Il Garante per la protezione dei dati personali ha aggiornato a settembre 2026 il vademecum “Privacy e recupero crediti”, dedicato alle regole da rispettare quando il creditore tratta dati personali per ottenere il pagamento di somme dovute, direttamente o tramite soggetti incaricati, ribadendo il bilanciamento tra il legittimo interesse del creditore e la tutela della dignità e della riservatezza del debitore.

Nel documento, viene innanzitutto chiarito che il trattamento dei dati personali per finalità di recupero crediti può avvenire anche senza il consenso del debitore. La base giuridica è il legittimo interesse del Titolare del trattamento, normalmente il soggetto creditore, ai sensi dell’art. 6, par. 1, lett. f) del Reg. UE 2016/679 (GDPR).

I dati devono essere trattati in modo lecito, corretto e trasparente ed essere esatti, adeguati e limitati a quanto necessario. Possono essere trattati dati anagrafici, codice fiscale o partita IVA, ammontare del credito, condizioni di pagamento e recapiti. Ulteriori dati possono essere acquisiti da banche dati pubbliche, pubblici registri o fonti terze autorizzate, nel rispetto della normativa applicabile. Il Garante non è competente a decidere sulla sussistenza o sull’ammontare del credito: per tali controversie occorrerà rivolgersi all’autorità competente.

Secondo l’Autorità, inoltre, non è lecito comunicare ingiustificatamente informazioni sul mancato pagamento a familiari, coabitanti, colleghi, vicini o altri soggetti estranei al rapporto. Sono illecite, altresì, le visite al domicilio o sul posto di lavoro che rendano nota a terzi la condizione di inadempimento, le telefonate di sollecito preregistrate senza operatore e l’affissione di avvisi di mora sulla porta dell’abitazione o negli spazi condominiali. Non sono, peraltro, consentiti cartoline o plichi con diciture esterne come “recupero crediti”.

È invece possibile cercare il debitore anche sul luogo di lavoro, purché non venga fatto riferimento al debito. Le comunicazioni postali devono essere inviate in plichi chiusi e senza indicazioni esterne che rivelino la finalità di recupero. Come è noto, poi, l’attività di recupero può essere svolta direttamente dal creditore oppure affidata a società specializzate, avvocati o altri professionisti, che possono operare come Responsabili o sub-Responsabili del trattamento.

Il creditore, in tal caso, dovrà allora comunicare ai soggetti incaricati soltanto i dati dei debitori interessati, evitando l’accesso indiscriminato all’intero database dei clienti. In applicazione del principio di accountability, il Titolare deve effettuare controlli periodici, documentati e verificabili sull’attività dei soggetti esterni incaricati. Il Titolare, inoltre, è obbligato a fornire un’informativa conforme all’art. 13 GDPR, indicando finalità e base giuridica del trattamento, legittimo interesse perseguito, destinatari, eventuali trasferimenti extra-UE, periodo di conservazione e diritti dell’interessato.

Il debitore può esercitare i diritti di accesso, rettifica, cancellazione, limitazione e opposizione previsti dal GDPR. Il diritto di accesso consente di ottenere copia dei dati personali trattati e informazioni sul trattamento, ma non copia della documentazione contrattuale o attestante il debito. La cancellazione non è un diritto assoluto: i dati possono essere conservati per obblighi di legge, reclami, contestazioni o tutela legale.

Il vademecum, in definitiva, conferma che il recupero crediti è lecito se svolto nel rispetto dei principi del GDPR. Il trattamento deve riguardare i soli dati necessari, evitare la divulgazione della situazione debitoria a terzi e garantire trasparenza, sicurezza e rispetto dei diritti dell’interessato.

Hai trovato utile questo articolo?
Contattaci per ricevere maggiori informazioni.