Ordinanza ingiunzione o revoca n. 389 del 10/07/2025

Poste Vita S.p.a. - comunicazione illecita di dati di polizze vita e tardiva notifica di data breach

Il provvedimento riguarda Poste Vita S.p.a., destinataria di un reclamo per la comunicazione a un soggetto terzo non autorizzato di dati personali riferiti a polizze vita intestate alla reclamante. La vicenda è stata esaminata anche sotto il profilo della notifica della violazione di dati personali ai sensi dell’art. 33 GDPR, ritenuta tardiva.

Origine del procedimento e attività istruttoria

La reclamante ha riferito che la compagnia avrebbe inviato informazioni e documentazione relative alle polizze vita a un indirizzo e-mail mai creato o utilizzato da lei, successivamente impiegato da terzi in un giudizio civile. Poste Vita ha sostenuto di aver riscontrato richieste trasmesse tra il 2021 e il 2023 da una casella recante nome e cognome dell’interessata, corredate da firma autografa e da dati specifici sulle operazioni effettuate, ritenendole provenienti dalla cliente.

Solo dopo la comunicazione del 22 settembre 2024, con cui l’interessata disconosceva l’indirizzo e-mail, la società ha avviato approfondimenti interni e sospeso le ulteriori comunicazioni verso quella casella. Nel procedimento ha poi rappresentato di aver notificato il data breach al Garante il 20 gennaio 2025, a seguito della riunione del proprio “GDPR Team di Valutazione” del 17 gennaio 2025.

Trattamento ritenuto illecito

Il Garante ha accertato che Poste Vita, in qualità di titolare del trattamento, aveva comunicato dati personali della reclamante a un terzo non autorizzato. Secondo l’Autorità, gli operatori della compagnia hanno fatto affidamento su elementi esterni di apparente autenticità delle richieste, ma tale circostanza non esonerava dall’obbligo di verificare l’effettiva corrispondenza dell’indirizzo di posta elettronica all’identità della cliente.

È stato evidenziato che l’interessata non aveva mai fornito un indirizzo e-mail per la ricezione delle comunicazioni, né al momento della stipula del contratto né successivamente. Pertanto, prima di trasmettere documenti e informazioni via e-mail, la società avrebbe dovuto porre in essere adeguate misure di verifica. L’Autorità ha quindi ritenuto violati i principi di liceità e correttezza, nonché di integrità e riservatezza, di cui all’art. 5, par. 1, lett. a) e f), GDPR.

Notifica della violazione di dati personali

Sul piano del data breach, il Garante ha respinto la tesi difensiva secondo cui il termine di 72 ore decorrerebbe solo dalla piena certezza dell’evento acquisita il 17 gennaio 2025. Richiamando le Linee guida 9/2022 dell’EDPB, ha ribadito che il titolare deve considerarsi “a conoscenza” della violazione quando è ragionevolmente certo che si sia verificato un incidente di sicurezza con compromissione di dati personali.

Nel caso concreto, il disconoscimento della casella e-mail da parte dell’interessata costituiva già una ragionevole evidenza della possibile violazione e imponeva una notifica senza ingiustificato ritardo e, ove possibile, entro 72 ore. La notifica del 20 gennaio 2025, intervenuta quasi quattro mesi dopo l’emersione del problema, è stata quindi ritenuta tardiva e in violazione dell’art. 33, par. 1, GDPR.

Misure correttive e elementi valutati dal Garante

La società ha rappresentato di aver:

• sospeso ogni comunicazione all’indirizzo e-mail disconosciuto;
• trasmesso all’interessata le comunicazioni già inviate a quel recapito;
• aggiornato le procedure aziendali prevedendo che le richieste informative siano evase solo in presenza di condizioni idonee ad accertare l’identità del richiedente.

Il Garante ha tenuto conto della natura colposa della violazione, dell’immediato avvio di verifiche interne una volta emersa la contestazione, della collaborazione con l’Autorità, dell’assenza di precedenti specifici e delle condizioni economiche della società. Ha inoltre considerato la gravità della violazione, che ha comportato la comunicazione di dati personali relativi a polizze vita a un soggetto non autorizzato.

Sanzione, ordini e pubblicazione

Ritenuta l’illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a) e f), e 33, par. 1, GDPR, il Garante ha adottato ordinanza ingiunzione ai sensi dell’art. 58, par. 2, lett. i), GDPR e dell’art. 166 del Codice privacy.

È stata irrogata a Poste Vita S.p.a. una sanzione amministrativa pecuniaria di euro 80.000,00. Il provvedimento dispone inoltre:

• la pubblicazione dell’ordinanza ingiunzione sul sito Internet del Garante;
• la pubblicazione del provvedimento ai sensi dell’art. 154-bis, comma 3, Codice privacy;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

È stata altresì indicata la facoltà di opposizione avanti l’autorità giudiziaria ordinaria nei termini di legge, nonché la possibilità di definizione agevolata mediante pagamento della metà della sanzione nei casi e nei termini previsti.