Poste Italiane e Postepay, il Garante della Privacy infligge una multa record da 12,5 milioni per la gestione dei dati. L’azienda: «Provvedimento assurdo, faremo ricorso»

20/04/2026 INTERNO Preferisci Informazione.News su Google

Redazione Interno   -   Roma — Una sanzione complessiva che supera abbondantemente la soglia dei 12,5 milioni di euro, suddivisa in due distinte quote (6,624 milioni per la capogruppo e 5,877 milioni per la controllata), è quanto deciso dal Garante per la protezione dei dati personali nei confronti di Poste Italiane e di Postepay. L’istruttoria, avviata a valle di una valanga di reclami e segnalazioni pervenute a partire dall’aprile del 2024, ha preso di mira, in particolare, il funzionamento delle applicazioni di mobile banking del gruppo, ovvero BancoPosta e Postepay. Secondo l’Autorità guidata da Pasquale Stanzione, le due società avrebbero violato la normativa sulla privacy trattando illecitamente i dati di milioni di utenti, imponendo condizioni giudicate eccessivamente invasive per l’accesso ai servizi digitali.

L’accusa del Garante: un monitoraggio «invasivo» e non necessario sui telefoni dei clienti

Il nodo della questione, che emerge dai documenti dell’indagine, risiede nella rigidità delle autorizzazioni richieste dai software. Per poter utilizzare i servizi, i correntisti erano costretti a concedere un’autorizzazione obbligatoria al monitoraggio approfondito dei loro dispositivi mobili, una misura che il Garante ha bollato come sproporzionata. Si trattava, nel dettaglio, di un accesso ai dati relativi non solo allo stato del sistema, ma anche alle applicazioni installate e a quelle in esecuzione in background, il tutto finalizzato – secondo quanto dichiarato in sede di difesa dalle aziende – all’individuazione di software malevoli o potenzialmente fraudolenti.

Proprio su questo punto si gioca la partita più delicata del contendere. L’Autorità, pur riconoscendo la legittimità dell’obiettivo di sicurezza (la prevenzione delle frodi è una priorità per qualsiasi istituto di credito), ha ritenuto che le modalità pratiche adottate dalle app sforassero i limiti imposti dal Regolamento Generale sulla Protezione dei Dati (GDPR). Il monitoraggio costante, a parere dei giudici amministrativi della privacy, configurava «un’ingerenza eccessivamente invasiva nella sfera privata degli utenti» perché non risultava «strettamente necessaria» rispetto allo scopo dichiarato. In pratica, l’Autorità ha stabilito che esistevano strumenti meno intrusivi per raggiungere lo stesso livello di sicurezza, senza costringere il cliente a cedere i dati sull’intero ecosistema del proprio telefono.

Le falle nel sistema di sicurezza e le carenze nelle informative

Ma la contestazione non si ferma alla mera raccolta dei dati. Nel corso dell’istruttoria, i tecnici del Garante avrebbero messo a verbale una serie di violazioni accessorie che hanno aggravato la posizione delle due società. Tra queste, spiccano le carenze strutturali nell’informativa fornita agli utenti (spesso poco chiara o omissiva sulla reale portata del trattamento), l’assenza di una valutazione d’impatto sulla protezione dei dati (la cosiddetta DPIA, un documento obbligatorio in casi di alto rischio per i diritti e le libertà degli interessati) e persino l’adozione di misure di sicurezza giudicate inadeguate o di politiche di conservazione dei dati non conformi alla legge. A ciò si aggiungono, stando al provvedimento, alcune irregolarità nella designazione del responsabile del trattamento, un ruolo chiave per garantire la compliance normativa all’interno di una holding complessa come quella di Poste.

Oltre al pagamento delle somme (che ammontano complessivamente a oltre 12,5 milioni di euro), l’Autorità ha ingiunto alle società di cessare immediatamente i trattamenti oggetto di contestazione, laddove non vi avessero già provveduto autonomamente, e di mettersi in regola con le prescrizioni impartite, informando tempestivamente l’Autorità stessa degli adeguamenti effettuati.

La reazione di Poste: «Stupore» per i tempi e il merito, si va al tribunale di Roma

La risposta di Palazzo Affari non si è fatta attendere ed è stata, prevedibilmente, all’insegna della linea dura. In una nota ufficiale diffusa in serata, il gruppo guidato dall’amministratore delegato Matteo Del Fante ha fatto sapere di «accogliere con stupore» il provvedimento, annunciando ufficialmente l’intenzione di presentare ricorso al Tribunale di Roma per ottenerne l’annullamento integrale. La contestazione dell’azienda si articola su due fronti distinti ma convergenti: quello sostanziale (il merito delle accuse) e quello procedurale (i tempi dell’azione del Garante).

Sotto il profilo procedurale, Poste Italiane sostiene che il provvedimento sia «viziato» in quanto adottato in «palese ritardo» rispetto ai termini perentori che la legge impone all’Autorità per l’esercizio dei suoi poteri sanzionatori. Un argomento, quest’ultimo, che potrebbe rivelarsi un'arma potente in sede giudiziale, laddove un giudice ordinario dovesse riconoscere la decadenza dell’azione amministrativa.

Sul piano della sostanza, l’azienda respinge con forza ogni addebito, ribadendo la «correttezza e la trasparenza del proprio operato». Per supportare la propria tesi, Poste richiama un precedente giudiziario molto fresco e, a suo dire, dirimente: la sentenza del Tar Lazio del 2 febbraio 2026. In quella circostanza, il tribunale amministrativo aveva annullato una precedente sanzione inflitta dall’Antitrust a Poste Italiane, una sanzione che si riferiva proprio al «medesimo dispositivo antifrode» oggetto delle odierne contestazioni del Garante della privacy. Il Tar, in quella sede, aveva riconosciuto la piena legittimità del sistema di sicurezza implementato dal gruppo, nonché l’assenza di qualsivoglia intento commerciale (e quindi di scorrettezza) nelle condotte di Poste.

Forti di questo precedente, i legali di Poste Italiane sottolineano come l’accesso ai dati tecnici dei dispositivi dei clienti avvenga «in conformità con la normativa in materia di servizi di pagamento (la Direttiva europea PSD2)» e con il riconoscimento della Banca d’Italia. L’azienda conclude la sua nota difensiva riaffermando che i controlli erano finalizzati «esclusivamente all’attivazione di presidi antifrode e antimalware, per una piena tutela della sicurezza degli utenti», ribadendo la volontà di battagliare fino all’ultimo grado di giudizio per vedere riconosciute le proprie ragioni.