Ordinanza ingiunzione o revoca n. 386 del 28/05/2026

Europa Factor S.p.A. - trattamento illecito nell'attività di recupero crediti e mancata vigilanza sul responsabile

Il provvedimento riguarda Europa Factor S.p.A., titolare del trattamento nell'ambito di attività di recupero crediti affidate a Spinbridge S.p.A. quale responsabile ex art. 28 GDPR. L'istruttoria è stata avviata a seguito di una segnalazione dell'interessato relativa all'utilizzo, da parte del recuperatore, di un recapito telefonico a lui intestato ma non comunemente nella sua disponibilità e non trasmesso dal titolare.

Origine della vicenda e attività istruttoria

La vicenda origina da una segnalazione del 2022, poi ricondotta a precedenti istanze di accesso e chiarimenti formulate dall'interessato nel 2021 e nel 2022. Il Garante ha svolto accertamenti in loco presso Spinbridge S.p.A. e richieste di informazioni a entrambe le società. Dagli atti è emerso che:

• Europa Factor S.p.A. aveva acquistato il credito da Acea Energia S.p.A. e lo aveva affidato a Spinbridge S.p.A. per il recupero stragiudiziale;
• Spinbridge S.p.A. aveva acquisito autonomamente un numero telefonico ulteriore tramite un fornitore esterno, inserendolo manualmente nel gestionale il 7 giugno 2021;
• tale dato non risultava tra quelli trasmessi dal titolare all'atto dell'affidamento;
• il responsabile non aveva poi comunicato a Europa Factor S.p.A. né la fonte del recapito né le richieste di esercizio dei diritti presentate dall'interessato.

Ruoli privacy e quadro contrattuale

Il Garante ha qualificato Europa Factor S.p.A. come titolare del trattamento e Spinbridge S.p.A. come responsabile del trattamento. Il rapporto era regolato da un contratto di servizio e da un atto di nomina ex art. 28 GDPR, che prevedevano istruzioni sul trattamento, obblighi di reportistica, comunicazione di reclami e richieste di diritti entro due giorni lavorativi, nonché la restituzione della pratica con relazione finale in caso di esito negativo del recupero.

Violazioni accertate

L'Autorità ha ritenuto che il trattamento fosse illecito per violazione degli artt. 5, par. 1, lett. a) e d), 5, par. 2 e 24 GDPR. In particolare, il responsabile aveva raccolto un dato di contatto ulteriore e lo aveva utilizzato nel contesto del rintraccio, ma non lo aveva comunicato al titolare né aveva segnalato le istanze dell'interessato. Questo ha impedito a Europa Factor S.p.A. di disporre di dati aggiornati e di fornire un riscontro completo e tempestivo alle richieste di accesso ex art. 15 GDPR.

Il Garante ha inoltre osservato che, nell'ambito del recupero crediti, il titolare deve impartire istruzioni chiare al responsabile anche in ordine all'aggiornamento e all'esattezza dei dati, e deve vigilare in modo effettivo e documentato sull'operato del responsabile, con controlli periodici e sistemi di verifica idonei a intercettare anomalie.

Insufficienza dei controlli posti in essere dal titolare

Europa Factor S.p.A. aveva dedotto di aver effettuato controlli in fase di selezione del responsabile e un monitoraggio nel corso del rapporto, anche mediante audit e report periodici. Il Garante ha però ritenuto che tali attività fossero insufficienti e non specificamente orientate alla verifica del rispetto delle istruzioni in materia di protezione dei dati personali. In particolare, la documentazione prodotta mostrava controlli concentrati soprattutto sugli aspetti di sicurezza tecnica e organizzativa, mentre non risultava un programma predefinito di verifiche periodiche sul corretto adempimento degli obblighi privacy, sulle modalità di aggiornamento dei dati e sulla gestione delle richieste degli interessati.

L'Autorità ha evidenziato che il mero flusso di report sullo stato delle pratiche non equivale a un controllo effettivo e strutturato del trattamento, soprattutto quando il contratto prevedeva obblighi specifici di relazione finale e comunicazione di reclami e richieste privacy che non sono stati attivati nel caso concreto.

Misure adottate nel corso del procedimento

Nel corso del procedimento Europa Factor S.p.A. ha rappresentato di aver adottato o rafforzato alcune misure correttive, tra cui:

• revisione dei modelli di nomina dei responsabili del trattamento;
• approvazione di una procedura specifica sulla gestione dei responsabili del trattamento, comprensiva di controlli periodici almeno annuali, questionari, audit e verifiche ad hoc;
• integrazione del questionario di monitoraggio verso le agenzie di recupero crediti, con richieste più dettagliate anche sulla fonte dei dati raccolti e sulle istanze degli interessati;
• ulteriori iniziative organizzative e di audit sul processo di outsourcing del recupero crediti.

Alla luce di tali misure, il Garante ha ritenuto che non fosse necessario adottare ulteriori misure correttive ex art. 58, par. 2 GDPR, pur confermando l'illiceità del trattamento.

Sanzione amministrativa e criteri di quantificazione

La violazione degli artt. 5 e 24 GDPR è stata sanzionata ai sensi dell'art. 83, par. 5, lett. a) GDPR. Nel quantificare la sanzione, il Garante ha considerato:

• la gravità moderata della violazione, riferita a principi generali del trattamento e non a dati particolari, in relazione a un solo interessato;
• il carattere colposo della condotta;
• le misure adottate per attenuare o eliminare le conseguenze;
• la collaborazione prestata dal titolare;
• l'assenza di precedenti specifici;
• le condizioni economiche del trasgressore.

È stata quindi irrogata a Europa Factor S.p.A. una sanzione amministrativa pecuniaria di euro 50.000,00.

Dispositivo e rimedi

Il Garante ha dichiarato l'illiceità del trattamento effettuato da Europa Factor S.p.A. e ha ordinato il pagamento della sanzione entro trenta giorni dalla notifica. È stata disposta la pubblicazione dell'ordinanza ingiunzione sul sito internet dell'Autorità e l'annotazione delle violazioni nel registro interno. Resta ferma la facoltà di definizione agevolata nei limiti previsti dalla legge e la possibilità di proporre opposizione avanti l'autorità giudiziaria ordinaria nei termini di legge.