Con provvedimento n. 193 del 12 marzo 2026, il Garante privacy ha delimitato e chiarito il confine tra legittima tutela delle ragioni del creditore e trattamento illecito dei dati personali del debitore.
Il caso in esame trae origine da un reclamo presentato il 30 aprile 2025 da parte di un interessato che lamentava la condotta di una società di recupero crediti che, nell’ambito di attività pre-esecutive relative a un procedimento di esecuzione su immobili indivisi, aveva comunicato a familiari e ad altri soggetti terzi l’asserito stato di insolvenza dell’interessato stesso, peraltro poi risultato del tutto estraneo al debito a causa di un errore di identificazione dovuto a omonimia e omocodia, il tutto in violazione degli artt. 5, par. 1, lett. a) e 6 del Regolamento (UE) 679/2016 (GDPR).
La società di recupero credito – con cui l’interessato già aveva segnalato l’errore di identificazione senza, però, alcun riscontro fino al coinvolgimento del Garante – aveva sostenuto di avere agito nel legittimo interesse dei comproprietari di alcuni immobili, i quali avrebbero dovuto essere informati in via anticipata della possibile azione esecutiva, così da poter tutelare le proprie posizioni giuridiche.
Il Garante ha invece escluso la sussistenza del legittimo interesse invocato dalla società per assenza dei requisiti di concretezza e attualità, richiesti dall’art. 6, par. 1, lett. f) del Regolamento e ribaditi nelle Linee Guida 1/2024 dell’EDPB. La comunicazione della società ai terzi, infatti:
- era avvenuta in una fase così antecedente che non era ancora stato individuato lo specifico bene da sottoporre a pignoramento;
- elencava in astratto gli immobili potenzialmente aggredibili senza fornire indicazioni per una selezione in concreto;
- era indirizzata a una pluralità indistinta di terzi, peraltro neanche comproprietari dei medesimi beni, senza individuare concretamente un terzo rispetto al quale il legittimo interesse potesse sussistere.
Come precisato dal Garante, finché non esiste una procedura esecutiva effettivamente avviata e finché non è stato individuato con precisione il bene da aggredire, non vi è margine alcuno per anticipare a familiari, cointestatari o altri terzi informazioni idonee a rivelare una situazione debitoria.
Una comunicazione in una fase tanto anticipata espone il debitore a interferenze e pressioni non ancora giustificate da uno stadio procedurale sufficientemente definito, rischiando di frustrare lo scopo del procedimento esecutivo stesso.
Il provvedimento richiama e consolida un orientamento che il Garante aveva già espresso in passato (cfr. in particolare il provvedimento generale del 30 novembre 2005) contro le prassi, poste in essere da parte di società di recupero credito, di comunicazioni ingiustificate relative allo stato di insolvenza di un soggetto ai suoi familiari, coabitanti, vicini o colleghi.
La natura particolarmente sensibile delle informazioni trattate da parte delle società di recupero credito, che possono anche incidere sull’affidabilità creditizia di un soggetto, impone l’adozione di misure rafforzate che tutelino in modo adeguato la riservatezza dell’interessato. Non basta richiamare in astratto un interesse meritevole di tutela, come ha tentato di argomentare la società di recupero crediti, ma occorre verificare se quel concreto trattamento, in quel preciso momento e verso quei determinati destinatari, sia davvero necessario, proporzionato e supportato da una base giuridica effettiva.
La decisione non interessa soltanto gli operatori del settore specializzati nel recupero crediti, ma più in generale tutte le realtà che gestiscono portafogli deteriorati, crediti ceduti o attività di recupero in outsourcing, perché richiama un principio fondamentale e talvolta sottovalutato: le ragioni del recupero non possono tradursi in una compressione indebita della riservatezza, della dignità e della reputazione del presunto debitore.