Nota al provvedimento del Garante privacy 28 maggio 2026, n. 387
In breve. Il responsabile del trattamento non esegue passivamente le istruzioni del titolare: in forza del principio di responsabilizzazione, ha l’obbligo diretto di tracciare i dati ulteriori raccolti nel corso dell’incarico — compresa la relativa fonte — e di metterli a disposizione del titolare, a prescindere dalla loro utilizzabilità. Con il provvedimento n. 387 del 28 maggio 2026 il Garante sanziona una società di recupero crediti per la violazione dell’art. 28, par. 3, lett. a), e) e h), del GDPR.
Premessa
Il rapporto tra titolare e responsabile del trattamento nelle attività di recupero crediti resta uno dei terreni più frequentati dall’enforcement del Garante, in ragione della strutturale dispersione delle informazioni relative ai debitori tra il soggetto cedente il credito, l’intermediario cessionario e le società incaricate della gestione stragiudiziale. Con il provvedimento del 28 maggio 2026, n. 387, l’Autorità torna a occuparsi degli obblighi «diretti» gravanti sul responsabile ex art. 28, par. 3, del Regolamento, sanzionando una società di recupero crediti per non aver tracciato e comunicato al titolare un dato di contatto autonomamente acquisito nel corso dell’incarico.
Il caso
La vicenda trae origine dalla segnalazione di un debitore, il quale lamentava che una società avesse utilizzato, ai fini del recupero di un credito ceduto, un’utenza telefonica a lui intestata ma non più nella sua disponibilità e mai comunicata alle società coinvolte. Gli accertamenti presso la cessionaria hanno consentito di ricostruire che il numero non era compreso tra i dati anagrafici trasmessi dalla cedente all’atto dell’affidamento del lotto di pratiche, ma era stato acquisito autonomamente, alcuni mesi dopo, tramite un fornitore esterno specializzato in banche dati pubbliche e informazioni commerciali, e inserito manualmente nel gestionale aziendale.
È emerso altresì che, a fronte dell’istanza di accesso proposta dall’interessato ex art. 15 del Regolamento direttamente nei confronti della cessionaria, quest’ultima non l’aveva trasmessa tempestivamente alla cedente, titolare del trattamento, in violazione delle istruzioni contrattuali che imponevano la comunicazione di ogni istanza di esercizio dei diritti entro due giorni lavorativi. Il Garante ha pertanto contestato le violazioni dell’art. 28, par. 3, lettere a), e) e h), del Regolamento.
Il percorso argomentativo del Garante
L’Autorità muove dalla premessa, già affermata dalla giurisprudenza di legittimità, secondo cui il responsabile del trattamento è tenuto a osservare il principio di responsabilizzazione che permea l’intero impianto del Regolamento, e non si limita a eseguire passivamente le istruzioni del titolare, dovendo individuare, in ragione delle proprie competenze specialistiche, i mezzi tecnici e organizzativi più idonei a darvi attuazione in conformità alla disciplina di protezione dei dati.
Su tale premessa il Garante ricostruisce un autonomo obbligo del responsabile — discendente dall’art. 28, par. 3, lettere a) ed h) — di tenere traccia dei dati ulteriori raccolti nel corso dell’incarico, ivi compresa la relativa fonte, e di metterli sistematicamente a disposizione del titolare, a prescindere dal fatto che tali informazioni siano o meno effettivamente utilizzabili ai fini del trattamento. Tale tracciabilità è indispensabile per consentire al titolare di verificare la liceità del trattamento posto in essere per suo conto e di assicurare il rispetto dei principi di esattezza e aggiornamento dei dati (art. 5, par. 1, lett. d). Nel caso di specie, la circostanza che il dato di contatto non fosse più legittimamente utilizzabile non esimeva la società dal comunicarne, comunque, l’esistenza e la provenienza al titolare.
Quanto alla mancata assistenza nell’esercizio dei diritti, l’Autorità ribadisce che, sebbene il destinatario delle istanze ex art. 15 resti il titolare del trattamento, l’art. 28, par. 3, lett. e), impone al responsabile un obbligo diretto di assistenza, che può concretizzarsi anche nella semplice, tempestiva trasmissione della richiesta ricevuta: obbligo che, nel caso di specie, risultava specificamente tradotto in una clausola del contratto di servizio, rimasta inosservata.
Osservazioni conclusive
Il provvedimento rafforza un principio di rilievo operativo per l’intera filiera del credito: il responsabile del trattamento è un soggetto attivo, gravato di obblighi propri di tracciabilità, comunicazione e assistenza, non riducibili all’esecuzione meccanica delle istruzioni contrattuali. Per le società di recupero crediti e per i titolari che vi ricorrono, la decisione impone di rivedere clausole contrattuali, procedure di restituzione delle posizioni a fine mandato e sistemi di logging dei dati raccolti da fonti terze, così da rendere effettivamente verificabile la liceità dell’intero ciclo di trattamento.
In sintesi
Riassumendo brevemente, l’articolo in oggetto si è focalizzato su: 1 – il principio di responsabilizzazione applicato al responsabile del trattamento; 2 – l’obbligo di tracciare i dati ulteriori raccolti nel corso dell’incarico, compresa la fonte (art. 28, par. 3, lett. a) e h); 3 – la messa a disposizione dei dati al titolare a prescindere dalla loro utilizzabilità; 4 – il dovere di assistenza nell’esercizio dei diritti (art. 28, par. 3, lett. e) e il rapporto con l’istanza di accesso ex art. 15; 5 – le ricadute operative su contratti, procedure e sistemi di tracciamento nella filiera del recupero crediti.
Domande frequenti
Il responsabile del trattamento deve comunicare al titolare anche i dati che ha raccolto da solo?
Sì. Deve tracciare i dati ulteriori raccolti nel corso dell’incarico, compresa la fonte, e metterli a disposizione del titolare, anche se non più utilizzabili: serve al titolare per verificare la liceità del trattamento (art. 28, par. 3, lett. a) e h).
Chi deve rispondere all’istanza di accesso ex art. 15 GDPR?
Il titolare del trattamento. Il responsabile, però, ha un dovere di assistenza (art. 28, par. 3, lett. e): quando previsto dal contratto, deve trasmettere tempestivamente al titolare ogni richiesta di esercizio dei diritti ricevuta.
Che cosa dovrebbero rivedere le società di recupero crediti dopo questo provvedimento?
Le clausole contrattuali con i titolari, le procedure di restituzione delle posizioni a fine mandato e i sistemi di tracciamento dei dati acquisiti da fonti terze, così da documentare fonte e trattamento di ogni dato ulteriore.
Avv. Adamo Brunetti
