Il Garante della privacy multa Poste per trattamento illecito dei dati con le app Bancoposta e Postepay

22/04/2026 INTERNO Preferisci Informazione.News su Google

Redazione Interno   -   Una vicenda che affonda le radici nelle segnalazioni arrivate già due anni fa, quando tra aprile e maggio del 2024 furono presentate 140 segnalazioni e 12 reclami formali, ha portato il Garante per la protezione dei dati personali a comminare una sanzione complessiva di oltre 12,5 milioni di euro nei confronti di Poste Italiane e della sua controllata Postepay. L’autorità, con il provvedimento numero 237 dello scorso 17 aprile 2026 – reso noto ufficialmente nella giornata di ieri, 20 aprile – ha accertato che le app BancoPosta e Postepay, nella loro versione per il sistema operativo Android, raccoglievano dati eccedenti rispetto alle finalità di sicurezza dichiarate, finendo così per violare i principi di necessità, proporzionalità e trasparenza sanciti dal Regolamento generale sulla protezione dei dati (GDPR). Non si trattava, insomma, di un semplice errore tecnico, bensì di una prassi consolidata che costringeva gli utenti a “cedere” informazioni personali senza un’adeguata base giuridica, quasi come fosse un pedaggio obbligatorio per poter accedere ai servizi bancari e di pagamento digitale offerti dal gruppo guidato da Matteo Del Fante.

La doppia sanzione e i meccanismi sotto accusa

La multa, che ammonta a 6,6 milioni di euro per Poste Italiane Spa e a poco meno di 5,9 milioni per Postepay Spa, non è stata distribuita in maniera casuale: il Garante ha distinto le responsabilità delle due entità societarie, sebbene entrambe operassero in sinergia nella gestione delle applicazioni finanziarie. Il cuore dell’illecito – ed è questo l’aspetto che ha maggiormente allarmato l’autorità – risiedeva nel funzionamento dei sistemi anti-frode implementati sulle app. Questi ultimi, pur essendo legittimi nella loro finalità di proteggere i clienti da operazioni non autorizzate, erano stati realizzati senza acquisire i permessi necessari previsti dalla normativa sulla privacy. In concreto, l’applicazione Android era in grado di acquisire, all’insaputa dell’utente e senza una specifica opzione di consenso, l’elenco completo delle altre app installate sul dispositivo. Una pratica che trasforma uno strumento di difesa in un potenziale strumento di sorveglianza, scavalcando di fatto le regole che impongono il principio di minimizzazione dei dati.

Dalla prevenzione delle frodi all’invasione illecita

La motivazione addotta dall’azienda – ossia la necessità di contrastare frodi e malware attraverso l’analisi del contesto software del telefono – non ha convinto il Garante, il quale ha rilevato come non esistesse alcuna ragione fondata per procedere a una raccolta così pervasiva e indiscriminata. Basti pensare che per identificare potenziali minacce non sarebbe stato necessario conoscere l’identità di ogni singola applicazione installata; sarebbe bastato un controllo anonimizzato o comunque limitato a determinate categorie di software sospetti. Le ispezioni condotte presso la sede di Poste Italiane – avviate a seguito delle rimostranze degli utenti pervenute nel 2024 – hanno confermato che la procedura era strutturata in modo da trasmettere regolarmente quei dati ai server dell’azienda, senza che l’utente potesse opporsi se non rinunciando del tutto all’uso delle app. Un meccanismo, questo, che ha di fatto svuotato di significato qualsiasi forma di consenso informato, trasformando un diritto fondamentale in una mera formalità burocratica.

I riflessi giudiziari e l’orizzonte delle tutele

La decisione numero 237 del 17 aprile 2026 si inserisce in un quadro più ampio di crescente attenzione da parte delle autorità di controllo nei confronti dei giganti del credito e dei servizi digitali, i quali – proprio in virtù della mole di dati che maneggiano – dovrebbero rappresentare un modello di trasparenza e non l’esempio di una deriva sorvegliata. Le cifre della sanzione, per quanto rilevanti (12,5 milioni complessivi), raccontano solo una parte della vicenda: più pesante, sul piano reputazionale, è l’accusa di aver bypassato le regole con piena consapevolezza, costringendo milioni di clienti a subire un trattamento i cui limiti sono stati tracciati chiaramente dalle norme europee. L’istruttoria, d’altronde, non era partita da un controllo astratto, bensì dalle lamentele concrete di chi aveva notato comportamenti anomali sul proprio smartphone; lamentele che ad aprile e maggio 2024 si erano fatte così insistenti da spingere l’autorità a varcare i cancelli della sede di Poste per verificare di persona quanto stava accadendo. Ora il provvedimento è pubblico, e con esso la consapevolezza che nessuna finalità di sicurezza – per quanto nobile – possa giustificare una raccolta dati che non rispetti i paletti posti dalla legge.