Informativa privacy – Informazioni commerciali e investigazioni private

Versione 1.0 – ottobre 2026. Sostituisce l'informativa sulle informazioni commerciali aggiornata a novembre 2019.

1. Premessa

Credit Report S.r.l. è titolare di licenza prefettizia ai sensi dell'art. 134 del R.D. 773/1931 (TULPS), rilasciata dalla Prefettura della Spezia, per l'attività di investigazioni private e di informazioni commerciali. Questa informativa, resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (GDPR), riguarda i dati personali trattati nell'ambito di due servizi svolti su incarico di terzi ("Committenti"):

• Informazioni commerciali: ricerca, raccolta, registrazione, organizzazione, analisi, valutazione, elaborazione e comunicazione di informazioni provenienti da fonti pubbliche, da fonti pubblicamente e generalmente accessibili o fornite dall'interessato, per consentire al Committente di valutare l'affidabilità economica e commerciale di un soggetto. Il servizio si svolge nel rispetto del Codice di condotta per il trattamento dei dati personali in materia di informazioni commerciali, approvato dal Garante con provvedimento n. 127 del 12 giugno 2019.

• Investigazioni private: attività di indagine svolte su incarico scritto di privati, aziende, enti o avvocati, in particolare per accertare fatti e raccogliere elementi utili a far valere o difendere un diritto in sede giudiziaria, anche prima dell'avvio di un giudizio. Queste attività si svolgono nel rispetto delle Regole deontologiche relative ai trattamenti di dati personali effettuati per svolgere investigazioni difensive o per fare valere o difendere un diritto in sede giudiziaria (Garante, provvedimento n. 512 del 19 dicembre 2018). Credit Report non svolge investigazioni nell'ambito di procedimenti penali, che richiedono la specifica autorizzazione prevista dall'art. 222 delle norme di attuazione del codice di procedura penale.

L'informativa è pubblicata sul sito anche perché, nella maggior parte dei casi, i dati non sono raccolti presso l'interessato: per le ragioni indicate al punto 9, darne notizia individualmente sarebbe impossibile, richiederebbe uno sforzo sproporzionato o pregiudicherebbe le finalità dell'incarico (art. 14, par. 5, lett. b, GDPR).

2. Titolare del trattamento e DPO

3. A chi si rivolge questa informativa

La normativa privacy tutela solo le persone fisiche. I nostri servizi riguardano spesso imprese, società ed enti: i loro dati non sono dati personali, ma lo sono quelli delle persone fisiche collegate (titolari di ditte individuali, soci, amministratori, referenti). Questa informativa si rivolge a loro.

• Le persone fisiche, compresi imprenditori individuali e professionisti, su cui un Committente chiede un servizio di informazione commerciale.

• Le persone fisiche legate sul piano giuridico o economico a un'impresa, società o ente su cui è richiesto il servizio: soci con partecipazioni rilevanti e persone con effettivi poteri di amministrazione, direzione o controllo, secondo i criteri del Codice di condotta.

• Le persone fisiche coinvolte in un'investigazione privata: la persona oggetto dell'accertamento e, nei limiti strettamente necessari, altri soggetti che compaiono nei fatti accertati (ad esempio testimoni, controparti, persone collegate).

• I Committenti e i loro referenti, per i dati necessari a gestire l'incarico.

4. Quali dati trattiamo e da dove provengono

Informazioni commerciali

• Dati anagrafici e di contatto, dati su cariche e partecipazioni in imprese e società.

• Dati su aspetti patrimoniali, economici, finanziari e creditizi: bilanci, protesti, procedure concorsuali, atti pregiudizievoli e ipocatastali (ipoteche, pignoramenti, decreti ingiuntivi trascritti), proprietà immobiliari e di veicoli.

• Dati su condanne penali e reati solo se provenienti da fonti pubbliche, nei limiti del Codice di condotta.

• Valutazioni e giudizi sull'affidabilità, anche espressi come classi o punteggi (rating), attribuiti da un analista o provenienti da banche dati di terzi (vedi punto 5).

• Non trattiamo categorie particolari di dati (origine etnica, opinioni politiche, convinzioni religiose, salute, vita sessuale, dati genetici o biometrici).

Fonti: dati forniti dal Committente; fonti pubbliche (registro delle imprese, registro informatico dei protesti, registri immobiliari e catasto presso l'Agenzia delle Entrate, Pubblico Registro Automobilistico, anagrafe della popolazione residente, atti e documenti conoscibili da chiunque per legge); fonti pubblicamente e generalmente accessibili (stampa, elenchi, siti internet); altri fornitori di informazioni commerciali; dati forniti direttamente dall'interessato.

Investigazioni private

• Dati anagrafici, di residenza, domicilio e reperibilità.

• Dati sull'attività lavorativa, sui beni e sulle risorse economiche, su comportamenti e fatti rilevanti per l'incarico.

• Immagini e annotazioni raccolte durante osservazioni in luoghi pubblici o aperti al pubblico, documentate nella relazione all'incarico.

• Dati relativi a condanne penali e reati, solo se strettamente necessari all'incarico e nei limiti di legge.

• Non trattiamo categorie particolari di dati (origine etnica, opinioni politiche, convinzioni religiose, salute, vita sessuale, dati genetici o biometrici).

Fonti: dati forniti dal Committente o dal suo legale; fonti pubbliche e pubblicamente accessibili; osservazione diretta e accertamenti sul posto; informazioni raccolte presso terzi nel rispetto della legge. Non sono svolte attività vietate, come intercettazioni o accessi a sistemi informatici e banche dati senza titolo.

5. Perché trattiamo i dati e su quale base giuridica

Non chiediamo il consenso dell'interessato: i trattamenti si basano sulle condizioni indicate in tabella.

I dati sono trattati per le finalità dell'incarico ricevuto. Se lo stesso Committente ha affidato a Credit Report anche il recupero del proprio credito (licenza art. 115 TULPS), i dati necessari a quel servizio, ad esempio un indirizzo rintracciato, sono usati anche per il recupero, come indicato nell'informativa sul recupero crediti.

Rating. Il giudizio di affidabilità può essere espresso come classe o punteggio (rating). Il rating è attribuito da un nostro analista oppure proviene da banche dati di informazioni commerciali di terzi, che lo calcolano con propri metodi descritti nelle rispettive informative; Credit Report non utilizza sistemi propri di calcolo automatico. Un rating proveniente da terzi è esaminato da un nostro analista prima della consegna al Committente. Il rating non è una decisione: se concedere credito o avviare un rapporto con l'interessato lo decide il Committente. Fino alla consegna al Committente l'interessato può chiedere quali dati sono stati usati per il giudizio e contestarlo; dopo la consegna la richiesta va rivolta al Committente, che è l'unico a detenere i dati.

6. Come trattiamo i dati e chi vi accede

• I dati sono trattati con strumenti cartacei e informatici, con misure di sicurezza adeguate al rischio, e solo nella misura necessaria all'incarico (principio di minimizzazione).

• Ogni investigazione si svolge su incarico conferito per iscritto, che indica il diritto da far valere o difendere e l'oggetto dell'accertamento.

• Accedono ai dati solo il personale di Credit Report autorizzato e istruito, e i collaboratori iscritti nell'elenco del personale previsto dalla licenza.

• Fornitori che svolgono servizi per nostro conto (gestione dei sistemi informatici, banche dati di informazioni commerciali, agenzie corrispondenti) sono nominati responsabili del trattamento ai sensi dell'art. 28 GDPR e accedono solo ai dati necessari al loro compito.

• Credit Report non tiene una propria banca dati di informazioni commerciali: i dati sono raccolti per il singolo incarico.

7. A chi possono essere comunicati i dati

I dati non sono diffusi. Possono essere comunicati soltanto:

• al Committente che ha richiesto il servizio e, per le investigazioni, al suo avvocato;

• all'autorità giudiziaria, nell'ambito del procedimento per cui l'incarico è stato svolto;

• alle autorità e ai soggetti che vi hanno diritto per legge, nei limiti previsti;

• ad agenzie di informazioni commerciali e investigative corrispondenti, in Italia o nell'Unione europea, solo quando l'incarico lo richiede.

I dati sono trasferiti fuori dall'Unione europea in un solo caso: quando il Committente ha sede in un Paese extra UE, per consegnargli il risultato dell'incarico. Il trasferimento avviene verso Paesi con decisione di adeguatezza della Commissione europea, con le garanzie previste dagli artt. 46 e seguenti GDPR o, quando applicabile, perché necessario per accertare, esercitare o difendere un diritto in sede giudiziaria (art. 49, par. 1, lett. e, GDPR).

8. Per quanto tempo conserviamo i dati

Scaduti questi termini, i dati vengono cancellati o resi anonimi.

9. I diritti dell'interessato

L'interessato può chiedere l'accesso ai propri dati e la rettifica di quelli inesatti o incompleti.

Il GDPR prevede anche il diritto di chiedere la cancellazione e la limitazione del trattamento e di opporsi al trattamento (artt. 17, 18 e 21). Per la natura dei nostri servizi, di norma questi diritti non trovano applicazione: i dati sono trattati perché il Committente possa tutelare il proprio credito o accertare, esercitare e difendere un proprio diritto in sede giudiziaria, e in questi casi la legge esclude la cancellazione e l'opposizione (art. 17, par. 3, lett. e, e art. 21, par. 1, GDPR). Inoltre Credit Report cancella i dati alla consegna dell'incarico: da quel momento li detiene solo il Committente, che li tratta come titolare autonomo e al quale vanno rivolte eventuali richieste.

Le richieste vanno inviate per iscritto, via email o PEC, ai recapiti del punto 2, allegando un documento d'identità. Non diamo seguito a richieste telefoniche o di cui non sia possibile verificare l'identità del richiedente.

Limiti nelle investigazioni private. Quando i dati sono trattati per far valere o difendere un diritto in sede giudiziaria, l'esercizio di questi diritti può essere ritardato, limitato o escluso, con comunicazione motivata, se ne deriverebbe un pregiudizio effettivo e concreto a quelle finalità, e per il tempo strettamente necessario (art. 2-undecies, comma 1, lett. e, e comma 3, Codice privacy). In questi casi l'interessato può esercitare i propri diritti anche tramite il Garante per la protezione dei dati personali (art. 160 Codice privacy).

Quando l'informativa è data personalmente. Se raccogliamo i dati direttamente dall'interessato, ad esempio in un colloquio, gli diamo l'informativa al momento della raccolta, anche a voce e in forma sintetica, indicando chi siamo, per chi operiamo e che rispondere è facoltativo (art. 13 GDPR e art. 11 delle Regole deontologiche). Se i dati provengono da terzi o da fonti pubbliche, l'informativa non è inviata alla persona: nelle investigazioni ne comprometterebbe lo scopo, nelle informazioni commerciali richiederebbe uno sforzo sproporzionato. In questi casi vale questa informativa, pubblicata in modo permanente sul sito (art. 14, par. 5, lett. b, GDPR).

L'interessato ha sempre diritto di proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it).

10. Riferimenti normativi

• Regolamento (UE) 2016/679 (GDPR), in particolare artt. 4, 6, 10, 13, 14 e 15–22.

• D.lgs. 196/2003 (Codice privacy), artt. 2-octies, 2-undecies e 160.

• R.D. 773/1931 (TULPS), artt. 134 e 135.

• Codice di condotta per il trattamento dei dati personali in materia di informazioni commerciali, approvato dal Garante con provvedimento n. 127 del 12 giugno 2019 (testo sul sito del Garante).

• Regole deontologiche relative ai trattamenti di dati personali effettuati per svolgere investigazioni difensive o per fare valere o difendere un diritto in sede giudiziaria, Garante, provvedimento n. 512 del 19 dicembre 2018 (doc. web n. 9069653).