Il primo ottobre 2026, il Garante Privacy italiano ha aggiornato il suo vademecum sul recupero del credito, datato 2005: Il nuovo vademecum riporta al centro il rapporto tra recupero crediti e privacy. Dalla minimizzazione dei dati al diritto di opposizione, le indicazioni aggiornate definiscono obblighi, limiti e responsabilità per titolari, responsabili e soggetti delegati.
Indice degli argomenti
Recupero crediti e privacy
Il tema rientra in una casistica cosiddetta ibrida, posto che i processi di trattamento necessari per tale finalità si fondano su dati personali che, di per sé, non godono di tutela rafforzata (come, ad esempio, i dati particolari ed i dati giudiziari).
Tipicamente, infatti, ad essere oggetto di trattamento sono i dati identificativi del debitore, il suo indirizzo di domicilio/residenza, i dati di contatto e l’importo del debito. Talvolta la fonte del debito (tipologia di contratto) viene indicata, anche se non necessariamente, ad esempio quando il recupero è effettuato da una società che acquista pacchetti di debiti.
Ciò nonostante, l’informazione in sé dell’esistenza di un debito in capo ad una specifica persona viene percepita come particolarmente riservata e delicata. A maggior ragione questa informazione deve essere gestita in modo particolarmente accurato per evitare sia perdite di riservatezza che, errori (inesattezze o addirittura falsa attribuzione del debito).
Il vademecum del Garante su recupero crediti e privacy
Proprio sulla particolare esigenza di riservatezza e su come essa dovesse essere gestita, già nel 2005 l’Autorità si era pronunciata sul punto, chiarendo una serie di regole di comportamento per il rispetto del (vecchio) Codice Privacy.
Con l’avvento del GDPR e in genere con il progredire delle attività messe in atto dai creditori e loro delegati allo scopo di recuperare il dovuto, si è tornati sull’argomento.
In materia è possibile trovare numerosi provvedimenti della stessa Autorità di Controllo ed anche, con riferimento agli investigatori privati, un’autorizzazione generale n. 6/2016, poi confermata come compatibile con il GDPR tramite il provvedimento del 2018.
Quali novità? Vediamole assieme.
Principi del GDPR nel recupero crediti
Il Garante ribadisce, come già fatto, i principi generali che debbono essere rispettati durante lo svolgimento di attività legate al recupero del credito e, chiaramente, si riferisce ai principi dettati dall’art. 5 GDPR, ricordando la centralità di liceità, correttezza e trasparenza, nonché di esattezza e minimizzazione.
Il rinvio non è da poco, poiché, come noto, il mancato rispetto di tali principi può comportare una sanzione ed anzi proprio in tema sono richiamati alcuni provvedimenti da parte dello stesso Garante ed altresì sono richiamate alcune regole di comportamento nello stesso vademecum che scaturiscono dalla loro applicazione. Di seguito vedremo qualche esempio.
Ruoli privacy e sicurezza nella filiera del recupero crediti
Il Garante sottolinea altresì la necessità di individuare con precisione i ruoli privacy e quindi identificare – per poi nominare- i propri responsabili del trattamento, nonché i sub responsabili del trattamento, come già fatto nel 2005. Oggi però, ancor di più, è evidente quanto sia essenziale tracciare tutta la filiera da parte del titolare, al fine di dimostrare la propria consapevolezza e soprattutto per garantire la diffusione e l’applicazione di precise istruzioni sulle attività da svolgere.
In tutti i casi, ciascun soggetto deve garantire l’adozione di misure di sicurezza, sia tecniche che organizzative idonee, ossia quelle ritenute adeguate (dal titolare) per ridurre i rischi legati al trattamento dei dati personali.
Non solo: sarà necessario che vengano forniti ai propri delegati esclusivamente i dati necessari alle attività, evitando generici accessi ai dati di tutti i clienti e limitandosi invece a quelli dei debitori per i quali s’intende procedere con il recupero del credito.
È evidente in tal caso il richiamo implicito al principio di minimizzazione.
Prassi lecite e illecite nel recupero crediti
In questo caso l’Autorità di Controllo richiama una serie di casistiche, dettagliandole e spiegando quali sono conformi e quali no.
Comportamenti non conformi indicati dal Garante
Qui di seguito, quelle considerate non conformi dall’Autorità Garante:
- visite al domicilio o sul luogo di lavoro con comunicazione a soggetti terzi rispetto al debitore di informazioni relative al debito
- comunicazioni telefoniche di sollecito preregistrate, poiché possono rispondere persone diverse dal debitore e ascoltare
- utilizzo di cartoline postali o invio di plichi con dicitura “recupero crediti” o simili, perché leggibili da terzi
- affissione di avvisi di messa in mora (per i motivi di cui sopra).
La condotta considerata conforme
Viene invece considerato conforme cercare il debitore, anche sul posto di lavoro, chiedendo dello stesso e specificando in maniera generale che lo si cerca per pratiche amministrative.
Minimizzazione e dati utilizzabili nel recupero crediti
I dati personali considerati necessari per l’attività di recupero del credito sono quelli anagrafici e di contatto, oltre all’ammontare del debito. Inoltre, vengono espressamente richiamati “quelli ulteriori, comunque desumibili, attraverso attività di ricerca effettuate dal soggetto terzo nel rispetto di quanto previsto dalla normativa (es. licenza prefettizia), nel corso del mandato, a fronte della consultazione di banche dati pubbliche/pubblici registri e/o di fonti terze autorizzate, nonché di informazioni raccolte nel normale svolgimento dell’incarico ricevuto (cfr. Provvedimento del Garante del 30 novembre 2005, doc. web n. 1213644)”.
L’ambito è quindi ristretto a quanto essenziale e necessario per il recupero del credito, in aderenza al principio di minimizzazione.
Informativa e trasparenza nel recupero crediti
Il titolare deve rispettare una serie di obblighi, derivanti dal rispetto dei principi indicati sopra e dal rispetto dei “ruoli privacy”, pertanto dovrà informare i debitori/interessati attraverso un’idonea informativa. Come nel 2005, anche oggi è necessario – ai fini della trasparenza- indicare gli elementi essenziali legati al trattamento, secondo quanto indicato dall’art. 13 GDPR.
Particolare attenzione dovrà essere prestata, fra l’altro, alla parte dedicata ai destinatari dei dati, in quanto tale informazione diventa particolarmente importante ai fini della trasparenza, considerando la filiera di soggetti delegati al recupero del credito.
Diritti del debitore nel trattamento dei dati
Anche nel 2005 l’Autorità aveva elencato i diritti in questione ed anche stavolta si ribadiscono, seguendo le disposizioni del GDPR, per cui occorre in primis rispettare il principio di trasparenza ai sensi dell’art. 12 GDPR e di seguito garantire, a determinati limiti e condizioni:
- il diritto di accesso
- il diritto di rettifica
- il diritto di cancellazione
- il diritto di limitare il trattamento
- il diritto di opposizione.
Legittimo interesse e opposizione nel recupero crediti
La vera novità a parere di chi scrive, sta nel richiamare espressamente la base giuridica fondante l’attività di trattamento in oggetto, ossia il legittimo interesse del titolare a soddisfare il suo diritto di credito. Ciò significa che dovrà – ove il titolare ritenga di utilizzare tale fondamento di liceità – un reale e sostanziale diritto di opposizione al debitore, oltre ad una preventiva valutazione (LIA) in un’ottica di bilanciamento di interessi contrapposti.
La valutazione dei motivi connessi alla situazione particolare
Come fare, ci si chiede, in caso di opposizione? In caso di “motivi connessi alla sua situazione particolare” – come richiede l’art. 21, par. 1 GDPR, il titolare dovrà valutare tale situazione particolare a fronte del suo interesse al recupero del credito e stabilire quale debba prevalere.
Sul punto il vademecum del Garante ricorda la necessità per il debitore/interessato di descrivere e rappresentare la propria situazione particolare, dovendo indicare al titolare le circostanze che rendono sproporzionato il recupero del credito rispetto alla prosecuzione del trattamento. Nella realtà, si presume una difficoltà da parte del titolare ad effettuare una valutazione con esito allo stesso favorevole, tuttavia si ricorda che l’interessato ha sempre la possibilità di proporre reclamo all’Autorità di Controllo, in via del tutto gratuita e senza alcuna formalità.
Accountability e alternative al legittimo interesse
Una riflessione ulteriore sorge spontanea.
Ci si chiede se sia corretto che una Autorità di Controllo si sostituisca ai Titolari nella valutazione della base giuridica più adeguata ad effettuare un determinato trattamento, specialmente in considerazione del principio di accountability.
Vi possono essere taluni casi in cui – seppur nel difficile compito di interpretare fattispecie concreto – il recupero del credito viene imposto in modo esplicito da una norma di legge, ad esempio in tema di obblighi degli amministratori di società di capitali, soprattutto se quotate in borsa, con riferimento all’esigenza di comprovare di aver debitamente tentato di recuperare i crediti della società.
Oppure, si pensi al caso delle società che acquistano pacchetti di crediti. Lo spazio per la discussione circa l’individuazione del corretto fondamento di liceità resta quindi aperto e in carico al titolare stesso.
Provvedimenti del Garante sul recupero crediti
Interessante il rinvio agli ultimi provvedimenti sul tema, che vertono su:
- rispetto del principio di minimizzazione
- rispetto ruoli privacy e quindi la diffusione di istruzioni idonee
- rispetto delle istruzioni da titolare a responsabile e in particolare l’obbligo di tenere traccia (per il responsabile) dei dati raccolti per l’incarico ricevuto e comunicarli al titolare
- rispetto delle esigenze di riservatezza nei confronti dei terzi (ad es. indicazione “stato di insolvenza” sull’esterno della comunicazione, leggibile da terzi).
Tali provvedimenti riportano quindi in maniera specifica e argomentata le linee guida riportate all’interno del presente vademecum e costituiscono quindi un valido supporto per un approfondimento e studio della materia, come impostata dal Garante Privacy.
Ecco un dettaglio dei vari provvedimenti per una loro lettura:
– Liceità, correttezza e pertinenza nell’attività di recupero crediti 30 novembre 2005 (doc web n. 1213644)
– Ordinanza ingiunzione – 16 dicembre 2021 (doc web n. 9742468)
– Ordinanza ingiunzione – 9 giugno 2022 (doc web n. 9794913)
– Provvedimento del 17 ottobre 2024 (doc web n. 10084403)
– Provvedimento del 17 ottobre 2024 (doc web n. 10084420)
– Provvedimento del 12 marzo 2026 (doc web n. 10233368)
– Provvedimento del 28 maggio 2026 (doc. web n. 10270836)
– Provvedimento del 28 maggio 2026 (doc. web n. 10270283)
Partecipa alla community