Mi chiamano per un debito: cosa possono fare e cosa no

Squilla il telefono e dall’altra parte c’è una società che non hai mai sentito nominare. Dice che devi dei soldi a un’azienda con cui avevi un contratto tre anni fa. Magari è vero, magari è un errore, magari è una bolletta che pensavi chiusa.

In quel momento non sai due cose. La prima è se quella persona ha il diritto di chiamarti. La seconda è fin dove può spingersi.

A fine settembre il Garante per la protezione dei dati personali ha pubblicato la versione aggiornata del suo vademecum sul recupero crediti. Dal confronto con quella vecchia viene fuori una cosa che quasi nessuno ha scritto. Ci arriviamo tra poco, perché cambia il modo in cui va letta tutta la faccenda.

Sì, possono chiamarti, e non serve il tuo consenso

Partiamo dalla domanda che fanno tutti. Una società di recupero crediti può trattare i tuoi dati senza averti mai chiesto nulla?

Sì. Il vademecum lo scrive senza giri di parole: il trattamento è legittimo anche senza consenso perché serve a perseguire il legittimo interesse del creditore a recuperare il proprio credito, per esempio una bolletta o un finanziamento non pagati. È l’articolo 6, comma 1, lettera f del GDPR.

Questo non vuol dire che chi chiama possa fare quello che vuole. Vuol dire che il consenso non è il terreno su cui si gioca la partita. La partita si gioca sul come.

C’è poi una cosa che spiazza quasi tutti, e preferisco dirla subito perché evita illusioni. Il Garante non decide se quel debito esiste davvero. Lo scrive in maiuscolo: non è competente sulle controversie che riguardano la sussistenza del credito, e per quelle ci si rivolge al giudice ordinario o all’autorità di settore, Antitrust o ARERA a seconda dei casi. E aggiunge una frase che vale la pena rileggere due volte: finché la controversia non è definita, il trattamento dei dati per recuperare il credito resta legittimo.

Tradotto: contestare il debito non spegne le telefonate. Sono due binari diversi.

Le quattro cose che non si possono fare

Il vademecum le raccoglie sotto il titolo “Le prassi illecite e quelle lecite”. La regola generale è una sola, e tutto il resto discende da lì: per ottenere il pagamento non è lecito far sapere a terzi che hai un debito, né esercitare indebite pressioni.

Chi sono i terzi? Il documento li elenca: familiari, coabitanti, colleghi di lavoro, vicini di casa.

Da qui discendono quattro divieti precisi.

Le visite a domicilio o sul luogo di lavoro sono illecite quando servono a far sapere ad altri che sei inadempiente, magari proprio per metterti sotto pressione. Attenzione a come è formulato il divieto: non è vietato cercarti, è vietato esporre il tuo debito a chi ti sta intorno.

Le telefonate preregistrate, quelle senza un operatore in carne e ossa, sono vietate per un motivo preciso e un po’ sorprendente: può rispondere qualcun altro e sentire il messaggio.

Le cartoline postali e le buste con scritte visibili tipo “recupero crediti” non si possono usare. Il vademecum dice anche come si deve fare: plico chiuso, senza diciture particolari, con all’esterno solo quello che serve a identificare il mittente.

Gli avvisi affissi sulla porta di casa o nell’androne condominiale sono illeciti, perché restano lì a farsi leggere da chiunque passi.

E cosa resta lecito? Una cosa che molti non si aspettano: cercarti, anche sul posto di lavoro, purché senza nominare il debito. Il documento fa proprio l’esempio della formula da usare, “cerchiamo il signor X per pratiche amministrative che lo riguardano”.

Quello che i giornali hanno riportato e nel documento non c’è

Qui arriva la parte per cui vale la pena leggere questo articolo invece dei titoli.

Il sottotitolo della newsletter del Garante annuncia lo stop a prassi invasive “come sms o telefonate preregistrate”. Mezza rassegna stampa italiana ha ripreso quella frase. Solo che nel vademecum, dodici pagine, la parola SMS non compare mai. Nemmeno una volta.

Stessa sorte per altre cose che ho visto attribuire al documento:

• i social network non sono nominati;
• non c’è nessun orario in cui sia vietato chiamare, né una fascia protetta;
• non c’è nessun numero massimo di telefonate;
• le visite a domicilio in sé non sono vietate, lo è l’esposizione del debito a terzi.

Sulle pressioni ripetute il documento usa una formula elastica, “indebite pressioni”, e descrive le reiterate sollecitazioni al telefono nella parte in cui racconta cosa hanno trovato gli accertamenti, non nell’elenco di ciò che è illecito. È una differenza che conta: una clausola generale lascia spazio a una valutazione caso per caso, una regola numerica no.

Esiste un codice di condotta dell’associazione di categoria del settore che tratta anche orari e contatti, ma è autoregolamentazione volontaria, non un atto del Garante, e non sono riuscito a leggerne il testo direttamente. Quindi non te ne riporto il contenuto.

Chi risponde di cosa

Questo passaggio serve a sapere a chi scrivere, e spiega perché tanta gente scrive alla persona sbagliata e non ottiene niente.

Il creditore, cioè la banca, la finanziaria, la società telefonica o energetica, è il titolare. L’agenzia che ti chiama è un responsabile, designato dal creditore, e può a sua volta appoggiarsi a un sub-responsabile.

Il titolare ha degli obblighi che il vademecum 2026 ha messo nero su bianco per la prima volta. Deve fare controlli periodici, documentati e verificabili sull’operato di chi lavora per lui. E deve passare al recuperatore i dati dei soli debitori, non l’intero archivio clienti: il documento dice espressamente che va evitato che l’incaricato acceda direttamente al database del creditore.

Il Garante ha già sanzionato su questo terreno. In un provvedimento di luglio 2026 ha multato un titolare per 50.000 euro e il suo responsabile per 30.000, sia per i controlli mancati sia perché nessuno aveva risposto a un debitore che chiedeva da dove venisse il suo numero di telefono.

Cosa puoi fare, in concreto

1. Chiedi per iscritto da dove arrivano i tuoi dati. È il diritto di accesso dell'articolo 15 del GDPR. Si esercita verso il titolare, cioè il creditore, non verso l'agenzia, eventualmente passando dal suo responsabile della protezione dei dati. Non serve un avvocato e non c'è una forma obbligatoria: il Garante mette a disposizione un modulo da compilare.
2. Aspetta un mese. La risposta deve arrivare senza ingiustificato ritardo e comunque entro un mese. Il termine può essere prorogato di due mesi se la richiesta è complessa, ma in quel caso devono avvisarti entro il primo mese.
3. Sappi in anticipo cosa non otterrai. L'accesso ti dà i tuoi dati, le finalità, i destinatari, l'origine. Il vademecum chiarisce che non ti dà diritto a ottenere copia del contratto o del documento che attesta il debito. Se vuoi quelli, la strada è un'altra.
4. Se vuoi opporti, spiega perché. L'opposizione dell'articolo 21 richiede motivi legati alla tua situazione particolare, con un impatto sproporzionato su di te. Il documento fa un esempio di opposizione fondata, l'utenza intestata a te ma usata solo da un'altra persona, e uno di opposizione che non passa: chiedere di essere contattati solo via email o solo tramite il proprio avvocato.
5. Se non rispondono, vai dal Garante. Hai due strade, entrambe gratuite. Il reclamo è un atto circostanziato, con cui chiedi all'Autorità di verificare una violazione. La segnalazione è più informale e serve a portare all'attenzione del Garante una situazione. Per il reclamo esiste un modulo apposito. Non ho trovato tempi dichiarati per la conclusione di un reclamo, quindi non so dirti quanto aspetterai.

Una nota storica che evita un errore comune: il vecchio “ricorso al Garante” per i diritti di accesso non esiste più dal 25 maggio 2018. Se trovi una guida che ne parla, è vecchia.

E se invece è una truffa?

Qui devo essere onesto su un punto. Ho cercato un avviso del Garante sulle finte società di recupero crediti usate come schema di truffa e non l’ho trovato: nel vademecum la parola truffa non compare mai, perché il documento parla d’altro.

Quello che ho verificato riguarda i due meccanismi che una truffa del genere userebbe, e che sono documentati da fonti istituzionali.

Il primo è la PEC. Il 24 settembre 2026 CERT-AGID ha segnalato una campagna di falsi solleciti di pagamento inviati via PEC da caselle legittime ma compromesse, con un allegato ZIP che non contiene una fattura ma un file che avvia l’installazione di un programma malevolo. La frase da tenere a mente è la loro: una PEC certifica la trasmissione del messaggio, non garantisce che la casella del mittente non sia stata violata.

Il secondo è il numero che vedi sul display. La Polizia Postale ha spiegato da tempo come funziona lo spoofing telefonico: con una chiamata via internet si può far comparire sullo schermo un numero vero, anche quello della tua banca o di un contatto che hai in rubrica. Alcuni truffatori invitano perfino a verificare su internet che il numero corrisponda, proprio perché la verifica riesce.

Da qui, qualche criterio pratico. Il primo viene dal vademecum, gli altri sono considerazioni mie e te li do come tali, perché non ho trovato un’autorità che li attribuisca specificamente a questo schema.

Un operatore vero può identificarsi e dirti chi è il creditore, perché sono dati che è autorizzato a trattare, e le sue comunicazioni scritte arrivano in plico chiuso con un mittente identificabile. Esiste sempre una traccia scritta. Se invece ti chiedono di pagare subito, su un IBAN intestato a una persona fisica o con carte prepagate, se si rifiutano di darti per iscritto chi sono, se minacciano conseguenze immediate per spingerti a decidere in fretta, stai quasi certamente parlando con qualcun altro.

La regola che funziona sempre è una sola: chiudi la chiamata e richiama tu, usando un numero che hai trovato per conto tuo, mai quello che ti hanno dato loro. Ne ho scritto più in generale in Spoofing: perché il numero e il mittente che vedi non provano niente.

Un numero che non esiste

Chiudo con una cosa che mi ha colpito mentre preparavo questo articolo. Non esiste una statistica pubblica attendibile su quante persone in Italia ricevano telefonate di recupero crediti ogni anno. Non la pubblica l’ISTAT, non la pubblica il Garante.

Gira un dato di settore, 51,8 milioni di pratiche affidate nel 2025, ma viene dall’associazione di categoria delle società di recupero, e soprattutto conta le pratiche, non le persone. La stessa persona può avere più pratiche aperte, e una pratica può non generare mai una telefonata. Chi trasforma quel numero in “51,8 milioni di italiani contattati” sta dicendo una cosa falsa.

Quindi no, non so dirti quanto sei in buona compagnia. So dirti cosa puoi fare, che alla fine serve di più.