Allarme privacy: I casi Intesa Sanpaolo e Poste Italiane e il reale rischio per le imprese

I recenti interventi del Garante per la protezione dei dati personali nei confronti di Intesa Sanpaolo ed il gruppo Poste Italiane segnano un passaggio particolarmente significativo nell’applicazione del GDPR in Italia.

Non si tratta soltanto di provvedimenti isolati, ma di decisioni che evidenziano con chiarezza un dato ormai difficilmente ignorabile: il rischio sanzionatorio è concreto, elevato e può incidere in modo rilevante sull’equilibrio economico e reputazionale di un’organizzazione.

Le sanzioni irrogate parlano da sole:

• 17,6 milioni di euro a Intesa Sanpaolo per il caso Isybank;

• 31,8 milioni di euro alla medesima banca per ulteriori criticità in materia di sicurezza dei dati;

• oltre 12,5 milioni di euro complessivi al gruppo Poste Italiane (6,6 mln a Poste Italiane e 5,8 mln a Postepay).

  
  

Importi di tale entità non rappresentano più un’eccezione, ma l’espressione di un approccio sempre più rigoroso da parte dell’Autorità.

Il caso Intesa Sanpaolo: quando l’errore è “strutturale”

Nel caso di Intesa Sanpaolo, la violazione non si è limitata a un singolo profilo, ma ha riguardato l’intera impostazione del trattamento.

Il trasferimento di milioni di clienti verso Isybank è stato fondato su attività di profilazione che, secondo il Garante, non poggiavano su una base giuridica adeguata e, soprattutto, non erano accompagnate da un livello di trasparenza effettiva.

Il punto centrale della decisione è particolarmente rilevante: non è sufficiente informare, se l’interessato non è realmente posto nelle condizioni di comprendere.

Questo passaggio segna una linea netta rispetto a prassi ancora diffuse, nelle quali l’adempimento informativo viene considerato un requisito meramente formale.

A ciò si aggiungono le gravi carenze in materia di sicurezza, oggetto della seconda sanzione da 31,8 milioni di euro. In questo caso, il Garante ha rilevato debolezze nei sistemi di controllo e gestione degli accessi, evidenziando come l’inosservanza degli obblighi di cui all’art. 32 GDPR possa tradursi in conseguenze economiche estremamente rilevanti.

Il dato che emerge è chiaro: quando la non conformità è radicata nei processi aziendali, l’impatto sanzionatorio cresce in modo esponenziale.

Il caso Poste Italiane: il limite della “tecnologia non governata”

Il procedimento che ha coinvolto Poste Italiane offre un’ulteriore chiave di lettura, altrettanto significativa.

In questo caso, le criticità sono emerse nell’ambito delle applicazioni BancoPosta e Postepay, dove alcune funzionalità antifrode comportavano una raccolta di dati tecnici eccedente rispetto alle finalità dichiarate.

Ancora una volta, il problema non risiede nell’obiettivo — la sicurezza — ma nel modo in cui esso viene perseguito.

Il Garante ha ribadito un principio destinato ad avere un impatto trasversale: l’innovazione tecnologica non giustifica deroghe ai principi di minimizzazione e proporzionalità.

Particolarmente rilevante è anche il rilievo relativo alla DPIA, risultata assente o inadeguata. Si tratta di un aspetto spesso sottovalutato nella prassi operativa, ma che, come dimostrato dal caso in esame, rappresenta uno degli strumenti principali attraverso cui l’Autorità valuta la responsabilità del titolare.

Il messaggio dell’Autorità: la compliance deve essere reale

L’elemento comune ai due provvedimenti è inequivocabile.

Il Garante non si limita più a verificare l’esistenza di informative, policy o registri, ma valuta se tali strumenti siano effettivamente idonei a garantire la tutela dei diritti degli interessati.

Ne deriva un cambio di paradigma: la compliance non può più essere affrontata come un insieme di adempimenti documentali, ma richiede un’integrazione concreta nei processi aziendali.

In questo contesto, assumono rilievo sostanziale:

• la progettazione dei trattamenti (privacy by design);

• la valutazione preventiva dei rischi (DPIA);

• l’adeguatezza delle misure di sicurezza;

• la capacità di dimostrare le scelte effettuate (accountability).

Un rischio spesso sottovalutato

Molte realtà, soprattutto di piccole e medie dimensioni, tendono ancora a ritenere che sanzioni di tale entità riguardino esclusivamente grandi gruppi.

Questa convinzione è, nei fatti, fuorviante.

Se è vero che l’importo delle sanzioni è proporzionato alla dimensione dell’organizzazione, è altrettanto vero che:

• i criteri di valutazione utilizzati dal Garante sono gli stessi per tutti;

• le violazioni più frequenti (informative inadeguate, trattamenti eccedenti, carenze di sicurezza) sono comuni a organizzazioni di qualsiasi dimensione;

• l’impatto, anche di una sanzione inferiore, può risultare comunque critico per la sostenibilità economica di un’impresa.

In altri termini, non è necessario essere una grande banca per esporsi a un rischio concreto.

I provvedimenti adottati nei confronti di Intesa Sanpaolo ed il gruppo Poste Italiane evidenziano con chiarezza come il rischio sanzionatorio in materia di protezione dei dati personali sia oggi concreto, elevato e, soprattutto, trasversale.

Non si tratta più di ipotesi astratte o di casi isolati, ma di un orientamento consolidato dell’Autorità, che valuta in modo sempre più rigoroso la sostanza dei trattamenti e l’effettiva capacità delle organizzazioni di garantire i diritti degli interessati.

In questo contesto, l’assenza di un sistema di compliance strutturato espone le imprese a conseguenze che non si esauriscono nella sanzione economica, ma si estendono alla sfera reputazionale e operativa.

Per tale ragione, una verifica preventiva dell’adeguatezza dei trattamenti, delle misure di sicurezza e degli assetti organizzativi non rappresenta un mero adempimento, ma uno strumento essenziale di gestione del rischio.

Intervenire ex ante è, oggi, l’unico approccio realmente efficace per evitare criticità che, come dimostrano i casi richiamati, possono assumere dimensioni particolarmente rilevanti.