Recupero crediti e privacy: il vademecum del Garante per le aziende
Il Garante per la protezione dei dati personali ha pubblicato a settembre 2026 un vademecum sull'attività di recupero dei crediti. Il documento riepiloga in chiave operativa le regole da rispettare quando si sollecita il pagamento di somme dovute.
Si rivolge a vari soggetti, come:
- società specializzate nel recupero crediti ,
- avvocati e professionisti incaricati e
- banche e istituti finanziari, e anche
- compagnie telefoniche,
- società energetiche e concessionari di pubblici servizi
che gestiscono l'attività in proprio.
Il principio sottostante le regole è il necessario bilanciamento di due interessi: il creditore ha diritto a recuperare quanto gli spetta, ma non può farlo a scapito della dignità e della riservatezza del debitore.
La guida richiama il provvedimento generale del 30 novembre 2005, adottato dopo che l'Autorità aveva riscontrato prassi invasive, e lo collega ai principi del GDPR e ai provvedimenti più recenti del 2024 e del 2026.
Recupero crediti e GDPR: quali sono le norme e i dati trattabili?
Il trattamento dei dati del debitore non richiede il consenso.
Si fonda sul legittimo interesse del titolare a ottenere il pagamento, ai sensi dell'art. 6, par. 1, lett. f) del Regolamento UE 2016/679. Restano fermi i principi dell'art. 5: liceità, correttezza, trasparenza, esattezza e minimizzazione.
In concreto possono essere utilizzati i dati anagrafici, il codice fiscale o la partita IVA, l'importo del credito con le condizioni di pagamento e i recapiti, anche telefonici, di norma acquisiti alla stipula del contratto. Il soggetto incaricato può integrarli consultando pubblici registri, banche dati pubbliche o fonti terze autorizzate, nel rispetto delle regole di settore come la licenza prefettizia. Se il recupero è affidato all'esterno, l'incaricato va designato responsabile o sub-responsabile del trattamento. Il creditore deve trasmettergli soltanto i dati dei debitori, senza consentire l'accesso all'intera banca dati clienti. Il Garante precisa inoltre di non essere competente sulle contestazioni relative all'esistenza del credito, da portare davanti al giudice ordinario o alle autorità di settore. In attesa della decisione, il trattamento a fini di recupero resta legittimo.
Solleciti di pagamento: le prassi vietate e quelle consentite
Sulle modalità di contatto in particolare viene sottolineato che:
È illecito informare senza giustificazione familiari, conviventi, colleghi o vicini dell'inadempimento e usare questa leva per fare pressione sul debitore. Sono vietate le seguenti pratiche:
- le visite a domicilio o sul luogo di lavoro accompagnate dalla rivelazione del debito a terzi;
- le chiamate di sollecito preregistrate senza operatore, che possono essere ascoltate da persone diverse dall'interessato;
- l'invio di cartoline o buste con diciture esterne come "recupero crediti";
- l'affissione di avvisi di mora sulla porta di casa o nell'androne condominiale.
La corrispondenza deve viaggiare in plico chiuso e riportare all'esterno solo gli elementi necessari a identificare il mittente. È invece ammesso rintracciare il debitore, anche al lavoro, purché non si faccia alcun cenno al debito. Una formula neutra, come la ricerca della persona per pratiche amministrative che la riguardano, è considerata corretta.
Accountability e informativa obbligatoria
Sul piano organizzativo, il titolare deve svolgere controlli periodici, documentati e verificabili sull'operato dei responsabili esterni. Questi, a loro volta, devono fornirgli un quadro aggiornato delle informazioni raccolte.
Si ricorda che l'informativa ex art. 13 GDPR va resa di norma alla firma del contratto. Deve indicare il titolare e l'eventuale DPO, le finalità e la base giuridica, i legittimi interessi, i destinatari, gli eventuali trasferimenti extra UE, i tempi di conservazione e i diritti dell'interessato.
Rispetto dei diritti – Scarica il Modello
Sui diritti del debitore, il vademecum chiarisce alcuni limiti utili nella gestione delle richieste:
- Accesso: consente di ottenere copia dei dati trattati, ma non dei contratti né della documentazione che prova il debito.
- Cancellazione: non è un diritto assoluto. I dati possono essere conservati anche dopo la chiusura della pratica per obblighi di legge, per rispondere a reclami o per tutela legale.
- Opposizione: richiede circostanze particolari che rendano il trattamento sproporzionato, ad esempio un'utenza intestata al debitore ma usata in via esclusiva da un terzo. Non può essere invocata per pretendere di essere contattati solo via email o solo tramite il proprio legale.
Per esercitare il proprio diritto al rispetto della privacy è disponibile il modulo predisposto dal Garante.
Modello per il rispetto del diritto alla protezione dei dati personali
