Prescrizioni del Garante n. 659 del 02/11/2024

Intesa Sanpaolo S.p.A. – violazione di dati bancari e ordine di comunicazione agli interessati

Il provvedimento riguarda una violazione di dati personali derivante da accessi non autorizzati, compiuti da un dipendente di Intesa Sanpaolo S.p.A., a dati bancari di clienti. Il procedimento nasce dalla notifica del 17 luglio 2024 e si sviluppa anche alla luce di successivi approfondimenti richiesti dall’Autorità e di informazioni emerse dalla stampa.

Origine della violazione e sviluppi istruttori

La banca aveva inizialmente segnalato una perdita di riservatezza limitata a nove clienti, emersa nel corso di controlli interni svolti dalla funzione privacy su alert relativi ad accessi anomali. In seguito, su richiesta del Garante, la società ha chiarito che l’evento notificato coincideva con quello riportato dagli organi di stampa e che il dipendente avrebbe effettuato complessivamente migliaia di accessi su un numero molto più ampio di clienti, nel corso di un periodo esteso tra il 21 febbraio 2022 e il 24 aprile 2024.

La banca ha anche riferito di non aver rilevato, allo stato, evidenze di estrazione dei dati dai sistemi interni e di avere avviato un procedimento disciplinare, conclusosi con il licenziamento del dipendente.

Tipologia di dati coinvolti e rischio per gli interessati

Gli accessi hanno riguardato dati e informazioni bancarie, tra cui:

• scheda cliente e posizioni contrattuali;
• movimenti di rapporti e carte di pagamento;
• dati relativi ad attività finanziarie e investimenti.

Il Garante ha sottolineato la particolare delicatezza di tali informazioni, anche perché la violazione, in concreto, poteva integrare un’ipotesi di accesso abusivo a sistema informatico ai sensi dell’art. 615-ter c.p. e poteva esporre gli interessati a conseguenze quali divulgazione della situazione patrimoniale e danno reputazionale.

Valutazione del Garante sull’art. 34 GDPR

L’Autorità ha ritenuto che la violazione presentasse un rischio elevato per i diritti e le libertà delle persone fisiche, diversamente da quanto valutato dalla banca. Ai fini della valutazione, il Garante ha richiamato i criteri delle Linee guida sulla notifica delle violazioni, considerando:

• la natura della violazione, che incide sulla riservatezza;
• la natura e il volume dei dati;
• la gravità e la persistenza delle possibili conseguenze;
• il contesto bancario, che esige elevata responsabilizzazione e fiducia da parte della clientela.

In base a tale valutazione, la comunicazione individuale agli interessati è stata ritenuta obbligatoria ai sensi dell’art. 34, par. 1, GDPR.

Esclusione dell’esenzione per sforzo sproporzionato

Il Garante ha escluso la possibilità di invocare l’art. 34, par. 3, lett. c), GDPR. La banca non ha dimostrato che la comunicazione avrebbe comportato uno sforzo sproporzionato; al contrario, i soggetti coinvolti e i rispettivi recapiti risultavano noti o conoscibili.

È stato inoltre osservato che:

• il numero di interessati effettivamente coinvolti non era tale da rendere sproporzionato il contatto;
• una comunicazione generale alla clientela non poteva sostituire quella specifica e individuale dovuta ai clienti direttamente incisi;
• la mancata comunicazione impediva agli interessati di adottare tempestivamente misure cautelative.

Ordine impartito e adempimenti richiesti

Il Garante, ai sensi degli artt. 34, par. 4, e 58, par. 2, lett. e), GDPR, ha ingiunto a Intesa Sanpaolo S.p.A. di:

• comunicare la violazione ai clienti i cui dati siano stati oggetto di accesso non giustificato da esigenze di servizio;
• fornire almeno le informazioni previste dall’art. 34, par. 2, GDPR, cioè natura della violazione, possibili conseguenze, contatti del DPO o di altro punto di contatto e misure adottate per porvi rimedio e attenuarne gli effetti;
• effettuare la comunicazione senza ingiustificato ritardo e comunque entro 20 giorni dalla ricezione del provvedimento;
• documentare le attività di contatto e gli esiti delle stesse;
• trasmettere all’Autorità, entro 30 giorni, un riscontro adeguatamente documentato sull’esecuzione dell’ordine.

Ulteriori richiami e conseguenze dell’inottemperanza

Il provvedimento richiama anche l’obbligo di collaborazione con l’Autorità ai sensi dell’art. 58, par. 1, lett. a), GDPR e dell’art. 157 del Codice privacy, nonché la possibilità di sanzione amministrativa per l’inosservanza di un ordine dell’Autorità ai sensi dell’art. 83, par. 6, GDPR e dell’art. 166 del Codice.

Infine, è disposta l’annotazione nel registro interno del Garante e la pubblicazione del provvedimento sul sito dell’Autorità.