminato, proprio questo controllo è risultato carente. L’istruttoria ha infatti evidenziato che la società titolare non aveva esercitato un monitoraggio adeguato sulle modalità operative adottate dalla società incaricata del recupero del credito né aveva verificato in maniera efficace il rispetto delle istruzioni impartite.

Gli obblighi del responsabile del trattamento

Parallelamente, anche la società che operava come responsabile del trattamento è stata ritenuta responsabile di specifiche violazioni.

Il Garante ha infatti accertato che il soggetto incaricato non aveva fornito al titolare un quadro completo e costantemente aggiornato delle informazioni raccolte durante la gestione della posizione debitoria.

Inoltre, è emerso un ulteriore elemento considerato particolarmente significativo: la società non aveva comunicato al titolare che il debitore aveva richiesto di conoscere l’origine del numero telefonico utilizzato nei contatti finalizzati al recupero del credito.

Questa omissione ha impedito al titolare di avere una conoscenza piena della situazione e di gestire correttamente la richiesta avanzata dall’interessato nell’esercizio dei propri diritti previsti dalla normativa europea.

Trasparenza e tracciabilità diventano elementi centrali

Il provvedimento mette in evidenza come la gestione dei dati personali nelle attività di recupero crediti richieda oggi un livello elevato di organizzazione documentale.

Le società che operano come responsabili del trattamento devono adottare misure tecniche e organizzative adeguate, tali da consentire al titolare di conoscere con precisione quali dati siano stati raccolti, da dove provengano, quali aggiornamenti siano intervenuti e come vengano concretamente utilizzati durante ogni fase dell’incarico.

La disponibilità di informazioni complete e costantemente aggiornate rappresenta infatti uno strumento indispensabile sia per garantire la correttezza del trattamento sia per consentire al titolare di rispondere tempestivamente alle richieste avanzate dagli interessati.

In assenza di tale flusso informativo, il rischio è quello di compromettere il principio di responsabilizzazione (accountability) previsto dal GDPR, secondo cui ogni soggetto coinvolto deve essere in grado di dimostrare il rispetto degli obblighi imposti dalla normativa.

La decisione rafforza il principio di responsabilità condivisa

Il caso affrontato dal Garante conferma un principio ormai consolidato nella disciplina europea della protezione dei dati personali: quando un trattamento viene affidato a un soggetto esterno, le responsabilità non vengono trasferite integralmente al fornitore.

Il titolare conserva infatti un ruolo centrale nella definizione delle istruzioni operative, nella verifica dell’operato del responsabile e nella capacità di dimostrare che l’intera filiera del trattamento sia conforme alle regole previste dal GDPR.

Allo stesso tempo, il responsabile non può limitarsi a eseguire materialmente l’attività commissionata, ma deve assicurare procedure organizzative che garantiscano trasparenza, aggiornamento continuo delle informazioni e piena collaborazione con il titolare.

La decisione rappresenta quindi un richiamo importante per tutte le imprese che affidano all’esterno attività di recupero crediti o altri trattamenti di dati personali, ricordando che la conformità alla normativa privacy richiede un sistema di controlli effettivi e non soltanto formali.

Le ragioni delle sanzioni

Nel determinare l’entità delle sanzioni economiche, il Garante ha valutato diversi elementi, prendendo in considerazione sia la gravità delle violazioni accertate sia il comportamento successivamente adottato dalle due società.

L’Autorità ha infatti riconosciuto le iniziative messe in campo dalle aziende per evitare che episodi analoghi possano ripetersi in futuro. Tali interventi sono stati considerati nella quantificazione finale delle multe, senza tuttavia escludere la necessità di sanzionare le condotte riscontrate durante l’istruttoria.

Il provvedimento costituisce dunque un ulteriore precedente destinato a rafforzare l’attenzione delle imprese verso la corretta gestione dei rapporti tra titolare e responsabile del trattamento, soprattutto in ambiti particolarmente delicati come quello del recupero dei crediti, dove il trattamento dei dati personali deve sempre rispettare i principi di liceità, trasparenza, correttezza e responsabilizzazione.