Ordinanza ingiunzione o revoca n. 746 del 07/10/2026

Deutsche Bank: trasparenza e ruoli nel trattamento dei dati per i prestiti BancoPosta

Il provvedimento del 7 ottobre 2026 riguarda Deutsche Bank S.p.A. e il trattamento dei dati personali nell’attività di promozione e collocamento del prestito BancoPosta, svolta in collaborazione con Poste Italiane. Il procedimento è originato da un reclamo individuale ed è stato poi esteso d’ufficio all’esame dei ruoli delle società, dei dati scambiati e dell’informativa resa agli interessati.

Reclamo e istruttoria

Con reclamo del 5 gennaio 2024, una dipendente di Poste ha contestato che, dopo il diniego di una sua richiesta di finanziamento, nella piattaforma utilizzata per gestire le pratiche fossero riportati i suoi impegni finanziari, il relativo importo e il reddito netto. La reclamante aveva inoltre rilevato che il modulo di domanda non prevedeva l’inserimento dello stipendio, dato fornito da Poste, e che l’informativa della Banca dichiarava che a Poste sarebbe stato comunicato soltanto l’esito della verifica.

Dopo le richieste dell’interessata a Deutsche Bank e a Poste, l’Ufficio ha avviato accertamenti nei confronti di entrambe, anche ai sensi dell’art. 157 del Codice. L’istruttoria ha ricostruito le fasi del processo: una fase preliminare di pre-scoring, nella quale sono svolte verifiche sui dati e sui Sistemi di informazione creditizia (SIC), e una successiva fase di valutazione definitiva del merito creditizio, in cui la Banca decide se concedere il finanziamento. Nella fase conclusiva la Banca trasmette a Poste l’esito della pratica e può inserire informazioni nel campo “Note a Intermediario”. Nel caso concreto, tale campo aveva contenuto dati direttamente raccolti dal SIC.

La Banca ha dichiarato di aver cancellato i dati della reclamante e di averla informata tempestivamente. Ha inoltre riferito di aver sensibilizzato il personale addetto alla valutazione del merito creditizio, ricordando di evitare, per quanto possibile, l’inserimento di informazioni creditizie e dati personali nei campi a compilazione libera.

Trattamenti e ruoli delle società

Il Garante ha richiamato il d.P.R. 14 marzo 2001, n. 144, in particolare l’art. 2, commi 8 e 9-bis: Poste non può concedere finanziamenti al pubblico, ma può promuovere e collocare prodotti e servizi bancari e finanziari in qualità di intermediario, mentre il finanziamento è erogato dalla banca o società finanziaria.

Nel processo esaminato, Poste raccoglie e controlla i dati del richiedente e degli eventuali coobbligati, può trasmettere alla Banca indicatori aggregati relativi ai rapporti in essere con Poste e comunica al cliente l’esito dell’istruttoria. Deutsche Bank svolge invece l’istruttoria sul merito creditizio e decide in via autonoma se concedere o negare il prestito. Il Garante ha rilevato che i compiti e i rapporti contrattuali delle due società nei confronti dell’interessato sono distinti.

Entrambe operano quindi come titolari autonomi del trattamento ai sensi dell’art. 4, n. 7, GDPR. I trattamenti e le comunicazioni di dati sono funzionali ai rispettivi rapporti contrattuali o alle misure precontrattuali richieste dall’interessato, secondo la base giuridica dell’art. 6, par. 1, lett. b), GDPR. La Banca tratta i dati per valutare il merito creditizio e assumere la decisione sul finanziamento; Poste li tratta per le proprie finalità di intermediazione e gestione del rapporto con il cliente.

Errata designazione a responsabili e informativa

Le società avevano previsto, per alcuni flussi di dati, reciproche designazioni a responsabili del trattamento ai sensi dell’art. 28 GDPR. Il Garante ha ritenuto che tale qualificazione non fosse coerente con la realtà fattuale: ciascuna parte comunica e tratta i dati per finalità proprie, non per conto dell’altra. Il responsabile, ai sensi dell’art. 4, n. 8, GDPR, tratta invece i dati per conto del titolare e secondo le sue istruzioni.

Questa conclusione è coerente con le Linee guida EDPB 07/2020 sui concetti di titolare e responsabile, adottate il 7 luglio 2021, in particolare con il punto 12, secondo cui la qualificazione dipende dalle attività effettivamente svolte e non dalla designazione formale contenuta in un contratto.

La non corretta qualificazione dei ruoli si rifletteva sull’informativa. Per il trattamento connesso alla promozione e al collocamento del prodotto BancoPosta, l’informativa avrebbe dovuto indicare i destinatari o le categorie di destinatari dei dati, come previsto dall’art. 13, par. 1, lett. e), GDPR, e fornire le informazioni necessarie a garantire correttezza e trasparenza ai sensi dell’art. 5 GDPR. Il Garante ha pertanto accertato la violazione degli artt. 5, par. 1, lett. a), e 13 GDPR.

Decisione e misure correttive

Il Garante ha dichiarato illecito il trattamento svolto da Deutsche Bank per violazione dei principi di correttezza e trasparenza e degli obblighi informativi. Ai sensi dell’art. 58, par. 2, lett. d), GDPR, ha ingiunto alla Banca di predisporre, per il trattamento dei dati nell’ambito del prodotto BancoPosta, un’informativa che indichi i destinatari o le categorie di destinatari e tenga conto del ruolo di Poste quale titolare autonomo.

La prescrizione deve essere adempiuta entro sei mesi dalla notifica del provvedimento. Entro lo stesso termine Deutsche Bank deve fornire al Garante un riscontro adeguatamente documentato ai sensi dell’art. 157 del Codice. Il mancato riscontro può comportare l’applicazione della sanzione prevista dall’art. 83, par. 5, lett. e), GDPR.

Sanzione e criteri di quantificazione

Per la violazione degli artt. 5, par. 1, lett. a), e 13 GDPR, il Garante ha applicato la sanzione amministrativa prevista dall’art. 83, par. 5, lett. a) e b), GDPR, determinandola in 33.000 euro. Nella valutazione ai sensi dell’art. 83, parr. 1 e 2, ha considerato la natura della violazione, relativa ai principi generali e alla trasparenza delle informazioni fornite ai clienti; il carattere colposo, riconducibile all’errata interpretazione dei ruoli; le misure adottate per mitigare o rimuovere le conseguenze, inclusa la cancellazione dei dati della reclamante e la comunicazione interna al personale; l’assenza di precedenti dell’Autorità e di reclami analoghi; e la cooperazione della Banca nel procedimento.

La somma deve essere pagata entro trenta giorni dalla notifica, secondo le modalità indicate nell’allegato, pena l’avvio degli atti esecutivi ai sensi dell’art. 27 della legge n. 689/1981. Resta salva la possibilità di definire la controversia pagando la metà della sanzione entro il termine previsto per la proposizione del ricorso, ai sensi dell’art. 10, comma 3, del d.lgs. n. 150/2011. Il provvedimento è opponibile dinanzi al tribunale ordinario entro trenta giorni dalla comunicazione, ovvero entro sessanta giorni se il ricorrente risiede all’estero.