Il Garante richiama le imprese agli obblighi di controllo, tracciabilità e aggiornamento dei dati utilizzati per contattare i debitori

Il recupero di un credito deve essere svolto nel pieno rispetto della disciplina in materia di protezione dei dati personali. Il titolare del trattamento non può limitarsi ad affidare l’attività a una società esterna, ma deve verificare periodicamente che i dati dei debitori siano utilizzati in modo corretto, aggiornato e conforme alle istruzioni impartite.

A ribadirlo è stato il Garante per la protezione dei dati personali, che ha applicato due distinte sanzioni: 50.000 euro alla società titolare del trattamento e 30.000 euro alla società incaricata del recupero crediti, designata quale responsabile del trattamento.

Il caso esaminato dal Garante

Il procedimento è stato avviato a seguito della segnalazione di un debitore, il quale aveva contestato l’utilizzo, nell’ambito dei tentativi di recupero del credito, di un numero di telefono cellulare formalmente intestato a lui, ma non più nella sua effettiva disponibilità.

L’interessato aveva inoltre chiesto alle società coinvolte di conoscere la provenienza del recapito telefonico e le modalità attraverso le quali il dato fosse stato acquisito e successivamente utilizzato.

Gli accertamenti svolti dall’Autorità hanno evidenziato carenze sia da parte della società titolare del trattamento sia da parte della società incaricata delle attività di recupero.

Le responsabilità del titolare del trattamento

Secondo il Garante, il titolare non aveva esercitato un controllo adeguato sull’operato della società esterna.

Quando il recupero crediti viene affidato a un soggetto terzo, il titolare deve predisporre verifiche periodiche effettive, documentate e tracciabili, idonee ad accertare il rispetto delle istruzioni impartite e delle disposizioni previste in materia di protezione dei dati personali.

Non è quindi sufficiente la sola sottoscrizione dell’accordo di nomina a responsabile del trattamento. Il titolare deve essere in grado di dimostrare di avere concretamente vigilato sulle modalità con cui il servizio viene svolto e sull’uso dei dati personali dei debitori.

I controlli devono consentire di verificare la provenienza delle informazioni utilizzate, l’esattezza dei recapiti, le modalità di contatto adottate dalla società incaricata e il rispetto dei diritti riconosciuti agli interessati.

Gli obblighi della società di recupero crediti

Anche la società incaricata del recupero crediti è tenuta ad adottare misure tecniche e organizzative adeguate alla natura e ai rischi del trattamento effettuato.

Il responsabile del trattamento deve consentire al titolare di conoscere, in modo preciso e aggiornato, quali dati personali siano stati raccolti, da quali fonti provengano, quali recapiti siano stati utilizzati, quali contatti siano stati effettuati e quali richieste siano state formulate dal debitore nel corso della gestione della pratica.

Nel caso esaminato, la società di recupero non aveva fornito al titolare un quadro completo delle informazioni raccolte durante l’esecuzione dell’incarico. Non aveva inoltre comunicato che il debitore aveva chiesto di conoscere l’origine del numero telefonico utilizzato per contattarlo.

Tale omissione aveva impedito al titolare di disporre di informazioni aggiornate e di fornire un riscontro completo e tempestivo all’interessato.

L’importanza dell’aggiornamento dei dati

Il provvedimento evidenzia un principio particolarmente rilevante: i dati utilizzati nelle attività di recupero crediti devono essere esatti, pertinenti e aggiornati.

L’impiego di un numero telefonico non più nella disponibilità del debitore può comportare il rischio che informazioni relative alla sua situazione debitoria vengano comunicate, anche indirettamente, a soggetti estranei.

Prima di utilizzare un recapito, le società devono pertanto verificarne l’attendibilità e documentarne la provenienza, evitando di fare affidamento su archivi non aggiornati o su informazioni acquisite senza adeguati controlli.

La qualità e l’esattezza del dato assumono particolare importanza nel recupero crediti, considerata la natura riservata delle informazioni trattate e il possibile pregiudizio derivante dal coinvolgimento di persone diverse dal debitore.

Le sanzioni applicate

Nel determinare le sanzioni di 50.000 euro e 30.000 euro, il Garante ha tenuto conto della natura e della gravità delle violazioni, dell’inadeguatezza dei controlli effettuati e della mancata condivisione delle informazioni rilevanti tra il titolare e il responsabile del trattamento.

L’Autorità ha inoltre valutato le iniziative successivamente adottate dalle due società per evitare il ripetersi di episodi analoghi. Le misure correttive hanno inciso sulla determinazione dell’importo delle sanzioni, ma non hanno escluso la responsabilità per le violazioni già commesse.

Cosa devono fare le imprese

Le imprese che affidano a soggetti esterni il recupero dei propri crediti devono verificare attentamente la completezza dei contratti e delle procedure interne adottate.

È necessario che il responsabile riceva istruzioni chiare sulle modalità di raccolta, verifica e utilizzo dei dati personali. Il titolare deve inoltre prevedere controlli periodici sull’attività svolta, assicurandosi che la provenienza dei recapiti sia tracciabile e che le informazioni relative al debitore vengano costantemente aggiornate.

Particolare attenzione deve essere riservata alle richieste formulate dagli interessati, che devono essere tempestivamente comunicate al titolare e gestite nel rispetto dei termini previsti dalla normativa.

Le procedure aziendali devono anche consentire la pronta rettifica o cancellazione dei dati inesatti e garantire una rendicontazione completa delle attività concretamente svolte dalla società di recupero.

Il ricorso a un soggetto esterno, infatti, non solleva il titolare dalle responsabilità previste dal GDPR, né esclude una distinta responsabilità della società incaricata qualora questa operi in violazione delle istruzioni ricevute o degli obblighi direttamente applicabili.

Conclusioni

Il provvedimento conferma che, nelle attività di recupero crediti, la protezione dei dati personali deve essere garantita lungo l’intera catena del trattamento.

Il titolare deve vigilare sull’attività affidata all’esterno, mentre la società incaricata deve operare in modo trasparente, documentato e conforme alle istruzioni ricevute. Entrambi i soggetti possono essere autonomamente sanzionati quando carenze organizzative o informative determinino un trattamento illecito o non adeguatamente controllato dei dati del debitore.

Le imprese che svolgono direttamente o affidano all’esterno attività di recupero crediti dovrebbero pertanto sottoporre a verifica le nomine a responsabile del trattamento, le procedure operative e i sistemi utilizzati per acquisire, aggiornare e utilizzare i recapiti degli interessati.

Lo Studio Legale Calvello assiste imprese e professionisti nell’adeguamento alla normativa in materia di privacy e protezione dei dati personali, nella predisposizione degli accordi con i responsabili del trattamento e nella verifica delle procedure adottate per la gestione e il recupero dei crediti.

Il provvedimento: Garante Privacy