Ordinanza ingiunzione o revoca n. 387 del 28/05/2026

Spinbridge S.p.A. - illiceità del trattamento nel recupero crediti e sanzione per violazione degli obblighi del responsabile

Il Garante per la protezione dei dati personali ha accertato che Spinbridge S.p.A., quale responsabile del trattamento nell’ambito di un incarico di recupero crediti svolto per conto di Europa Factor S.p.A., ha trattato i dati personali di un debitore in violazione dell’art. 28 GDPR. Il procedimento è nato da una segnalazione dell’interessato, che contestava l’uso di un recapito telefonico a lui intestato ma mai comunicato alla società di recupero crediti.

Origine del procedimento e ricostruzione dei fatti

La vicenda prende le mosse da una segnalazione presentata al Garante l’11 agosto 2022. L’interessato aveva lamentato che Spinbridge S.p.A. avesse utilizzato, nel contesto del recupero crediti, un’utenza telefonica a lui intestata ma non disponibile né comunicata da lui, chiedendo chiarimenti sull’origine del dato.

Dalla documentazione acquisita è emerso che:

• Europa Factor S.p.A. aveva acquistato il credito relativo alla posizione dell’interessato;
• aveva affidato a Euro Service S.p.A., poi divenuta Zolva S.p.A. e infine Spinbridge S.p.A., l’attività di recupero stragiudiziale;
• la società incaricata operava come responsabile del trattamento ai sensi dell’art. 28 GDPR, in base a un contratto di servizio e alla relativa nomina.

Nel corso dell’istruttoria è stato accertato che il numero di telefono contestato non era stato trasmesso da Europa Factor S.p.A. all’atto dell’affidamento, ma era stato acquisito successivamente da Spinbridge S.p.A. tramite un fornitore esterno. Il dato era stato inserito manualmente nel gestionale dalla struttura operativa della società.

Ruoli e assetto contrattuale tra titolare e responsabile

Europa Factor S.p.A. è stata qualificata come titolare del trattamento, in quanto intermediario finanziario che gestiva i crediti acquistati da terzi. Spinbridge S.p.A. è stata invece considerata responsabile del trattamento, incaricata della gestione e del recupero stragiudiziale delle posizioni debitorie.

Il contratto di servizio prevedeva:

• l’assegnazione di lotti di pratiche;
• l’invio periodico di report di avanzamento lavori (SAL);
• obblighi di comunicazione al titolare di reclami, richieste di esercizio dei diritti e informazioni utili alla gestione della posizione;
• una relazione finale con eventuale documentazione acquisita.

Europa Factor ha rappresentato di aver fornito istruzioni operative e di aver previsto una prassi di monitoraggio continuo sull’andamento delle posizioni affidate.

Accertamenti istruttori sulle modalità di trattamento

Gli accertamenti in loco e le successive richieste di informazioni hanno consentito di ricostruire che Spinbridge S.p.A.:

• aveva ricevuto la pratica del sig. XX nel lotto n. 3;
• aveva effettuato attività di rintraccio;
• aveva acquisito in un momento successivo il numero telefonico contestato tramite un fornitore esterno;
• aveva contattato tale numero il 7 giugno 2021;
• aveva ricevuto il 9 giugno 2021 un contatto inbound dall’interessato, che chiedeva di essere contattato solo su un determinato numero e di non usare più l’altro recapito;
• aveva poi classificato la posizione nei report interni come “rifiuta pagamento”.

È emerso tuttavia che tali informazioni aggiornate non erano state adeguatamente rese note al titolare nei report periodici, né in sede di restituzione della pratica.

Violazione dell’art. 28, par. 3, lett. a) e h) GDPR

Il Garante ha ritenuto che Spinbridge S.p.A. non abbia adempiuto agli obblighi di:

• agire solo su istruzioni documentate del titolare;
• mettere a disposizione del titolare tutte le informazioni personali raccolte autonomamente nel corso dell’incarico;
• fornire le informazioni necessarie per dimostrare il rispetto degli obblighi del responsabile.

In particolare, il responsabile avrebbe dovuto conservare e trasmettere a Europa Factor S.p.A. anche il nuovo recapito telefonico acquisito e la relativa fonte, poiché si trattava di dati raccolti nel corso dell’esecuzione del mandato e rilevanti per la legittimità del trattamento e per l’aggiornamento della posizione debitoria.

Secondo il Garante, l’assenza di una comunicazione completa ha impedito al titolare di disporre di un quadro esatto e aggiornato delle informazioni utilizzate nella gestione del credito, con conseguente violazione dell’art. 28, par. 3, lett. a) e h) GDPR.

Violazione dell’art. 28, par. 3, lett. e) GDPR e gestione delle richieste dell’interessato

L’interessato aveva presentato a Spinbridge S.p.A. una richiesta di accesso ex art. 15 GDPR il 21 giugno 2021. Il Garante ha rilevato che la società non ha tempestivamente trasmesso tale istanza al titolare, come invece previsto dal contratto di servizio, né ha dimostrato di avere procedure adeguate per assistere il titolare nel riscontro.

L’art. 28, par. 3, lett. e) GDPR impone al responsabile di assistere il titolare, con misure tecniche e organizzative adeguate, nel dare seguito alle richieste di esercizio dei diritti. Nel caso concreto, la mancata veicolazione dell’istanza e la mancata messa a disposizione di tutte le informazioni raccolte hanno impedito a Europa Factor S.p.A. di rispondere in modo pieno e tempestivo anche alla successiva richiesta dell’interessato del 4 luglio 2022.

Valutazioni conclusive sull’illiceità del trattamento

L’Autorità ha escluso che il procedimento potesse essere archiviato. Ha ritenuto che il trattamento effettuato da Spinbridge S.p.A. fosse illecito perché posto in essere in violazione dell’art. 28, par. 3, lett. a), e) e h) GDPR.

Pur prendendo atto che, nel corso del procedimento, la società ha adottato una nuova procedura interna di gestione dei diritti dell’interessato e ha avviato un confronto con Europa Factor S.p.A. per correggere i flussi informativi, il Garante ha osservato che le misure introdotte non erano sufficienti a eliminare tutte le criticità emerse, soprattutto quanto alla necessità di rendere sistematicamente disponibili al titolare anche i dati raccolti autonomamente dal responsabile.

Prescrizioni correttive ai sensi dell’art. 58, par. 2 GDPR

Il Garante ha ordinato a Spinbridge S.p.A. di adottare, entro sei mesi dalla notifica del provvedimento, misure tecniche e/o organizzative aggiuntive idonee a garantire che il titolare riceva costantemente un quadro esatto e aggiornato di tutte le informazioni personali dei debitori acquisite dal responsabile nel corso dell’incarico, comprese quelle ottenute tramite rintraccio o a seguito di richieste dell’interessato.

La società deve fornire entro lo stesso termine un riscontro adeguatamente documentato ai sensi dell’art. 157 del Codice privacy.

Sanzione amministrativa pecuniaria e criteri di quantificazione

Per la violazione degli obblighi dell’art. 28 GDPR, il Garante ha applicato una sanzione amministrativa pecuniaria di 30.000 euro.

Nella quantificazione sono stati considerati i criteri dell’art. 83, par. 2 GDPR, tra cui:

• gravità della violazione, connessa alla natura specialistica dell’attività di recupero crediti e all’assenza di adeguate misure organizzative;
• carattere colposo della condotta;
• grado di responsabilità del contravventore;
• misure adottate successivamente per attenuare gli effetti della violazione;
• assenza di precedenti pertinenti;
• cooperazione con l’Autorità;
• iniziative spontanee di adeguamento e confronto con il titolare;
• condizioni economiche della società.

Il Garante ha inoltre precisato che le violazioni non potevano essere considerate “minori” ai sensi del considerando 148 GDPR.

Dispositivi finali

Nel dispositivo il Garante:

• ha dichiarato l’illiceità del trattamento effettuato da Spinbridge S.p.A.;
• ha ingiunto l’adozione delle misure correttive entro sei mesi;
• ha ordinato il pagamento della sanzione di 30.000 euro entro trenta giorni;
• ha disposto la pubblicazione del provvedimento e dell’ordinanza-ingiunzione sul sito istituzionale;
• ha previsto l’annotazione nel registro interno dell’Autorità.

È stata richiamata la possibilità di opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. 150/2011, entro trenta giorni dalla comunicazione del provvedimento, o sessanta giorni se il ricorrente risiede all’estero.