BancoPosta, 81mila euro di multe: il Garante interviene su SIC e IT-Wallet

🔎 In sintesi

• Poste Italiane e Deutsche Bank ricevono sanzioni complessive per 81mila euro: le informative sui prestiti BancoPosta non descrivevano adeguatamente i ruoli delle due società e i flussi di dati personali.
• Il Garante chiarisce il funzionamento dei Sistemi di Informazione Creditizia: accessi regolamentati, preavviso di almeno 15 giorni per la prima segnalazione negativa e conservazione delle informazioni fino a 60 mesi.
• L’IT-Wallet ottiene un parere favorevole sulle misure tecniche e organizzative, ma il Garante ribadisce che ciascun soggetto coinvolto deve valutare autonomamente i rischi privacy dei trattamenti effettuati.

Il Garante per la protezione dei dati personali interviene contemporaneamente su credito al consumo, banche dati finanziarie e identità digitale, mettendo al centro un problema che attraversa tre settori apparentemente distinti: la responsabilità di chi raccoglie, consulta e utilizza informazioni personali. Con due provvedimenti del 7 ottobre 2026, l’Autorità ha sanzionato Poste Italiane per 48mila euro e Deutsche Bank per 33mila euro nell’ambito dell’offerta dei finanziamenti BancoPosta, accertando carenze nelle informative rivolte ai richiedenti. Parallelamente ha pubblicato nuovi chiarimenti sui Sistemi di Informazione Creditizia (SIC) e ha espresso parere favorevole sulle misure di protezione dei dati previste per l’IT-Wallet. Tre interventi che affrontano la medesima questione: la disponibilità tecnica di un’informazione non autorizza automaticamente ogni soggetto a conoscerla, utilizzarla o conservarla senza regole trasparenti.

BancoPosta, il reclamo di una dipendente fa emergere le carenze privacy

Il procedimento contro Poste Italiane e Deutsche Bank nasce dal reclamo di una dipendente di Poste Italiane che, dopo essersi vista respingere una richiesta di finanziamento, aveva scoperto la presenza di informazioni sulla propria situazione economica e patrimoniale all’interno di una piattaforma accessibile a determinati operatori aziendali. Tra i dati consultabili figuravano il reddito netto percepito e gli impegni finanziari già in essere, informazioni utilizzate nell’ambito della valutazione della richiesta di credito. La circostanza ha portato l’Autorità a esaminare le modalità con cui le due società raccoglievano, scambiavano e rendevano disponibili i dati dei richiedenti, nonché il contenuto delle rispettive informative. I provvedimenti n. 746 e n. 747 del 7 ottobre 2026 hanno accertato violazioni degli obblighi di trasparenza previsti dalla normativa sulla protezione dei dati personali, con due sanzioni distinte che raggiungono complessivamente 81mila euro.

L’aspetto più significativo riguarda la differenza tra il trattamento dei dati necessario per valutare un finanziamento e l’effettiva comprensione, da parte del richiedente, dei soggetti che possono accedere alle sue informazioni economiche. Un cittadino che presenta una domanda di credito attraverso un ufficio postale entra in un rapporto nel quale operano più soggetti, ma la presenza di accordi commerciali non elimina gli obblighi informativi previsti dal GDPR. Gli accertamenti non descrivono un attacco informatico né un data breach provocato da soggetti esterni: il problema riguarda l’organizzazione ordinaria dei flussi informativi e la loro rappresentazione nelle informative privacy. È una distinzione importante perché il rischio per i diritti degli interessati può emergere anche quando i dati vengono trattati attraverso piattaforme aziendali previste per lo svolgimento delle attività, senza che si verifichi una violazione tecnica dei sistemi.

Leggi anche: Garante Privacy interviene sui trattamenti di Poste Italiane e sui pixel di tracciamento

Poste Italiane e Deutsche Bank erano titolari autonomi del trattamento

L’istruttoria ha evidenziato una divergenza tra la ripartizione delle responsabilità formalizzata negli accordi commerciali e le attività effettivamente svolte dalle due società. Secondo il Garante, Poste Italiane e Deutsche Bank operavano come autonomi titolari del trattamento, poiché ciascuna determinava finalità e modalità di specifiche operazioni sui dati personali. Poste Italiane raccoglieva le richieste di finanziamento, svolgeva attività di promozione e collocamento e individuava il prodotto ritenuto più adatto alle esigenze del richiedente. Deutsche Bank effettuava invece in autonomia la valutazione del merito creditizio e assumeva la decisione finale sulla concessione del prestito. Questa distinzione è decisiva perché il titolare del trattamento non viene individuato esclusivamente dall’etichetta inserita in un contratto tra aziende, ma dalle funzioni e dalle decisioni effettivamente assunte rispetto ai dati personali.

Poste Italiane è stata sanzionata per non aver informato adeguatamente i richiedenti sui trattamenti svolti durante il collocamento dei finanziamenti, con particolare riferimento ai destinatari dei dati e ai flussi informativi con la banca. Deutsche Bank è stata sanzionata per non aver rappresentato correttamente il ruolo di Poste Italiane, destinataria delle informazioni e autonoma titolare del trattamento. Nel corso del procedimento entrambe le società hanno cancellato i dati personali della reclamante. Poste Italiane ha aggiornato l’informativa privacy, mentre Deutsche Bank ha impartito istruzioni al personale affinché le comunicazioni relative ai finanziamenti contenessero soltanto i dati personali e creditizi necessari. Alla banca il Garante ha inoltre ordinato di adeguare l’informativa entro sei mesi. Gli interventi adottati dimostrano che il procedimento non si è limitato alla sanzione economica, ma ha riguardato anche le misure organizzative necessarie a evitare il ripetersi delle carenze accertate.

Il principio applicato è quello della trasparenza sostanziale, non della semplice disponibilità di un documento formalmente denominato informativa privacy. Gli articoli 12, 13 e 14 del GDPR richiedono informazioni comprensibili su finalità, destinatari e soggetti coinvolti nel trattamento. La sintesi non può diventare un espediente per omettere elementi essenziali, soprattutto quando le informazioni riguardano redditi, debiti e affidabilità finanziaria. La questione si collega ai precedenti interventi dell’Autorità sui controlli creditizi e sui sistemi di scoring utilizzati per decidere l’accesso ai contratti energetici, nei quali la qualità e la trasparenza delle informazioni possono produrre conseguenze dirette sulla possibilità di ottenere un servizio.

Sistemi di Informazione Creditizia, cosa possono conoscere banche e operatori

Il secondo intervento riguarda i Sistemi di Informazione Creditizia, comunemente identificati con la sigla SIC. Si tratta di banche dati private utilizzate per raccogliere e condividere informazioni sulle richieste di finanziamento e sui comportamenti di pagamento, consentendo a banche e intermediari di valutare l’affidabilità creditizia dei clienti. Tra gli operatori del settore figurano CRIF, Experian, CTC e Assilea, soggetti che gestiscono informazioni relative a rapporti di credito secondo il quadro normativo applicabile. Il Garante ha pubblicato nuove FAQ per chiarire quali informazioni possono essere registrate, chi può consultarle, per quanto tempo vengono conservate e quali diritti spettano alle persone interessate. I SIC non devono essere confusi con la Centrale dei Rischi della Banca d’Italia, che è un sistema pubblico disciplinato da regole specifiche e distinto dalle banche dati private.

Le informazioni conservate nei SIC comprendono le richieste di finanziamento, i rapporti in essere, la regolarità dei pagamenti e gli eventuali ritardi o inadempimenti. Non si tratta quindi di archivi dedicati esclusivamente ai cattivi pagatori: le banche dati possono contenere anche informazioni positive, utili a ricostruire la storia creditizia di una persona. Banche e intermediari finanziari possono alimentare e consultare i sistemi per le finalità previste, mentre altri operatori autorizzati, tra cui compagnie assicurative, società telefoniche e fornitori di energia, possono accedere alle informazioni nei limiti consentiti, senza acquisire automaticamente il diritto di modificarle o alimentarle. Il trattamento si fonda generalmente sul legittimo interesse, secondo il quadro normativo e il codice di condotta applicabili, e non richiede necessariamente il consenso dell’interessato. Questo non elimina tuttavia gli obblighi di informazione, correttezza, esattezza e limitazione delle finalità.

La disciplina di riferimento è contenuta nel Codice di condotta per i SIC approvato dal Garante con il provvedimento n. 324 del 6 ottobre 2022, che regola i trattamenti relativi al credito al consumo, all’affidabilità e alla puntualità nei pagamenti. L’accesso alle informazioni creditizie non può essere utilizzato liberamente per finalità estranee alla gestione del rischio finanziario. La disponibilità del dato all’interno di una banca dati non rappresenta quindi un’autorizzazione generale alla profilazione commerciale. Il principio assume particolare importanza quando il punteggio di affidabilità influisce sulla possibilità di sottoscrivere un finanziamento, ottenere una dilazione o accedere a un contratto di fornitura.

SIC, preavviso di 15 giorni e dati conservati fino a 60 mesi

I chiarimenti del Garante definiscono anche le garanzie riconosciute ai cittadini. In occasione del primo ritardo nei pagamenti, prima che l’informazione negativa diventi visibile nel SIC, è previsto un preavviso di almeno 15 giorni, secondo le condizioni stabilite dal codice di condotta. La comunicazione permette all’interessato di conoscere la situazione e intervenire prima che il ritardo venga reso accessibile agli altri soggetti autorizzati. Il preavviso non significa che ogni mancato pagamento venga automaticamente cancellato né che tutte le segnalazioni negative seguano una tempistica identica: occorre distinguere le diverse tipologie di rapporto e i casi disciplinati dal codice.

Anche la conservazione dei dati varia in funzione della loro natura, con termini che possono andare da 90 giorni fino a 60 mesi. Le richieste di finanziamento, i rapporti regolarmente conclusi, i ritardi successivamente sanati e gli inadempimenti non regolarizzati seguono regole differenti. In particolare, alcune informazioni positive relative a rapporti estinti e determinate informazioni negative possono essere mantenute fino a cinque anni, nei limiti e alle condizioni previste dalla disciplina settoriale. I cittadini possono esercitare i diritti di accesso e rettifica e, quando ne ricorrono i presupposti, chiedere la cancellazione dei dati. Non esiste invece un diritto indiscriminato alla rimozione immediata di qualsiasi informazione creditizia corretta e legittimamente conservata.

Quando una richiesta non riceve risposta adeguata, oppure emergono possibili trattamenti illeciti, l’interessato può rivolgersi agli organismi previsti dalla disciplina dei SIC o al Garante per la protezione dei dati personali. Il nuovo quadro informativo completa gli interventi già adottati nei confronti dei soggetti che utilizzano informazioni economiche per assumere decisioni sui clienti, come nel caso delle misure imposte dal Garante per le attività di recupero crediti. La correttezza del dato non è sufficiente se il cittadino non conosce chi lo utilizza, per quale finalità e per quanto tempo continuerà a essere disponibile.

IT-Wallet, il Garante approva le misure ma conferma le responsabilità GDPR

Il terzo intervento riguarda il Sistema di portafoglio digitale italiano, destinato a consentire ai cittadini di utilizzare attestazioni elettroniche di identità e altri attributi digitali nell’accesso ai servizi. Con il provvedimento n. 631 del 23 settembre 2026, il Garante ha espresso parere favorevole sullo schema di decreto del Capo del Dipartimento per la trasformazione digitale della Presidenza del Consiglio dei Ministri relativo alle misure tecniche e organizzative del Sistema IT-Wallet. Il parere completa un percorso avviato attraverso il provvedimento n. 469 del 4 agosto 2025 e proseguito con il provvedimento n. 580 del 6 agosto 2026, dedicati rispettivamente alle garanzie del sistema e alle modalità di registrazione dei soggetti coinvolti.

L’Autorità si è concentrata sulla definizione dei ruoli dei diversi operatori, sulle garanzie necessarie quando vengono trattate categorie particolari di dati e sulle procedure che permettono agli utenti di richiedere la cancellazione delle informazioni personali nei casi previsti. Il Garante ha inoltre esaminato la valutazione d’impatto sulla protezione dei dati (DPIA) predisposta per accompagnare lo schema di decreto, destinata a diventare un riferimento per gli attori che partecipano all’ecosistema. La questione è rilevante perché il funzionamento di un portafoglio digitale richiede l’interazione tra chi rilascia un’attestazione, chi fornisce l’applicazione utilizzata dal cittadino e chi verifica l’autenticità degli attributi durante l’erogazione di un servizio. I ruoli devono essere individuati in maniera puntuale, evitando che la complessità dell’infrastruttura renda indistinguibili le responsabilità.

Il parere favorevole non costituisce un’esenzione generale dagli obblighi del GDPR. L’Autorità ha ribadito il principio di accountability, secondo il quale ciascun soggetto deve valutare autonomamente i trattamenti di propria competenza e individuare eventuali rischi aggiuntivi che non siano già adeguatamente affrontati dalla DPIA generale. Se una specifica modalità di utilizzo dell’IT-Wallet comporta rischi elevati per gli interessati, l’operatore deve verificarli e adottare le misure necessarie. La questione assume particolare rilievo per le pubbliche amministrazioni, che dovranno integrare l’identità digitale e le attestazioni elettroniche nei propri processi, rispettando i principi di minimizzazione, sicurezza e limitazione delle finalità. L’approvazione delle misure del sistema non equivale dunque a un’autorizzazione indiscriminata a raccogliere o incrociare dati personali attraverso il portafoglio digitale.

Continua con:

BBVA multata per 5,5 milioni, la Cassazione rafforza i poteri del Garante

Revolut, il Garante allarga il caso alle banche italiane

Dal credito all’identità digitale, chi utilizza i dati deve risponderne

Le sanzioni BancoPosta, i chiarimenti sui SIC e il parere IT-Wallet descrivono tre manifestazioni dello stesso problema regolatorio. Nel credito al consumo, un richiedente deve conoscere quali soggetti ricevono e utilizzano le sue informazioni finanziarie. Nei SIC, la condivisione dei dati è ammessa entro regole precise che stabiliscono destinatari, finalità, conservazione e diritti degli interessati. Nel portafoglio digitale italiano, l’interoperabilità tra servizi e attestazioni richiede invece che le responsabilità siano definite prima che le informazioni circolino tra amministrazioni e operatori privati. Il filo comune è il principio secondo cui la possibilità tecnica di scambiare un’informazione non coincide con la legittimità di ogni suo successivo utilizzo.

Il caso Poste Italiane e Deutsche Bank è particolarmente significativo perché nasce dalla scoperta, da parte di una dipendente, di informazioni personali consultabili in una piattaforma aziendale dopo il rigetto di un finanziamento. Non emerge dai fatti descritti una compromissione informatica, ma una carenza nella trasparenza delle relazioni tra società che trattano dati economici. I SIC dimostrano invece come la valutazione dell’affidabilità creditizia produca una circolazione regolamentata delle informazioni anche oltre il settore bancario. L’IT-Wallet trasferisce il problema su scala più ampia, coinvolgendo servizi pubblici e privati, identità digitali e attestazioni elettroniche. Il vero banco di prova non sarà soltanto la sicurezza informatica delle piattaforme, ma la capacità di rendere verificabile chi accede ai dati, con quali responsabilità e nel rispetto di quali limiti.