Recupero crediti: cosa possono fare le società che ti chiamano per una bolletta o una rata non pagata, e dove passa il confine oltre il quale diventano illegali? Il Garante per la protezione dei dati personali ha pubblicato l’edizione aggiornata del vademecum “Privacy e recupero crediti”, annunciata nella newsletter n. 552 del 30 settembre 2026. Il punto di partenza è netto: l’agenzia può cercarti, telefonarti e scriverti anche senza il tuo consenso, ma non può far sapere a nessun altro che hai un debito. Qui sotto trovi cosa è lecito e cosa no, le regole che valgono fuori dalla privacy (licenza del Questore, pratiche aggressive, cessione del credito, prescrizione) e un testo da copiare per chiedere chiarimenti all’agenzia.
Ultimo aggiornamento: ottobre 2026. Abbiamo letto il vademecum del Garante, il provvedimento generale del 30 novembre 2005, i provvedimenti n. 193 del 12 marzo 2026 e n. 387 del 28 maggio 2026, e il testo vigente su Normattiva di art. 115 TULPS, artt. 24-26 del Codice del consumo, artt. 1260, 1264, 2943 e 2944 del codice civile e art. 58 TUB.
• Il recupero crediti è lecito senza consenso: si basa sul legittimo interesse del creditore (art. 6, par. 1, lett. f del GDPR).
• È vietato rivelare il debito a familiari, colleghi o vicini, usare telefonate preregistrate senza operatore, affiggere avvisi di mora alla porta o spedire buste con scritto “recupero crediti”.
• È consentito cercarti anche sul lavoro, ma senza accennare al debito, e scriverti in busta chiusa.
• Il Garante non decide se il debito esiste o quanto vale: per quello servono il giudice, l’Antitrust o, per le bollette, ARERA.
• Chi recupera crediti per conto di terzi deve avere la licenza del Questore (art. 115 TULPS) e i suoi agenti devono dirti per chi lavorano.
• Un sollecito scritto interrompe la prescrizione; un tuo pagamento parziale o un’ammissione scritta pure.
Indice
- Perché possono chiamarti anche senza consenso
- Cosa è vietato e cosa è permesso: la tabella
- Due casi decisi dal Garante nel 2026
- Licenza del Questore e pratiche aggressive
- Credito ceduto: perché ti scrive una società che non conosci
- Attenzione alla prescrizione
- Tre esempi concreti
- Cosa chiedere all’agenzia (testo da copiare)
- Reclamo al Garante, ARERA, Antitrust o giudice
- Domande frequenti
Perché possono chiamarti anche senza consenso
Molti pensano che basti dire “non vi ho dato il permesso di usare il mio numero” per chiudere la questione. Non funziona così. Il vademecum del Garante sul recupero crediti spiega che il trattamento dei dati per recuperare una somma non pagata è legittimo anche senza consenso, perché è necessario per il legittimo interesse del creditore, cioè l’articolo 6, paragrafo 1, lettera f) del GDPR. Gli esempi citati dall’Autorità sono proprio la bolletta non pagata e la rata di un finanziamento.
Il recupero può farlo direttamente il creditore (banca, finanziaria, società della luce o del telefono) oppure un soggetto incaricato: una società specializzata, un avvocato, un altro professionista. In quel caso l’incaricato è “responsabile del trattamento” e lavora per conto del creditore, che resta il titolare. La distinzione conta: quando eserciti i tuoi diritti privacy, il destinatario giusto è il creditore, anche se a telefonarti è l’agenzia. Il creditore deve passare all’agenzia solo i dati dei debitori, non l’intero archivio dei clienti.
Quali dati può usare l’agenzia? Il vademecum, riprendendo il provvedimento generale del 2005, indica anagrafica, codice fiscale o partita IVA, importo del credito con le condizioni di pagamento e recapiti, anche telefonici, di norma quelli che hai dato firmando il contratto. A questi si aggiungono i dati trovati durante l’incarico in banche dati pubbliche, pubblici registri o fonti terze autorizzate. Un numero di cellulare che non hai mai comunicato, quindi, non è di per sé illecito: lo diventa se la fonte non è legittima o se l’agenzia non sa dire da dove l’ha preso.
Il secondo punto da tenere a mente è il limite di competenza. Il Garante non si occupa delle controversie sull’esistenza o sull’importo del credito. Se pensi di non dovere nulla, o di dovere meno, la strada è un’altra: giudice ordinario, Antitrust, ARERA. E finché la controversia non è risolta, scrive il Garante, il trattamento dei tuoi dati per recuperare il credito resta legittimo.
Cosa è vietato e cosa è permesso: la tabella
Il principio che regge tutto è uno: il sollecito deve arrivare solo a te. Già nel provvedimento generale del 30 novembre 2005 (doc. web n. 1213644) il Garante aveva definito illecito comunicare senza giustificazione a familiari, coabitanti, colleghi o vicini di casa che una persona non ha pagato, soprattutto quando lo si fa per mettere pressione. Quel provvedimento è precedente al GDPR ma, come ricorda lo stesso Garante nella decisione del 12 marzo 2026, continua ad applicarsi nelle parti compatibili.
La tabella mette in fila le pratiche indicate nel vademecum aggiornato. Nella colonna di destra c’è quello che l’agenzia può fare, a quali condizioni.
| Situazione | Vietato | Consentito |
|---|---|---|
| Familiari, colleghi, vicini | Dire loro che hai un debito o chiedere a loro di pagare | Chiedere di te senza nominare il debito |
| Visite a casa o al lavoro | Visite che rendono nota a terzi la tua situazione | Cercarti anche sul posto di lavoro, con formule neutre come “pratiche amministrative che lo riguardano” |
| Telefonate | Solleciti preregistrati senza operatore, perché può ascoltarli chiunque risponda | Chiamate con un operatore che parla del debito solo con te |
| Posta | Cartoline o buste con scritto fuori “recupero crediti” o formule simili | Plico chiuso con all’esterno solo i dati per identificare il mittente |
| Porta di casa e condominio | Avvisi di mora o solleciti affissi alla porta o nell’androne | Nessuna affissione è ammessa |
| Dati usati | Dati di altri clienti del creditore, recapiti di fonte non legittima | Anagrafica, codice fiscale, importo, recapiti del contratto, dati da registri pubblici e fonti autorizzate |
| Consenso | Nessun obbligo di chiederlo | Trattamento lecito per legittimo interesse del creditore |
Il vademecum aggiunge due obblighi a carico del creditore, che spesso si dimenticano. Il primo è controllare l’agenzia: servono verifiche periodiche, documentate e verificabili su come vengono trattati i dati dei debitori affidati. Il secondo è l’informativa, che di norma si riceve alla firma del contratto e deve indicare chi tratta i dati, per quali finalità, sulla base di quale legittimo interesse, a quali categorie di destinatari vanno, per quanto tempo restano conservati e quali diritti hai.
C’è anche un limite che tocca te. Il diritto di opposizione (art. 21 GDPR) si può usare solo per motivi legati alla tua situazione particolare: il Garante fa l’esempio di un numero intestato al debitore ma usato in via esclusiva da un’altra persona. Non puoi invece opporti per pretendere che ti contattino solo via email o solo tramite il tuo avvocato.
Due casi decisi dal Garante nel 2026
Il primo caso è il provvedimento n. 193 del 12 marzo 2026 (doc. web n. 10233368). Una società cessionaria di un credito al consumo aveva attribuito il debito alla persona sbagliata: stesso nome, stesso cognome e stesso codice fiscale del vero debitore. L’interessato aveva contestato per lettera, ma la società aveva giudicato la contestazione troppo generica e aveva proseguito, mandando poi una raccomandata che parlava del debito e di un possibile recupero forzoso anche alla moglie, alla madre e ai fratelli, in quanto cointestatari di alcuni immobili. La società si è difesa sostenendo che i comproprietari avevano interesse a sapere di un futuro pignoramento.
Il Garante ha respinto la tesi. L’obbligo di informare i comproprietari, previsto dall’articolo 599 del codice di procedura civile, nasce solo quando parte il pignoramento di un bene preciso, non in una fase stragiudiziale in cui il recupero forzoso è soltanto ipotetico. Il trattamento è stato dichiarato illecito e la società ha ricevuto l’ordine di integrare le procedure interne per i debitori con beni in comunione. Una lezione pratica per chi riceve un sollecito che non lo riguarda: la contestazione va scritta in modo specifico, spiegando perché il debito non è tuo, e allegando quello che puoi.
Il secondo caso è il provvedimento n. 387 del 28 maggio 2026 (doc. web n. 10270836). Un debitore, per un credito nato da una fornitura di energia e poi ceduto a un intermediario finanziario, era stato chiamato su un numero intestato a lui ma che non aveva mai comunicato. Aveva chiesto all’agenzia da dove venisse quel numero. L’agenzia, che lo aveva ottenuto tramite un fornitore esterno, non aveva girato la richiesta al creditore titolare, né gli aveva trasmesso i dati aggiunti durante l’incarico. Risultato: sanzione di 30.000 euro all’agenzia e l’obbligo di mettere sempre a disposizione del creditore un quadro aggiornato dei dati raccolti, compresa la loro origine.
Licenza del Questore e pratiche aggressive
Fuori dalla privacy, la prima regola da conoscere sta nell’articolo 115 del Testo unico delle leggi di pubblica sicurezza. Le attività di recupero stragiudiziale dei crediti per conto di terzi sono soggette alla licenza del Questore, che vale su tutto il territorio nazionale. Il titolare della licenza deve comunicare in anticipo l’elenco dei propri agenti e tenere il registro delle operazioni. E gli agenti sono tenuti a fornire alle persone con cui trattano “compiuta informazione della propria qualità e dell’agenzia per la quale operano”.
In pratica: chi ti chiama deve dirti chi è e per quale agenzia lavora. Se tergiversa, chiedi per iscritto il nome della società, il numero della licenza e la Questura che l’ha rilasciata. Una richiesta così serve anche a distinguere un’agenzia vera da un truffatore che si spaccia per recupero crediti, un copione che vediamo spesso nei falsi solleciti di pagamento via PEC.
La seconda regola è il Codice del consumo. L’articolo 24 definisce aggressiva la pratica che, con molestie, coercizione o indebito condizionamento, limita in modo considerevole la libertà di scelta del consumatore. L’articolo 25 elenca gli elementi da valutare: tempi, luogo, natura e persistenza della pratica, minacce fisiche o verbali e, alla lettera e), “qualsiasi minaccia di promuovere un’azione legale ove tale azione sia manifestamente temeraria o infondata”. L’articolo 26 considera sempre aggressive le visite a casa dopo che il consumatore ha chiesto di andarsene o di non tornare e le sollecitazioni ripetute e non richieste per telefono o email; per entrambe, però, la norma fa salvi i casi giustificati dalla legge per l’esecuzione di un’obbligazione contrattuale. Tradotto: una telefonata per un debito vero non è aggressiva in sé, lo diventano il tono, la frequenza, le minacce a vuoto. Sono valutazioni che spettano all’Autorità garante della concorrenza e del mercato.
Credito ceduto: perché ti scrive una società che non conosci
Capita spesso: hai un debito con la compagnia della luce e la lettera arriva da una società finanziaria mai sentita. Non è necessariamente un errore. L’articolo 1260 del codice civile permette al creditore di cedere il credito anche senza il consenso del debitore. Da quel momento il nuovo creditore è il cessionario, che a sua volta può affidare il recupero a un’agenzia.
Per l’articolo 1264 la cessione ha effetto nei tuoi confronti quando l’hai accettata o quando ti è stata notificata; se prima della notifica paghi il vecchio creditore sei liberato, salvo che il cessionario provi che sapevi della cessione. Quando il credito è ceduto “in blocco” a una banca o a un intermediario finanziario, l’articolo 58 del Testo unico bancario prevede la pubblicazione della notizia nella Gazzetta Ufficiale e l’iscrizione nel registro delle imprese, e quegli adempimenti valgono come notifica. Non è detto, quindi, che riceverai una lettera personale prima della prima chiamata.
La cosa utile da fare è chiedere da chi e quando è stato acquistato il credito, e con quale atto di cessione. Non sei obbligato a fidarti della sola telefonata. E se trovi un’incongruenza, per esempio il credito risulta pagato al vecchio creditore, mandala per iscritto a entrambi.
Attenzione alla prescrizione
Molte pratiche che arrivano alle agenzie riguardano debiti vecchi. Prima di pagare conviene controllare se il debito è già prescritto: una bolletta di luce o gas per famiglie e microimprese si prescrive in due anni, mentre per un finanziamento la regola generale è quella dei dieci anni dell’articolo 2946 del codice civile, con termini più brevi per alcune voci periodiche come gli interessi (articolo 2948). Tutti i termini, con le date da cui partono, sono nella nostra guida alla prescrizione dei debiti.
Qui il punto è un altro, e riguarda proprio i solleciti. Per l’articolo 2943 del codice civile la prescrizione si interrompe con ogni atto che valga a costituire in mora il debitore, cioè una richiesta scritta di pagamento: la lettera dell’agenzia, una raccomandata, una PEC. E per l’articolo 2944 si interrompe anche con il riconoscimento del debito da parte tua. Un piccolo pagamento “in acconto” o una mail in cui scrivi “so di dovervi questa cifra, chiedo una rateizzazione” fanno ripartire il termine da zero.
Se il termine è già scaduto, però, il sollecito arrivato dopo non lo resuscita: la prescrizione va eccepita, cioè fatta valere tu, per iscritto. Per le bollette di luce e gas c’è anche il modulo previsto dalla delibera ARERA 569/2018, di cui parliamo nella guida sulla prescrizione.
Nel vademecum c’è un dettaglio che cambia il modo di chiedere i documenti. Il diritto di accesso dell’articolo 15 del GDPR ti permette di sapere quali dati personali ha il creditore, per quali finalità e a chi li ha comunicati, ma, scrive il Garante, non di ottenere copia della documentazione contrattuale o di quella che prova il debito. Per contratto, fatture ed estratto conto la richiesta va fatta come contestazione del credito, non come istanza privacy. Per questo nel testo da copiare più sotto le due richieste sono tenute separate.
Tre esempi concreti
1. La bolletta della luce ceduta. Marco ha lasciato senza pagare l’ultima fattura del vecchio fornitore, 380 euro con scadenza a maggio 2025. A ottobre 2026 lo chiama un’agenzia per conto di una finanziaria che ha comprato il credito. Marco chiede per iscritto chi è il creditore attuale e quando ha acquistato il credito, il dettaglio della fattura e il conteggio di interessi e spese. I due anni dalla scadenza non sono ancora passati (lo sarebbero a maggio 2027), quindi la prescrizione non lo aiuta. Se la fattura conteneva un conguaglio sbagliato, la strada è il reclamo scritto al venditore e, se la risposta non lo soddisfa, la conciliazione ARERA.
2. La rata del finanziamento. Sara ha saltato tre rate da 145 euro di un prestito per l’auto, 435 euro in tutto. L’agenzia la chiama più volte al giorno e le scrive che “domani parte il pignoramento della casa”. Sara chiede all’operatore nome, agenzia e numero di licenza, come prevede l’art. 115 TULPS. Il pignoramento richiede un titolo esecutivo, che il creditore deve ancora ottenere da un giudice: una minaccia del genere, se manifestamente infondata, rientra tra gli elementi che l’articolo 25 del Codice del consumo indica per valutare una pratica aggressiva, e Sara può segnalarla all’Antitrust. Il debito, comunque, resta: conviene chiedere un piano di rientro per iscritto, sapendo che quella richiesta vale come riconoscimento. Su cosa possono trattenere davvero dallo stipendio leggi la guida al pignoramento di stipendio e pensione.
3. La telefonata al collega. Luca lavora in un ufficio con centralino. Un operatore chiama, un collega risponde e si sente dire che Luca “ha un debito con una finanziaria e deve richiamare urgentemente”. È la situazione che il Garante indica come illecita: l’agenzia poteva cercarlo anche al lavoro, ma senza fare riferimento al debito. Luca annota data, ora, numero chiamante e nome del collega, scrive al creditore e all’agenzia chiedendo di non contattare più terzi e, se il comportamento si ripete, presenta reclamo al Garante allegando la ricostruzione.
Cosa chiedere all’agenzia (testo da copiare)
Prima di pagare o di contestare servono quattro informazioni: chi è il creditore attuale, quale contratto o fattura ha originato il debito, come si arriva alla cifra richiesta (capitale, interessi, spese) e chi ti sta chiamando, con quale licenza. A queste si aggiunge, se ti hanno contattato su recapiti che non hai mai dato, la fonte dei tuoi dati, che puoi chiedere con l’accesso dell’articolo 15 del GDPR: per i dati non raccolti presso di te la norma prevede che ti siano date le informazioni disponibili sulla loro origine.
Ricorda quanto deciso dal Garante il 28 maggio 2026: la richiesta privacy va indirizzata al creditore titolare, e l’agenzia deve girargliela. Per sicurezza mandala a entrambi, con raccomandata A/R o PEC, e conserva le ricevute. Il titolare deve rispondere entro un mese, prorogabile di altri due nei casi complessi (art. 12 GDPR). Ecco un testo che puoi adattare.
Spett.le [agenzia] e p.c. Spett.le [creditore indicato],
il/la sottoscritto/a [nome e cognome], nato/a a [luogo] il [data], C.F. [codice fiscale], in relazione alla vostra richiesta di pagamento di euro [importo] ricevuta il [data] tramite [telefono/lettera], chiede:
1. l’indicazione del creditore attuale e, se il credito è stato ceduto, la data della cessione e gli estremi della relativa notifica o pubblicazione;
2. copia del contratto o delle fatture da cui deriva il credito e il conteggio dettagliato di capitale, interessi e spese;
3. la denominazione dell’agenzia incaricata, il numero della licenza ex art. 115 TULPS e la Questura che l’ha rilasciata;
4. ai sensi dell’art. 15 del GDPR, la conferma dei dati personali che mi riguardano trattati per questa pratica, le finalità, i destinatari e, per i dati non raccolti presso di me, ogni informazione disponibile sulla loro origine (in particolare per il recapito [numero/indirizzo]).
Chiede inoltre che ogni comunicazione relativa alla pratica sia rivolta esclusivamente al sottoscritto e che non vengano fornite a terzi informazioni sulla presunta posizione debitoria.
La presente non costituisce riconoscimento del debito.
[luogo e data] – [firma]
Allegato: copia del documento di identità
La frase “non costituisce riconoscimento del debito” non è una formula magica, ma chiarisce che stai chiedendo informazioni e non ammettendo nulla. Evita, nella stessa lettera, frasi come “pagherò appena possibile”: è quel tipo di dichiarazione che può interrompere la prescrizione.
Reclamo al Garante, ARERA, Antitrust o giudice
A chi rivolgersi dipende da cosa contesti. Se il problema è come vengono trattati i tuoi dati (il debito raccontato al vicino, la busta con la scritta in evidenza, la telefonata preregistrata, il recapito di provenienza ignota, la richiesta di accesso senza risposta) l’autorità è il Garante. Il reclamo, previsto dall’articolo 77 del GDPR, si presenta via PEC a protocollo@pec.gpdp.it, con raccomandata A/R a Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma, oppure a mano negli uffici. Va firmato (firma digitale, autenticata o autografa con copia del documento) e il Garante mette a disposizione un modello, in cui devi indicare anche se hai già esercitato i tuoi diritti verso il titolare. Per quella richiesta preliminare c’è il modulo per l’esercizio dei diritti.
Se invece contesti il debito, cioè la sua esistenza o il suo importo, il Garante non può aiutarti. Per le bollette di luce, gas e acqua la sequenza è fissata da ARERA: reclamo scritto al proprio operatore, poi, se la risposta non ti soddisfa o se sono passati 40 giorni (50 per l’idrico), domanda al Servizio Conciliazione. È gratuito e, per i settori regolati, il tentativo di conciliazione è obbligatorio prima di andare dal giudice. Sui diritti legati ai reclami in bolletta trovi un approfondimento nel nostro articolo sui nuovi diritti sui reclami.
Per minacce infondate, insistenza ossessiva e altri comportamenti da pratica aggressiva si può fare una segnalazione all’Antitrust tramite il servizio Segnala on line dell’AGCM. Il giudice ordinario resta la sede per tutte le contestazioni sul merito del credito e per opporsi a un eventuale decreto ingiuntivo, che ha termini brevi: se ne ricevi uno, rivolgiti subito a un avvocato o a un’associazione di consumatori. E se i debiti sono diventati più di quanti riesci a gestire, esistono procedure apposite, raccontate nella guida al sovraindebitamento.
Domande frequenti
L’agenzia di recupero crediti può chiamarmi sul cellulare se non le ho dato il numero?
Sì, se ha ottenuto il numero da fonti legittime: banche dati pubbliche, registri, fonti terze autorizzate. Hai però il diritto di sapere da dove arriva, con una richiesta di accesso al creditore. Se il numero è usato in via esclusiva da un’altra persona, puoi opporti al suo utilizzo spiegando la situazione.
Iscrivermi al Registro delle opposizioni ferma le chiamate di recupero crediti?
No. Il Registro delle opposizioni riguarda le chiamate commerciali e promozionali, mentre il recupero di un credito si basa sul legittimo interesse del creditore e non è telemarketing. Contro le modalità scorrette valgono le regole del Garante descritte sopra.
Possono venire a casa mia?
Il vademecum considera illecite le visite a casa o al lavoro che rivelano a terzi la tua condizione di inadempimento. In più, per il Codice del consumo, tornare dopo che hai chiesto di andarsene o di non tornare è una pratica aggressiva, fuori dai casi giustificati dalla legge. Un incaricato non può in nessun caso affiggere avvisi alla porta o nell’androne.
Mi hanno chiamato per un debito che non è mio: cosa faccio?
Contesta per iscritto, in modo dettagliato: spiega perché il debito non ti riguarda e allega ciò che lo dimostra. Nel caso deciso dal Garante il 12 marzo 2026 la società aveva liquidato come generica una prima contestazione e aveva poi scritto ai familiari dell’interessato, condotta dichiarata illecita. Se dopo la contestazione i dati vengono usati in modo scorretto, puoi fare reclamo al Garante; sull’esistenza del debito decide il giudice.
Il sollecito dell’agenzia blocca la prescrizione?
Sì, se è una richiesta scritta di pagamento arrivata prima della scadenza del termine: per l’articolo 2943 del codice civile ogni atto di costituzione in mora interrompe la prescrizione. Una telefonata, invece, non basta. Se il debito era già prescritto quando è arrivato il sollecito, puoi eccepirlo per iscritto.
L’agenzia può segnalarmi come cattivo pagatore?
Le segnalazioni nelle banche dati creditizie seguono regole proprie, con preavvisi e tempi di conservazione fissati dal codice di condotta dei sistemi di informazioni creditizie. Le trovi spiegate nella guida su quanto dura la segnalazione come cattivo pagatore.
