La privacy nel recupero crediti torna al centro dell’attenzione con il nuovo vademecum del Garante. Il documento chiarisce base giuridica, limiti nei contatti con il debitore, dati utilizzabili, responsabilità di creditori e società incaricate senza introdurre nuovi obblighi.

Privacy nel recupero crediti: il consenso del debitore non è necessario

La privacy nel recupero crediti deve conciliare due esigenze distinte. Da una parte c’è l’interesse del creditore a recuperare quanto dovuto, dall’altra la tutela della dignità e della riservatezza del debitore. È il principio richiamato dal nuovo vademecum pubblicato il 30 settembre 2026 dal Garante per la protezione dei dati personali, rivolto a società specializzate, banche, finanziarie, operatori telefonici ed energetici.

Il documento aggiorna il precedente vademecum e riepiloga i principi applicabili alla luce del GDPR, rendendo più accessibili criteri già affermati dal Garante a partire dal provvedimento generale del 30 novembre 2005 e nella successiva attività dell’Autorità.

Uno dei chiarimenti principali riguarda la base giuridica. Il trattamento dei dati del debitore non richiede il suo consenso, perché può fondarsi sul legittimo interesse del titolare a recuperare il credito, ai sensi dell’art. 6 del GDPR.

Il Garante precisa inoltre i limiti delle proprie competenze. Le contestazioni sull’esistenza o sull’ammontare del credito non appartengono alla materia della protezione dei dati e devono essere rivolte all’autorità giudiziaria o alle autorità competenti, come Antitrust e Arera. Anche durante la definizione della controversia, il trattamento svolto per finalità di recupero è quindi da considerarsi legittimo.

Recupero crediti e dati personali: vietate pressioni e comunicazioni ai terzi

La possibilità di recuperare un credito non autorizza modalità di contatto invasive. Il principio centrale è che lo stato di inadempimento non deve essere comunicato ingiustificatamente a soggetti diversi dal debitore, come familiari, conviventi, colleghi o vicini.

Il Garante considera illecite le visite presso l’abitazione o il luogo di lavoro quando rendono nota a terzi la situazione debitoria. Lo stesso vale per le telefonate preregistrate senza intervento di un operatore, che potrebbero essere ascoltate da persone diverse dall’interessato, e per le affissioni di avvisi di mora sulla porta di casa o negli spazi condominiali.

Particolare attenzione riguarda la corrispondenza. I solleciti devono essere inviati in plico chiuso, senza indicazioni esterne come “recupero crediti” o altre formule che consentano a terzi di conoscere la natura della comunicazione.

È invece consentito cercare il debitore, anche presso il luogo di lavoro, purché non venga fatto alcun riferimento al debito. Il confine tracciato dall’Autorità non riguarda quindi la possibilità di rintracciare l’interessato, ma le informazioni che possono essere divulgate durante tale attività.

Quanto ai dati utilizzabili, possono essere trattati dati anagrafici, codice fiscale o partita Iva, ammontare del credito, condizioni di pagamento e recapiti. Sono ammesse anche informazioni reperite attraverso banche dati pubbliche, registri o altre fonti autorizzate, nel pieno rispetto della normativa. Quando i dati non provengono direttamente dall’interessato, devono essere inoltre rispettati gli obblighi informativi previsti dal GDPR, compresa l’indicazione della loro provenienza nei casi previsti.

GDPR e recupero crediti: controlli periodici sulle società incaricate

Un altro punto centrale riguarda il rapporto tra il creditore e i soggetti ai quali viene affidata l’attività di recupero. Società specializzate, avvocati e altri professionisti possono operare come responsabili o sub-responsabili del trattamento, ma devono ricevere soltanto i dati necessari per svolgere l’incarico.

Il creditore deve quindi evitare che l’incaricato acceda direttamente all’intera banca dati dei clienti, che potrebbe contenere informazioni relative a soggetti estranei alle posizioni affidate al recupero.

Nel vademecum, il Garante richiama inoltre il principio di accountability, cioè la responsabilità del titolare di dimostrare di avere adottato misure adeguate per proteggere i dati. Nel recupero crediti ciò comporta controlli periodici, documentati e verificabili sull’attività svolta dai soggetti esterni incaricati.

Resta centrale anche l’informativa. Il debitore deve conoscere chi tratta i suoi dati, per quali finalità, sulla base di quale presupposto giuridico, per quanto tempo saranno conservati e a quali destinatari potranno essere comunicati. Deve inoltre poter esercitare i diritti previsti dal GDPR, tra cui accesso, rettifica, cancellazione nei casi consentiti, limitazione e opposizione.