Il Garante per la protezione dei dati personali, il 23 ottobre 2026, ha pubblicato un documento contenente 10 FAQ dedicate ai Sistemi di informazione creditizia (SIC), le banche dati private utilizzate per raccogliere e condividere informazioni relative ai rapporti di credito e all’affidabilità dei clienti. I chiarimenti affrontano alcuni aspetti particolarmente rilevanti per banche e intermediari finanziari, contribuendo a precisare le regole applicabili al trattamento delle informazioni creditizie.
In sintesi
Le nuove FAQ del Garante Privacy approfondiscono il funzionamento dei SIC, le differenze rispetto alla Centrale dei Rischi della Banca d’Italia e le condizioni per il trattamento dei dati. L’articolo analizza il ruolo dei soggetti coinvolti, il legittimo interesse come base giuridica, il preavviso delle segnalazioni negative, i termini di conservazione e le modalità di esercizio dei diritti degli interessati, evidenziando le implicazioni operative per gli intermediari.
Cosa sono i Sistemi di informazione creditizia
I Sistemi di informazione creditizia sono archivi gestiti da soggetti privati che raccolgono informazioni riguardanti le richieste di finanziamento, i rapporti creditizi e l’andamento dei pagamenti.
La loro funzione principale è supportare gli operatori finanziari nelle attività di valutazione del merito creditizio e di gestione del rischio.
Attraverso i SIC, banche e intermediari possono acquisire informazioni utili a valutare l’affidabilità di un cliente e la sostenibilità delle sue esposizioni debitorie.
Il funzionamento di questi sistemi è disciplinato da uno specifico Codice di condotta, definitivamente approvato dal Garante con il provvedimento n. 324 del 6 ottobre 2022.
Le FAQ pubblicate il 23 ottobre 2026 non introducono una nuova disciplina, ma riepilogano e chiariscono le regole già applicabili.
SIC privati e Centrale dei Rischi della Banca d’Italia
Una distinzione fondamentale riguarda la natura delle banche dati.
La Centrale dei Rischi della Banca d’Italia è un sistema pubblico, gestito dalla banca centrale e disciplinato dalla normativa di settore.
I SIC sono invece sistemi privati gestiti da società specializzate, che operano secondo le disposizioni del Codice di condotta.
Il Garante individua tra i gestori aderenti al Codice CTC, CRIF, Experian e Assilea.
La distinzione è importante perché le due tipologie di sistemi rispondono a discipline differenti, pur svolgendo entrambe una funzione di supporto alla valutazione del rischio di credito.
Gestori, partecipanti e accedenti: quali differenze
Le FAQ distinguono tre categorie di soggetti coinvolti.
I gestori amministrano i SIC e operano quali autonomi titolari del trattamento dei dati personali registrati.
I partecipanti, tra cui banche, intermediari finanziari e altri soggetti ammessi dal Codice, possono consultare le informazioni e alimentare il sistema con i dati relativi ai rapporti creditizi.
Gli accedenti, invece, possono consultare i dati senza contribuire alla loro alimentazione.
Tra questi ultimi rientrano, alle condizioni previste dalla disciplina, imprese assicurative, fornitori di servizi di comunicazione elettronica e soggetti autorizzati alla vendita di energia elettrica e gas.
Il Garante chiarisce che gli eventuali inadempimenti nei confronti di tali soggetti, quando operano come semplici accedenti, non vengono registrati nei SIC.
Quali informazioni vengono registrate
I Sistemi di informazione creditizia possono contenere informazioni relative sia a persone fisiche sia a persone giuridiche e altri soggetti privati.
Tra i dati registrati figurano quelli identificativi e le informazioni riguardanti le richieste e i rapporti di credito.
Il Garante distingue tra:
- Dati positivi, relativi alle richieste di finanziamento e ai rapporti caratterizzati da un andamento regolare.
- Dati negativi, riferiti ai rapporti nei quali si siano verificati inadempimenti o ritardi nei pagamenti.
La corretta registrazione e l’aggiornamento delle informazioni assumono particolare importanza per evitare che dati inesatti o non aggiornati possano incidere sulla valutazione dell’affidabilità creditizia.
Il legittimo interesse come base giuridica del trattamento
Uno dei chiarimenti più rilevanti riguarda la base giuridica del trattamento.
Il Garante precisa che, per i trattamenti effettuati nell’ambito delle finalità disciplinate dal Codice di condotta, la base giuridica è individuata nell’art. 6, paragrafo 1, lettera f), del GDPR, relativo al legittimo interesse.
Non è quindi necessario acquisire il consenso degli interessati per tali trattamenti.
Le finalità consentite riguardano la valutazione, l’assunzione e la gestione del rischio di credito, nonché la verifica dell’affidabilità e della puntualità nei pagamenti.
Rientrano inoltre tra le finalità ammesse la prevenzione delle frodi e dei furti di identità.
Il ricorso al legittimo interesse non elimina gli altri obblighi previsti dalla normativa sulla protezione dei dati, inclusi quelli in materia di trasparenza, correttezza e rispetto dei diritti degli interessati.
Il preavviso prima della segnalazione negativa
Le FAQ dedicano particolare attenzione al preavviso di imminente segnalazione.
In presenza di ritardi nei pagamenti, il partecipante deve informare l’interessato dell’imminente registrazione in uno o più SIC.
Il Garante chiarisce che i dati relativi al primo ritardo possono essere resi accessibili agli altri partecipanti soltanto dopo che siano trascorsi almeno 15 giorni dalla spedizione del preavviso.
Il documento richiama diverse modalità di comunicazione, comprese quelle postali tracciabili e, ove previamente concordate con l’interessato, strumenti come l’home banking, le comunicazioni telefoniche registrate e gli SMS.
La scelta delle modalità deve rispettare le condizioni stabilite dalla disciplina applicabile.
Per gli operatori diventa quindi essenziale assicurare la tracciabilità delle comunicazioni e il corretto rispetto delle procedure.
I termini di conservazione delle informazioni creditizie
Il Garante riepiloga i principali tempi di conservazione stabiliti dal Codice di condotta.
| Tipologia di informazione | Termine di conservazione |
|---|---|
| Richieste di finanziamento | Non oltre 180 giorni dalla richiesta |
| Richieste rifiutate o rinunciate | 90 giorni dall’ultimo aggiornamento con l’esito |
| Ritardi fino a due rate o mesi, poi regolarizzati | Non oltre 12 mesi dalla registrazione della regolarizzazione |
| Ritardi superiori a due rate o mesi, poi regolarizzati | Non oltre 24 mesi dalla registrazione della regolarizzazione |
| Inadempimenti non regolarizzati | Non oltre 36 mesi secondo i criteri del Codice, con limite massimo applicabile di 60 mesi |
| Rapporti con andamento regolare | Non oltre 60 mesi dalla cessazione o scadenza del rapporto, secondo i criteri del Codice |
I termini sono soggetti alle condizioni e alle particolarità previste dalla disciplina.
Per i rapporti con andamento regolare è inoltre contemplata una specifica possibilità di ulteriore conservazione in presenza, nel sistema, di informazioni negative non regolarizzate relative ad altri rapporti dello stesso interessato.
I diritti degli interessati e il ruolo dell’Organismo di Monitoraggio
Le persone interessate possono esercitare i diritti previsti dal GDPR, tra cui accesso, rettifica e cancellazione, nei casi e alle condizioni stabilite dalla normativa.
Le istanze possono essere rivolte al gestore o al partecipante, in quanto autonomi titolari del trattamento.
Il Codice prevede inoltre un Organismo di Monitoraggio (OdM) incaricato di verificare il rispetto delle relative disposizioni da parte dei gestori aderenti, limitatamente alle operazioni di trattamento di loro competenza.
In presenza di possibili violazioni, gli interessati possono rivolgersi all’Organismo secondo le modalità previste.
Resta ferma la possibilità di presentare reclamo al Garante per la protezione dei dati personali.
Le implicazioni per banche e intermediari finanziari
Le FAQ costituiscono un utile riferimento per verificare la corretta applicazione delle regole sul trattamento delle informazioni creditizie.
Per gli operatori interessati assumono particolare importanza la gestione dei preavvisi, l’aggiornamento periodico dei dati, il rispetto dei tempi di conservazione e la predisposizione di procedure efficaci per l’esercizio dei diritti.
Il tema richiede un coordinamento tra funzioni creditizie, risk management, compliance e data protection.
Una gestione corretta dei SIC contribuisce non soltanto alla conformità normativa, ma anche alla qualità dei processi di valutazione del merito creditizio e alla tutela della clientela.
Approfondisci con Paradigma
La disciplina dei Sistemi di informazione creditizia conferma l’importanza di competenze integrate in materia di privacy, gestione del credito e conformità normativa.
Scopri le iniziative formative di Paradigma dedicate alla data protection, al settore bancario e alla compliance.
Fonti ufficiali
- Garante Privacy – FAQ sui Sistemi di informazione creditizia, Doc-Web 10310041
- Garante Privacy – Regolamento generale sulla protezione dei dati (GDPR)
Newsletter Paradigma
Vuoi ricevere i prossimi aggiornamenti relativi all’area Data protection?
Novità normative, nuove iniziative e approfondimenti, nella tua casella di posta elettronica. Puoi disiscriverti in qualsiasi momento.
