Affidare il recupero crediti a una società esterna non trasferisce la responsabilità sul trattamento dei dati del debitore. Chi conferisce l’incarico continua a risponderne e deve dimostrare di aver verificato l’operato del fornitore con controlli ripetuti e documentati. Il Garante privacy lo ha ribadito sanzionando per 80mila euro complessivi un creditore e l’agenzia incaricata della riscossione, con l’importo più alto a carico del primo.
In sintesi:
- i provvedimenti sono il n. 386 e il n. 387 del 28 maggio 2026 (doc. web n. 10270283 e n. 10270836), resi noti con la newsletter del Garante n. 549 del 16 luglio 2026;
- al committente sono contestate le violazioni degli artt. 5, par. 1, lettere a) e d), 5, par. 2 e 24 del Regolamento (UE) 2016/679, con sanzione di 50mila euro;
- all’agenzia incaricata è contestata la violazione dell’art. 28, par. 3, lettere a), e) e h) del medesimo Regolamento, con sanzione di 30mila euro;
- l’agenzia ha ricevuto anche l’ingiunzione ad adottare misure aggiuntive entro sei mesi dalla notifica, con riscontro documentato ai sensi dell’art. 157 del Codice privacy;
- per entrambe vale la definizione agevolata con pagamento della metà, prevista dall’art. 166, comma 8, del d.lgs. 196/2003.
La responsabilità del creditore non si trasferisce con l’incarico
Il titolare del trattamento risponde dei dati dei debitori anche quando le operazioni di riscossione sono svolte da altri per suo conto. Le decisioni su finalità e mezzi appartengono a chi affida l’incarico e con esse la responsabilità generale prevista dagli artt. 5, par. 2 e 24 del Regolamento, che la Cassazione ha ricondotto all’obbligo di documentare le scelte compiute (ord. n. 9880 dell’11 aprile 2024).
Da qui l’obbligo che il Garante ha ritenuto disatteso: non basta scegliere un fornitore che offra garanzie sufficienti, occorre vigilare su ciò che fa durante l’incarico. Il Comitato europeo per la protezione dei dati parla di un obbligo permanente di verifica ad intervalli adeguati (linee guida 07/2020, paragrafi 94, 99 e 114), che l’art. 28, par. 3, lett. h) del Regolamento consente di esercitare anche attraverso revisioni e ispezioni. Nel caso esaminato le verifiche sull’agenzia erano disposte solo all’occorrenza, dopo una valutazione iniziale delle garanzie.
Le istruzioni che il contratto di affidamento deve contenere
Le istruzioni al fornitore devono coprire l’intero ciclo di vita dei dati della posizione, non solo la loro sicurezza. La designazione a responsabile del trattamento ai sensi dell’art. 28 del Regolamento è il documento in cui il creditore stabilisce cosa il fornitore può fare, con quali modalità e con quali obblighi di ritorno verso chi ha conferito l’incarico.
Nel contratto esaminato dall’Autorità erano presenti due clausole rilevanti: l’obbligo di aggiornare i dati dei debitori nel rispetto dei principi dell’art. 5 del Regolamento e quello di segnalare entro due giorni lavorativi ogni richiesta di esercizio dei diritti ricevuta dalla clientela. Era prevista inoltre una relazione finale sull’attività svolta in caso di esito negativo del recupero, con i rintracci effettuati. Clausole corrette sulla carta, la cui inosservanza non è stata rilevata da nessun controllo del committente.
I recapiti reperiti vanno comunicati al creditore
Una società di recupero può cercare recapiti alternativi quando quelli ricevuti non portano a un contatto utile, purché ne informi chi le ha affidato l’incarico. La consultazione di banche dati pubbliche o di provider dotati di licenza ai sensi dell’art. 134 del TULPS è ammessa dal provvedimento generale del 30 novembre 2005 (doc. web n. 1213644): l’obbligo che ne discende riguarda la tracciabilità del dato di contatto e della sua fonte.
Nel caso deciso l’agenzia aveva acquistato un numero di cellulare da un fornitore esterno, lo aveva usato per un solo contatto e non ne aveva mai dato conto al committente, neppure quando il debitore aveva chiesto da dove provenisse. La difesa sosteneva che comunicarlo avrebbe esposto l’interessato a essere richiamato su un’utenza alla quale si era opposto. L’Autorità ha respinto la tesi: proprio la conoscenza dei recapiti inutilizzabili permette al creditore di rispondere alle istanze di accesso e di evitare trattamenti scorretti nelle gestioni successive. Vale lo stesso per le richieste degli interessati, che l’art. 28, par. 3, lett. e) del Regolamento impone di veicolare al titolare come forma minima di assistenza.
I controlli sul fornitore che non superano la verifica
Il committente sanzionato disponeva di presidi documentati in istruttoria, senza che il Garante li ritenesse adeguati. Il confronto seguente mostra le divergenze fra il controllo dichiarato e quello richiesto dal Regolamento.
| Presidio dichiarato dal committente | Valutazione del Garante |
|---|---|
| Verifiche preliminari sulle garanzie offerte dal fornitore | Circoscritte alle misure di sicurezza, senza esame del rispetto delle istruzioni sul trattamento |
| Audit su cinque agenzie selezionate a campione | Limitato a riservatezza, integrità e disponibilità dei dati nelle sedi e nei sistemi |
| Verifiche disposte all’occorrenza dopo la valutazione iniziale | In contrasto con l’obbligo permanente di verifica ad intervalli adeguati |
| Venti flussi informativi periodici sullo stato delle pratiche | Indicatori di andamento dell’incarico, non attività di controllo sulla protezione dei dati |
| Nessuna reazione alla mancata relazione di chiusura dell’affido | Segnale trascurato, la relazione era dovuta per esito negativo del recupero |
L’ultima riga è quella che pesa di più nella motivazione, perché descrive un’anomalia visibile senza bisogno di ispezioni. La posizione era tornata indietro con l’annotazione di rifiuto del pagamento e il contratto imponeva in quel caso una relazione conclusiva, che non è mai arrivata e che nessuno ha reclamato. Un sistema di segnalazione interno avrebbe intercettato l’assenza.
Le verifiche da documentare prima del prossimo affido
Per un’impresa che esternalizza la riscossione, la decisione indica quali clausole e quali prassi vanno riscritte. Le misure che l’Autorità ha valutato con favore, adottate dalle due società durante il procedimento, compongono una traccia utilizzabile anche fuori dal settore del credito:
- istruzioni scritte che includano l’aggiornamento dei recapiti reperiti dal fornitore e l’obbligo di indicarne la fonte;
- termine espresso per la trasmissione al titolare delle istanze di esercizio dei diritti ricevute dall’incaricato;
- piano annuale di verifiche documentate sul rispetto delle istruzioni, distinto dalle verifiche sulla sicurezza informatica;
- questionari periodici di conformità seguiti da audit in presenza o a distanza, con raccolta di evidenze;
- relazione di chiusura obbligatoria alla restituzione di ogni affido, con l’elenco delle ricerche effettuate;
- segnalazioni interne che avvisino quando una relazione dovuta non arriva o una posizione torna senza riscontro.
La stessa logica di verifica periodica vale per tutti i fornitori che trattano dati per conto dell’azienda, dai gestionali in cloud alle società di marketing. Chi non ha ancora messo mano a questa parte può partire dai controlli GDPR su fornitori e responsabili, dove la gestione dei crediti insoluti è fra le voci più esposte a contestazione.
