VEDI ANCHE Newsletter del 26 marzo 2026

[doc. web n. 10233368]

Provvedimento del 12 marzo 2026

Registro dei provvedimenti
n. 193 del 12 marzo 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Claudio Filippi, Vice Segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il d.lgs. del 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. del 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

VISTO il reclamo presentato al Garante ai sensi dell’articolo 77 del Regolamento, in data 30 aprile 2025, concernete l’illecita comunicazione a terzi, da parte di Sagitter S.p.A., di dati personali dell’istante nell’ambito dell’attività di recupero crediti posta in essere da quest’ultima;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Agostino Ghiglia;

PREMESSO

1. Il reclamo e l’attività istruttoria.

Con reclamo presentato a questa Autorità il 30 aprile 2025, il Sig. XX ha lamentato l’illecita comunicazione a terzi, da parte di Sagitter S.p.A. (all’epoca dei fatti, Sagitter S.r.l.), di informazioni inerenti alla propria persona nell’ambito dell’attività di recupero crediti posta in essere da quest’ultima.

Più nello specifico, è stato rappresentato che, in data 8 aprile 2025, la Società avrebbe trasmesso, mediante raccomandata A/R, a persone estranee al rapporto di credito (nella specie: la moglie, la madre e i fratelli dell’istante) una comunicazione contenente l’indicazione di un debito attribuito a quest’ultimo, unitamente all’intenzione della predetta Sagitter S.p.A. “di procedere giudizialmente al recupero forzoso del credito (..) con possibilità di soddisfarsi anche sui beni immobili” di cui gli stessi terzi risultavano cointestatari (v. All. 14 del reclamo del 30 aprile 2025; per la data di trasmissione della comunicazione, cfr. inoltre All. 15 del reclamo cit.).

La missiva riportava altresì l’elenco dettagliato dei relativi beni con indicazione delle quote di proprietà e di usufrutto vantati da ciascuno dei destinatari della stessa.

Al riguardo, la scrivente Autorità ha avviato un’istruttoria, per il tramite di una richiesta di informazioni (v. nota del Garante del 26 maggio 2025, prot. n. 71491/25), cui la Società ha fornito riscontro in data 25 giugno 2025.

Dalla documentazione complessivamente acquisita agli atti è emerso quanto riportato di seguito:

l’attività di recupero crediti posta in essere da Sagitter S.p.A. si riferisce ad un credito -originariamente vantato da Agos Ducato e ceduto, da ultimo, a Sagitter S.p.A.) - intestato ad un soggetto diverso dal Sig. XX, ma avente stesso nome e cognome e medesimo codice fiscale (v. nota della Società del 25 giugno 2025, pagg. 1-3 e All. nn. 2 e 10);

a causa delle predette omonimia ed omocodia, Sagitter S.p.A., al fine di avviare le attività di recupero crediti, nei confronti dell’interessato, ha erroneamente estratto, sulla base del codice fiscale del debitore presente in atti, il certificato di residenza del reclamante, trasmettendo, il 19 febbraio 2025, a tale indirizzo, la comunicazione di avvenuta cessione unitamente all’informativa ex art. 13 del Regolamento relativa al trattamento dei dati personali del debitore ceduto (v. nota della Società del 25 giugno 2025, pagg. 2-3 e All. n. 10);

ricevuta la comunicazione del Sig. XX del 13 marzo 2025 con cui si contestava l’esistenza del debito, la Società ha ritenuto ad ogni modo di proseguire l’attività di recupero dello stesso; ciò in quanto la predetta missiva era di natura generica e non conteneva al proprio interno “nessuna richiesta specifica, né contestazione dettagliata” tale da “lasciar anche solo immaginare un errore nell’identificazione del debitore, una omonimia o altro, né una qualche domanda di invio di documentazione volta ad appurare la fondatezza delle pretese di Sagitter”. Si trattava ovvero di “una lettera per il vero in tutto e per tutto analoga a quella della maggior parte dei debitori che contestano in modo apodittico e astratto la debenza di qualunque somma” (v. nota della Società del 25 giugno 2025, pag. 3 e All. n. 11);

Sagitter S.p.A. procedeva quindi, in data 8 aprile 2025, “di fronte all’inerzia del debitore e alla totale chiusura rispetto a qualsiasi forma di confronto con la creditrice” a trasmettere al Sig. XX la comunicazione oggetto di doglianza recante in copia i Sig.ri XX, XX, XX e XX, quali cointestatari di alcuni beni immobili di proprietà del reclamante. L’invio “della comunicazione informativa è avvenuto -solo per conoscenza- a soggetti comproprietari dei beni immobili condivisi con il debitore (..) al fine di preservare un interesse legittimo in loro tutela”, quello di “avere conoscenza e consapevolezza delle conseguenze di una eventuale e futura azione legale [pignoramento immobiliare] che inevitabilmente li avrebbe coinvolti” (v. nota della Società del 25 giugno 2025, pagg. 3-4);

la Società, una volta accertata l’estraneità del reclamante rispetto al debito oggetto di recupero, ha tempestivamente provveduto a rinunciare espressamente al predetto credito e a qualsivoglia ulteriore pretesa in merito e si è fatta carico di informare specificatamente i comproprietari dell’erronea attribuzione del debito al Sig. XX (v. nota della Società del 25 giugno 2025, pagg. 6-7 e All. n. 14).  

2. La notifica delle presunte violazioni.

A seguito della notifica delle presunte violazioni di cui all’art. 5, par. 1 lett. a), e all’art. 6 del Regolamento, trasmessa a Sagitter S.p.A. con comunicazione del 7 novembre 2025, la Società, con nota del 4 dicembre 2025, ha fatto pervenire i propri scritti difensivi, ulteriormente integrati in sede di audizione del 13 febbraio 2026.

Nell’ambito delle sopra menzionate memorie, la Società con riferimento alla contestata inapplicabilità al caso di specie del presupposto giuridico del “legittimo interesse” (art. 6, par. 1, lett. f) del Regolamento), ha rappresentato quanto di seguito riportato:

a) in ordine ai requisiti di “concretezza e attualità” dell’interesse dei comproprietari alla tutela dei propri diritti, Sagitter S.p.A. ha evidenziato che la comunicazione dell’8 aprile 2025 “fosse indirizzata a soggetti specifici, (..) in relazione a beni immobili altrettanto specifici, sui quali un'azione esecutiva era stata concretamente ipotizzata” e che la stessa avesse la finalità di “informarli di un'azione imminente che li avrebbe inevitabilmente coinvolti”. La predetta comunicazione “non era generica, ma mirata e funzionale a un'attività pre-esecutiva ben definita” (v. nota della Società del 4 dicembre 2025, pag. 4);

b) rispetto alla natura dell’interesse, ha sottolineato che “informare preventivamente i terzi interessati può essere un atto di correttezza, volto a consentire loro di adottare le opportune iniziative (es. interloquire con il debitore, valutare la separazione della quota, etc.), prima che la procedura esecutiva sia formalmente avviata, con i relativi costi e aggravi” (v. nota della Società del 4 dicembre 2025, pag. 4).

La Società ha inoltre sottolineato il rilevante impegno profuso dalla stessa, a seguito dell’avvio del procedimento da parte del Garante, nell’ottica di rafforzare il livello di compliance in materia di protezione dei dati personali all’interno della propria organizzazione, dimostrando così un significativo spirito collaborativo.

In tale ottica, ha informato l’Autorità di avere implementato un protocollo operativo che prevede, in caso di contestazione sull'identità del debitore o sulla titolarità del debito, l'immediata sospensione di ogni azione e l'avvio di una verifica approfondita prima di procedere ulteriormente, con un divieto assoluto di contattare terzi fino alla risoluzione della questione (v. verbale dell’audizione del 13 febbraio 2026).

3. Le valutazioni dell’Autorità.

In primis, si rappresenta che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”.

Alla luce degli elementi acquisiti nel corso dell’attività istruttoria sopra descritta, nonché delle successive valutazioni svolte da questo Dipartimento, emergono, a carico di Sagitter S.p.A. le violazioni dell’art. 5, par. 1, lett. a) e dell’art. 6 del Regolamento; ciò con riferimento all’illecita trasmissione, l’8 aprile 2025, a terzi (nello specifico, alla moglie, alla madre e ai fratelli del reclamante) di una comunicazione riportante l’esistenza di un debito gravante su quest’ultimo.

Al riguardo, si rammenta che le operazioni di trattamento devono sempre trovare fondamento in un’idonea base giuridica, individuata, per i dati c.d. comuni (quali quelli oggetto del caso in esame), all’art. 6 del Regolamento.

Si tratta, nello specifico, del consenso dell’interessato, dell’adempimento del contratto in essere tra le parti, dell’esecuzione di un obbligo legale cui è tenuto il titolare, della salvaguardia degli interessi vitali dell’interessato, dell’esecuzione di un compito di interesse pubblico o del perseguimento di un legittimo interesse del titolare o di un terzo alle specifiche condizioni previste dalla norma.

Più in generale, al titolare compete invero l’onere di effettuare, all’atto di porre in essere un’operazione di trattamento di informazioni personali -quale ad esempio la trasmissione a terzi di comunicazioni contenenti dati riguardanti un interessato- un’approfondita analisi dei presupposti di legittimità sottesi allo stesso (art. 6 del Regolamento), nonché delle modalità di quest’ultimo (art. 5, par. 1 del Regolamento); ciò al fine di assicurare l’osservanza della normativa rilevante in materia.

Tali principi trovano applicazione anche nel contesto dell’attività di recupero crediti, laddove -considerata la particolare tipologia di informazioni trattate, in quanto atte ad incidere sull’affidabilità creditizia dell’interessato- è richiesta al titolare l’adozione di particolari misure volte ad assicurare il rispetto della riservatezza e della dignità dello stesso.

Al riguardo la scrivente Autorità si è più volte pronunciata a seguito di segnalazioni e reclami (cfr., tra i tanti, provv. del 7 aprile 2022, doc web n. 9771122; provv. del 9 giugno 2022, doc web n. 9794913), nonché con un provvedimento di carattere generale (v. provvedimento del 30 novembre 2005 – doc. web n. 1213644) che ha prescritto ai titolari misure necessarie e opportune volte al rispetto dei principi di liceità e correttezza del trattamento delle informazioni concernenti il debitore. Il predetto provvedimento, per quanto adottato prima dell’entrata in vigore del Regolamento, fornisce indicazioni che continuano tuttora ad applicarsi, in quanto compatibili con il vigente quadro normativo in materia di protezione dei dati personali (v. art. 22, comma 4 del D. lgs. n. 101/2018, del 10 agosto 2018).

Al suo interno, i titolari sono in particolare richiamati all’osservanza del principio di liceità e correttezza del trattamento (art. 5, par. 1, lett. a) del Regolamento). Precetto che, nel contesto del recupero crediti, “è [spesso] violato dal comportamento (attuato da taluni operatori economici) consistente nel comunicare ingiustificatamente a soggetti terzi rispetto al debitore (quali, ad esempio, familiari, coabitanti, colleghi di lavoro o vicini di casa), informazioni relative alla condizione di inadempimento nella quale versa l’interessato”; ciò con specifico riferimento alle ipotesi in cui tale comportamento sia “tenuto per esercitare indebite pressioni sul debitore al fine di conseguire il pagamento della somma dovuta” (v. Provv. del Garante del 30 novembre 2005, doc. web n. 1213644, parr. 2-3).

Tanto doverosamente premesso, rispetto alla fattispecie in esame, è emersa l’illiceità, ai sensi dell’art. 5, par. 1, lett. a) e dell’art. 6 del Regolamento, del trattamento posto in essere da Sagitter S.p.A., mediante trasmissione a terzi della missiva dell’8 aprile 2025; ciò in quanto la stessa ha comportato, in assenza di idonea base giuridica, la comunicazione dello stato di insolvenza, attribuito al Sig. XX, a soggetti estranei all’obbligazione contratta dal debitore.

Sul punto, non può essere accolto quanto sostenuto dalla Società rispetto all’applicazione, all’ipotesi in oggetto, della condizione di liceità del “legittimo interesse” (art. 6, par. 1, lett. f) del Regolamento); condizione individuata da Sagitter S.p.A. nell’interesse dei comproprietari ad essere informati dell’avvio della procedura esecutiva a carico del bene indiviso, al fine di consentire agli stessi di tutelare i propri diritti sullo stesso (v. supra, par. 1).

L’art. 6, par. 1, lett. f), del Regolamento, infatti, -nel subordinare il ricorso al legittimo interesse quale base giuridica del trattamento alla condizione che “non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali” - impone all’interprete una delicata e complessa attività di valutazione giuridica.

Ciò sia al fine di individuare un interesse sotteso alle operazioni di trattamento che sia “lecito”, “chiaro e specifico”, nonché “concreto e attuale”; sia nell’ottica di tener conto dell’impatto di queste ultime sui diritti e sulla dignità degli interessati (v. in merito, considerando 47 del Regolamento; cfr. anche Comitato europeo per la protezione dei dati, “Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR)”, adottato l’8 ottobre 2024, cap. 2).

Con riferimento al caso in esame, rispetto ai requisiti di liceità e specificità, è possibile richiamare in primis la disciplina in materia di espropriazione di un bene in comproprietà (cfr. artt. 599, 600 e 601 c.p.c., integrati dagli articoli 180 e 181 delle disposizioni di attuazione del medesimo codice di rito) e, in particolare, l’art. 599 c.p.c.

Il sopra citato articolo, nel prevedere la possibilità per il creditore di pignorare pro quota il bene indiviso, statuisce l’obbligo per quest’ultimo di informare gli altri contitolari del pignoramento; il tutto mediante specifica notifica che deve contenere, tra l’altro, “il divieto di lasciare separare dal debitore la propria parte delle cose comuni senza ordine di giudice” (art. 599, comma 2, del c.p.c.).  

La ratio dell’obbligo di notifica è duplice: da una parte, quella di rendere edotti i comproprietari dell’avvio della procedura esecutiva, al fine di consentire agli stessi di tutelare i propri diritti; dall’altra, quella di evitare, per il tramite del summenzionato divieto di separazione, che i comproprietari possano, in accordo con il debitore, effettuare una divisione del bene, a discapito del soddisfacimento del creditore pignorante.

Per le ragioni sopra esposte, è pertanto indubbio il riconoscimento, da parte dell’ordinamento giuridico, di un interesse lecito e specifico dei contitolari ad essere resi edotti dell’avvio della procedura esecutiva; riconoscimento che trova espressione nell’obbligo di notifica di cui all’art. 599, comma 2, del c.p.c. specificatamente definito, nella forma e nei contenuti, dalla medesima norma di legge.

Il predetto interesse, però, ai sensi dell’art. 6, par. 1, lett. f), del Regolamento, deve anche rispondere ai requisiti di “concretezza” e “attualità” richiesti dal legislatore, circostanza che non appare ricorrere nel caso di specie.

La disciplina dell’art. 599, comma 2, del c.p.c., infatti, trova la propria ragion d’essere, esclusivamente con riferimento alla fase di avvio della procedura esecutiva. È in tale momento che, all’esito del compimento, da parte del creditore, di atti specificatamente orientati all’azione espropriativa (quale, in primis, l’esatta individuazione del bene da aggredire), è possibile configurare il contrapposto interesse dei comproprietari non debitori a salvaguardare i propri diritti sul bene indiviso.

A conferma di ciò e in opposizione a quanto sostenuto dal trasgressore (v. par. 2, lett. b) della presente decisone), va richiamato il sopra menzionato divieto di cui all’art. 599, comma 2 del c.p.c.; divieto volto proprio a prevenire il rischio che i comproprietari, una volta informati del probabile avvio di un’azione esecutiva sul bene comune, si accordino, autonomamente e in una fase antecedente alla predetta procedura, a discapito del creditore.

Di contro, la comunicazione di Sagitter S.p.A. dell’8 aprile 2025 appare invece chiaramente riferita a una fase precedente all’attivazione della procedura giudiziaria di pignoramento dei beni del debitore, fase in cui il ricorso allo strumento del recupero forzoso è meramente teorico e potenziale.

Sotto tale punto di vista, non è, pertanto, possibile accogliere quanto a contrario argomentato dal trasgressore nelle proprie memorie difensive (v. par. 2, lett. a) della presente decisione).

La predetta comunicazione riporta, infatti, un elenco di immobili in astratto aggredibili dal creditore, nessuno dei quali effettivamente individuato per tale finalità; parimenti, la succitata missiva è portata a conoscenza di una pluralità di soggetti terzi, non tutti comproprietari dei medesimi beni (cfr. reclamo del 30 aprile 2025, All. 14).

Si tratta dunque di una comunicazione che, lungi dall’inserirsi nell’ambito delle attività prodromiche all’avvio della procedura di cui agli artt. 599 e ss. del c.p.c., è volta a rendere edotto il debitore dell’intenzione, meramente potenziale, di Sagitter S.p.A. di procedere giudizialmente al recupero forzoso del credito -circostanza confermata in particolare dall’assenza, al suo interno, del riferimento esatto allo specifico bene effettivamente passibile di procedura esecutiva.

La sopra menzionata missiva, per le ragioni sopra riportate, deve necessariamente essere quindi collocata in una fase stragiudiziale di recupero del credito, ove non è ancora possibile individuare, con esattezza, il terzo rispetto al quale, una volta identificato il bene oggetto del recupero forzoso, valutare la sussistenza del relativo legittimo interesse.

La suddetta comunicazione, indebitamente portata a conoscenza anche dei familiari del debitore, ha peraltro configurato, in termini di impatto sui diritti e le libertà degli interessati, un trattamento dei dati personali del Sig. XX, idoneo a incidere negativamente sulla dignità di quest’ultimo, ingenerando, nella cerchia dei suoi affetti più cari, un giudizio di disvalore in ordine all’affidabilità dello stesso (art. 6, par. 1, lett. f) del Regolamento). L’impatto è stato peraltro aggravato dalla circostanza che al Sig. XX sia stato erroneamente attribuito un debito mai contratto.

Fermo restando, per tutte le motivazioni espresse, l’inapplicabilità, all’ipotesi in esame, del presupposto di legittimità del legittimo interesse, non appare possibile rinvenire altra condizione di liceità idonea a giustificare, nel caso di specie, la comunicazione a terzi dello stato di insolvenza del Sig. XX (art. 6 del Regolamento).

Ne consegue, come già anticipato supra, la violazione da parte di Sagitter S.p.A., dell’art. 5, par. 1 lett. a), e dell’art. 6 del Regolamento.

4. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ex art. 58, par. 2, Regolamento.

Alla luce di quanto complessivamente rilevato, l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dal titolare del trattamento nel corso dell’istruttoria, non consentano di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che risultino pertanto inidonee a disporre l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Il trattamento dei dati personali effettuato da Sagitter S.p.A., mediante comunicazione a terzi della condizione di insolvenza del Sig. XX, risulta infatti illecito, nei termini su esposti, in quanto posto in essere in violazione dell’art. 5, par. 1 lett. a), e dell’art. 6 del Regolamento.

Per quanto concerne l’esercizio dei poteri correttivi di cui all’art. 58, par. 2, del Regolamento, si ritiene necessario, alla luce delle criticità rilevate a carico del titolare del trattamento, ingiungere a Sagitter S.p.A., ai sensi dell’art. 58, par. 2, lett. d), del Regolamento, di integrare le proprie procedure interne a uso degli operatori incaricati delle attività di recupero crediti, al fine di disciplinare, nei termini sopra chiariti (v. par. 3 della presente decisione), le modalità di comunicazione con il debitore nel caso in cui quest’ultimo sia titolare di un bene in comunione. Ciò al fine di prevenire in futuro il verificarsi di casi di illecita comunicazione a terzi contitolari di beni in comunione con il debitore, analogamente al caso di specie.

[OMISSIS]

TUTTO CIÒ PREMESSO, IL GARANTE

a) dichiara, ai sensi degli artt. 57, par. 1, lett. f) del Regolamento, l’illiceità del trattamento effettuato da Sagitter S.p.A., con sede in Milano, p. iva n. 09026830969, nei termini di cui in motivazione, per la violazione dell’art. 5, par. 1 lett. a), e dell’art. 6 del Regolamento;

b) ingiunge, ai sensi dell'art. 58, par. 2, lett. d) del Regolamento, alla summenzionata Società di conformarsi, entro tre mesi dalla data della notifica del presente provvedimento, alla prescrizione formulata al par. 4 della presente decisione, richiedendo al contempo alla stessa di fornire, entro il predetto termine, un riscontro adeguatamente documentato ai sensi dell'art. 157 del Codice; l’eventuale mancato riscontro può comportare l'applicazione della sanzione amministrativa pecuniaria prevista dall'art. 83, par. 5, lett. e) del Regolamento;

[OMISSIS]

d) prevede, ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l'annotazione delle violazioni e delle misure adottate in conformità all'art. 58, par. 2 del Regolamento, nel registro interno dell'Autorità previsto dall'art. 57, par. 1, lett. u) del Regolamento;

e) dispone, ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità;  ciò tenuto conto anche di quanto disposto dall’art. 166, comma 7, del Codice.

Ai sensi dell’art. 78 del Regolamento (UE) 2016/679, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 12 marzo 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL VICE SEGRETARIO GENERALE
Filippi