Il Garante per la protezione dei dati personali ha pubblicato a settembre 2026 un vademecum dedicato all’attività di recupero dei crediti. Il documento riepiloga in chiave operativa le regole da rispettare quando si sollecita il pagamento di somme dovute, indicando i limiti entro i quali l’attività può essere svolta senza compromettere la dignità e la riservatezza del debitore.
Le indicazioni riguardano le società specializzate, gli avvocati e gli altri professionisti incaricati, banche e istituti finanziari, compagnie telefoniche, società energetiche e concessionari di pubblici servizi che gestiscono direttamente queste attività. Il principio di fondo è il bilanciamento tra il diritto del creditore a ottenere quanto gli spetta e la tutela della persona interessata. La guida richiama il provvedimento generale del 30 novembre 2005, adottato dopo l’emersione di prassi invasive, e lo collega ai principi del GDPR e ai provvedimenti più recenti del 2024 e del 2026.
Quali dati possono essere utilizzati
Il trattamento delle informazioni del debitore non richiede il consenso, perché si basa sul legittimo interesse del titolare a ottenere il pagamento, previsto dall’articolo 6, paragrafo 1, lettera f), del Regolamento Ue 2016/679. Restano comunque applicabili i principi di liceità, correttezza, trasparenza, esattezza e minimizzazione.
Possono essere trattati i dati anagrafici, il codice fiscale o la partita Iva, l’importo del credito, le condizioni di pagamento e i recapiti, compresi quelli telefonici, normalmente raccolti alla firma del contratto. L’incaricato può integrare le informazioni consultando registri pubblici, banche dati pubbliche o fonti terze autorizzate, nel rispetto delle regole di settore, tra cui la licenza prefettizia. Se l’attività viene affidata all’esterno, il soggetto incaricato deve essere designato responsabile o sub-responsabile del trattamento. Il creditore deve inoltre trasmettere soltanto i dati necessari dei debitori, senza concedere l’accesso all’intera banca dati della clientela.
Il Garante precisa di non essere competente sulle contestazioni relative all’esistenza del credito, che devono essere sottoposte al giudice ordinario o alle autorità di settore. Fino a una decisione, il trattamento dei dati per le finalità di recupero resta legittimo.
Contatti, controlli e diritti dell’interessato
Il vademecum considera illecito informare senza giustificazione familiari, conviventi, colleghi o vicini dell’inadempimento per fare pressione sul debitore. Sono vietate le visite a domicilio o sul luogo di lavoro con rivelazione del debito a terzi, le chiamate preregistrate senza operatore, l’invio di buste o cartoline con diciture esterne come “recupero crediti” e l’affissione di avvisi di mora sulla porta di casa o negli spazi condominiali.
La corrispondenza deve essere inviata in plico chiuso, con all’esterno soltanto gli elementi necessari a identificare il mittente. È invece possibile cercare il debitore anche sul posto di lavoro, purché non venga fatto alcun riferimento al debito e si utilizzi una formula neutra, come la ricerca della persona per pratiche amministrative che la riguardano.
Sul piano organizzativo, il titolare deve effettuare controlli periodici e documentati sull’operato dei responsabili esterni, che devono fornire un quadro aggiornato delle informazioni raccolte. L’informativa prevista dall’articolo 13 del GDPR va resa di norma alla firma del contratto e deve indicare titolare, eventuale responsabile della protezione dei dati, finalità, base giuridica, interessi legittimi, destinatari, trasferimenti extra Ue, tempi di conservazione e diritti dell’interessato.
Quanto ai diritti del debitore, l’accesso consente di ottenere copia dei dati trattati, ma non dei contratti o dei documenti che provano il debito. La cancellazione non è assoluta: le informazioni possono essere conservate per obblighi di legge, per rispondere a reclami o per la tutela legale. L’opposizione richiede circostanze particolari che rendano il trattamento sproporzionato e non può essere usata per imporre contatti esclusivamente via email o tramite il proprio legale.
