Provvedimenti n. 616 del 17/10/2024

P.E.S. S.r.l. – illiceità del trattamento nei recuperi crediti e carenze di accountability

Il provvedimento riguarda P.E.S. S.r.l., società veicolo nell’ambito di un’operazione di cartolarizzazione di crediti, in relazione al trattamento dei dati di un debitore per attività di recupero crediti. Il Garante interviene a seguito di reclamo ex art. 77 GDPR e conclude per la illiceità del trattamento, rilevando più violazioni collegate sia alla gestione del rapporto con i responsabili del trattamento sia agli adempimenti organizzativi del titolare.

Origine del procedimento e contesto fattuale

Il reclamante lamentava che per i solleciti di pagamento fosse stato utilizzato un indirizzo e-mail appartenente a un conoscente e mai comunicato né al creditore originario né ai soggetti coinvolti nel recupero. Il credito era stato originariamente ceduto da Eni gas e luce S.p.A. a P.E.S. S.r.l. nell’ambito di una cartolarizzazione disciplinata dalla l. n. 130/1999. Nel corso dell’istruttoria sono stati acquisiti documenti, riscontri scritti e verbali ispettivi del Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di finanza.

Ricostruzione dei ruoli nel trattamento

Il Garante chiarisce che, in questo tipo di operazioni, la special purpose vehicle è titolare del trattamento dei dati dei debitori ceduti, mentre il servicer opera come responsabile ex art. 28 GDPR. Nel caso concreto:

• P.E.S. S.r.l. era il titolare;
• Centotrenta Servicing S.p.A. agiva come servicer/responsabile;
• Serfin 97 S.r.l. era il sub-gestore del recupero crediti;
• NPR Management S.r.l. svolgeva funzioni di advisor e monitoraggio. Il provvedimento ricorda che, anche quando l’esternalizzazione è imposta dalla disciplina della cartolarizzazione, il titolare resta pienamente responsabile del trattamento e deve impartire istruzioni adeguate e vigilare sull’operato dei responsabili.

Violazione dei principi di liceità, correttezza ed esattezza

Dall’istruttoria è emerso che Serfin 97 S.r.l. non ha conservato traccia dell’origine dell’indirizzo e-mail utilizzato per i contatti col debitore e non lo ha inserito nel fascicolo dei crediti del titolare. Questo ha impedito di verificare con certezza la provenienza del dato e di ricostruire correttamente le informazioni trattate. Il Garante collega tali omissioni alla violazione:

• dell’art. 28, par. 3, lett. a), e) e h) GDPR, per il mancato rispetto delle istruzioni e dell’obbligo di assistenza/vigilanza del responsabile;
• dell’art. 5, par. 1, lett. a) e d) GDPR, per la lesione dei principi di liceità, correttezza ed esattezza. Il provvedimento evidenzia anche il rischio che dati errati o non pertinenti siano utilizzati nel recupero crediti, con possibile divulgazione indebita a terzi della situazione debitoria dell’interessato.

Inadeguatezza dei controlli del titolare

P.E.S. S.r.l. sosteneva di avere svolto audit e ispezioni periodiche sui propri responsabili, ma il Garante ritiene che la documentazione prodotta non dimostri un controllo effettivo e mirato ai profili di protezione dei dati. In particolare:

• non sono state fornite evidenze degli audit documentali annuali;
• le ispezioni on site risultano brevi e riferite a molteplici ambiti, con la privacy solo come uno dei temi trattati;
• mancano report sugli esiti delle verifiche e sulle eventuali misure correttive;
• il titolare non aveva contezza di eventuali sub-responsabili nominati dai responsabili. Secondo il Garante, ciò integra una violazione degli artt. 5, par. 2, e 24 GDPR, in quanto il titolare non ha dimostrato di aver adottato misure tecniche e organizzative idonee a garantire e a provare la conformità al Regolamento.

Registro dei trattamenti e designazione del DPO

Un ulteriore profilo di illiceità riguarda l’assenza del registro delle attività di trattamento, in violazione dell’art. 30, par. 1 GDPR. Il Garante esclude l’applicabilità della deroga dell’art. 30, par. 5 GDPR, osservando che il trattamento non è occasionale ma costituisce l’oggetto principale ed esclusivo dell’attività della società e presenta un rischio elevato per i diritti e le libertà degli interessati.

È stata inoltre accertata la mancata designazione del responsabile della protezione dei dati. Considerata la scala dell’operazione, il numero molto elevato di interessati coinvolti e la natura delle attività svolte, il Garante ritiene integrato l’obbligo ex art. 37, par. 1, lett. c) GDPR, per trattamenti che richiedono monitoraggio regolare e sistematico su larga scala.

Mancato riscontro alla richiesta di informazioni del Garante

La società non ha riscontrato la richiesta di informazioni trasmessa dal Garante il 18 luglio 2022, nonostante la regolare notifica. Tale omissione integra la violazione dell’art. 157 del Codice privacy. Il provvedimento sottolinea che l’inoltro della richiesta a un advisor interno non fa venir meno il dovere del titolare di rispondere direttamente all’Autorità.

Valutazione finale e misure conseguenti

Il Garante conclude che le giustificazioni addotte non consentono l’archiviazione del procedimento e che il trattamento è illecito per la violazione degli artt. 5, par. 1, lett. a) e d), 5, par. 2, 24, 30 e 37 GDPR, nonché dell’art. 157 del Codice privacy. Tuttavia, prende atto che nel corso del procedimento P.E.S. S.r.l. ha:

• integrato la procedura ispettiva verso i responsabili;
• potenziato il supporto del servicer per i controlli sui sub-servicer;
• redatto il registro dei trattamenti. Per questo motivo il Garante non dispone ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR, ma ordina l’annotazione delle violazioni nel registro interno dell’Autorità.