Con il recente provvedimento che ha portato all'irrogazione di una sanzione di 50.000 euro nei confronti della società titolare del trattamento e di 30.000 euro nei confronti della società incaricata del recupero del credito, il Garante per la protezione dei dati personali torna ad affrontare un tema di particolare rilevanza pratica: la corretta gestione dei dati personali nell'ambito delle attività di recupero crediti e, soprattutto, la responsabilità del titolare nel controllo delle attività affidate a soggetti terzi.

La vicenda trae origine dalla segnalazione di un debitore che lamentava di essere stato contattato su un numero di telefono cellulare a lui intestato ma non più nella sua disponibilità. L'interessato, esercitando i diritti riconosciuti dal Regolamento (UE) 2016/679 (GDPR), chiedeva inoltre di conoscere la provenienza di quel dato e le modalità con cui era stato acquisito.

L'istruttoria del Garante ha evidenziato una duplice criticità. Da un lato, la società titolare del trattamento non aveva esercitato un'effettiva attività di vigilanza sulla società esterna incaricata del recupero del credito, limitandosi ad una gestione meramente formale del rapporto di nomina quale responsabile del trattamento. Dall'altro, la società incaricata del recupero crediti non aveva mantenuto aggiornate le informazioni raccolte nel corso dell'incarico né aveva informato il titolare della richiesta di accesso formulata dal debitore circa l'origine del numero telefonico utilizzato.

Il provvedimento assume particolare rilievo perché ribadisce un principio ormai centrale nel sistema del GDPR: la nomina del responsabile del trattamento ai sensi dell'art. 28 del Regolamento non esaurisce gli obblighi del titolare. Quest'ultimo è tenuto a verificare concretamente che il responsabile operi nel rispetto della normativa, mediante controlli periodici, documentati e verificabili. In altri termini, l'accountability non può ridursi ad un adempimento cartolare, ma richiede un'effettiva attività di vigilanza sull'intera filiera del trattamento.

La liceità della raccolta delle informazioni: un aspetto spesso sottovalutato

La vicenda richiama l'attenzione su un ulteriore profilo che, pur non costituendo l'unico oggetto del provvedimento, assume un'importanza fondamentale nella pratica del recupero crediti: la legittimità delle modalità attraverso cui vengono reperiti i dati personali del debitore.

Molto frequentemente le attività di recupero richiedono l'aggiornamento dei recapiti del debitore o l'acquisizione di ulteriori informazioni utili alla gestione della posizione. Tali attività, tuttavia, non possono essere svolte mediante fonti indeterminate o prive di adeguata base giuridica.

Quando si rende necessario effettuare attività di ricerca o reperimento di informazioni ulteriori rispetto a quelle già nella disponibilità del creditore, è essenziale che tali attività siano affidate a soggetti che operino nel rispetto della normativa vigente e che siano legittimati allo svolgimento di investigazioni e raccolta di informazioni per conto di terzi.

In questo contesto assumono particolare rilievo gli istituti investigativi autorizzati ai sensi dell'art. 134 del Testo Unico delle Leggi di Pubblica Sicurezza (TULPS), i quali operano previa autorizzazione prefettizia e sono soggetti a specifici requisiti organizzativi e di controllo. Naturalmente, anche tali soggetti devono rispettare integralmente la disciplina in materia di protezione dei dati personali e possono trattare esclusivamente le informazioni strettamente necessarie e pertinenti rispetto all'incarico ricevuto.

L'impiego di operatori autorizzati non rappresenta soltanto una garanzia sotto il profilo della legittimità dell'attività investigativa, ma costituisce anche un importante presidio in termini di tracciabilità delle operazioni svolte e di documentazione delle fonti utilizzate.

Il diritto del debitore a conoscere l'origine dei dati

Uno degli aspetti più interessanti della vicenda riguarda il diritto dell'interessato di conoscere da dove provengano i propri dati personali.

Gli articoli 15 e seguenti del GDPR riconoscono infatti all'interessato il diritto di ottenere conferma dell'esistenza di un trattamento e, tra le altre informazioni, anche l'origine dei dati personali qualora questi non siano stati raccolti direttamente presso di lui.

Ne consegue che, qualora un debitore eserciti il diritto di accesso chiedendo di conoscere come sia stato reperito un determinato recapito telefonico, un indirizzo o altra informazione personale, il titolare del trattamento deve essere in grado di fornire una risposta completa e documentata.

Ciò implica che l'intera filiera dei soggetti coinvolti nel trattamento sia in grado di ricostruire l'origine del dato e le modalità della sua acquisizione.

Gli obblighi delle società investigative

Quando il reperimento delle informazioni è stato affidato ad un istituto investigativo autorizzato ex art. 134 TULPS, quest'ultimo deve conservare la documentazione relativa all'attività svolta, nel rispetto della normativa applicabile e delle prescrizioni autorizzative.

Qualora il debitore eserciti il diritto di accesso e richieda di conoscere l'origine del dato trattato, il titolare del trattamento deve poter ricostruire il percorso che ha portato all'acquisizione dell'informazione. A tal fine, il soggetto incaricato dell'attività investigativa deve essere in grado di mettere a disposizione del titolare la documentazione idonea a dimostrare l'attività effettivamente svolta, le fonti utilizzate e la liceità della raccolta delle informazioni, fatti salvi gli eventuali limiti previsti dalla normativa a tutela di diritti di terzi o di specifiche esigenze di riservatezza.

Non è quindi sufficiente comunicare che il dato è stato reperito nel corso di un'attività investigativa: occorre che esista un'adeguata documentazione che consenta al titolare di rispondere alle richieste dell'interessato e, se necessario, di dimostrare al Garante la correttezza del trattamento.

Una lezione per tutto il settore del recupero crediti

Il provvedimento del Garante costituisce un importante monito per tutti gli operatori del settore.
Da un lato, viene ribadito che il rapporto tra titolare e responsabile del trattamento richiede un controllo costante e sostanziale, non limitato alla sottoscrizione della nomina prevista dall'art. 28 del GDPR.

Dall'altro, emerge con forza come la qualità e la tracciabilità delle informazioni raccolte rappresentino elementi essenziali della conformità alla disciplina sulla protezione dei dati personali.

In un contesto in cui il recupero crediti si fonda sempre più frequentemente sull'utilizzo di informazioni aggiornate e reperite attraverso soggetti esterni, diventa imprescindibile poter dimostrare non solo che il dato è corretto, ma anche che esso è stato acquisito attraverso canali legittimi, da soggetti autorizzati e mediante procedure pienamente conformi alla normativa.

La conformità al GDPR, infatti, non si misura soltanto nel momento in cui il dato viene utilizzato per contattare il debitore, ma inizia già dalla sua acquisizione e prosegue lungo l'intero ciclo di vita del trattamento. È proprio questa capacità di dimostrare, in ogni momento, l'origine, la liceità e la tracciabilità del dato a rappresentare oggi uno degli aspetti più qualificanti del principio di accountability.