Sapevi che un passo falso nella gestione dei dati di un debitore può costarti caro?
Quando un’azienda avvia una pratica di recupero crediti, il confine tra la tutela dei propri diritti e la violazione della privacy altrui può sembrare sottile. Sei sicuro di sapere esattamente quali informazioni del cliente insolvente è lecito utilizzare, come deve essere strutturata l’informativa e, soprattutto, quando diventa obbligatorio cancellare ogni dato?
Scopriamo insieme le tre linee guida fondamentali per gestire le pratiche di recupero crediti in modo efficace, trasparente e nel pieno rispetto del Regolamento (UE) 2016/679 (GDPR)¹ e del Codice della Privacy (D.Lgs. 196/2003)².
Quali informazioni è consentito utilizzare?
La regola d’oro è il principio di minimizzazione dei dati, sancito dall’art. 5, paragrafo 1, lettera c) del GDPR¹: si possono trattare esclusivamente le informazioni pertinenti, adeguate e strettamente limitate a quanto necessario per portare a termine l’incarico di recupero. Tale attività si fonda giuridicamente sul legittimo interesse del creditore, come previsto dall’art. 6, paragrafo 1, lettera f) del GDPR¹.
Tra i dati trattabili rientrano:
- I dati anagrafici e i recapiti del debitore (inclusi i numeri di telefono);
- Il Codice Fiscale o la Partita IVA;
- I dettagli del credito vantato e le relative condizioni di pagamento.
Queste informazioni devono provenire direttamente da quanto fornito dal cliente al momento della stipula del contratto, oppure essere ricavate da banche dati, elenchi e registri pubblici autorizzati.
L’obbligo di trasparenza:
L’Informativa stabilisce che la chiarezza con il cliente inizia fin dal primo contatto. In conformità agli obblighi di trasparenza dettati dagli artt. 13 e 14 del GDPR¹, il creditore (che agisce come Titolare del trattamento) è tenuto a fornire un’informativa privacy completa.
Oltre a spiegare le finalità del trattamento, il documento deve precisare che, in caso di insolvenza, i dati potrebbero essere trasmessi a società esterne o professionisti incaricati del recupero crediti. Tali soggetti terzi operano in qualità di Responsabili del trattamento, figura la cui nomina e i cui obblighi di sicurezza sono rigorosamente disciplinati dall’art. 28 del GDPR¹. Nell’ottica del principio di responsabilizzazione (accountability), è ottima prassi pubblicare sul proprio sito web l’elenco aggiornato di questi incaricati, inserendo un rimando esplicito all’interno dell’informativa stessa.
Per quanto tempo si possono conservare i dati?
Il trattamento ha una scadenza precisa dettata dal principio di limitazione della conservazione, stabilito dall’art. 5, paragrafo 1, lettera e) del GDPR¹. Non appena l’incarico di recupero si conclude positivamente con l’acquisizione delle somme dovute, i dati personali legati a quella pratica devono essere cancellati.
L’unica eccezione è legata agli obblighi di legge (art. 6, paragrafo 1, lettera c) del GDPR¹). Ad esempio, le normative di natura contabile e fiscale impongono la conservazione delle fatture e delle scritture contabili per 10 anni dalla data dell’ultima registrazione, così come stabilito dall’art. 2220 del Codice Civile³.
Dati Bibliografici e Normativi: ¹ Regolamento (UE) 2016/679 (GDPR): Artt. 5 (Principi applicabili al trattamento), 6 (Liceità del trattamento), 13-14 (Informazioni da fornire all’interessato), 28 (Responsabile del trattamento). ² D.Lgs. 196/2003 (Codice della Privacy): Testo aggiornato e armonizzato al GDPR tramite il D.Lgs. 101/2018. ³ Codice Civile Italiano: Art. 2220 (Conservazione delle scritture contabili).