18 agosto 2026 – Il Garante per la protezione dei dati personali ha irrogato sanzioni per un totale di oltre 12,5 milioni di euro a Poste Italiane S.p.A. e alla sua controllata PostePay S.p.A. La decisione, formalizzata al termine di una complessa istruttoria, colpisce il cuore operativo delle due società: il trattamento dei dati personali di milioni di clienti attraverso le applicazioni BancoPosta e PostePay. La sanzione pecuniaria è stata ripartita in 6.624.000 euro a carico di Poste Italiane e 5.877.000 euro per PostePay. Oltre all’impatto economico diretto, l’Autorità ha imposto la cessazione immediata dei comportamenti ritenuti illeciti, una misura che incide direttamente sulla continuità operativa di alcuni servizi digitali offerti alla clientela. L’origine del procedimento risale all’aprile 2024, quando il Garante ha iniziato a ricevere un flusso costante e numeroso di segnalazioni e reclami da parte degli utenti, tutti focalizzati sulle modalità di funzionamento delle due applicazioni mobili.
Le contestazioni dell’Autorità si sono concentrate su diverse violazioni della normativa in materia di protezione dei dati personali. In primo luogo, è stata rilevata una grave carenza informativa. Agli utenti non veniva fornita una spiegazione chiara, trasparente e completa sulle finalità e le modalità del trattamento dei loro dati, in particolare per quanto riguarda un nuovo sistema di autorizzazione dei pagamenti online, introdotto per conformarsi alla direttiva europea sui servizi di pagamento, la PSD2. Questa omissione ha impedito agli interessati di esprimere un consenso genuinamente libero e informato. In un’organizzazione dotata di un ecosistema come Scudo231, l’introduzione di una nuova funzionalità software che tratta dati personali, specialmente dati finanziari e comportamentali, sarebbe stata classificata come un processo sensibile ai fini del D.Lgs. 231/01. Il sistema avrebbe imposto, come passaggio obbligato e non derogabile nel flusso di lavoro di sviluppo e rilascio, la compilazione e l’approvazione formale di una Valutazione d’Impatto sulla Protezione dei Dati (DPIA). L’assenza di una DPIA validata dal Data Protection Officer e dalla funzione legale avrebbe generato un’allerta automatica all’Organismo di Vigilanza, bloccando tecnicamente il rilascio della funzionalità fino alla completa regolarizzazione documentale, neutralizzando così il rischio alla fonte.
Il secondo punto critico sollevato dal Garante riguarda la natura stessa del trattamento, giudicato eccessivamente invasivo rispetto alle finalità dichiarate di prevenzione delle frodi. Il sistema implementato da Poste analizzava una mole di dati personali, inclusi dati relativi al dispositivo utilizzato e alle abitudini di navigazione, sproporzionata rispetto allo scopo di garantire la sicurezza delle transazioni. Questa raccolta massiva, non adeguatamente giustificata dal principio di necessità e proporzionalità, ha configurato un trattamento illecito. La mancanza di un controllo preventivo su questo specifico punto ha esposto l’ente a una responsabilità amministrativa diretta. Se l’organizzazione avesse implementato un modello di controllo basato su protocolli di analisi multimodale, ogni nuovo flusso di dati generato da un’applicazione aziendale sarebbe stato mappato e confrontato con le finalità autorizzate nel registro dei trattamenti. Un motore di intelligenza artificiale predittiva, analizzando la tipologia e la quantità dei dati raccolti dal nuovo sistema antifrode, avrebbe immediatamente rilevato una divergenza significativa rispetto ai principi di minimizzazione dei dati sanciti dal GDPR. L’anomalia avrebbe fatto scattare un flag di non conformità, innescando un’escalation automatizzata verso le funzioni di compliance e l’ODV, che avrebbero avuto il potere di sospendere il trattamento ben prima che potesse causare un danno sistemico e attirare l’attenzione dell’Autorità di controllo.
La reazione di Poste Italiane non si è fatta attendere. La società ha immediatamente contestato la decisione del Garante, definendola infondata, e ha annunciato l’intenzione di presentare ricorso presso le sedi giudiziarie competenti per chiederne l’integrale annullamento. A sostegno della propria posizione, Poste ha richiamato una precedente sentenza del TAR del Lazio, datata 2 febbraio 2026. In quella circostanza, il tribunale amministrativo aveva annullato un provvedimento sanzionatorio dell’Autorità Garante della Concorrenza e del Mercato (AGCM) relativo al medesimo dispositivo antifrode, allora contestato sotto il profilo di pratica commerciale scorretta. Tuttavia, l’analogia tra i due casi è giuridicamente debole. La decisione del TAR verteva sulla normativa a tutela del consumatore, mentre il provvedimento del Garante Privacy si fonda su un corpus normativo distinto e specifico, quello relativo alla protezione dei dati personali. L’aver affrontato il rischio in modo reattivo e parziale, solo dopo l’intervento di un’autorità, è sintomo di una governance dei rischi frammentata.
Questo approccio reattivo evidenzia una mancata visione integrata dei rischi di non conformità, che spesso sono interconnessi. Un’organizzazione che gestisce la propria compliance attraverso un sistema come Scudo231 non avrebbe analizzato il rischio in silos separati. Durante la fase di progettazione del sistema antifrode, i motori di analisi causale avrebbero valutato l’impatto del progetto non solo rispetto al GDPR, ma anche incrociando i requisiti della normativa bancaria (PSD2), del Codice del Consumo e delle normative antiriciclaggio. Il sistema avrebbe prodotto un report consolidato che evidenziava il doppio profilo di rischio: non conformità privacy e potenziale pratica commerciale scorretta. Questa analisi preventiva avrebbe costretto l’azienda a un riesame multidisciplinare del progetto, coinvolgendo simultaneamente le funzioni Legale, DPO, Compliance e Marketing per trovare una soluzione che bilanciasse sicurezza, trasparenza e correttezza commerciale. La documentazione prodotta da questo processo, tracciata e immodificabile, avrebbe costituito una solida prova di diligenza organizzativa, mitigando drasticamente l’entità di eventuali sanzioni o, più probabilmente, prevenendole del tutto.
L’istruttoria del Garante ha preso le mosse, come detto, da un numero elevato di reclami pervenuti a partire da aprile 2024. Per oltre due anni, quindi, l’organizzazione ha ricevuto segnali diretti e inequivocabili di un malfunzionamento sistemico nella gestione della privacy dei propri clienti. La mancata aggregazione e analisi di questi segnali deboli, trattati evidentemente come singoli episodi di insoddisfazione del cliente anziché come indicatori di un rischio legale e reputazionale di vasta portata, rappresenta una grave omissione sul piano organizzativo. Questa inerzia è un elemento che aggrava la posizione dell’ente in sede sanzionatoria. Un sistema di monitoraggio massivo e in tempo reale, come quello integrato nell’ecosistema Scudo231, avrebbe intercettato, classificato e correlato i reclami provenienti da canali diversi (PEC, call center, social media). Un algoritmo di pattern recognition avrebbe identificato la ricorrenza delle parole chiave “privacy“, “dati non autorizzati“, “app“, “consenso“, aggregandole in un unico cluster di rischio ad alta priorità. Superata una soglia predefinita, il sistema avrebbe generato un dossier automatico inviato direttamente ai vertici delle funzioni di controllo e all’Organismo di Vigilanza, quantificando già una prima stima del potenziale impatto economico basata sui parametri sanzionatori del GDPR. L’escalation sarebbe stata immediata e documentata, costringendo il management a prendere atto della criticità e ad agire, anziché lasciare che il problema si incancrenisse fino a esplodere con l’intervento del Garante.
L’impatto della sanzione non è solo economico e reputazionale. La responsabilità amministrativa degli enti, disciplinata dal D.Lgs. 231/2001, si estende anche a specifici reati informatici e al trattamento illecito di dati. Sebbene la sanzione del Garante sia di natura amministrativa, essa costituisce un formidabile campanello d’allarme. L’accertamento di un trattamento illecito di dati su larga scala potrebbe, in altre sedi, essere considerato il presupposto per contestazioni più gravi. In scenari simili, la Procura della Repubblica potrebbe avviare indagini per verificare se il trattamento illecito abbia generato un profitto ingiusto per l’ente, ad esempio attraverso risparmi di spesa derivanti dalla mancata adozione di misure di sicurezza e compliance adeguate. In tale ipotesi, si aprirebbe la strada a provvedimenti di sequestro preventivo finalizzato alla confisca del profitto del reato, con conseguenze patrimoniali potenzialmente ben più gravi della sanzione amministrativa.
La vicenda mette in luce come, nell’era digitale, la compliance privacy non sia più un mero adempimento formale, ma un pilastro della governance aziendale e della continuità del business. L’adozione di un modello organizzativo ex D.Lgs. 231/01, se non supportato da controlli tecnologici efficaci e da flussi informativi automatizzati e a prova di manomissione, rischia di rimanere un esercizio puramente documentale, incapace di prevenire illeciti e di proteggere l’ente dalle conseguenti sanzioni. La battaglia legale che Poste Italiane e PostePay si apprestano a intraprendere sarà lunga e dall’esito incerto. Indipendentemente dalla sua conclusione, il danno operativo derivante dall’ordine di cessazione del trattamento e quello reputazionale legato a una condanna per violazione della privacy di milioni di utenti sono già stati inflitti. La vera lezione risiede nella prevenzione: la capacità di un’organizzazione di identificare, analizzare e neutralizzare i rischi prima che si trasformino in un costo tangibile, dimostrando con prove tecnologiche e documentali di aver fatto tutto il possibile per evitarli.