Il Garante della privacy multa Poste per 12,5 milioni: “App BancoPosta e Postepay spiavano i dati degli utenti”

23/04/2026 ECONOMIA Preferisci Informazione.News su Google

Redazione Economia   -   La vicenda, emersa in tutta la sua portata solo nelle scorse ore, getta un’ombra lunga sulle abitudini digitali di milioni di italiani che, quotidianamente, affidano ai propri smartphone la gestione di pagamenti e servizi finanziari. L’Autorità Garante per la Protezione dei Dati Personali, con il provvedimento numero 237 dello scorso 17 aprile, ha infatti inflitto una sanzione complessiva di oltre 12,5 milioni di euro a Poste Italiane e alla sua controllata PostePay, in seguito a un’istruttoria che ha rivelato come le applicazioni BancoPosta e Postepay raccogliessero dati personali ben oltre quanto strettamente necessario. La notizia, resa pubblica ieri, 20 aprile 2026, sancisce una pratica che riguarda una platea vastissima di utenti, spesso inconsapevoli di cedere, con un semplice tap sullo schermo, molto più delle informazioni di transito.

L’algoritmo antifrode e la sorveglianza occulta: cosa si nascondeva dietro la schermata principale

Gli algoritmi di sicurezza, lo si comprende bene, dovrebbero proteggere il conto corrente e la carta da accessi non autorizzati; eppure, nel caso specifico, il meccanismo messo a punto dalle due società del gruppo guidato da Matteo Del Fante (attuale amministratore delegato di Poste Italiane) avrebbe scavato in profondità nei terminali mobili dei clienti. L’accusa mossa dal Garante è chiara: le applicazioni in questione raccoglievano informazioni relative ad altre app installate sul dispositivo, un flusso di dati che andava ben al di là del perimetro consentito per la sola verifica antifrode. Non si trattava, insomma, di un semplice controllo sulla legittimità dell’operazione finanziaria in corso, bensì di una vera e propria mappatura delle abitudini digitali dell’individuo, una schedatura silenziosa che incrociava profili e comportamenti senza che l’utente potesse opporvisi in modo consapevole.

Il quadro normativo europeo: la tensione tra la PSD2 e il nuovo pacchetto PSD3

Il panorama regolatorio dei pagamenti digitali, occorre ricordarlo, vive una fase di profonda trasformazione normativa. Da un lato, la celebre Direttiva (UE) 2015/2366, nota come PSD2, ha aperto la strada all’open banking e alla condivisione dei dati tra intermediari finanziari; dall’altro, il passaggio verso il nuovo pacchetto legislativo che comprende la PSD3 e il Payment Services Regulation (PSR) cerca di aggiornare le regole per contrastare l’invadenza delle BigTech. Eppure, proprio in questo vuoto normativo in evoluzione, Poste Italiane e PostePay avrebbero trovato un varco per giustificare la raccolta massiva, sostenendo, come emerge dagli atti dell’istruttoria, che il trattamento fosse legittimato dalla necessità di prevenire frodi. Una scusa, questa, che il Garante ha smontato punto su punto: l’Autorità ha stabilito che la quantità e la tipologia di dati sottratti – tra cui la lista delle applicazioni installate, con relativi identificatori e timestamp – eccedeva in modo sproporzionato qualsiasi finalità di sicurezza informatica.

La violazione concreta: milioni di smartphone sotto controllo e la sanzione da 12,5 milioni

Per rendersi conto della portata del fenomeno, basti pensare che le due società sono state sanzionate per oltre 12,5 milioni di euro, una cifra che si suddivide in 6,6 milioni a carico di Poste Italiane S.p.A. e quasi 5,9 milioni per Postepay S.p.A. Il meccanismo, tecnicamente, funzionava attraverso un software di monitoraggio integrato nelle due app, un componente che, una volta ottenuto il consenso generico dell’utente alla politica sulla privacy – consenso che raramente viene letto con attenzione –, attivava una serie di sensori digitali capaci di rilevare quali altre applicazioni fossero presenti sul telefono, con quale frequenza venivano usate e, in alcuni casi, persino i permessi da queste richiesti. Un’invasione di campo che ha trasformato lo smartphone del correntista in una sorta di cavallo di Troia, dove il nemico non era un virus esterno ma la stessa banca digitale che si presumeva dovesse custodire i risparmi. Il provvedimento del Garante, al momento ancora in via di sviluppo e definizione per quanto riguarda eventuali ricorsi (le società potrebbero opporsi), costituisce un monito chiaro per tutto il settore delle fintech e della banking app: la sicurezza, anche quella antifrode, non può diventare una scusa per violare la sfera privata dei cittadini.