Ordinanza ingiunzione o revoca n. 615 del 17/10/2024

Serfin 97 S.r.l.: gestione non tracciata di un recapito e-mail nel recupero crediti

Il Garante ha esaminato un reclamo relativo a un trattamento di dati personali svolto nell'ambito di un'operazione di cartolarizzazione dei crediti e di recupero stragiudiziale. Il destinatario del provvedimento è Serfin 97 S.r.l., qualificata come responsabile del trattamento, cui è stata contestata la mancata tracciabilità dell'origine di un indirizzo e-mail utilizzato per contattare un debitore.

Origine del procedimento e attività istruttoria

Il procedimento trae origine dal reclamo presentato il 19 novembre 2021 da un interessato, che lamentava l'invio di una comunicazione di recupero crediti a un indirizzo e-mail riferibile a un proprio conoscente, anziché a sé stesso. L'interessato ha precisato di non aver mai comunicato quell'indirizzo al fornitore originario né ai soggetti cessionari o incaricati del recupero.

A seguito del reclamo, il Garante ha avviato un'istruttoria ai sensi dell'art. 157 del Codice privacy, richiedendo informazioni a Serfin 97 S.r.l. e, successivamente, a P.E.S. S.r.l. Sono stati inoltre svolti accertamenti ispettivi dal Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di finanza nelle giornate del 26 e 27 ottobre 2022.

Ruoli privacy e contesto della cartolarizzazione

Dagli atti è emerso che P.E.S. S.r.l. operava quale special purpose vehicle nell'ambito di una cartolarizzazione di crediti disciplinata dalla l. n. 130/1999, ed era titolare del trattamento dei dati dei debitori ceduti. Serfin 97 S.r.l. era incaricata da Centotrenta Servicing S.p.A., a sua volta coinvolta nell'operazione, per attività di riscossione e recupero crediti, con qualifica di responsabile del trattamento ex art. 28 GDPR.

Il Garante richiama il quadro normativo della cartolarizzazione e chiarisce che, pur non disponendo in proprio di una struttura operativa, il veicolo di cartolarizzazione assume la titolarità del trattamento dei dati dei debitori ceduti, mentre il servicer e gli eventuali sub-servicer pongono in essere i trattamenti in nome e per conto del titolare. In questo contesto, al responsabile sono richiesti elevati standard di competenza e specifici obblighi diretti previsti dal GDPR.

Fatti accertati nel caso concreto

Nel corso dell'istruttoria è stato acquisito il tracciato originario dei dati del reclamante e il fascicolo relativo ai crediti insoluti. Da tale documentazione risultava l'esistenza di tre fatture insolute, ma non vi era alcun indirizzo e-mail del reclamante tra i dati anagrafici detenuti dal titolare.

Serfin 97 S.r.l. ha riferito di aver ricevuto mandato il 18 dicembre 2020 per verificare la possibilità di una definizione stragiudiziale delle morosità e di aver effettuato chiamate telefoniche ai recapiti forniti dal committente; solo successivamente sarebbe stata inviata una comunicazione via e-mail. La società ha indicato che il personale non ricordava con esattezza la fonte dell'indirizzo e-mail, ipotizzando che potesse provenire da contatti telefonici o da fonti pubbliche.

La stessa Serfin 97 S.r.l. ha inoltre dichiarato di aver cancellato l'indirizzo contestato il 1° dicembre 2021, sia dalla pratica sia dal proprio database, e di aver riscontrato il reclamo nei termini.

Valutazioni del Garante sugli obblighi del responsabile

Il Garante sottolinea che, nel contesto del recupero crediti, il responsabile del trattamento deve non solo attenersi alle istruzioni del titolare, ma anche adottare misure tecniche e organizzative adeguate per garantire l'aggiornamento dei dati, la tracciabilità della loro origine e la correttezza delle informazioni utilizzate per il contatto con il debitore. Ciò risponde ai principi di liceità, correttezza ed esattezza ex art. 5, par. 1, lett. a) e d) GDPR, oltre che all'esigenza di consentire al titolare di riscontrare correttamente le istanze dell'interessato, anche in relazione alla fonte dei dati ex art. 15, par. 1, lett. g) GDPR.

L'Autorità evidenzia che, nel caso concreto, il contratto di sub-servicing prevedeva specifici obblighi di aggiornamento, evidenza delle operazioni effettuate, comunicazione dei dati necessari e cooperazione con il titolare per il rispetto della normativa privacy. Serfin 97 S.r.l., però, non ha tenuto traccia dell'origine dell'e-mail contestata e non ha inserito tale dato nel fascicolo dei crediti del titolare, impedendo così a P.E.S. S.r.l. di disporre di informazioni esatte e aggiornate.

Violazione dell'art. 28, par. 3, lett. a), e) e h) GDPR

Il Garante ha ritenuto che la condotta integri una violazione dell'art. 28, par. 3, lett. a), e) e h) GDPR, in quanto il responsabile non ha agito secondo le istruzioni del titolare, non ha assistito adeguatamente il titolare nel garantire la conformità alla disciplina e non ha messo a disposizione tutte le informazioni necessarie per dimostrare il rispetto degli obblighi in materia di trattamento.

L'Autorità ha escluso che l'episodio fosse un mero errore isolato e imprevedibile dell'operatore, rilevando invece l'assenza, all'epoca dei fatti, di misure tecniche idonee a prevenire simili criticità. Ha inoltre osservato che le dichiarazioni della società non trovavano pieno riscontro rispetto alla presunta trasmissione periodica al titolare di aggiornamenti sui dati di contatto.

La violazione è stata collocata temporalmente dal 23 ottobre 2021, data di invio dell'e-mail contestata, al 1° dicembre 2021, data della cancellazione del dato errato.

Misure adottate nel corso del procedimento

Nel corso del procedimento Serfin 97 S.r.l. ha dichiarato di aver introdotto misure correttive e di prevenzione, tra cui:

• un sistema automatico di validazione degli indirizzi e-mail, con blocco dell'invio verso contatti non provenienti dal committente;
• una procedura che richiede la conferma dell'identità del destinatario e l'autorizzazione all'invio, prima dell'utilizzo dell'indirizzo inserito;
• una modifica del gestionale con validazione preventiva da parte del Team Leader;
• l'obbligo, per gli operatori, di indicare la fonte del dato e di compilare un campo note dettagliato;
• il blocco del salvataggio della modifica in caso di inserimento nel campo errato o di mancanza della fonte.

Il Garante ha preso atto di tali interventi e, proprio in considerazione dell'adeguamento sopravvenuto, ha ritenuto non sussistenti i presupposti per adottare ulteriori misure correttive ex art. 58, par. 2 GDPR.

Sanzione amministrativa e criteri di quantificazione

Accertata l'illiceità del trattamento, il Garante ha applicato l'art. 83, par. 4, lett. a) GDPR e ha valutato i criteri di cui all'art. 83, par. 2 GDPR. In particolare, ha considerato:

• la gravità della violazione, collegata all'inosservanza degli obblighi del responsabile e al contesto delicato del recupero crediti;
• la natura colposa della condotta;
• l'adozione di misure idonee a mitigare le conseguenze, tra cui la cancellazione dell'indirizzo errato;
• l'elevato grado di responsabilità della società per l'inadeguatezza delle misure organizzative;
• la cooperazione con l'Autorità;
• l'assenza di precedenti violazioni;
• il fatto che la comunicazione inviata non avesse in concreto rivelato la situazione di insolvenza a terzi.

Sulla base di tali elementi, e tenuto conto anche delle condizioni economiche della società, il Garante ha irrogato una sanzione amministrativa pecuniaria di 60.000 euro.

Dispositivo

Il provvedimento:

• rileva l'illiceità del trattamento effettuato da Serfin 97 S.r.l. per violazione dell'art. 28, par. 3, lett. a), e) e h) GDPR;
• ordina il pagamento della sanzione di 60.000 euro ai sensi dell'art. 58, par. 2, lett. i) GDPR;
• ingiunge il pagamento entro 30 giorni dalla notifica, con possibilità di definizione agevolata nei limiti di legge;
• dispone la pubblicazione del provvedimento sul sito internet del Garante e l'annotazione nel registro interno dell'Autorità.

Avverso il provvedimento è ammessa opposizione davanti all'autorità giudiziaria ordinaria nei termini previsti dall'art. 78 GDPR, dagli artt. 152 Codice privacy e 10 d.lgs. n. 150/2011.