1 settembre 2026 – Il Garante per la Protezione dei Dati Personali ha formalizzato l’irrogazione di una sanzione amministrativa di 31,8 milioni di euro a Intesa Sanpaolo S.p.A. per gravi e sistematiche carenze nella sicurezza dei dati, riconducibili a misure tecniche e organizzative giudicate del tutto inadeguate a fronteggiare rischi noti e prevedibili. L’istruttoria, culminata nel provvedimento del 26 marzo 2026, ha avuto origine da una notifica di data breach che la stessa banca aveva trasmesso, con significativo ritardo, nel luglio 2024, facendo emergere una falla operativa protrattasi per oltre due anni.
Al centro della vicenda vi è l’operato di un singolo dipendente che, tra il 21 febbraio 2022 e il 24 aprile 2024, ha avuto accesso ingiustificato e massivo alle informazioni bancarie di 3.573 clienti. L’analisi forense ha documentato un’attività anomala sconcertante: oltre 6.600 consultazioni illecite, eseguite senza alcuna correlazione con le mansioni assegnate o le necessità operative. Questa attività predatoria è avvenuta alla luce del sole digitale, eppure è rimasta invisibile ai sistemi di controllo interni dell’istituto. Qui si manifesta la prima, macroscopica, omissione organizzativa. I sistemi di logging e monitoraggio, seppur presenti, erano evidentemente passivi, incapaci di rilevare una deviazione comportamentale così palese e prolungata.
Se l’istituto avesse implementato un ecosistema come Scudo231, il monitoraggio massivo e in tempo reale dei log di accesso avrebbe incrociato l’operatività del dipendente con il suo profilo autorizzativo formale e, soprattutto, con il suo perimetro di competenza funzionale. La prima consultazione anomala, eseguita il 21 febbraio 2022 su un cliente non assegnato, non sarebbe stata un evento silente, ma avrebbe generato un alert di primo livello. Il sistema, basato non su controlli a campione ma su un censimento continuo delle operazioni, avrebbe immediatamente rilevato la divergenza tra il ruolo di diritto dell’operatore e il suo ruolo di fatto, segnalando una potenziale “deriva organizzativa” alla funzione Compliance e al diretto superiore. L’anomalia sarebbe stata registrata, tracciata e avrebbe richiesto una giustificazione formale, bloccando sul nascere l’escalation della violazione.
Invece, l’assenza di un presidio attivo ha permesso al dipendente di agire indisturbato per 26 mesi. La gravità della falla è amplificata dalla natura dei dati consultati. L’accesso illecito ha infatti riguardato anche le posizioni di clienti classificati ad alto rischio, inclusi soggetti con ruoli di rilievo pubblico, esponendo l’ente a rischi ulteriori, potenzialmente connessi anche alla normativa antiriciclaggio. La consultazione dei dati di una Persona Politicamente Esposta (PEP) senza una finalità specifica legata a obblighi di adeguata verifica della clientela costituisce un’anomalia gravissima, che i sistemi di sicurezza avrebbero dovuto intercettare con priorità assoluta. L’incapacità di discriminare il rischio associato ai dati oggetto di accesso dimostra una colpevole carenza nel principio di accountability.
Con un’architettura di controllo integrata, ogni profilo cliente ad alto rischio sarebbe stato “taggato” digitalmente. Qualsiasi tentativo di accesso da parte di un utente non appartenente a specifiche funzioni (come AML o Audit) avrebbe innescato un protocollo di sicurezza rafforzato: una richiesta di autenticazione a più fattori, l’obbligo di inserire una motivazione testuale per la consultazione e, contestualmente, una notifica istantanea all’Organismo di Vigilanza e al responsabile della funzione antiriciclaggio. L’accesso non sarebbe stato negato a priori, ma ogni singola operazione sarebbe stata autorizzata, tracciata e storicizzata in un registro immodificabile, creando una prova documentale inoppugnabile e scoraggiando sul piano operativo qualsiasi tentativo di abuso. Il danno, in questo scenario, sarebbe stato confinato a un singolo tentativo, immediatamente isolato e investigato.
La catena delle omissioni prosegue con la gestione stessa dell’incidente. La notifica del data breach al Garante, avvenuta nel luglio 2024, non solo è stata tardiva rispetto al termine perentorio di 72 ore dalla scoperta, ma è risultata anche incompleta. Questa duplice violazione procedurale ha pesato in modo determinante sulla quantificazione della sanzione, poiché ha dimostrato una gestione reattiva e disorganizzata della crisi, contraria ai principi di trasparenza e cooperazione con l’Autorità. L’ente non era evidentemente dotato di un processo strutturato per la gestione delle violazioni dei dati personali.
Un ecosistema sovrano come Scudo231 automatizza il processo di gestione degli incidenti. Al momento della conferma tecnica della violazione, il sistema avrebbe attivato un workflow procedurale vincolante: un timer per il conto alla rovescia delle 72 ore sarebbe stato avviato, assegnando compiti specifici e scadenze al Data Protection Officer, all’ufficio legale e al team IT. Avrebbe precompilato il modulo di notifica con i dati già a sua disposizione (numero di interessati, tipologia di dati violati, log delle azioni intraprese per il contenimento), riducendo drasticamente il rischio di ritardi e incompletezze. L’intero processo di gestione della crisi, dalla scoperta alla notifica, sarebbe stato tracciato, documentato e reso disponibile per eventuali ispezioni, trasformando un momento di panico operativo in una procedura controllata e difendibile.
La gestione della comunicazione verso gli interessati rappresenta un ulteriore aggravante. I 3.573 clienti la cui privacy era stata violata sono stati informati solo a seguito di un esplicito provvedimento del Garante, emesso il 2 novembre 2024. Questo ritardo ha impedito agli interessati di adottare tempestivamente misure a propria tutela, esponendoli a potenziali rischi di frode o furto d’identità e violando il loro diritto a essere informati senza ingiustificato ritardo. La banca ha di fatto scaricato sugli utenti finali le conseguenze della propria inefficienza organizzativa.
Anche in questa fase, un modello di gestione integrato avrebbe agito come presidio di garanzia. Parallelamente alla notifica all’Autorità, il sistema avrebbe generato l’elenco certificato degli interessati da contattare e il testo della comunicazione, basato su modelli pre-approvati e conformi alla normativa. La decisione di posticipare la comunicazione sarebbe stata essa stessa un evento da tracciare: il sistema avrebbe richiesto una motivazione formale per il ritardo, inviando un’escalation automatica all’Organismo di Vigilanza 231, che avrebbe avuto l’obbligo di intervenire per correggere una condotta palesemente contraria non solo al GDPR ma anche ai principi di etica e trasparenza del modello organizzativo.
La sanzione di 31,8 milioni di euro non è quindi solo la conseguenza di un’azione illecita di un singolo individuo, ma la diretta imputazione all’ente di una culpa in organizzando e in vigilando di natura sistemica. Il Garante ha contestato la violazione dei principi fondamentali di integrità e riservatezza dei dati, ma soprattutto ha sanzionato la palese violazione del principio di accountability. L’istituto non è stato in grado di dimostrare di aver adottato misure adeguate a prevenire l’evento, né di averlo gestito correttamente una volta accaduto. Le misure correttive, implementate solo successivamente per rafforzare i controlli interni, sono la prova ex post della precedente inadeguatezza.
Questo scenario espone l’ente non solo a sanzioni amministrative, ma apre un fronte di rischio anche ai sensi del D.Lgs. 231/2001, qualora l’accesso abusivo a sistema informatico fosse stato commesso nell’interesse o a vantaggio dell’ente stesso o avesse agevolato la commissione di altri reati presupposto. Sebbene in questo caso non sia emerso un vantaggio diretto per la banca, la vulnerabilità sistemica dimostrata avrebbe potuto essere sfruttata per commettere reati come la frode informatica o il riciclaggio.
In un contesto processuale, la difesa dell’ente si è rivelata insostenibile. L’assenza di prove documentali che attestassero l’esistenza e l’efficacia dei controlli ha reso impossibile dimostrare l’elusione fraudolenta del modello organizzativo da parte del dipendente. L’onere della prova è rimasto interamente a carico della società. Con l’adozione preventiva di un sistema di ricostruzione causale scientifica, la situazione si sarebbe ribaltata. L’organizzazione avrebbe potuto produrre in giudizio i log immodificabili degli alert generati e ignorati, delle mancate giustificazioni del dipendente e delle escalation automatiche inviate alle funzioni di controllo. Avrebbe potuto dimostrare, con prove tecnologiche, di aver messo in atto un modello organizzativo non solo formalmente idoneo, ma concretamente efficace e attuato. La responsabilità penale e amministrativa si sarebbe così concentrata esclusivamente sull’autore materiale dell’illecito, salvaguardando l’ente da sanzioni pecuniarie, interdittive e dal devastante danno reputazionale. Il costo della prevenzione, in quest’ottica, non è una spesa, ma la neutralizzazione di un passivo che, come dimostra questo caso, può ammontare a decine di milioni di euro.