Roberto Rossi
Il Garante per la protezione dei dati personali (Garante privacy) ha recentemente adottato due provvedimenti che ridisegnano i confini della lecita comunicazione nell’ambito del recupero crediti e nella gestione delle piattaforme digitali. Vale la pena analizzarli nel dettaglio.
Solleciti ai parenti del debitore: una pratica vietata
Con il provvedimento n. 193 del 12 marzo 2026, il Garante ha sanzionato una società di recupero crediti che aveva inviato comunicazioni di messa in mora non soltanto al debitore, ma anche al coniuge, alla madre e ai fratelli di quest’ultimo. Il caso presenta un profilo ulteriormente aggravante: la lettera iniziale era stata recapitata a un soggetto omonimo, con identico nome e codice fiscale rispetto al reale debitore.
Nonostante la contestazione dell’errore, la società aveva proseguito, coinvolgendo i familiari dell’estraneo con una comunicazione che indicava l’ammontare del debito e annunciava l’intenzione di avviare una procedura giudiziaria di pignoramento immobiliare, elencando puntualmente i beni oggetto della potenziale esecuzione, dei quali i destinatari risultavano cointestatari.
Le regole del 2005 sulla privacy restano in vigore: cosa prescrivono
Il provvedimento del Garante chiarisce che le prescrizioni generali del 30 novembre 2005, relative agli obblighi di riservatezza a carico degli operatori del recupero crediti, sono ancora pienamente vigenti e applicabili, anche nell’era del GDPR. In base a queste norme, è fatto divieto assoluto alle agenzie di recupero crediti di rendere note a terzi — siano essi familiari, colleghi di lavoro, vicini di casa o datori di lavoro — informazioni riguardanti l’esistenza di un debito, il suo ammontare o le modalità di pagamento previste.
Il nodo dei comproprietari: quando (non) si può comunicare
La parte più interessante del provvedimento riguarda la questione dei comproprietari di immobili potenzialmente pignorabili. La società si era difesa sostenendo che i cointestatari avrebbero un interesse legittimo a essere informati per tempo di una possibile futura espropriazione del bene.
Il Garante ha respinto questa argomentazione con nettezza. Una comunicazione rivolta ai comproprietari è illecita quando viene effettuata in una fase antecedente all’avvio della procedura giudiziaria, ossia quando il pignoramento è ancora soltanto un’ipotesi teorica e potenziale. In questo stadio, avvisare i familiari non tutela alcun interesse concreto, ma si risolve esclusivamente in una violazione della privacy del debitore e in un danno alla sua reputazione all’interno della cerchia familiare.
Il principio è chiaro: solo l’effettivo avvio dell’esecuzione forzata – con la notifica degli atti giudiziali – giustifica il coinvolgimento dei cointestatari. Prima di quel momento, il silenzio è d’obbligo.
Annunci online e furto d’identità: 5.000 euro di sanzione
Il secondo provvedimento rilevante è l’ingiunzione n. 169 del 12 marzo 2026. Il Garante ha irrogato una sanzione di cinquemila euro a una società che gestisce un portale di inserzioni gratuite online. Un soggetto ignoto, spacciandosi per una donna, ne aveva pubblicato il numero di telefono e il luogo di lavoro, inserendo due falsi annunci nelle sezioni dedicate a “massaggi” e “incontri”, con contenuti di natura esplicitamente intima. La vittima ha scoperto la pubblicazione degli annunci solo dopo aver iniziato a ricevere telefonate indesiderate da parte di sconosciuti.
Il Garante ha accertato che la piattaforma era priva di misure di sicurezza adeguate a verificare che chi inserisce un recapito telefonico in un annuncio sia effettivamente legittimato a farlo. L’assenza di questi controlli ha reso possibile la violazione e ha determinato la responsabilità della società.
Cosa insegna questo doppio provvedimento del Garante sulla privacy
I due casi, letti insieme, tracciano una linea di principio coerente: la tutela dei dati personali impone a chi tratta informazioni altrui – sia nel credito sia nel digitale – l’obbligo di adottare misure proporzionate e di rispettare i limiti della comunicazione lecita. Non è sufficiente avere un interesse economico o organizzativo per giustificare la diffusione di dati sensibili a terzi. La privacy del singolo resta un limite che nessuna logica di business può superare senza conseguenze.
