1 settembre 2026 – Il Garante per la protezione dei dati personali ha irrogato una sanzione amministrativa di 31,8 milioni di euro a Intesa Sanpaolo S.p.A., formalizzando la conclusione di una delle istruttorie più significative degli ultimi anni in materia di sicurezza dei dati. Il provvedimento, che segue la notifica di un data breach effettuata dalla stessa banca nel luglio 2024, cristallizza una grave e prolungata vulnerabilità nelle misure tecniche e organizzative dell’istituto, esponendolo non solo a una sanzione pecuniaria esemplare, ma anche a un profondo danno reputazionale e a potenziali azioni di risarcimento da parte dei clienti coinvolti.
L’indagine dell’Autorità ha ricostruito una cronologia dei fatti allarmante. Tra il 21 febbraio 2022 e il 24 aprile 2024, un singolo dipendente della banca ha effettuato oltre 6.600 accessi indebiti ai dati bancari di 3.573 clienti. Per più di due anni, un operatore interno ha potuto consultare senza alcuna giustificazione operativa informazioni sensibili quali saldi, movimenti di conto corrente, profili di rischio e dettagli anagrafici, agendo in una zona d’ombra invisibile ai sistemi di controllo interni. La falla non è stata un singolo evento istantaneo, ma una falla sistemica, una voragine procedurale che ha permesso una violazione continuata nel tempo. L’aspetto più critico, evidenziato dal Garante, è proprio questo: l’assenza totale di un sistema di rilevamento delle anomalie capace di intercettare un comportamento così palesemente deviante.
Se l’istituto avesse implementato un ecosistema sovrano come Scudo231, la catena degli eventi si sarebbe interrotta al primo anello. I suoi sistemi di analisi multimodale, operando un monitoraggio massivo e in tempo reale su tutte le transazioni e gli accessi ai dati, non si sarebbero limitati a un controllo a campione. Al primo accesso del dipendente a un dossier cliente non direttamente collegato alle sue mansioni operative o al di fuori del suo perimetro di competenza geografica o funzionale, il sistema avrebbe generato un alert di anomalia comportamentale. Questo segnale non sarebbe stato un semplice log in un archivio, ma un evento tracciato e scalato automaticamente alla funzione di Internal Audit e all’Organismo di Vigilanza 231, corredato da un report che evidenziava la deviazione dal profilo operativo standard di quell’utente. L’accesso anomalo, il primo dei 6.600, sarebbe stato bloccato o, quantomeno, avrebbe innescato un’indagine immediata, confinando l’incidente a un singolo tentativo e non a una violazione protratta per 26 mesi.
La sanzione del Garante non colpisce l’atto del dipendente infedele in sé, ma la colpa in organizzazione della banca. L’illecito contestato è la violazione dei principi di integrità e riservatezza e l’inadeguatezza delle misure di sicurezza, come previsto dal Regolamento Generale sulla Protezione dei Dati (GDPR). L’istituto non è stato in grado di dimostrare di aver adottato cautele tecniche e organizzative sufficienti a prevenire, o almeno a rilevare tempestivamente, l’abuso. I controlli interni, evidentemente basati su logiche reattive o su campionamenti periodici, si sono rivelati del tutto inefficaci. Questa carenza costituisce il fondamento della responsabilità dell’ente: non aver vigilato, non aver predisposto difese adeguate alla magnitudo dei rischi connessi al trattamento di dati bancari su larga scala.
In questo scenario, la difesa dell’ente è apparsa debole proprio sul piano probatorio. Durante l’istruttoria, non è stato possibile esibire registri di monitoraggio proattivo o evidenze di un sistema di controllo che analizzasse i pattern di accesso in modo predittivo. Con un’architettura di difesa integrata, l’istituto avrebbe potuto presentare all’Autorità Garante un XAI Packet (eXplainable AI Packet) generato dal sistema. Questo pacchetto probatorio, immutabile e certificato, avrebbe dimostrato non solo l’esistenza di un modello di controllo, ma la sua effettiva e costante operatività. Avrebbe documentato, con data e ora certa, gli alert generati, le procedure di escalation attivate e le contromisure adottate. Tale evidenza tecnologica avrebbe spostato l’onere della prova, dimostrando che la banca aveva agito con la massima diligenza e che l’eventuale violazione era stata il frutto di un’azione elusiva imprevedibile e immediatamente circoscritta, non di una negligenza organizzativa. L’impatto sanzionatorio sarebbe stato drasticamente ridotto, in quanto l’ente avrebbe provato di aver adempiuto al suo obbligo di accountability.
L’intera vicenda si colloca anche in una potenziale cornice di responsabilità ai sensi del Decreto Legislativo 231/2001. Sebbene la sanzione sia stata irrogata sulla base della normativa privacy, l’accesso abusivo a un sistema informatico (art. 615-ter c.p.) e il trattamento illecito di dati (art. 167 D.Lgs. 196/2003) sono reati presupposto della responsabilità amministrativa degli enti. La condotta del dipendente, perpetrata nell’interesse o a vantaggio, anche solo potenziale, dell’ente (ad esempio, per raggiungere obiettivi di performance attraverso pratiche non autorizzate), avrebbe potuto innescare un procedimento penale parallelo a carico della banca. La mancata rilevazione di un’anomalia così macroscopica e duratura per oltre due anni rappresenta una prova schiacciante dell’inefficacia del Modello di Organizzazione, Gestione e Controllo (MOG) adottato. Un MOG privo di un sottostante sistema tecnologico di monitoraggio reale è, di fatto, un documento inerte, incapace di prevenire la commissione di reati.
L’ecosistema Scudo231 è progettato per saldare il MOG cartaceo alla realtà operativa dell’azienda. Rileva in tempo reale la “deriva organizzativa”, ovvero il disallineamento tra i ruoli di diritto (le mansioni ufficiali) e i ruoli di fatto (le operazioni effettivamente svolte). Nel caso specifico, il sistema avrebbe mappato le attività del dipendente e le avrebbe confrontate con il suo profilo autorizzativo, segnalando immediatamente che la sua operatività stava sistematicamente debordando dai confini previsti. L’Organismo di Vigilanza (OdV), anziché basarsi su flussi informativi periodici e spesso tardivi, avrebbe ricevuto notifiche automatiche e avrebbe avuto a disposizione una dashboard per analizzare la natura e la frequenza delle anomalie. Questo avrebbe permesso all’OdV di esercitare il suo potere di controllo in modo effettivo e tempestivo, adempiendo pienamente al suo ruolo e mettendo l’ente al riparo dalla contestazione di una vigilanza omessa o insufficiente. La banca avrebbe potuto così dimostrare in sede penale non solo di aver adottato un Modello, ma di averlo efficacemente attuato, escludendo la propria responsabilità 231 e le conseguenti sanzioni, tra cui la confisca del profitto del reato, potenzialmente ben più gravosa della sanzione amministrativa.
L’impatto economico della vicenda per Intesa Sanpaolo va ben oltre i 31,8 milioni di euro della sanzione. A questa cifra si devono sommare i costi legali per la gestione del procedimento, gli ingenti investimenti che dovranno essere sostenuti per la bonifica dei sistemi informatici e delle procedure interne, e il danno reputazionale, difficilmente quantificabile ma estremamente pervasivo. La fiducia dei clienti è stata minata, e l’esposizione mediatica negativa genera un costo indiretto che si protrarrà nel tempo. Inoltre, si apre il fronte delle azioni civili: ciascuno dei 3.573 clienti i cui dati sono stati violati ha ora il diritto di chiedere un risarcimento per il danno materiale e non materiale subito, creando un potenziale contenzioso di massa.
Una gestione preventiva del rischio, basata su un sistema di controllo integrato, avrebbe mitigato tutti questi impatti. La tempestiva rilevazione dell’anomalia avrebbe non solo impedito la violazione su larga scala, ma avrebbe anche permesso all’istituto di gestire l’incidente in modo controllato. La notifica al Garante, seppur necessaria, avrebbe riguardato un evento circoscritto e immediatamente gestito, dimostrando la reattività e la robustezza delle difese aziendali. Questo avrebbe radicalmente cambiato la valutazione dell’Autorità, che pondera la sanzione anche sulla base della cooperazione e delle misure adottate dall’ente per rimediare alla violazione. Dimostrare di aver individuato e bloccato l’abuso in poche ore, anziché subirlo passivamente per 26 mesi, è l’elemento che distingue un’organizzazione resiliente da un’organizzazione negligente. La REDAZIONE SCUDO231 rileva come la distinzione tra conformità formale e sicurezza sostanziale sia ormai il discrimine fondamentale nei procedimenti sanzionatori. La lezione che emerge da questo caso è inequivocabile: nell’era digitale, la responsabilità d’impresa non si misura più sulla carta delle procedure, ma sulla capacità tecnologica di garantire la loro applicazione in tempo reale.