Il Garante per la protezione dei dati personali ha emesso due sanzioni pesanti: 6.624.000 euro a Poste Italiane S.p.A. e 5.877.000 euro a Postepay S.p.A., per un totale di oltre 12,5 milioni. Al centro dell’indagine c’è una pratica di raccolta dati integrata nelle app BancoPosta e Postepay che, secondo l’Autorità, eccedeva i limiti del legittimo trattamento.
Le due applicazioni richiedevano agli utenti, come condizione obbligatoria per accedere ai servizi, l’autorizzazione a monitorare i dati presenti sui dispositivi mobili — inclusi l’elenco delle applicazioni installate e quelle in esecuzione. La giustificazione dichiarata era la prevenzione di frodi e il rilevamento di malware, in conformità con la Direttiva europea PSD2 sui servizi di pagamento.
L’istruttoria, avviata ad aprile 2024 sulla base di numerose segnalazioni e reclami, ha rilevato che le modalità operative adottate erano sproporzionate rispetto agli obiettivi dichiarati. L’elenco delle violazioni è articolato:
- informativa agli utenti carente e non trasparente
- assenza di una valutazione d’impatto sulla protezione dei dati (DPIA)
- misure di sicurezza inadeguate
- politiche di conservazione dei dati non conformi
- irregolarità nella designazione del responsabile del trattamento
Oltre alle sanzioni pecuniarie, il Garante ha ordinato alle società di cessare i trattamenti contestati — ove non vi abbiano già provveduto — e di adeguarsi alle prescrizioni in materia di data retention, con obbligo di comunicazione all’Autorità.
Poste Italiane ha risposto con fermezza, definendo il provvedimento non solo infondato nel merito, ma anche proceduralmente viziato: secondo la società, il provvedimento sarebbe stato adottato oltre i termini perentori previsti dalla legge per l’esercizio dei poteri del Garante.
L’azienda ricorda inoltre che il 2 febbraio 2026 il TAR Lazio ha annullato una precedente sanzione dell’Antitrust relativa allo stesso sistema antifrode, riconoscendone la piena legittimità e l’assenza di finalità commerciali. Poste sottolinea che l’accesso ai dati tecnici dei dispositivi era stato effettuato in conformità con la normativa PSD2 e con il riconoscimento di Banca d’Italia.
La società ha annunciato ricorso al Tribunale di Roma per l’annullamento del provvedimento.