Data breach, il garante della privacy sanziona Intesa Sanpaolo per 31,8 milioni di euro

31/03/2026 ECONOMIA Preferisci Informazione.News su Google

Redazione Economia   -   Il conto salato per i conti spiati è arrivato puntuale, e a pagare – si fa per dire, considerando i numeri dell’istituto – è il colosso torinese. Il Garante della privacy ha inflitto a Intesa Sanpaolo una sanzione da 31,8 milioni di euro, una cifra che suona come un campanello d’allarme per l’intero settore bancario. La motivazione, contenuta in una nota ufficiale dell’Autorità, parla chiaro: ci troviamo di fronte a “gravi carenze nella sicurezza dei dati personali”, una voragine nelle misure tecniche e organizzative che avrebbero dovuto proteggere i risparmi e la privacy di migliaia di correntisti. L’inchiesta, partita a valle del data breach che la banca stessa aveva dovuto notificare nell’estate del 2024, ha portato alla luce una falla imbarazzante nella diga informatica del gruppo.

La vicenda, come si ricorderà, ruota attorno alla figura di un ex dipendente – un vero e proprio “curioso cronico” per usare la definizione che circolava nelle aule giudiziarie – che operava dal distaccamento di Bisceglie. Quell’uomo, tra il febbraio del 2022 e l’aprile del 2024, si è trasformato in una sorta di spione silenzioso, capace di violare la soglia di decine di migliaia di documenti riservati. Il dossier dell’Autorità ha certificato numeri precisi e pesanti: oltre 6.600 consultazioni abusive, più di 3.500 clienti finiti sotto la sua lente d’ingrandimento. Tra questi, come emerso nel dibattito pubblico, c’erano anche profili ad alto rischio, personalità politiche e istituzionali che, per logica, avrebbero richiesto un livello di sorveglianza informatica ben più alto di quello che l’istituto era in grado di offrire.

Le falle nei sistemi di controllo e la lentezza nella notifica

Non è solo l’atto illecito del singolo a pesare sul giudizio del Garante, ma l’inerzia del sistema che avrebbe dovuto fermarlo. L’istruttoria ha evidenziato una verità scomoda per la banca: i software di monitoraggio interno non hanno rilevato quegli accessi per oltre due anni. Una durata abnorme della violazione che la dice lunga sull’efficacia dei presidi allora in vigore. Il dipendente, insomma, si è mosso in una piena e sostanziale circolarità operativa, potendo interrogare una mole impressionante di dati senza che nessun allarme rosso lampeggiasse sulla consolle dei superiori. E quando la falla è stata scoperta, la reazione è stata tutt’altro che fulminea. L’Autorità ha contestato a Intesa una gestione pasticciata del post-breach: la comunicazione agli enti di vigilanza è arrivata in ritardo, ed è stata pure incompleta; stessa sorte per l’informativa ai clienti violati, arrivata solo dopo che il Garante era già dovuto intervenire con un provvedimento ad hoc a novembre del 2024. Una lentezza che ha di fatto impedito un intervento tempestivo dell’Authority, lasciando gli interessati nell’ombra per mesi.

L’accusa di inadeguatezza strutturale e il principio di accountability

La multa, una delle più consistenti degli ultimi anni nel settore creditizio, non è solo una punizione per quanto accaduto, ma una fotografia impietosa dello stato dei luoghi. I giudici della privacy hanno infatti bocciato senza appello il modello organizzativo dell’epoca, ritenendolo sproporzionato rispetto ai rischi corsi da un istituto che gestisce i conti della maggioranza degli italiani. Il principio violato è quello cardine del Gdpr, ovvero l’accountability: la responsabilità del titolare del trattamento. Se un operatore può curiosare nei dossier dei big della politica senza che nessun filtro lo fermi, significa che la banca non ha dimostrato di aver messo in campo le misure necessarie per garantire la riservatezza. Non si tratta di un errore umano, ma di una lacuna strutturale che ha reso possibile l’errore umano.

Gli accessi ai conti “sensibili” e le misure correttive successive

Tra i flussi di dati consultati senza diritto, ce n’erano alcuni che avrebbero meritato una protezione blindata. L’inchiesta ha rivelato che il dipendente è riuscito a scorrere i movimenti e le consistenze di conti correnti riferibili a figure istituzionali, un aspetto che ha inevitabilmente aggravato la posizione della banca agli occhi del Collegio. Perché se è grave violare la privacy di un cittadino comune, lo è ancor di più quando si tratta di soggetti la cui sicurezza o la cui posizione pubblica potrebbe essere compromessa da fughe di notizie sensibili. Nel quantificare il taglione da 31,8 milioni, il Garante ha comunque tenuto conto di un elemento: la banca, una volta che lo scandalo è esploso, ha cercato di correre ai ripari. Sono state messe in campo misure correttive per blindare i sistemi, rafforzare i controlli e riscrivere le policy di accesso ai dati. Un’attenzione tardiva, ma che ha comunque scongiurato una sanzione ancora più salata, chiudendo un capitolo giudiziario che resterà a lungo nei manuali di risk management.