Garante Privacy multa Intesa Sanpaolo per 31,8 milioni: accessi illeciti ai conti di 3.573 clienti per 2 anni
Il Garante della Privacy ha sanzionato Intesa Sanpaolo con una multa da 31,8 milioni di euro per gravi carenze nella sicurezza dei dati personali, emerse dopo un data breach notificato nel luglio 2024. Secondo quanto accertato dall’Autorità, per oltre due anni un dipendente ha avuto accesso senza giustificato motivo alle informazioni bancarie di 3.573 clienti, effettuando più di 6.600 consultazioni tra febbraio 2022 e aprile 2024. Gli accessi indebiti non sono stati intercettati dai sistemi interni, evidenziando criticità nei meccanismi di controllo.
Gli accessi illeciti hanno riguardato anche clienti considerati “ad alto rischio”, inclusi clienti con incarichi pubblici, per i quali sarebbero stati necessari livelli di protezione più elevati. Il provvedimento si colloca nel quadro di altri recenti interventi dell’Autorità nei confronti del gruppo, tra cui il recente caso Isybank, relativo al trattamento dei dati di milioni di clienti.
Carenze nei controlli e inadeguatezza delle misure tecniche e organizzative
Nel provvedimento, il Garante della Privacy ha evidenziato una violazione dei principi fondamentali di integrità e riservatezza dei dati personali, nonché del principio di accountability, rilevando l’inadeguatezza complessiva delle misure tecniche e organizzative adottate da Intesa Sanpaolo.
In particolare, il modello operativo adottato dalla banca consentiva agli operatori di accedere in modo esteso all’intera base clienti, senza che fossero attivi controlli idonei a prevenire o individuare accessi non giustificati.
Ulteriori criticità sono emerse nella gestione del data breach: la notifica all’Autorità è risultata incompleta e tardiva, così come la comunicazione ai clienti coinvolti, avvenuta solo a seguito di un precedente provvedimento del Garante del 2 novembre 2024. Tali condotte hanno compromesso la possibilità di un intervento tempestivo a tutela dei diritti e delle libertà delle persone coinvolte.
Nel determinare l’importo della sanzione, l’Autorità ha tenuto conto della durata delle violazioni, del numero elevato di persone coinvolte e della gravità complessiva delle carenze riscontrate, oltre alle misure correttive adottate successivamente dalla banca per rafforzare i sistemi di sicurezza.
