Provvedimento del Garante per la protezione dei dati personali del 17 luglio 2026
Con un provvedimento del 17 luglio 2026, il Garante per la protezione dei dati personali ha sanzionato una società titolare del trattamento con una multa di 50.000 euro e una società incaricata del recupero crediti, in qualità di responsabile del trattamento, con una sanzione di 30.000 euro, per violazioni della normativa in materia di protezione dei dati personali nell’ambito delle attività di recupero crediti.
L’Autorità ha ribadito che il titolare del trattamento è tenuto a effettuare controlli periodici, documentati e verificabili sull’operato delle società esterne incaricate del recupero dei crediti. Parallelamente, il responsabile del trattamento deve adottare adeguate misure tecniche e organizzative per garantire che il titolare disponga di informazioni aggiornate e complete sui dati raccolti e trattati durante l’attività di recupero.
Principi affermati dal Garante
Obbligo di vigilanza del titolare del trattamento: il soggetto che affida a terzi l’attività di recupero crediti mantiene la responsabilità di verificare, con controlli periodici e documentabili, che il trattamento dei dati personali avvenga nel rispetto del GDPR e delle istruzioni impartite.
Obblighi del responsabile del trattamento: la società incaricata del recupero crediti deve mantenere costantemente aggiornate le informazioni raccolte nel corso dell’incarico e informare tempestivamente il titolare di eventuali richieste formulate dagli interessati in relazione ai propri dati personali.
Tutela dei diritti dell’interessato: il debitore ha diritto di conoscere l’origine dei dati personali utilizzati nell’attività di recupero crediti e di ottenere riscontro alle richieste esercitate ai sensi della normativa sulla protezione dei dati personali.
Cooperazione tra titolare e responsabile: una corretta gestione dei dati personali richiede una costante collaborazione tra titolare e responsabile del trattamento, affinché il primo possa dimostrare la conformità delle attività svolte e il secondo garantisca la tracciabilità e l’aggiornamento delle informazioni trattate.
Il procedimento trae origine dalla segnalazione di un debitore che lamentava l’utilizzo, nell’ambito delle attività di recupero crediti, di un numero di telefono cellulare a lui intestato ma non più nella sua disponibilità. Dall’istruttoria è emerso che il titolare del trattamento non aveva adeguatamente vigilato sull’operato della società incaricata, mentre quest’ultima non aveva fornito un quadro aggiornato delle informazioni raccolte né aveva comunicato al titolare la richiesta dell’interessato relativa alla provenienza del numero telefonico utilizzato.
Il provvedimento rappresenta un importante richiamo per tutti gli operatori del settore del recupero crediti, confermando come il rispetto degli obblighi previsti dal GDPR costituisca un elemento essenziale per garantire la liceità del trattamento dei dati personali e ridurre il rischio di responsabilità e sanzioni amministrative.