Un dipendente che accede a migliaia di conti per due anni senza che nessuno se ne accorga. E due milioni di correntisti trasferiti a una banca digitale quasi in silenzio, d’estate. Bastano questi due episodi a raccontare perché il Garante Privacy ha deciso di sanzionare Intesa Sanpaolo per quasi 50 milioni di euro, con due provvedimenti che mettono sotto accusa la governance dei dati della prima banca italiana.
In questo articolo:
- Intesa, data breach: 31,8 milioni per i buchi nei controlli interni
- Caso Isybank, multa per migrazione forzata di 2,4 milioni di correntisti
Intesa, data breach: 31,8 milioni per i buchi nei controlli interni
Il provvedimento più pesante, 31,8 milioni di euro, nasce dalla notifica di un data breach che la banca ha trasmesso all’Autorità nel luglio 2024. L’istruttoria ha portato alla luce un caso di accesso abusivo protrattosi per oltre due anni: un dipendente ha consultato senza alcuna giustificazione le informazioni bancarie di 3.573 clienti, accumulando più di 6.600 interrogazioni tra il febbraio 2022 e l’aprile 2024. Ciò che ha aggravato il quadro agli occhi del Garante non è soltanto la condotta individuale, ma la sistematica incapacità dei controlli interni di rilevare comportamenti anomali per un arco di tempo così esteso. L’architettura operativa della banca, che consentiva agli operatori di interrogare liberamente l’intera base clienti senza filtri contestuali, non era affiancata da meccanismi di monitoraggio capaci di intercettare accessi privi di giustificazione. Una lacuna tanto più grave perché tra i soggetti colpiti figuravano clienti classificati ad alto rischio, incluse personalità con ruoli pubblici di rilievo, per i quali la normativa avrebbe imposto misure di protezione rafforzate. L’Autorità ha contestato la violazione dei principi di integrità, riservatezza e accountability sanciti dal GDPR, con ulteriori rilievi sulla gestione dell’incidente stesso: la notifica è stata giudicata incompleta e fuori dai termini di legge, mentre la comunicazione agli interessati è avvenuta solo dopo un precedente richiamo del Garante, risalente al novembre 2024.
Caso Isybank, multa per migrazione forzata di 2,4 milioni di correntisti
Il secondo provvedimento, da 17,628 milioni di euro, riguarda una delle operazioni più controverse degli ultimi anni nel settore bancario italiano: il trasferimento unilaterale di circa 2,4 milioni di clienti retail dalla capogruppo alla controllata digitale Isybank. L’istruttoria, avviata a seguito di un’ondata di segnalazioni da parte dei correntisti, ha messo sotto la lente le modalità con cui Intesa Sanpaolo ha selezionato i clienti da migrare. Secondo il Garante, la banca ha operato una vera e propria profilazione, sprovvista di adeguata base giuridica, basata su criteri combinati: età non superiore a 65 anni, utilizzo prevalente dei canali digitali nell’ultimo anno, assenza di prodotti di investimento nel portafoglio e disponibilità finanziarie al di sotto di una certa soglia patrimoniale. Il trasferimento non era una mera formalità amministrativa: comportava il passaggio a un diverso titolare del trattamento dei dati, la modifica unilaterale delle condizioni contrattuali, l’assegnazione di un nuovo IBAN e l’accesso ai servizi esclusivamente tramite app, in assenza di qualsiasi sportello fisico. Un cambiamento sostanziale nella relazione bancaria, che il Garante ha ritenuto non adeguatamente comunicato: gli avvisi ai clienti erano stati recapitati prevalentemente nella sezione archivio dell’app di Intesa Sanpaolo, durante il periodo estivo, senza far ricorso a strumenti di immediata visibilità come notifiche push o SMS.
Nel quantificare gli importi, il Garante ha applicato una valutazione differenziata tra i due casi. Per il data breach ha pesato la gravità strutturale delle carenze, la loro durata pluriennale e la platea dei soggetti coinvolti. Per il caso Isybank, invece, l’Autorità ha riconosciuto il carattere colposo delle violazioni, oltre alla collaborazione prestata dall’istituto nel corso dell’istruttoria, fattori che hanno contribuito a contenere l’entità della sanzione. In entrambi i casi, ha influito positivamente l’adozione di misure correttive successive all’avvio dei procedimenti. Per Intesa Sanpaolo si tratta ora di voltare pagina sul fronte della compliance privacy, in un momento in cui le autorità europee di protezione dei dati stanno intensificando i controlli sulle grandi istituzioni finanziarie.
