Comunicazioni di debito e indirizzi e-mail visibili: quando la divulgazione a terzi viola la privacy

La risposta generale: mostrare gli indirizzi degli altri destinatari è normalmente illecito quando rivela anche la loro posizione debitoria

Inviare una comunicazione relativa a un debito a più persone facendo comparire in chiaro gli indirizzi e-mail di tutti i destinatari può costituire una violazione della normativa sulla protezione dei dati personali.

Il problema diventa particolarmente serio quando, dal contenuto del messaggio, ogni destinatario può comprendere che gli altri soggetti presenti nel campo “A” oppure “Cc” sono debitori, morosi, destinatari di un sollecito di pagamento, coinvolti in un recupero crediti o comunque interessati da una posizione economica contestata.

In questo caso non viene comunicato soltanto un indirizzo di posta elettronica. Viene stabilita un’associazione tra quell’indirizzo, l’identità della persona e una determinata situazione patrimoniale.

Il principio generale è semplice: il creditore ha diritto di utilizzare i dati necessari per recuperare il proprio credito, ma questo diritto non comprende quello di rendere nota la posizione debitoria del cliente a soggetti che non abbiano alcuna ragione giuridica per conoscerla.

Il recupero del credito deve quindi essere organizzato secondo modalità individualizzate e riservate.

Nel gennaio 2026 il Garante per la protezione dei dati personali ha esaminato proprio una situazione nella quale una società aveva inviato un’unica e-mail a circa 37 destinatari lasciando visibili in chiaro i rispettivi indirizzi e facendo contemporaneamente riferimento alle posizioni debitorie e alle future iniziative giudiziarie di recupero. L’Autorità ha ritenuto illecito il trattamento, richiamando i principi di liceità e riservatezza del GDPR.

L’indirizzo e-mail è un dato personale

Un primo equivoco consiste nel pensare che l’indirizzo di posta elettronica sia soltanto un recapito tecnico e che, pertanto, mostrarlo ad altre persone non abbia particolare rilevanza.

Un indirizzo come “nome.cognome@email.it” identifica direttamente una persona fisica ed è quindi un dato personale ai sensi del Regolamento europeo 2016/679.

Anche indirizzi meno immediatamente intelligibili possono essere dati personali quando siano collegabili, direttamente o indirettamente, a una persona identificata.

Lo stesso Garante ha ribadito nel provvedimento del 16 gennaio 2026 che l’indirizzo di posta elettronica costituisce un dato personale e che la sua trasmissione o messa a disposizione di altri soggetti rappresenta una vera e propria operazione di trattamento.

Se l’e-mail viene inviata a più destinatari in chiaro, ciascuno riceve quindi non soltanto il messaggio, ma anche i dati personali degli altri destinatari.

La questione assume maggiore gravità quando all’indirizzo compare anche il nome e cognome della persona oppure quando il contenuto del messaggio permette di identificarla come debitore.

L’indirizzo aziendale generico è diverso dall’indirizzo personale

Occorre però una distinzione.

Un indirizzo come “amministrazione@societaalfa.it” riferito esclusivamente a una persona giuridica e non a una determinata persona fisica non presenta necessariamente la stessa natura di un indirizzo nominativo.

Il GDPR protegge le persone fisiche, non le società considerate in quanto tali.

Diversamente, indirizzi quali “mario.rossi@societaalfa.it”, “direttore.mrossi@…” oppure un indirizzo aziendale che consenta comunque di identificare uno specifico dipendente restano dati personali.

Anche un indirizzo professionale può quindi essere protetto.

La circostanza che l’e-mail sia utilizzata per lavoro non autorizza automaticamente la sua comunicazione a una pluralità di soggetti estranei.

Il vero problema è spesso la rivelazione dell’esistenza del debito

Nel recupero crediti, la criticità più grave non consiste quasi mai nel solo indirizzo.

Se una società invia un messaggio intitolato “Sollecito urgente di pagamento”, “Posizione debitoria”, “Messa in mora”, “Avvio recupero giudiziale” oppure formule equivalenti a cinquanta persone lasciando tutti gli indirizzi visibili, ogni destinatario può ragionevolmente desumere che gli altri soggetti siano anch’essi debitori.

Si realizza così una comunicazione a terzi di informazioni patrimoniali riguardanti ciascun interessato.

Le informazioni relative ai debiti non costituiscono, tecnicamente, una delle “categorie particolari di dati” previste dall’articolo 9 GDPR, come i dati sanitari, biometrici o relativi alle convinzioni religiose.

Ciò non significa che siano dati privi di particolare rilevanza.

Il Garante sottolinea da molti anni che le informazioni sull’inadempimento possono incidere sulla dignità e sull’affidabilità economica della persona e richiedono, proprio per questa ragione, un elevato livello di riservatezza.

Nel marzo 2026 il Garante ha nuovamente dichiarato illecito il comportamento di una società di recupero crediti che aveva comunicato a familiari del debitore informazioni sulla sua presunta insolvenza, ribadendo che familiari, colleghi, vicini o altre persone estranee all’obbligazione non devono essere coinvolti ingiustificatamente nell’attività di recupero.

Il creditore può trattare i dati del debitore anche senza il suo consenso

Un altro aspetto deve essere chiarito.

Il debitore non può sostenere che qualsiasi comunicazione relativa al debito richieda necessariamente il suo consenso.

Se esiste un contratto, un’obbligazione, una fattura insoluta o un altro credito, il trattamento dei dati necessari alla gestione e al recupero può fondarsi su basi giuridiche differenti dal consenso.

Possono venire in rilievo l’esecuzione del contratto, l’adempimento di obblighi legali oppure, a determinate condizioni, il legittimo interesse del creditore alla tutela delle proprie ragioni.

Il creditore può quindi conservare i dati del debitore, contattarlo, affidare la pratica a un professionista o a una società di recupero crediti e utilizzare le informazioni strettamente necessarie per far valere il proprio diritto.

Quello che non può fare è trasformare la legittima attività di recupero in una divulgazione indiscriminata della situazione finanziaria del debitore.

La base giuridica che consente di inviare un sollecito a Tizio non autorizza necessariamente a comunicare a Caio che Tizio è moroso.

La necessità del trattamento rappresenta il limite fondamentale

Il GDPR impone il principio di minimizzazione.

Devono essere utilizzati soltanto i dati adeguati, pertinenti e limitati a quanto necessario rispetto allo scopo perseguito.

Se l’obiettivo consiste nel chiedere a Mario Rossi il pagamento di una fattura, è normalmente sufficiente inviare la comunicazione a Mario Rossi.

Non vi è alcuna necessità di mostrare a Mario Rossi gli indirizzi di altre cinquanta persone alle quali sono stati inviati analoghi solleciti.

L’esposizione degli indirizzi non offre alcun vantaggio necessario alla riscossione.

Proprio questa assenza di necessità rende particolarmente difficile giustificare l’utilizzo dei campi “A” o “Cc” per invii collettivi relativi a debiti individuali.

La funzione “Ccn” può evitare la comunicazione degli indirizzi

Quando una medesima comunicazione deve essere trasmessa a molte persone che non devono conoscere l’identità degli altri destinatari, è possibile utilizzare la copia conoscenza nascosta, normalmente indicata come “Ccn” o “Bcc”.

Il Garante ha espressamente richiamato questa soluzione anche nel provvedimento del gennaio 2026.

L’Autorità ha osservato che l’invio avrebbe potuto essere effettuato in forma individualizzata oppure mediante accorgimenti tecnici idonei a impedire la conoscibilità reciproca degli indirizzi, citando specificamente la copia conoscenza nascosta.

La soluzione migliore, soprattutto per comunicazioni finanziarie individuali, rimane spesso l’invio separato a ciascun debitore.

La Ccn impedisce infatti di vedere gli altri indirizzi, ma non risolve qualsiasi ulteriore problema eventualmente presente nel testo o negli allegati.

Usare la Ccn non rende automaticamente lecita qualsiasi comunicazione

Si immagini che una società invii una e-mail in Ccn a cento persone scrivendo: “Siete tutti morosi da oltre sei mesi e contro ciascuno di voi verrà presentato decreto ingiuntivo”.

Gli indirizzi non sono reciprocamente visibili.

Il rischio di divulgazione è enormemente ridotto.

Resta però necessario verificare che ciascun destinatario sia effettivamente interessato dalla comunicazione e che il testo sia corretto, pertinente e proporzionato.

Se tra i destinatari viene inserita per errore una persona estranea, quest’ultima riceverà comunque informazioni che non avrebbe dovuto conoscere.

La Ccn è dunque una misura tecnica importante, ma non sostituisce il controllo sulla correttezza della lista dei destinatari.

Quando più destinatari possono legittimamente vedere gli indirizzi reciproci

Non esiste una regola secondo cui più persone non possano mai comparire nella stessa comunicazione di debito.

La comunicazione può essere lecita quando tutti i destinatari siano effettivamente coinvolti nella stessa obbligazione e la loro partecipazione alla comunicazione sia necessaria.

Si pensi a due condebitori solidali che abbiano sottoscritto insieme un finanziamento, oppure al debitore principale e al fideiussore, quando la comunicazione debba essere legittimamente indirizzata a entrambi.

Analogamente, in una controversia giudiziaria può essere necessario trasmettere determinati atti ai difensori delle parti interessate.

In tali situazioni non si tratta della divulgazione della posizione debitoria a soggetti estranei: ciascun destinatario possiede già una qualificata relazione giuridica con l’obbligazione.

Anche qui, tuttavia, il principio di minimizzazione rimane applicabile.

Il creditore deve chiedersi se sia realmente necessario che ciascun destinatario conosca gli indirizzi personali degli altri oppure se sia sufficiente indirizzare comunicazioni separate.

Il garante può essere informato della posizione del debitore

Il fideiussore rappresenta un esempio importante.

Chi garantisce l’obbligazione altrui assume volontariamente una posizione giuridica collegata al debito principale.

Il creditore può quindi comunicargli informazioni necessarie a far valere la garanzia, nei limiti stabiliti dal contratto e dalla legge.

Non avrebbe senso sostenere che la privacy del debitore impedisca al creditore di comunicare al garante che il debito garantito è rimasto insoluto.

Questa comunicazione è funzionale al rapporto giuridico.

Diversa sarebbe la trasmissione della medesima informazione a familiari del debitore che non abbiano prestato alcuna garanzia.

Il mero rapporto di parentela non attribuisce alcun diritto a conoscere i debiti di un congiunto.

Il coniuge non deve essere informato soltanto perché è coniuge

Il matrimonio, la convivenza o il legame familiare non autorizzano di per sé la comunicazione della posizione debitoria.

La società di recupero non può telefonare alla moglie per riferire che il marito deve €15.000, né inviare al fratello una lettera di sollecito per esercitare una pressione indiretta.

Il Garante ha ribadito espressamente nel marzo 2026 che comunicare la presunta insolvenza del debitore alla madre, alla moglie e ai fratelli, quando essi erano estranei all’obbligazione, costituiva trattamento illecito.

La conclusione può cambiare qualora il familiare sia anche coobbligato, garante, erede chiamato a rispondere dell’obbligazione o soggetto coinvolto a diverso titolo giuridicamente rilevante.

Conta la posizione giuridica, non il vincolo familiare.

Essere comproprietari di un bene del debitore non basta automaticamente

La decisione del Garante del marzo 2026 è interessante anche per un altro profilo.

La società aveva sostenuto l’opportunità di contattare familiari perché questi erano cointestatari di alcuni immobili sui quali si ipotizzava di procedere esecutivamente.

Il Garante ha ritenuto che, nella fase stragiudiziale di recupero, tale circostanza non fosse sufficiente a giustificare la comunicazione della posizione debitoria.

La futura possibilità di intraprendere un’esecuzione non autorizza dunque automaticamente il creditore a informare preventivamente ogni soggetto che possieda un qualche collegamento patrimoniale con il debitore.

Occorre distinguere la fase nella quale un terzo assume una posizione concretamente rilevante nel procedimento esecutivo dalla semplice attività preparatoria di recupero.

Il datore di lavoro non deve normalmente conoscere il debito

Lo stesso principio vale per il datore di lavoro.

Una società di recupero crediti non può contattare l’ufficio del personale e comunicare che il dipendente non ha pagato un finanziamento soltanto per ottenere che questi venga richiamato o indotto a saldare.

La situazione cambia quando venga notificato un regolare pignoramento presso terzi.

In quel momento il datore di lavoro assume la posizione processuale di terzo pignorato ed è necessariamente informato dell’esistenza della procedura.

La differenza deriva dalla presenza di una precisa base legislativa.

Prima dell’esecuzione forzata, divulgare il debito al datore di lavoro per creare pressione sul dipendente è normalmente illecito.

Anche i colleghi di lavoro devono restare estranei

Le società di recupero non dovrebbero lasciare messaggi a colleghi indicando la ragione della chiamata.

Può essere ammissibile chiedere semplicemente di essere richiamati, quando ciò sia necessario e con modalità neutrali.

Non è invece opportuno dire: “Dica al signor Rossi che deve contattarci urgentemente per le rate non pagate”.

Il collega non ha alcun diritto di conoscere quella informazione.

Il principio elaborato dal Garante nel recupero crediti è proprio quello di evitare che l’attività di sollecito trasformi l’inadempimento individuale in un fatto conosciuto nell’ambiente familiare, sociale o professionale.

L’amministratore di condominio e le posizioni debitorie

Un problema analogo può verificarsi in condominio.

L’amministratore deve gestire le quote non pagate e può utilizzare i dati necessari per la riscossione.

Può comunicare determinate informazioni ai condòmini nei casi previsti dalla disciplina condominiale e deve fornire ai creditori non soddisfatti che ne facciano richiesta i dati dei condòmini morosi necessari per le azioni previste dalla legge.

Questo non autorizza però la pubblicazione indiscriminata della morosità in luoghi accessibili a estranei.

Non sarebbe corretto, per esempio, affiggere nell’androne un elenco nominativo dei morosi quando possa essere letto anche da visitatori, fornitori o persone esterne al condominio.

Analogamente, una e-mail collettiva deve essere gestita in modo da rispettare la posizione dei destinatari e il principio di necessità.

Le società di recupero crediti devono rispettare le stesse regole del creditore

Affidare la pratica a una società specializzata non elimina le responsabilità in materia di privacy.

Il creditore deve scegliere soggetti affidabili, disciplinare correttamente il trattamento e fornire istruzioni adeguate.

Il Garante ha ribadito anche nel 2026 che il titolare deve vigilare sulle modalità attraverso le quali il responsabile tratta i dati dei debitori e deve verificare la liceità, la correttezza e l’aggiornamento delle informazioni utilizzate.

Non sarebbe quindi una valida giustificazione affermare: “L’e-mail è stata inviata dalla società esterna, quindi noi non siamo responsabili”.

La ripartizione delle responsabilità dipende dai ruoli concretamente assunti, ma la protezione dell’interessato deve essere garantita lungo l’intera catena di trattamento.

L’errore materiale non rende lecita la divulgazione

Un altro punto molto importante emerge dal provvedimento del gennaio 2026.

La società aveva spiegato che gli indirizzi erano rimasti visibili per un mero errore.

Il Garante ha comunque qualificato il trattamento come illecito.

La mancanza di intenzione può essere rilevante nella valutazione della gravità della violazione e dell’eventuale sanzione, ma non trasforma un trattamento non autorizzato in un trattamento lecito.

Il GDPR impone infatti al titolare di adottare misure tecniche e organizzative capaci di prevenire errori prevedibili.

Se un dipendente può inviare con un solo clic un sollecito a centinaia di debitori esponendo tutti i loro indirizzi, l’organizzazione dovrebbe valutare meccanismi di controllo, procedure, formazione e strumenti di invio che riducano il rischio.

La comunicazione accidentale può costituire un data breach

La messa a disposizione non autorizzata di dati personali può integrare anche una violazione dei dati personali, comunemente definita data breach.

Il GDPR considera violazione di dati personali anche la divulgazione o l’accesso non autorizzati.

L’invio accidentale di una e-mail a destinatari errati oppure l’esposizione reciproca degli indirizzi può quindi essere qualificato come incidente di sicurezza.

La conseguenza non consiste automaticamente nell’obbligo di denunciare ogni errore al Garante.

Il titolare deve valutare il rischio prodotto dall’incidente.

Se è improbabile che la violazione comporti un rischio per i diritti e le libertà delle persone, la notifica all’Autorità può non essere necessaria. Tutti gli incidenti devono comunque essere documentati internamente.

Quando il rischio non è trascurabile, l’articolo 33 GDPR prevede la notifica all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro settantadue ore dalla conoscenza della violazione.

Quando il rischio per le persone è elevato, l’articolo 34 può imporre anche la comunicazione individuale agli interessati.

Una comunicazione di debito può avere un rischio maggiore di una normale mailing list

Non tutte le esposizioni di indirizzi hanno la stessa gravità.

Inviare in chiaro gli indirizzi dei partecipanti a un corso di cucina presenta un rischio diverso rispetto all’invio di una lista che consenta di identificare persone affette da una malattia, beneficiari di assistenza sociale oppure soggetti con debiti insoluti.

Nel secondo caso il contesto aggiunge informazioni.

Se la e-mail dice “sollecito finale prima del decreto ingiuntivo”, il destinatario non vede soltanto l’indirizzo degli altri: viene informato anche della loro presunta situazione economica.

Nella valutazione del data breach devono pertanto essere considerati il numero degli interessati, il contenuto del messaggio, l’importo eventualmente indicato, la possibilità di identificazione, la relazione tra i destinatari e le possibili conseguenze reputazionali o economiche.

Indicare l’importo del debito aggrava la divulgazione

Una comunicazione collettiva che riporti soltanto una generica richiesta di contatto è meno invasiva di un messaggio che indichi l’importo preciso dovuto.

Se vengono riportati nome, indirizzo e-mail, numero del contratto, importo insoluto, ritardo, iniziative giudiziarie o eventuale segnalazione, la quantità delle informazioni comunicate aumenta considerevolmente.

Il principio di minimizzazione impone che anche le comunicazioni rivolte allo stesso debitore contengano soltanto ciò che è necessario.

Se più persone devono legittimamente essere coinvolte, non è detto che ognuna debba ricevere ogni dettaglio della situazione.

La presenza in “Cc” equivale normalmente a rendere visibile l’indirizzo

Dal punto di vista della privacy, i campi “A” e “Cc” presentano un problema analogo quando contengono più destinatari.

Entrambi rendono normalmente visibili gli indirizzi a tutti coloro che ricevono il messaggio.

La differenza funzionale tra destinatario principale e destinatario per conoscenza non elimina quindi la comunicazione del dato.

Se dieci debitori vengono inseriti in “Cc”, ognuno può conoscere gli indirizzi degli altri nove.

Ai fini della protezione dei dati, ciò costituisce una comunicazione a terzi.

Anche rispondere a tutti può generare ulteriori divulgazioni

L’utilizzo iniziale scorretto di una lista in chiaro può produrre un effetto moltiplicatore.

Uno dei destinatari può utilizzare “Rispondi a tutti” e inviare ulteriori informazioni personali all’intero gruppo.

Può protestare contro il debito, dichiarare difficoltà economiche, fornire dettagli bancari o contestare l’importo.

Il titolare che ha creato la lista ha quindi generato una situazione nella quale successive comunicazioni possono aggravare l’incidente.

Questo elemento dovrebbe essere considerato nell’analisi del rischio e nelle misure adottate dopo l’errore.

Il destinatario che riceve per errore i dati degli altri non può utilizzarli liberamente

Chi riceve accidentalmente una comunicazione contenente indirizzi e informazioni debitorie altrui non acquista alcun diritto di utilizzare quei dati.

Non dovrebbe diffonderli, pubblicarli sui social, inoltrarli a soggetti estranei o utilizzarli per finalità differenti.

Può naturalmente conservare il messaggio nella misura necessaria a documentare la violazione subita e a tutelare i propri diritti.

La prova dell’errore può essere importante in caso di reclamo o controversia.

La prima cosa da fare è conservare la comunicazione originale

Il destinatario che ritenga violata la propria privacy dovrebbe evitare di cancellare immediatamente il messaggio.

È opportuno conservarne una copia integrale comprensiva dell’oggetto, dei destinatari visibili, della data, dell’ora, del mittente e degli eventuali allegati.

Può essere utile conservare anche l’intestazione tecnica del messaggio, soprattutto quando vi siano contestazioni sul reale mittente o sulle modalità di invio.

La prova dovrebbe essere conservata nella sua forma originale e non soltanto attraverso uno screenshot, sebbene anche quest’ultimo possa risultare utile.

È opportuno contestare formalmente la divulgazione

Il soggetto interessato può rivolgersi al creditore o alla società che ha inviato la comunicazione chiedendo chiarimenti sull’accaduto.

Può domandare quale fosse la base giuridica della comunicazione, perché il proprio indirizzo fosse visibile agli altri destinatari, quali soggetti abbiano ricevuto i dati e quali misure siano state adottate per evitare ulteriori divulgazioni.

Può inoltre chiedere che i futuri contatti avvengano in forma individualizzata e riservata.

Quando l’invio sia stato accidentale, è ragionevole chiedere se l’evento sia stato valutato come violazione dei dati personali e quali misure di mitigazione siano state adottate.

La contestazione della privacy è distinta dalla contestazione del debito.

Una persona può essere realmente debitrice e avere comunque diritto alla riservatezza della propria posizione.

La violazione privacy non cancella il debito

Questo principio è particolarmente importante.

Se il creditore ha violato il GDPR inviando una comunicazione a destinatari in chiaro, il debito non diventa automaticamente inesistente.

La posizione obbligatoria e la legittimità del trattamento sono questioni differenti.

Il debitore può essere tenuto a pagare il capitale e, nello stesso tempo, avere diritto a contestare la divulgazione illegittima dei propri dati.

Non sarebbe quindi corretta una difesa impostata in questi termini: “Poiché avete mostrato il mio indirizzo agli altri, non devo più pagare”.

Potranno esistere rimedi privacy e, se vi è un danno dimostrabile, una pretesa risarcitoria, ma l’obbligazione originaria deve essere esaminata autonomamente.

È possibile presentare reclamo al Garante

L’articolo 77 GDPR riconosce all’interessato il diritto di presentare un reclamo all’autorità di controllo.

In Italia la competenza appartiene al Garante per la protezione dei dati personali.

Nel reclamo devono essere descritti i fatti, indicato il titolare del trattamento, allegata la documentazione rilevante e specificate, per quanto possibile, le disposizioni che si ritengono violate.

Il Garante può svolgere accertamenti e adottare misure correttive, come ammonimenti, ordini di conformazione, limitazioni del trattamento e sanzioni pecuniarie nei casi previsti.

La decisione del gennaio 2026 relativa all’e-mail con 37 destinatari è nata proprio da un reclamo dell’interessata.

La sanzione amministrativa non è automatica

Il Garante dispone di un ampio ventaglio di poteri.

Non ogni violazione determina necessariamente una multa.

Nel caso deciso il 16 gennaio 2026 l’Autorità ha accertato l’illiceità del trattamento ma, tenendo conto delle circostanze concrete e del principio secondo cui per violazioni minori può essere sufficiente un ammonimento, ha ritenuto di applicare tale misura anziché una sanzione pecuniaria.

Questo precedente è importante perché dimostra due cose.

La prima è che anche un mero errore nell’utilizzo degli indirizzi può integrare una violazione.

La seconda è che l’entità della conseguenza amministrativa dipende da numerosi elementi: gravità, durata, numero delle persone coinvolte, natura dei dati, intenzionalità, misure adottate, precedenti e collaborazione con l’Autorità.

Il risarcimento del danno è distinto dalla sanzione del Garante

L’eventuale sanzione amministrativa viene irrogata nell’interesse pubblico e non viene versata alla persona danneggiata.

Chi abbia subito un danno materiale o immateriale derivante dalla violazione può invece chiedere il risarcimento ai sensi dell’articolo 82 GDPR.

La violazione, da sola, non determina automaticamente un risarcimento predeterminato.

È necessario dimostrare l’esistenza di un danno e il rapporto causale tra quel pregiudizio e la condotta illecita.

Possono assumere rilievo, secondo le circostanze, conseguenze reputazionali, perdita di riservatezza, utilizzi successivi dei dati o altre ripercussioni concretamente dimostrabili.

L’articolo 82 riconosce espressamente il diritto al risarcimento del danno materiale o immateriale causato dalla violazione del Regolamento.

La semplice irritazione non determina automaticamente un elevato risarcimento

Occorre evitare un altro equivoco.

Ricevere una e-mail inviata in modo scorretto può certamente determinare disagio, ma non significa che il giudice debba automaticamente riconoscere migliaia di euro.

Il risarcimento non ha funzione punitiva.

Il danneggiato deve descrivere e dimostrare le conseguenze effettive.

La situazione sarà diversa se l’indirizzo è stato mostrato a due persone già a conoscenza del rapporto rispetto al caso in cui la comunicazione della morosità sia stata inviata a decine di colleghi, parenti o soggetti appartenenti alla stessa comunità professionale.

La valutazione è necessariamente concreta.

Se il debito non esiste, la posizione del titolare diventa ancora più delicata

Particolarmente grave è il caso in cui venga comunicata a terzi una situazione debitoria inesistente.

In questa ipotesi il problema riguarda contemporaneamente la liceità della comunicazione e l’esattezza del dato.

Il GDPR impone che le informazioni personali siano esatte e, se necessario, aggiornate.

Attribuire pubblicamente una morosità a una persona che ha già pagato oppure che non è mai stata debitrice può produrre una lesione significativa della reputazione e dell’affidabilità personale.

Nel provvedimento del marzo 2026 il Garante ha sottolineato proprio che l’impatto della divulgazione era aggravato dal fatto che all’interessato fosse stato attribuito erroneamente un debito mai contratto.

Un sollecito relativo a più condomini morosi richiede particolare attenzione

Si consideri un amministratore che debba sollecitare venti condòmini.

Inserirli tutti nel campo “A” scrivendo “sollecito pagamento quote condominiali insolute” rende reciprocamente conoscibili gli indirizzi e, presumibilmente, la condizione di morosità.

Una simile modalità presenta evidenti criticità.

L’amministratore dovrebbe utilizzare comunicazioni individualizzate oppure, quando il contenuto sia realmente identico e non contenga informazioni specifiche, adottare sistemi che impediscano la reciproca identificazione.

Rimane separato il diritto dei condòmini di conoscere determinate informazioni contabili nell’ambito della gestione condominiale.

Una cosa è l’accesso legittimo ai dati della contabilità condominiale da parte dei soggetti aventi diritto; altra cosa è una mailing list indiscriminata utilizzata come strumento di sollecito.

Un esempio chiaramente illecito

Una finanziaria invia a trenta clienti un messaggio con oggetto “Ultimo sollecito prima dell’azione legale”.

Tutti gli indirizzi compaiono nel campo “A”.

Nel testo si specifica che i destinatari risultano morosi e che verranno richiesti decreti ingiuntivi.

Ogni cliente può quindi conoscere l’indirizzo degli altri e comprendere che ciascuno si trova in una situazione debitoria.

La fattispecie è sostanzialmente sovrapponibile al caso esaminato dal Garante nel gennaio 2026 ed espone il titolare a una contestazione per comunicazione illecita dei dati e mancata adozione di adeguate misure di riservatezza.

Un esempio nel quale la comunicazione può essere legittima

Due persone hanno sottoscritto congiuntamente un finanziamento come condebitori solidali.

Il creditore invia a entrambe una comunicazione relativa alla stessa rata non pagata.

La conoscenza reciproca dell’esistenza del debito è intrinseca al rapporto contrattuale comune.

La presenza di entrambi nella medesima corrispondenza può quindi essere giustificata.

Resta comunque opportuno utilizzare soltanto i recapiti necessari e non includere ulteriori soggetti estranei.

Un esempio relativo al fideiussore

Una società non paga un finanziamento garantito personalmente dall’amministratore.

La banca comunica al debitore e al fideiussore l’inadempimento e l’intenzione di escutere la garanzia.

La comunicazione al garante è funzionale all’esercizio del diritto derivante dalla fideiussione e dispone quindi di un preciso fondamento giuridico.

Non sarebbe invece giustificato inviare la medesima comunicazione anche ai figli dell’amministratore soltanto perché potrebbero convincerlo a pagare.

Un esempio di errore che può costituire data breach

Uno studio professionale deve inviare cento lettere individuali di messa in mora.

Per errore utilizza il campo “Cc” anziché “Ccn”, rendendo visibili tutti gli indirizzi.

Lo studio deve interrompere immediatamente eventuali ulteriori invii, valutare la natura dell’incidente, il numero degli interessati e le informazioni divulgate, documentare l’accaduto e stabilire se ricorrano i presupposti per la notifica al Garante e, nei casi di rischio elevato, per la comunicazione agli interessati.

Non è corretto limitarsi a mandare una seconda e-mail dicendo “ignorate il messaggio precedente” e considerare automaticamente chiusa la vicenda.

Che cosa dovrebbe fare il mittente dopo l’errore

La prima attività consiste nel bloccare ulteriori divulgazioni.

Il titolare deve individuare esattamente i destinatari, i dati esposti e il contenuto della comunicazione.

Può essere opportuno chiedere ai destinatari erronei di cancellare il messaggio e di non utilizzare i dati ricevuti, pur sapendo che questa richiesta non elimina retroattivamente la violazione.

Deve poi valutare il rischio, documentare l’incidente, correggere le procedure interne e adottare misure capaci di evitare il ripetersi dell’errore.

Nei casi previsti dagli articoli 33 e 34 GDPR devono essere effettuate le relative comunicazioni.

È inoltre importante verificare se la divulgazione derivi da un singolo errore umano o da un sistema organizzativo inadeguato.

Gli errori più frequenti nell’interpretazione della normativa

Il primo errore consiste nel pensare che un indirizzo e-mail non sia un dato personale.

Il secondo consiste nel credere che, essendo il debito reale, il creditore possa comunicarlo liberamente ad altri.

Il terzo è ritenere che il consenso sia sempre necessario per il recupero del credito: il consenso non è necessariamente la base giuridica del trattamento ordinario, ma serve comunque un’idonea base per ogni ulteriore comunicazione.

Il quarto consiste nel pensare che inserire i destinatari in “Cc” anziché nel campo “A” protegga la loro riservatezza.

Il quinto è ritenere che l’utilizzo della Ccn renda automaticamente lecito qualunque invio collettivo.

Il sesto consiste nel considerare familiari o colleghi soggetti legittimati a conoscere il debito.

Il settimo è confondere la violazione privacy con l’inesistenza dell’obbligazione: un trattamento illecito non cancella automaticamente il credito.

L’ultimo errore consiste nel pensare che ogni invio errato debba essere notificato al Garante entro settantadue ore. L’incidente deve sempre essere valutato e documentato; la notifica dipende dal rischio per i diritti e le libertà delle persone.

Come dovrebbe essere organizzata correttamente una comunicazione di recupero crediti

La soluzione più sicura è una comunicazione individualizzata.

Il destinatario dovrebbe vedere soltanto il proprio indirizzo e i recapiti del creditore o del soggetto incaricato.

Il contenuto deve riportare le informazioni strettamente necessarie per identificare l’obbligazione: creditore, titolo, importo, scadenza e modalità di pagamento o contestazione.

Devono essere evitati riferimenti superflui a terzi.

Quando sia necessario coinvolgere garanti o altri obbligati, il mittente deve verificare la loro effettiva posizione giuridica e limitare le informazioni a quelle pertinenti.

Le comunicazioni massive devono utilizzare strumenti tecnici che impediscano la reciproca conoscibilità degli indirizzi e dovrebbero essere precedute da controlli automatici o manuali sui destinatari.

Conclusioni: il recupero del credito è legittimo, la divulgazione del debitore agli altri normalmente no

Il creditore ha diritto di pretendere il pagamento e di utilizzare i dati necessari per tutelare le proprie ragioni.

Questo diritto non autorizza a rendere pubblica, neppure all’interno di una lista di destinatari, la posizione economica del debitore.

Mostrare in chiaro l’indirizzo e-mail di una persona in una comunicazione collettiva può già costituire comunicazione di un dato personale. Se il messaggio consente anche di comprendere che quella persona è morosa, la violazione assume un rilievo maggiore perché viene divulgata un’informazione relativa alla sua situazione patrimoniale.

Il Garante, con il provvedimento del 16 gennaio 2026, ha considerato illecito proprio l’invio di una comunicazione relativa a posizioni debitorie a circa 37 destinatari i cui indirizzi erano reciprocamente visibili e ha indicato l’invio individualizzato o la copia conoscenza nascosta come misure idonee a prevenire tale divulgazione.

La comunicazione a più soggetti può invece essere giustificata quando questi siano realmente coinvolti nella medesima obbligazione, come nel caso di condebitori o garanti, e la conoscenza delle informazioni sia necessaria per esercitare o difendere un diritto.

Familiari, colleghi, vicini di casa e altri soggetti estranei non acquistano alcun diritto di conoscere la posizione economica del debitore soltanto per il rapporto personale che intrattengono con lui.

In caso di invio accidentale, la situazione può integrare anche un data breach e deve essere valutata dal titolare secondo gli articoli 32, 33 e 34 GDPR. Non ogni errore determina automaticamente una notifica al Garante, ma ogni violazione deve essere documentata e devono essere adottate misure adeguate per impedire il ripetersi dell’incidente.

La regola conclusiva può quindi essere formulata in termini molto chiari: è normalmente illecito mostrare a destinatari estranei gli indirizzi e-mail degli altri soggetti in una comunicazione relativa a debiti individuali, soprattutto quando da quella comunicazione sia possibile identificare ciascuno come debitore; il recupero del credito deve avvenire mediante modalità riservate, individualizzate e limitate ai soggetti che hanno un effettivo titolo giuridico per conoscere quelle informazioni.