pro-aiuto.com
Pubblicato il 15 maggio 2026 · Aggiornato il .
🔍 In sintesi: diritto all'oblio CRIF 2026
Il diritto all'oblio finanziario consente di chiedere la cancellazione di una segnalazione CRIF prima della scadenza ordinaria, ma solo quando ricorrono presupposti precisi previsti dall'art. 17 GDPR e dal Codice di condotta per i SIC. Ecco i punti chiave da memorizzare.
- Base normativa: art. 17 Reg. UE 2016/679 (GDPR) + Codice di condotta SIC (provv. Garante n. 12/2019, in vigore dal 2020).
- Quando si applica: segnalazione errata, debito estinto prima della registrazione, mancato preavviso ex art. 4 Codice, base giuridica venuta meno.
- Quando NON si applica: segnalazione corretta e dovuta — qui si attende la cancellazione automatica (12/24/36/60 mesi).
- Termini di risposta: 30 giorni dalla richiesta ex art. 12 GDPR, prorogabili di 60 giorni per casi complessi.
- Costo: gratuito. Il titolare può rifiutare solo richieste manifestamente infondate o eccessive.
- Rimedi in caso di rifiuto: reclamo al Garante Privacy o ricorso al giudice ordinario entro 60 giorni.
Cos'è il diritto all'oblio finanziario nel 2026
Il diritto all'oblio finanziario è la facoltà — riconosciuta a persone fisiche e, in modalità più ristretta, a persone giuridiche — di ottenere la cancellazione dai Sistemi di Informazioni Creditizie (SIC) di dati personali che non dovrebbero più essere trattati. La fonte primaria è l'articolo 17 del GDPR (Reg. UE 2016/679), che codifica il "diritto alla cancellazione (oblio)" e individua sei presupposti tassativi.
Nel contesto specifico del CRIF e degli altri SIC italiani (Experian, CTC, Assilea), il diritto all'oblio è declinato dal Codice di condotta per i sistemi di informazioni creditizie, deliberato dal Garante per la protezione dei dati personali con provvedimento n. 12 del 12 settembre 2019 e operativo dal 2020. Il codice integra l'art. 17 GDPR fissando termini massimi di conservazione e ipotesi di cancellazione anticipata.
L'equivoco più comune è che l'oblio consenta sempre di "ripulire" il profilo creditizio. È falso: Garante e Cassazione (sent. n. 3952/2018 e n. 207/2022) hanno ribadito che la cancellazione anticipata è possibile solo nei casi tipizzati. Se il dato è corretto, attuale e legittimo, occorre attendere il termine ordinario.
Cancellazione automatica vs cancellazione anticipata
Per orientarsi è fondamentale distinguere due binari paralleli previsti dal Codice di condotta SIC.
Cancellazione automatica (scadenza ordinaria)
Avviene allo scadere dei termini massimi di conservazione, senza necessità di alcuna istanza. È il regime fisiologico: il SIC è obbligato a rimuovere il dato decorso il periodo, in coerenza con il principio di "limitazione della conservazione" (art. 5, par. 1, lett. e GDPR).
| Evento segnalato | Tempo massimo conservazione | Decorrenza |
|---|---|---|
| Richiesta di finanziamento (rifiutata o rinunciata) | 180 giorni dalla richiesta | Data della domanda |
| Richiesta accolta e finanziamento erogato regolarmente | 60 mesi (5 anni) dalla chiusura del contratto | Data di estinzione |
| Ritardo fino a 2 rate o 2 mesi, poi regolarizzato | 12 mesi dalla regolarizzazione | Data del saldo |
| Ritardo superiore a 2 rate o 2 mesi, poi regolarizzato | 24 mesi dalla regolarizzazione | Data del saldo |
| Inadempimento grave o sofferenza non sanata | 36 mesi dalla scadenza contrattuale | Data scadenza naturale del contratto |
Cancellazione anticipata (diritto all'oblio attivo)
Si attiva solo su istanza dell'interessato e richiede uno dei presupposti dell'art. 17 GDPR. È un rimedio eccezionale, non un canale per "saltare" i tempi di conservazione legittimi. Vediamo nel dettaglio i casi.
I sei casi di cancellazione anticipata ammessa nel 2026
L'art. 17, par. 1 GDPR elenca i presupposti del diritto alla cancellazione. Nel contesto SIC, i casi più ricorrenti sono i seguenti, secondo la prassi del Garante Privacy aggiornata al 2026.
- Segnalazione errata o non corrispondente al vero. Importo sbagliato, codice errato, omonimia, debito segnalato a soggetto diverso dal reale obbligato. Base: art. 17, par. 1, lett. d) GDPR + art. 8 Codice di condotta SIC.
- Debito già estinto prima della segnalazione. Il creditore segnala un ritardo o un'insolvenza dopo che il debito è stato saldato. Caso frequente in operazioni di cessione del credito.
- Mancanza del preavviso di 15 giorni. L'art. 4 del Codice di condotta impone al creditore di inviare un preavviso scritto almeno 15 giorni prima della segnalazione di una prima informazione negativa. Senza preavviso, la segnalazione è illegittima e cancellabile.
- Base giuridica venuta meno o revocata. Quando il consenso (per i dati positivi) viene revocato o quando il legittimo interesse del creditore non sussiste più. Lett. b) e f) dell'art. 17, par. 1 GDPR.
- Trattamento illecito. Violazioni del Codice (es. segnalazione di un debito prescritto, segnalazione mantenuta oltre i termini massimi, doppia segnalazione tra più SIC senza informativa). Lett. d) art. 17.
- Obbligo legale di cancellazione. Provvedimento del Garante, sentenza definitiva del giudice ordinario, decisione di un'autorità di vigilanza che impone la rimozione.
Differenza tra diritto all'oblio, rettifica e opposizione
Tre diritti diversi, spesso confusi nelle istanze. Una qualificazione corretta nella richiesta evita rigetti formali e accelera la risposta del titolare.
| Diritto | Articolo GDPR | Quando si usa | Effetto |
|---|---|---|---|
| Cancellazione (oblio) | Art. 17 | Dato non più trattabile (errato, illecito, oltre termini) | Eliminazione totale dal SIC |
| Rettifica | Art. 16 | Dato inesatto ma il trattamento è ancora dovuto | Correzione del singolo campo |
| Limitazione | Art. 18 | Pendenza di una verifica o di una contestazione | Sospensione temporanea della visibilità |
| Opposizione | Art. 21 | Trattamento basato su legittimo interesse | Cessazione del trattamento se il titolare non prevale |
Per i professionisti che assistono clienti (avvocati, consulenti del credito), la scelta dell'istituto giusto è dirimente: chiedere "cancellazione" quando il rimedio è la rettifica espone al rigetto con conseguente perdita di tempo e, in alcuni casi, blocco di operazioni di finanziamento.
🔍 Documenti necessari per istruire l'istanza
Prima di inviare la richiesta di cancellazione è essenziale partire da un quadro probatorio aggiornato. Con i nostri servizi B2B ottieni il report ufficiale CRIF e i documenti complementari.
- Visura CRIF — il report da CRIF, Experian e CTC con segnalazioni, importi e date.
- Report Affidabilità Creditizia — analisi consolidata da più SIC per identificare incoerenze tra fonti.
Procedura passo-passo per esercitare il diritto all'oblio
La procedura corretta evita errori formali che il titolare può eccepire per posticipare la risposta. Ecco i sei passaggi operativi.
Procedura passo-passo per esercitare il diritto all'oblio
- Acquisire la visura CRIF aggiornata. Identifica la segnalazione contestata: codice, importo, segnalante, data di prima registrazione e ultima conferma.
- Identificare il presupposto art. 17 GDPR. Inquadra il caso in uno dei sei presupposti (errore, debito estinto, mancato preavviso, ecc.). Senza presupposto, l'istanza viene respinta.
- Raccogliere la documentazione probatoria. Quietanze di pagamento, accordi di saldo e stralcio, sentenze di prescrizione, prove dell'omonimia, raccomandate non ricevute. La prova è a carico dell'interessato.
- Inviare l'istanza al titolare del trattamento. Va indirizzata al segnalante (banca, finanziaria, leasing) e per conoscenza al gestore del SIC. Modalità: PEC o raccomandata A/R con ricevuta di ritorno. La PEC è preferita per la prova della data certa.
- Attendere il riscontro (30 giorni). Il titolare deve rispondere entro 30 giorni dalla ricezione (art. 12, par. 3 GDPR), prorogabili di 60 giorni con motivazione. Il silenzio equivale a rigetto.
- Adire i rimedi in caso di rigetto. Reclamo al Garante Privacy (gratuito, telematico, art. 77 GDPR) o ricorso al giudice ordinario (art. 79 GDPR), entrambi entro 60 giorni dalla risposta. I due rimedi sono alternativi.
Contenuto minimo obbligatorio dell'istanza
Un'istanza di cancellazione efficace deve contenere elementi precisi. Per i professionisti che redigono modelli per i clienti, conviene strutturarla per blocchi.
| Blocco | Contenuto | Riferimento normativo |
|---|---|---|
| Intestazione | Destinatario (titolare segnalante + SIC), oggetto: "Istanza ex art. 17 GDPR" | Art. 12 GDPR |
| Identificazione | Dati anagrafici completi, codice fiscale, copia documento identità | Art. 11 GDPR |
| Identificazione del dato | Riferimenti precisi alla segnalazione: contratto, importo, codice, date | Codice condotta SIC, art. 8 |
| Presupposto giuridico | Indicazione della lettera di art. 17 par. 1 GDPR applicata | Art. 17 GDPR |
| Prova | Allegati documentali a supporto | Art. 5 par. 2 GDPR (accountability) |
| Richiesta espressa | "Chiedo la cancellazione del dato dal SIC entro 30 giorni" | Art. 12 par. 3 GDPR |
| Riserve | Riserva di reclamo al Garante e di azione giudiziaria | Artt. 77 e 79 GDPR |
Termini di risposta e silenzio del titolare
L'art. 12, par. 3 del GDPR fissa il termine ordinario in 30 giorni dalla ricezione dell'istanza. Il titolare può prorogarlo di 60 giorni in caso di "complessità e numero delle richieste", ma deve comunicare la proroga e la motivazione entro i primi 30 giorni. La proroga senza comunicazione è inefficace.
Il silenzio per oltre 30 giorni equivale a rigetto tacito: l'interessato può subito attivare il reclamo al Garante senza ulteriori solleciti, anche se è prassi diligente inviare una formale richiesta di riscontro prima di passare al contenzioso. Per le persone giuridiche i termini sono identici, ma la giurisprudenza riconosce una tutela più ristretta del diritto all'oblio (Cass. 2022).
Casi particolari: prescrizione, frode, soggetti deceduti
Tre scenari richiedono un trattamento specifico nella prassi.
Debito prescritto
Se il debito è prescritto (di norma 10 anni per i contratti di mutuo, 5 anni per i canoni periodici), la segnalazione perde la sua base giuridica. La Cassazione (sent. n. 23204/2020) ha riconosciuto il diritto all'oblio in caso di prescrizione del credito sottostante. Va eccepita formalmente nell'istanza, allegando un atto di costituzione in mora più recente possibile da cui far decorrere il termine prescrizionale.
Segnalazione conseguente a frode o sostituzione di persona
L'interessato vittima di furto d'identità deve allegare la denuncia all'autorità giudiziaria e, se disponibile, la sentenza penale. Il Garante ha più volte ordinato la cancellazione immediata anche in pendenza del procedimento penale, perché il dato è palesemente illecito.
Soggetti deceduti
Le segnalazioni a carico di persone fisiche decedute vanno chiuse al momento del decesso, indipendentemente dai termini ordinari (art. 2-terdecies Codice Privacy). Gli eredi possono richiedere la cancellazione allegando il certificato di morte.
Cosa fare se il titolare nega la cancellazione
In caso di rigetto motivato (o silenzio per oltre 30 giorni), si aprono due rimedi alternativi.
Reclamo al Garante Privacy
Canale rapido ed economico. Si invia telematicamente dal portale del Garante. Costo: gratuito. Tempi medi di pronuncia: 4-6 mesi nel 2026. Esito: ordinanza con sanzioni amministrative fino a 20 milioni di euro o 4% del fatturato globale (art. 83 GDPR).
Ricorso al giudice ordinario
Tribunale del luogo di residenza dell'interessato (art. 152 Codice Privacy), procedimento sommario di cognizione. Costi: contributo unificato ~98 euro + onorari. Tempi: 6-12 mesi. Esito: sentenza che ordina la cancellazione e liquida il danno non patrimoniale.
I due rimedi sono alternativi: chi sceglie il Garante non può poi adire il giudice sullo stesso oggetto. La scelta dipende dall'urgenza e dall'interesse a un risarcimento economico, ottenibile solo in sede giudiziale.
🔍 Hai bisogno di verificare la posizione completa?
Prima di redigere l'istanza, raccogli un quadro consolidato della posizione creditizia del cliente. Su Pro-Aiuto bastano pochi minuti e nessuno SPID.
- Visura CRIF — segnalazioni, importi e date dal SIC CRIF.
- Report Affidabilità Creditizia — dati consolidati da CRIF, Experian e CTC.
Domande frequenti
Posso chiedere la cancellazione anticipata se ho pagato tutto?
No, non automaticamente. Il pagamento del debito comporta solo l'aggiornamento della segnalazione a "regolarizzata", non la sua eliminazione. Il dato resta secondo i termini ordinari (12 o 24 mesi dalla regolarizzazione). Si può chiedere la cancellazione anticipata solo se il pagamento è avvenuto prima della segnalazione o se la segnalazione è viziata da errori.
Quanto tempo ha il CRIF per rispondere all'istanza?
Trenta giorni dalla ricezione (art. 12, par. 3 GDPR), prorogabili di 60 giorni con motivazione comunicata entro il termine iniziale. In caso di silenzio per oltre 30 giorni si può procedere direttamente con il reclamo al Garante Privacy.
Il diritto all'oblio si applica anche alle persone giuridiche?
In senso stretto no, perché il GDPR protegge dati personali di persone fisiche. La Cassazione (sent. n. 18430/2022) riconosce però alle persone giuridiche tutela analoga sotto i profili dell'identità economica e della reputazione, attivabile davanti al giudice ordinario. La via del reclamo al Garante è in linea di principio preclusa.
L'istanza deve essere redatta da un avvocato?
No. L'art. 17 GDPR consente l'esercizio personale del diritto. L'assistenza legale è consigliata in caso di rigetto, contestazioni complesse o quando si valuta il ricorso al tribunale con richiesta di risarcimento.
Quanto costa esercitare il diritto all'oblio?
Gratuito (art. 12, par. 5 GDPR). Il titolare può chiedere un contributo solo per richieste manifestamente infondate o ripetitive. Diffidare di chi offre la "cancellazione CRIF" a pagamento prima delle scadenze ordinarie: si tratta nella quasi totalità dei casi di pratiche scorrette.
Quali sono le sanzioni se il titolare non risponde?
Il Garante può irrogare sanzioni amministrative fino a 20 milioni di euro o al 4% del fatturato globale annuo (art. 83 GDPR). In sede civile, l'interessato può ottenere il risarcimento del danno non patrimoniale per illecito trattamento ai sensi dell'art. 82 GDPR.
Posso chiedere l'oblio anche per segnalazioni positive?
Sì, in linea di principio. Le segnalazioni positive (finanziamenti regolari) hanno base giuridica nel consenso dell'interessato (per i SIC privati). La revoca del consenso comporta la cancellazione, salvo che il titolare dimostri un legittimo interesse prevalente alla conservazione.
La cancellazione su un SIC vale anche per gli altri?
No. CRIF, Experian e CTC sono SIC distinti con flussi di alimentazione separati. La cancellazione su CRIF non si propaga agli altri: per ottenere un quadro completo occorre presentare un'istanza specifica per ciascun SIC, anche se i presupposti di fatto sono identici.
Per la trasparenza editoriale di Pro-Aiuto e i nostri standard di assistenza ai professionisti consulta la pagina Chi siamo.
- Preavviso Segnalazione CRIF — Preavviso segnalazione CRIF: il partecipante avvisa 15 giorni prima del primo ritardo…
- CRIF e Saldo e Stralcio — Il saldo e stralcio non cancella subito il CRIF: la posizione resta 36 mesi dalla regolarizzazione (Codice SIC)…
Fonti ufficiali / Official sources:Garante Privacy — Diritto all'oblio | Codice di condotta SIC (Provv. Garante 12/2019) | CRIF — Cancellare o modificare i dati sul SIC | Regolamento UE 2016/679 (GDPR)
Articolo aggiornato a / Article updated: maggio 2026.Le tariffe e le procedure indicate fanno riferimento alla normativa vigente.Si consiglia di verificare eventuali aggiornamenti sul portale ufficiale.