Ordinanza ingiunzione o revoca n. 237 del 17/04/2026

Poste Italiane/Postepay: trattamento illecito dei dati degli utenti delle app Bancoposta e PostePay tramite ThreatMetrix

Il Garante ha accertato l’illiceità dei trattamenti di dati personali effettuati dai contitolari Poste Italiane S.p.A. e Postepay S.p.A. nell’ambito delle app Bancoposta e PostePay su sistema Android, in relazione all’uso della soluzione antifrode ThreatMetrix. Il procedimento è scaturito da numerose segnalazioni e reclami presentati a partire da aprile 2024, riguardanti un messaggio che subordinava l’uso delle app all’autorizzazione ad accedere ai dati del dispositivo per individuare eventuali software dannosi.

Origine del procedimento e accertamenti svolti

Nel corso dell’istruttoria il Garante ha acquisito riscontri documentali, svolto un accertamento ispettivo presso Poste Italiane il 17 luglio 2024 e richiesto ulteriori chiarimenti tecnici alle società e al fornitore della soluzione. È emerso che ThreatMetrix, integrato nella piattaforma antifrode PIAF, veniva inizializzato all’avvio dell’app e utilizzava un ID di correlazione associato all’utente per recuperare informazioni sul dispositivo, incluse le app in esecuzione e, nella configurazione contestata, anche quelle installate o presenti sul terminale. Il sistema operava mediante canali cifrati TLS 1.2 o superiori e i dati venivano in parte memorizzati nei sistemi del sub-responsabile e nella piattaforma interna PIAF.

Natura dei dati e qualificazione del trattamento

L’Autorità ha ribadito che i dati trattati erano dati personali ai sensi dell’art. 4 GDPR, anche quando pseudonimizzati o hashati, poiché riconducibili a un interessato mediante informazioni aggiuntive. In particolare, la lista delle applicazioni installate o in esecuzione è stata ritenuta un’informazione idonea a rivelare abitudini di vita, interessi, condizioni di salute, convinzioni religiose o politiche, situazione economica e altri aspetti della persona. Il Garante ha quindi distinto la fase di raccolta dei dati dal terminale, soggetta alla disciplina ePrivacy, dai successivi trattamenti antifrode, soggetti al GDPR.

Violazione dell’art. 122 del Codice privacy e assenza di stretta necessità

Le società avevano sostenuto che la raccolta dei dati fosse consentita in quanto “strettamente necessaria” alla fornitura del servizio di pagamento richiesto e alla sicurezza delle transazioni. Il Garante ha però ritenuto che l’esenzione di cui all’art. 122 del Codice, che recepisce l’art. 5, par. 3 della direttiva ePrivacy, sia di stretta interpretazione e riguardi solo i trattamenti indispensabili al funzionamento tecnico del servizio richiesto. Nel caso concreto la raccolta dell’elenco delle app installate o in esecuzione è stata giudicata eccessiva rispetto alle finalità dichiarate, considerato anche che esistevano soluzioni alternative meno invasive, come autenticazione multifattore, controlli di rete, RASP e altre misure tecniche meno impattanti.

Base giuridica dei trattamenti antifrode e art. 6 GDPR

Per i trattamenti successivi, relativi all’analisi antifrode dei dati acquisiti dal dispositivo, le società avevano invocato l’art. 6, par. 1, lett. c) GDPR, richiamando la disciplina PSD2 e i Regolamenti delegati EBA/Commissione. Il Garante ha escluso che tali fonti costituiscano una base giuridica sufficiente, perché non impongono in modo specifico i trattamenti concretamente effettuati e non descrivono le condizioni generali del trattamento. Ha inoltre rilevato che il legittimo interesse ex art. 6, par. 1, lett. f) GDPR non era stato adeguatamente supportato, in assenza di una LIA riferita ai trattamenti contestati e di un bilanciamento tra interessi del titolare e diritti degli interessati.

Informativa, trasparenza e correttezza

L’informativa resa agli utenti delle app è stata ritenuta non adeguata. Pur menzionando l’uso del numero di telefono per trasmissioni ai sistemi antifrode, non descriveva in modo specifico il trattamento mediante ThreatMetrix né indicava che venivano raccolti i dati relativi alle app installate o in esecuzione per finalità di rilevazione di malware. Il Garante ha quindi ravvisato la violazione degli artt. 5, par. 1, lett. a) e 13 GDPR, ritenendo insufficiente anche il messaggio tecnico inviato agli utenti, poiché non idoneo a garantire una reale informazione preventiva, chiara e completa.

Designazione del responsabile e disciplina dei sub-responsabili

Sono state rilevate criticità anche ai sensi dell’art. 28 GDPR. In particolare, le società non avrebbero verificato in modo adeguato le garanzie offerte da XX quale responsabile del trattamento, pur sapendo che esso utilizzava ThreatMetrix come componente rilevante della piattaforma antifrode. Inoltre, il contratto di nomina non disciplinava in modo specifico i trattamenti effettuati tramite ThreatMetrix e l’allegato sui sub-responsabili presentava una compilazione incoerente e non conteneva un elenco effettivo e chiaro dei subfornitori. Il Garante ha quindi ritenuto violati gli artt. 28, par. 1 e 3 GDPR.

Privacy by design, DPIA e misure di sicurezza

L’Autorità ha ritenuto non rispettati anche gli artt. 25 e 35 GDPR. Le società non hanno dimostrato di aver valutato ex ante soluzioni meno invasive né di aver predisposto una DPIA specifica per i trattamenti oggetto del procedimento; la DPIA prodotta riguardava trattamenti antifrode più generali e non contemplava i dati delle app installate o in esecuzione, i profili di fingerprinting e gli altri identificativi utilizzati. Quanto all’art. 32 GDPR, il provvedimento dà atto di contestazioni formulate nel corso del procedimento sulla adeguatezza delle misure di sicurezza, anche se la motivazione sul punto è sinteticamente richiamata nel dispositivo e nelle conclusioni complessive di illiceità.

Conservazione dei dati

È stato inoltre accertato il superamento del periodo di conservazione inizialmente dichiarato: i dati nei sistemi ThreatMetrix risultavano conservati fino a 28 mesi, anziché 24, con giustificazione ritenuta troppo generica e non supportata da una finalità specifica e adeguatamente comunicata. Il Garante ha quindi ravvisato la violazione dell’art. 5, par. 1, lett. e) GDPR, rilevando che l’eventuale esigenza statistica avrebbe dovuto essere definita ex ante e comunicata agli interessati.

Esito, misure correttive e sanzioni

L’Autorità ha dichiarato illecito il trattamento effettuato dai contitolari per violazione degli artt. 5, 6, 13, 25, 28, 32 e 35 GDPR e dell’art. 122 del Codice privacy. In via correttiva, ha ordinato:

• l’interruzione, entro 10 giorni dalla notifica, dei trattamenti relativi alla raccolta dei dati del dispositivo sulle app installate e/o in esecuzione;
• l’individuazione, entro 30 giorni, di specifiche tempistiche di conservazione dei dati trattati tramite ThreatMetrix;
• l’invio di un riscontro documentato all’Autorità.

In via sanzionatoria, il Garante ha applicato l’art. 83, parr. 4 e 5, GDPR, tenendo conto della gravità, della durata, del numero elevatissimo di interessati coinvolti, del grado di colpa, delle misure adottate per attenuare il danno, della cooperazione con l’Autorità e dell’assenza di precedenti. Le sanzioni irrogate sono state:

• euro 6.624.000,00 nei confronti di Poste Italiane S.p.A.;
• euro 5.877.000,00 nei confronti di Postepay S.p.A.

Il provvedimento dispone inoltre la pubblicazione dell’ordinanza ingiunzione sul sito del Garante e l’annotazione nel registro interno delle violazioni e delle misure adottate.