Garante privacy multa Poste per trattamento illecito dei dati con le app BancoPosta e PostePay

21/04/2026 INTERNO Preferisci Informazione.News su Google

Redazione Interno   -   L’Autorità guidata da Pasquale Stanzione ha inflitto una doppia sanzione, rispettivamente di 6,6 e 5,8 milioni di euro, alle due società del gruppo guidato da Matteo Del Fante. Al centro del provvedimento – che reca il numero 237 e risulta datato 17 aprile – la contestazione secondo cui i clienti sarebbero stati sostanzialmente costretti a cedere dati personali, senza una reale necessità di sicurezza, per poter continuare a utilizzare i servizi di banking e pagamento mobile.

Un’ingerenza ritenuta “eccessivamente invasiva” nella sfera privata degli utenti

Il nucleo dell’istruttoria, avviata nell’aprile del 2024 dopo la ricezione di 140 segnalazioni e 12 reclami formali, riguarda le modalità di funzionamento delle applicazioni su dispositivi Android. Secondo quanto ricostruito dal Garante, per utilizzare le piattaforme gli utenti erano obbligati ad autorizzare il monitoraggio di una serie di dati dei propri smartphone, inclusa la lista delle applicazioni installate e quelle in esecuzione. Poste Italiane e PostePay hanno sempre sostenuto – come si legge nei documenti difensivi – che tale prassi fosse strettamente necessaria per garantire la sicurezza delle transazioni e per conformarsi alla normativa europea sui servizi di pagamento, in particolare alla direttiva PSD2. L’Autorità, tuttavia, ha ribaltato questa lettura: ha rilevato come la soluzione tecnica implementata, basata sul software antifrode ThreatMetrix, comportasse un’ingerenza eccessiva e non proporzionata, violando il principio di minimizzazione dei dati sancito dal Regolamento generale sulla protezione dei dati (GDPR).

Le contestazioni tecniche e la replica di Poste Italiane

Nel mirino dell’Autorità è finita la componente del sistema che, superando la configurazione base del software, aggiungeva un modulo opzionale per la rilevazione di malware; era proprio quel modulo a richiedere l’accesso alla lista delle app. Il Garante ha evidenziato come esistessero soluzioni alternative meno invasive (come l’autenticazione multi-fattore o algoritmi di scoring anonimi) in grado di offrire un livello di sicurezza equivalente. Oltre alla violazione sostanziale, l’Autorità ha contestato alle società diverse carenze procedurali: l’informativa resa agli utenti sarebbe stata inadeguata, l’azienda non avrebbe effettuato una valutazione d’impatto sulla protezione dei dati (la cosiddetta DPIA), e sarebbero emerse criticità nelle misure di sicurezza e nella gestione dei tempi di conservazione delle informazioni raccolte. Poste Italiane, dal canto suo, ha accolto la notizia con “stupore”, annunciando ricorso al Tribunale di Roma. L’azienda respinge ogni addebito e ha sottolineato come il provvedimento sarebbe “viziato” non solo nel merito ma anche sotto il profilo procedurale, essendo stato adottato in presunto ritardo rispetto ai termini di legge; a sostegno della propria tesi, Poste ha ricordato come il Tar del Lazio abbia annullato una precedente sanzione dell’Antitrust relativa al medesimo dispositivo antifrode, riconoscendone la legittimità.

Sanzioni e prescrizioni immediate per le app di pagamento

L’ammontare complessivo della multa supera i 12,5 milioni di euro, di cui una parte significativa è stata comminata direttamente a PostePay. Ma le conseguenze per le due società non si esauriscono con il pagamento delle somme: il Garante ha infatti ingiunto la cessazione immediata dei trattamenti giudicati illeciti (qualora non vi abbiano già provveduto autonomamente), imponendo un adeguamento stringente alle normative sulla conservazione dei dati. A PostePay è stato concesso un termine di dieci giorni per interrompere la raccolta delle informazioni sulle app installate, mentre Poste Italiane avrà trenta giorni per definire tempi e modalità di conservazione dei dati già acquisiti. L’esito della vicenda passerà ora alla magistratura ordinaria, chiamata a pronunciarsi sul ricorso presentato dal colosso delle poste, mentre il provvedimento dell’Autorità rimane destinato a segnare un precedente importante nel delicato bilanciamento tra esigenze di sicurezza informatica e tutela della privacy dei cittadini.