Prescrizioni del Garante n. 208 del 26/03/2026

Intesa Sanpaolo S.p.A. – accessi abusivi a dati bancari e gestione del data breach

Il provvedimento riguarda Intesa Sanpaolo S.p.A. e un accesso abusivo, da parte di un dipendente, a dati bancari e personali di clienti. Il procedimento nasce da una notifica di violazione ex art. 33 GDPR e da successivi approfondimenti d’ufficio, che hanno evidenziato una portata del fenomeno molto più ampia di quella inizialmente rappresentata dalla banca.

Origine del procedimento e ricostruzione dei fatti

Il 17 luglio 2024 la banca ha notificato al Garante una violazione conseguente ad accessi non giustificati, da parte di un dipendente in servizio presso la filiale Agribusiness di Barletta, ai dati bancari di alcuni clienti, tra cui anche parenti e conoscenti del lavoratore. In un primo momento l’istituto aveva indicato 9 interessati e aveva ritenuto insussistente un rischio elevato ai sensi dell’art. 34 GDPR, limitandosi a prevedere colloqui informativi con alcuni clienti.

Successivamente, a seguito di notizie di stampa e di una complessa attività istruttoria, l’Ufficio ha ritenuto che il perimetro della violazione fosse ben più ampio. La banca ha chiarito che l’evento era stato rilevato tramite controlli di secondo livello e alert interni, e che il dipendente era stato poi licenziato per giusta causa il 7 agosto 2024.

Portata del data breach accertata

L’istruttoria ha accertato che il dipendente aveva consultato, senza necessità di servizio, le informazioni finanziarie di 3.573 clienti tra il 21 febbraio 2022 e il 24 aprile 2024, per un totale di 6.637 accessi. Tra gli interessati figuravano anche persone di rilievo pubblico e soggetti politicamente esposti. Il Garante ha valorizzato la circostanza che la banca svolga attività bancaria in un contesto ad alto rischio e che il trattamento interessasse anche dati di clienti esposti pubblicamente, per i quali sarebbero stati necessari presidi rafforzati.

Profili normativi esaminati

L’Autorità richiama in particolare:

• l’art. 5, par. 1, lett. f) GDPR, sul principio di integrità e riservatezza;
• l’art. 5, par. 2 GDPR e l’art. 24 GDPR, sul principio di accountability;
• l’art. 32 GDPR, sulla sicurezza del trattamento;
• l’art. 33 GDPR, sulla notifica della violazione all’autorità di controllo;
• l’art. 34 GDPR, sulla comunicazione della violazione agli interessati.

Sono inoltre richiamate le Linee guida EDPB 9/2022 sulla notifica delle violazioni, le Linee guida 01/2021 e il provvedimento n. 192 del 12 maggio 2011 sulle prescrizioni in materia di circolazione delle informazioni in ambito bancario e tracciamento delle operazioni.

Valutazione sulla sicurezza del trattamento e sull’accountability

Il Garante ritiene che la scelta organizzativa della banca di consentire agli operatori la consultazione in piena circolarità dell’intera base clienti imponesse, proprio per la sua ampiezza, l’adozione di misure ulteriori rispetto a quelle risultate in concreto disponibili. In particolare, secondo l’Autorità, non erano previste cautele adeguate per accessi fuori portafoglio o in assenza di rapporti attivi, come autorizzazioni preventive, limitazioni dinamiche delle abilitazioni o controlli automatici di coerenza tra ruolo e dato consultato.

L’impostazione dei controlli basata prevalentemente su soglie quantitative e su frequenze di monitoraggio dilatate è stata ritenuta inadeguata a intercettare condotte ripetute ma distribuite nel tempo. Per i clienti più esposti, e in particolare per soggetti pubblicamente o politicamente esposti, il Garante afferma che sarebbero stati necessari controlli dedicati, soglie più basse, monitoraggi più ravvicinati e meccanismi di escalation automatica verso i supervisori e le funzioni di controllo.

Per tali ragioni, l’Autorità ha ravvisato la violazione degli artt. 5, par. 1, lett. f), 5, par. 2, 24 e 32 GDPR, contestando anche l’incoerenza della valutazione di rischio effettuata dalla banca rispetto alla metodologia dichiarata (ENISA) e il ricorso all’override per ridurre la gravità dell’evento sulla base della sola causa interna dell’incidente.

Notifica del data breach all’Autorità

Quanto all’art. 33 GDPR, il Garante ha ritenuto che la notifica del 17 luglio 2024 fosse incompleta e non rappresentasse correttamente la reale perimetrazione del data breach, né il numero degli interessati coinvolti. La comunicazione integrativa del 30 agosto 2024 è stata giudicata tardiva rispetto agli obblighi di notifica senza ingiustificato ritardo.

L’Autorità sottolinea che la mancata rappresentazione completa, esaustiva e puntuale della violazione ha compromesso la possibilità del Garante di valutare tempestivamente i fatti e di adottare misure idonee a mitigare i rischi per gli interessati.

Comunicazione agli interessati ex art. 34 GDPR

Con il provvedimento n. 659 del 2 novembre 2024 il Garante aveva già ordinato alla banca di comunicare la violazione a tutti gli interessati i cui dati fossero stati oggetto di accesso non riconducibile con certezza all’ordinaria attività lavorativa del dipendente. L’Autorità aveva infatti ritenuto sussistente un rischio elevato per i diritti e le libertà degli interessati, anche in ragione della natura bancaria dei dati, della possibile rilevanza penale della condotta e della presenza di soggetti pubblicamente esposti o noti.

Nel prosieguo della vicenda, la banca ha effettuato comunicazioni individuali a un numero complessivo di interessati poi rideterminato in 1.272 clienti per le comunicazioni effettivamente inviate in quella fase, utilizzando Rendicontazione Online, posta ordinaria tracciata e, in alcuni casi, entrambe le modalità. Per i clienti digitali è stato introdotto un banner in evidenza e un pop-up sia su App sia su Internet Banking, con meccanismi di conferma di lettura.

Misure adottate successivamente e rafforzamento dei presidi

Il Garante prende atto che, dopo il data breach, Intesa Sanpaolo ha introdotto ulteriori misure correttive e di rafforzamento dei presidi tramite il cosiddetto Programma Nemo. Le misure richiamate includono:

• potenziamento dei controlli ex ante sulle procedure più sensibili;
• richiesta di motivazione preventiva dell’accesso a informazioni relative a clienti fuori portafoglio;
• coinvolgimento del direttore di filiale e delle funzioni di controllo;
• sistema di autorizzazioni ex ante per gli accessi in circolarità;
• nuovi alert per monitorare interrogazioni anomale su pluralità di clienti, inclusi i PEP;
• task force dedicata all’analisi degli alert;
• lista di clienti sensibili con profilo istituzionale e ringfencing rafforzato.

L’Autorità considera tali interventi idonei a irrobustire il sistema di controllo e a migliorare la gestione degli accessi non autorizzati e dei data breach.

Esito finale

Il Garante dichiara l’illiceità del trattamento effettuato da Intesa Sanpaolo S.p.A. per la violazione degli artt. 5, par. 1, lett. f) e par. 2, 24, 32, 33 e 34 GDPR. Nel dispositivo viene altresì disposta la pubblicazione del provvedimento sul sito dell’Autorità, ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento n. 1/2019.

Il testo fornito non riporta l’eventuale importo della sanzione pecuniaria, poiché la parte del provvedimento relativa a tale profilo risulta omissata.