Prescrizioni del Garante n. 193 del 12/03/2026

Sagitter S.p.A. – comunicazione illecita di dati debitori a terzi nel recupero crediti

Il Garante ha esaminato il reclamo presentato contro Sagitter S.p.A. per l’invio, nell’ambito di attività di recupero crediti, di una comunicazione contenente l’esistenza di un presunto debito a soggetti estranei al rapporto obbligatorio, in particolare familiari e altri terzi legati a beni immobili cointestati. Il provvedimento conclude per l’illiceità del trattamento e dispone misure correttive organizzative.

Origine del procedimento e ricostruzione dei fatti

Il reclamo è stato presentato il 30 aprile 2025 ai sensi dell’art. 77 GDPR. L’interessato ha lamentato che l’8 aprile 2025 Sagitter S.p.A., all’epoca Sagitter S.r.l., avesse inviato una raccomandata A/R alla moglie, alla madre e ai fratelli, informandoli del debito a lui attribuito e della possibile azione giudiziale di recupero forzoso, con riferimento anche a immobili di cui i destinatari risultavano cointestatari.

Dall’istruttoria è emerso che il credito era originariamente di Agos Ducato ed era stato ceduto a Sagitter S.p.A. La società ha spiegato che il caso era nato da omonimia e omocodia: sulla base del codice fiscale del debitore presente in atti, era stato estratto erroneamente il certificato di residenza del reclamante e a tale indirizzo era stata inviata, il 19 febbraio 2025, la comunicazione di cessione e l’informativa ex art. 13 GDPR. Dopo la contestazione dell’interessato del 13 marzo 2025, la società ha ritenuto di poter proseguire il recupero, giudicando la contestazione generica. Successivamente, l’8 aprile 2025, ha inviato la comunicazione oggetto di reclamo anche ai comproprietari di alcuni immobili, sostenendo di voler tutelare il loro interesse a conoscere un’eventuale futura esecuzione immobiliare. In seguito, accertata l’estraneità del reclamante al debito, la società ha rinunciato al credito e ha informato i comproprietari dell’errore.

Posizione difensiva del titolare

A seguito della contestazione delle presunte violazioni ex art. 5, par. 1, lett. a), e art. 6 GDPR, la società ha sostenuto che la comunicazione fosse giustificata dal legittimo interesse dei comproprietari dei beni immobili, in quanto finalizzata a renderli edotti di un’azione esecutiva imminente che li avrebbe coinvolti. Ha inoltre rivendicato la correttezza dell’invio preventivo, sostenendo che i terzi avrebbero potuto così adottare iniziative a tutela dei propri diritti prima dell’eventuale procedura esecutiva.

Durante l’audizione del 13 febbraio 2026, Sagitter S.p.A. ha rappresentato di avere adottato un protocollo operativo interno: in caso di contestazioni sull’identità del debitore o sulla titolarità del debito, gli operatori devono sospendere immediatamente ogni azione, effettuare verifiche approfondite e astenersi dal contattare terzi fino alla soluzione della questione.

Valutazioni del Garante: liceità, correttezza e base giuridica

Il Garante ha richiamato preliminarmente l’art. 6 GDPR, ricordando che ogni trattamento deve fondarsi su una base giuridica idonea, e l’art. 5, par. 1, lett. a), GDPR, che impone liceità e correttezza. Ha ribadito che ciò vale anche nel recupero crediti, contesto nel quale le informazioni trattate possono incidere sull’affidabilità creditizia e sulla dignità dell’interessato.

L’Autorità ha richiamato anche il provvedimento generale del 30 novembre 2005 in materia di recupero crediti, tuttora rilevante per i profili compatibili con il quadro normativo vigente, secondo cui è illecito comunicare ingiustificatamente a terzi, come familiari, coabitanti, colleghi o vicini, informazioni sullo stato di inadempimento del debitore, specie quando ciò sia funzionale a esercitare pressioni indebite sul medesimo.

Il legittimo interesse dei comproprietari e i limiti applicativi

Il Garante ha esaminato la tesi difensiva fondata sull’art. 6, par. 1, lett. f), GDPR. Ha riconosciuto che nell’ordinamento esiste un interesse lecito e specifico dei comproprietari a essere informati dell’avvio di una procedura esecutiva su un bene indiviso, richiamando la disciplina dell’espropriazione di beni in comunione e, in particolare, gli artt. 599, 600 e 601 c.p.c., oltre agli artt. 180 e 181 delle disposizioni di attuazione.

Secondo il Garante, tuttavia, tale interesse può assumere rilievo solo in una fase effettivamente iniziale della procedura esecutiva, quando il creditore abbia già compiuto atti specificamente orientati all’azione espropriativa e abbia individuato il bene da aggredire. In quel contesto la notifica ai contitolari è prevista dalla legge e serve sia a consentire loro di tutelarsi sia a impedire che possano, d’intesa con il debitore, separare il bene a danno del creditore.

Nel caso esaminato, invece, la comunicazione dell’8 aprile 2025 è stata ritenuta riferita a una fase precedente e meramente potenziale del recupero, nella quale non era ancora individuato con precisione lo specifico bene da espropriare. La missiva, inoltre, conteneva un elenco di immobili solo astrattamente aggredibili e veniva inviata a una pluralità di soggetti terzi, non tutti comproprietari dei medesimi beni. Per tali ragioni, il Garante ha escluso la concretezza e l’attualità dell’interesse invocato dalla società.

Esito: illiceità del trattamento e misure correttive

L’Autorità ha concluso che la comunicazione a terzi dello stato di insolvenza attribuito al reclamante era priva di base giuridica e costituiva quindi violazione dell’art. 5, par. 1, lett. a), e dell’art. 6 GDPR. Ha ritenuto che la diffusione della notizia del debito, per di più erroneamente attribuito, avesse inciso negativamente sulla dignità dell’interessato e prodotto un pregiudizio alla sua reputazione personale e creditizia.

In applicazione dell’art. 58, par. 2, lett. d), GDPR, il Garante ha quindi ingiunto a Sagitter S.p.A. di integrare le procedure interne rivolte agli operatori del recupero crediti, disciplinando in modo puntuale le modalità di comunicazione quando il debitore sia titolare di un bene in comunione, così da prevenire ulteriori comunicazioni illecite a terzi contitolari.

Termine per l’adempimento e ulteriori conseguenze

La società deve conformarsi entro tre mesi dalla notifica del provvedimento e fornire, entro lo stesso termine, un riscontro documentato ai sensi dell’art. 157 del Codice privacy. È stato inoltre avvertito che l’eventuale mancato riscontro può determinare l’applicazione della sanzione amministrativa pecuniaria di cui all’art. 83, par. 5, lett. e), GDPR.

Il provvedimento dispone anche l’annotazione delle violazioni e delle misure nel registro interno dell’Autorità e la pubblicazione sul sito istituzionale del Garante. Contro la decisione è ammessa opposizione davanti all’autorità giudiziaria ordinaria nei termini previsti dall’art. 78 GDPR, dagli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011.