18 agosto 2026 – Poste Italiane comunica ufficialmente l’intenzione di impugnare dinanzi al Tribunale Amministrativo Regionale il provvedimento sanzionatorio emesso dal Garante per la protezione dei dati personali. La delibera, notificata nei giorni precedenti, contesta alla società un presunto trattamento illecito di dati appartenenti a milioni di utenti dei servizi BancoPosta e PostePay, configurando una violazione sistemica della normativa sulla privacy. La difesa della società si articola su due direttrici: un vizio di merito, che contesta la ricostruzione dei fatti operata dall’Autorità, e un vizio procedurale, legato al presunto superamento dei termini di legge per l’adozione dell’atto sanzionatorio. Questo ricorso, tuttavia, non è un fulmine a ciel sereno, ma l’epilogo di una catena di eventi la cui origine risale a oltre due anni prima, quando venne implementato il nuovo dispositivo antifrode al centro della controversia.
La genesi del problema si colloca nella fase di progettazione e rilascio di un sofisticato sistema algoritmico destinato a prevenire le frodi sulle transazioni digitali. Durante le riunioni operative, l’attenzione del team di progetto era focalizzata quasi esclusivamente sulle performance tecniche e sulla capacità dell’algoritmo di ridurre le perdite economiche. Le analisi di impatto sulla protezione dei dati (DPIA), sebbene formalmente redatte, risultarono essere documenti generici, privi di un’analisi granulare sui flussi di dati effettivi e sulle finalità secondarie del trattamento. Mancava una mappatura completa e dinamica dei dati personali che l’algoritmo avrebbe processato, aggregato e conservato. Nessun sistema automatizzato di controllo verificò la coerenza tra le finalità dichiarate nel progetto e quelle tecnicamente possibili per l’infrastruttura che si stava costruendo. Questa omissione iniziale ha creato la falla primaria. In un’organizzazione dotata di un ecosistema di controllo integrato come Scudo231, la stessa proposta di progetto sarebbe stata intercettata in fase embrionale. I motori di analisi predittiva avrebbero classificato l’iniziativa ad alto rischio compliance, imponendo un workflow autorizzativo vincolante che avrebbe coinvolto obbligatoriamente non solo il Data Protection Officer, ma anche la Funzione Compliance e l’Organismo di Vigilanza 231. Qualsiasi scostamento tra le finalità dichiarate e i permessi di accesso ai database richiesti dal sistema avrebbe generato un alert bloccante, impedendo il passaggio alla fase di sviluppo fino alla completa risoluzione della non conformità. Il registro delle valutazioni, immutabile e tracciato, avrebbe costituito prova documentale della diligenza adottata dall’ente sin dal primo istante.
Una volta operativo, il dispositivo antifrode iniziò a raccogliere un volume immenso di dati transazionali, comportamentali e anagrafici degli utenti. L’algoritmo, per affinare la sua precisione, incrociava informazioni provenienti da fonti diverse, spingendosi oltre il perimetro del mero necessario per la prevenzione delle frodi. Dalle analisi successive dell’Autorità Garante emerse che i dati venivano utilizzati anche per creare cluster di utenti con finalità di profilazione non esplicitate nelle informative privacy fornite ai clienti. Questa attività si svolse per mesi senza che alcuna funzione di controllo interna ne avesse evidenza. I controlli periodici, basati su campionamenti e interviste, non furono in grado di rilevare un’anomalia così profondamente annidata nell’architettura tecnologica del sistema. La mancanza di un monitoraggio in tempo reale sui flussi di dati effettivi rappresentò la seconda, e più grave, vulnerabilità. Un’architettura di controllo come Scudo231 avrebbe reso impossibile un simile scenario. I suoi sistemi di analisi multimodale, operando non a campione ma sull’intera popolazione delle transazioni, avrebbero rilevato in poche ore il flusso anomalo di dati verso i motori di profilazione. Il sistema avrebbe confrontato il flusso reale con il modello autorizzato in fase di progettazione (il cosiddetto “digital twin” del processo), identificando la deviazione come una violazione critica. Sarebbe scattata un’escalation automatica e simultanea verso i vertici delle funzioni di controllo e l’Organismo di Vigilanza, corredata da un pacchetto di prove digitali (XAI Packet) che cristallizzava l’evento, indicando l’origine tecnica e la potenziale responsabilità funzionale. L’illecito sarebbe stato bloccato sul nascere, confinando il danno a un incidente operativo circoscritto e immediatamente gestito, invece di lasciarlo degenerare in una pratica sistemica.
L’avvio del procedimento ispettivo da parte del Garante colse di sorpresa la struttura. La richiesta di documentazione da parte dell’Autorità innescò una complessa e farraginosa raccolta interna di verbali, analisi, e-mail e procedure. L’assenza di un repository centralizzato e di un audit trail completo e immutabile rese la difesa dell’azienda debole sul merito. Non era possibile dimostrare in modo inequivocabile quali controlli fossero stati attuati, con quale frequenza e con quali esiti. La difesa si concentrò quindi su aspetti formali, come il precedente favorevole del TAR Lazio del 2 febbraio 2026, che aveva annullato un provvedimento analogo per un vizio procedurale, e sulla presunta tardività della nuova sanzione. Questo approccio, sebbene legittimo, tradiva una difficoltà nel contrastare le accuse nel merito, ovvero nel dimostrare l’adeguatezza del proprio sistema di controlli interni. La sanzione pecuniaria, il cui importo non è stato reso pubblico ma si presume essere di entità rilevante, divenne una conseguenza quasi inevitabile, portando con sé un significativo danno reputazionale. Con un modello preventivo avanzato, la risposta all’ispezione sarebbe stata radicalmente diversa. L’azienda avrebbe potuto estrarre dall’ecosistema di controllo la cronologia completa e certificata di ogni attività legata al dispositivo antifrode: dalla valutazione dei rischi iniziale, ai log degli alert generati e gestiti, fino alle azioni correttive intraprese in tempo reale. Questa documentazione avrebbe dimostrato non l’assenza di errori, ma l’esistenza di un modello organizzativo efficacemente attuato, capace di individuare e correggere autonomamente le proprie falle. Una simile evidenza probatoria avrebbe potuto depotenziare significativamente le contestazioni del Garante, riducendo drasticamente l’entità della sanzione o, in alcuni casi, portando all’archiviazione del procedimento. La difesa non si sarebbe basata su cavilli procedurali, ma sulla prova scientifica della propria diligenza organizzativa.
Il ricorso annunciato il 18 agosto apre ora una fase di incertezza legale ed economica. Le spese legali, il tempo manageriale assorbito dalla controversia e il potenziale impatto negativo sull’immagine del brand rappresentano costi certi, a prescindere dall’esito del giudizio. Ma il rischio più insidioso si annida nelle implicazioni del Decreto Legislativo 231/2001. Sebbene la violazione della normativa privacy non costituisca di per sé un reato presupposto, le condotte sottostanti potrebbero essere riqualificate in sede penale. L’utilizzo illecito di dati personali per finalità di profilazione commerciale occulta potrebbe, in determinate circostanze, integrare reati come la frode informatica (art. 640-ter c.p.) o, in scenari più complessi, reati di manipolazione del mercato (art. 185 TUF), qualora tali dati fossero stati usati per orientare le scelte di investimento dei clienti. In tale eventualità, la responsabilità non sarebbe più solo amministrativa, ma si estenderebbe all’ente stesso, con il rischio di sanzioni pecuniarie calcolate sul fatturato, sanzioni interdittive e, soprattutto, la possibilità di un sequestro preventivo finalizzato alla confisca del profitto del reato.
La debolezza della difesa sul merito, palesata dalla necessità di appellarsi a vizi procedurali, espone l’ente a questo tipo di rischio. L’assenza di una prova documentale forte che attesti l’efficacia dei modelli di prevenzione rende difficile per l’organizzazione dimostrare di aver fatto tutto il possibile per impedire l’illecito. L’Organismo di Vigilanza, privo di flussi informativi automatizzati e certificati, potrebbe essere accusato di omessa o insufficiente vigilanza, rendendo il Modello 231 aziendale un mero adempimento formale, inefficace a schermare la responsabilità dell’ente. L’adozione di un sistema come Scudo231 avrebbe neutralizzato questo rischio alla radice. L’immediata escalation di ogni anomalia all’OdV, completa di prove forensi, avrebbe attivato i protocolli di gestione previsti dal Modello 231, dimostrando la piena operatività e reattività dell’organo di controllo. Qualsiasi indagine penale successiva si sarebbe scontrata con l’evidenza di un ente che non solo aveva implementato un modello, ma lo aveva reso vivo e operante attraverso una tecnologia che impediva l’elusione fraudolenta dei controlli. Il profitto derivante dall’eventuale illecito sarebbe stato nullo o trascurabile, essendo stato interrotto quasi istantaneamente, annullando così la base per qualsiasi misura di sequestro o confisca. La vicenda di Poste Italiane, al di là del suo esito giudiziario, si configura come un caso di studio sulla differenza cruciale tra una compliance formale, basata su documenti e controlli periodici, e una compliance sostanziale e dinamica, incorporata nella tecnologia e nei processi operativi. La prima porta a difese procedurali e a battaglie legali costose e incerte; la seconda previene l’illecito o, se questo si verifica, fornisce all’ente le prove inattaccabili per dimostrare la propria assenza di colpa organizzativa.