Intesa Sanpaolo, la maxi multa da 31,8 milioni per gli accessi abusivi ai conti correnti

31/03/2026 ECONOMIA Preferisci Informazione.News su Google

Redazione Economia   -   Il Garante per la protezione dei dati personali ha colpito duro, e il segno lasciato sulla pelle di Intesa Sanpaolo S.p.A. è una sanzione da 31,8 milioni di euro. Una cifra, quest’ultima, che non rappresenta soltanto un record per il settore bancario italiano, ma anche un campanello d’allarme per chiunque gestisca informazioni sensibili. L’istruttoria, partita a luglio del 2024 dopo la notifica di un data breach da parte della stessa banca, ha messo in luce una voragine nelle misure di sicurezza interne. A finire sotto la lente d’ingrandimento dell’Authority è stato il comportamento di un dipendente in servizio presso una filiale: un uomo che, per oltre due anni consecutivi, ha potuto navigare a vista nei conti correnti di migliaia di clienti senza che nessuno, o quasi, se ne accorgesse.

L’“spione” di Barletta e i 6.600 consultazioni senza diritto

La vicenda, che ricorda per certi versi il copione di un thriller finanziario, ha un centro geografico preciso: il distaccamento di Bisceglie della filiale agribusiness di Barletta. È da lì, tra il 21 febbraio 2022 e il 24 aprile 2024, che un ex bancario – il cui nome è emerso nel corso delle indagini – ha effettuato 6.637 accessi abusivi. Un numero impressionante di consultazioni, pari a più di seimila, che hanno riguardato le informazioni bancarie di 3.573 clienti sparsi in ben 679 filiali dell’istituto. Tra questi, e non poteva essere altrimenti data la portata dell’indiscrezione, figuravano anche persone con ruoli pubblici di alto profilo: le sorelle Meloni, il ministro Guido Crosetto e Daniela Santanchè, solo per citare alcuni dei nomi finiti nel mirino. Il dipendente, insomma, non si è limitato a curiosare tra la povera gente, ma ha avuto accesso – senza averne mai il diritto – ai conti di chi siede sui scranni del potere.

Sistemi di controllo muti per ventisei mesi

Ciò che ha fatto precipitare la situazione, agli occhi del Garante, non è stato tanto il singolo gesto del dipendente infedele, quanto la totale assenza di una reazione da parte dei meccanismi di difesa della banca. Per ventisei mesi consecutivi – un lasso di tempo enorme, se si pensa alla velocità con cui viaggiano oggi i flussi di dati – nessun sistema di controllo interno ha rilevato quegli accessi indebiti. Un buco nero, quest’ultimo, che il Garante ha definito come “significative criticità nei meccanismi di monitoraggio e prevenzione”. In altre parole, il bancario ha potuto operare indisturbato perché le tecnologie messe in campo da Intesa Sanpaolo per vigilare sulle consultazioni risultavano inadeguate, lacunose, quasi fossero state progettate per non vedere. Una circostanza, questa, resa ancora più grave dalla presenza, tra i profili violati, di numerosi soggetti definiti “ad alto rischio”. Per questi individui – spiega l’Authority – sarebbero stati necessari presidi di sicurezza rafforzati, che invece non risultano essere stati implementati in modo appropriato.

Lezioni amare per chi gestisce la privacy (CISO e DPO avvisati)

La maxi sanzione, come è facile intuire, non è solo un salasso per le casse dell’istituto guidato da Carlo Messina, ma una lezione dolorosa per tutti i responsabili della protezione dei dati, dai CISO ai DPO. Perché la multa del Garante arriva dritta al cuore del problema: non basta dichiarare di essere a norma, bisogna dimostrare che i sistemi funzionano davvero. E nel caso specifico, la banca non è riuscita a intercettare un comportamento anomalo che si ripeteva da mesi, un’emorragia silenziosa di informazioni riservate che avrebbe potuto causare danni incalcolabili ai correntisti. Gli accessi abusivi, va ricordato, non hanno prodotto un furto di denaro, ma un furto di identità bancaria, una violazione della sfera più intima del rapporto tra cliente e istituto di credito. E per questo, l’Authority ha ritenuto la negligenza dell’azienda particolarmente grave, al punto da comminare una delle multe più alte nella sua storia recente. Chi ha il compito di vigilare, d’ora in poi, farà bene a rileggersi questa sentenza: perché il tempo delle scuse formali, quando si parla di dati altrui, è finito.