Ordinanza ingiunzione o revoca n. 747 del 07/10/2026

Sanzione a Poste Italiane per informativa sui prestiti BancoPosta

Il provvedimento n. 747 del 7 ottobre 2026 riguarda il trattamento di dati personali svolto da Poste Italiane nell’ambito della promozione e dell’intermediazione di finanziamenti BancoPosta, in collaborazione con Deutsche Bank. L’istruttoria, originata da un reclamo individuale, è stata estesa d’ufficio all’esame dei ruoli privacy delle società e dell’informativa resa ai richiedenti.

Reclamo e svolgimento del procedimento

Con reclamo del 5 gennaio 2024, una dipendente di Poste ha riferito che, dopo aver richiesto un finanziamento tramite il portale messo a disposizione dalla Banca, il diniego e informazioni sui suoi impegni finanziari e sul reddito netto risultavano accessibili nella piattaforma utilizzata dal personale che gestiva le pratiche. La reclamante contestava inoltre che il modulo non chiedesse l’importo dello stipendio, dato che veniva fornito da Poste, e richiamava l’informativa della Banca secondo cui a Poste sarebbe stato trasmesso soltanto l’esito della verifica.

Dopo le richieste dell’interessata a Deutsche Bank e a Poste, il Garante ha avviato l’istruttoria nei confronti di entrambe. Con nota del 29 gennaio 2024 ha chiesto alla reclamante di confermare l’interesse a proseguire anche nei confronti del datore di lavoro; la conferma è pervenuta il 12 febbraio 2024. L’Ufficio ha acquisito informazioni e documenti ai sensi dell’art. 157 del Codice, anche in relazione alla convenzione tra le società e ai dati scambiati. Poste ha comunicato il 12 settembre 2024 di avere cancellato, d’intesa con la Banca, i dati della reclamante dai propri archivi e di averla informata. Ha inoltre dichiarato che gli addetti che avevano consultato la pratica erano autorizzati e istruiti.

Con atto del 16 luglio 2025 è stato avviato nei confronti di Poste il procedimento ai sensi degli artt. 58 e 83 GDPR e dell’art. 166, comma 5, del Codice, per i profili relativi all’individuazione dei ruoli e alla liceità e trasparenza dell’informativa. Poste ha presentato le proprie memorie il 15 settembre 2025, dopo aver ottenuto una proroga.

Trattamenti e flussi di dati esaminati

Le richieste di finanziamento erano gestite tramite un sistema informatico di Poste collegato a quello della Banca per integrare i flussi. Poste raccoglieva e controllava i dati del richiedente e degli eventuali coobbligati, anche per individuare il prodotto più adatto alle esigenze e alle capacità economiche del cliente. Trasmetteva poi i dati alla Banca e, quando il richiedente era titolare di un conto presso Poste, anche indicatori aggregati ricavati dai rapporti in essere, quali giacenza media e saldo del conto.

Deutsche Bank svolgeva l’istruttoria sul merito creditizio e decideva in via esclusiva se concedere o rifiutare il finanziamento. Comunicava a Poste l’esito e gli stati della pratica, tra cui pratica caricata, in lavorazione o deliberabile, liquidata o rifiutata; Poste comunicava quindi l’esito al richiedente. Il Garante ha rilevato che, anche in caso di diniego, Poste manteneva un rapporto autonomo con il cliente e poteva prospettare soluzioni di finanziamento alternative.

Qualificazione dei ruoli privacy

Il d.P.R. 14 marzo 2001, n. 144 vieta a Poste di concedere finanziamenti al pubblico, ma consente l’attività di promozione e collocamento di prodotti e servizi bancari e finanziari in qualità di intermediario, secondo l’art. 2, commi 8 e 9-bis. La Banca, quale soggetto finanziatore, determina finalità e mezzi del trattamento per la valutazione del merito creditizio, nel quadro degli artt. 120-undecies, comma 1, e 124-bis, comma 1, del TUB. Poste tratta invece i dati per le proprie finalità di intermediazione e nell’ambito del distinto rapporto con il cliente.

Il Garante ha concluso che le società operavano come autonomi titolari, ciascuna per le attività connesse al proprio rapporto contrattuale o alle misure precontrattuali richieste dall’interessato, ai sensi dell’art. 6, par. 1, lett. b), GDPR. La comunicazione reciproca dei dati non era svolta da una società per conto dell’altra. La designazione contrattuale reciproca come responsabili, ai sensi dell’art. 28 GDPR, non corrispondeva quindi alla realtà fattuale: la qualifica dipende dalle attività effettivamente svolte e non dalla denominazione attribuita dalle parti. Il Garante ha richiamato sul punto le Linee guida EDPB 07/2020 sui concetti di titolare e responsabile, adottate il 7 luglio 2021, in particolare il punto 12.

Valutazione dell’informativa e violazioni

Poste aveva motivato la scelta di un’informativa sintetica con l’esigenza di renderla più fruibile, evitare il sovraccarico documentale e prevenire fenomeni di “privacy fatigue”. Il Garante ha precisato che la concisione richiesta dall’art. 12, par. 1, GDPR non può andare a discapito della completezza e dell’efficacia: l’informativa deve consentire all’interessato di comprendere concretamente il trattamento, le finalità, i rischi, le tutele e le modalità di controllo dei flussi di dati.

Richiamando il considerando 60 GDPR e le Linee guida del Gruppo di lavoro Articolo 29 sulla trasparenza, l’Autorità ha osservato che le informazioni devono essere concrete e non formulate in termini astratti. Ha inoltre richiamato, nel contesto dei servizi bancari, le disposizioni della Banca d’Italia del 29 luglio 2009 sulla “Trasparenza delle Operazioni e dei Servizi Bancari e Finanziari”, come successivamente modificate, che richiedono informazioni corrette, chiare, esaurienti e adeguate alle caratteristiche dei servizi e della clientela.

Poiché l’informativa non rappresentava adeguatamente il trattamento effettuato da Poste nell’attività di promozione e collocamento del prodotto BancoPosta e non indicava correttamente i destinatari o le categorie di destinatari dei dati, in violazione dell’art. 13, par. 1, lett. e), GDPR, il Garante ha accertato la violazione degli artt. 5, par. 1, lett. a), e 13 GDPR. La scelta dei ruoli formalizzata negli accordi con la Banca aveva inoltre ricadute sulla corretta rappresentazione del trattamento agli interessati.

Misure adottate e sanzione

Il Garante ha preso atto delle misure dichiarate da Poste: cancellazione dei dati della reclamante e tempestiva informazione alla stessa; aggiornamento, nel 2025, dell’informativa, con una descrizione più granulare dei trattamenti; avvio di un tavolo di lavoro con Deutsche Bank per rivedere gli accordi e superare la qualificazione della Banca come responsabile. Poste aveva anche riferito che era in preparazione una specifica informativa sull’intermediazione creditizia. Tali iniziative non hanno eliminato l’accertamento delle violazioni.

Ai fini della sanzione, ai sensi dell’art. 83, parr. 1, 2 e 5, lett. a) e b), GDPR, il Garante ha considerato la natura della violazione, riguardante i principi generali di correttezza e trasparenza e l’informativa destinata ai clienti che avevano richiesto finanziamenti; la colpa, riconducibile all’erronea interpretazione dei ruoli; le misure spontanee adottate per mitigare o rimuovere le conseguenze; l’assenza di precedenti dell’Autorità e di reclami analoghi; e la cooperazione di Poste nel procedimento.

Il Garante ha dichiarato illecito il trattamento e ha ordinato a Poste Italiane il pagamento di 48.000 euro ai sensi dell’art. 58, par. 2, lett. i), GDPR e dell’art. 166 del Codice. La somma deve essere pagata entro 30 giorni dalla notifica, secondo le modalità indicate nell’allegato, pena l’avvio degli atti esecutivi ai sensi dell’art. 27 della legge n. 689/1981. È fatta salva la facoltà di definire la controversia pagando la metà della sanzione entro il termine previsto dall’art. 10, comma 3, del d.lgs. n. 150/2011 per proporre ricorso.

Pubblicazione e impugnazione

Il provvedimento dispone l’annotazione delle violazioni e delle misure nel registro interno del Garante, nonché la pubblicazione sul sito dell’Autorità ai sensi dell’art. 154-bis, comma 3, del Codice e delle disposizioni del Regolamento del Garante n. 1/2019. È possibile proporre opposizione davanti al giudice ordinario ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice e dell’art. 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.