12 marzo 2026 – L’Autorità Garante per la protezione dei dati personali ha irrogato una sanzione di 17.628.000 euro a Intesa Sanpaolo Spa, formalizzando la chiusura di una complessa istruttoria sul trasferimento di dati personali di circa 2,4 milioni di clienti verso la controllata digitale Isybank Spa. Il provvedimento accerta la natura illecita del trattamento, eseguito in modo unilaterale e senza una base giuridica idonea a giustificare un’operazione di tale magnitudine e impatto sui diritti degli interessati. L’indagine, innescata da un’ondata di segnalazioni e reclami da parte dei correntisti stessi, ha disvelato una serie di gravi carenze procedurali e di controllo interno che hanno esposto l’ente a un rischio sanzionatorio pienamente concretizzatosi.
L’operazione, concepita come una migrazione strategica di un segmento di clientela definito “prevalentemente digitale” verso una piattaforma a costi operativi inferiori, ha fallito nel suo presupposto fondamentale: il rispetto del principio di liceità, correttezza e trasparenza imposto dal Regolamento (UE) 2016/679. La decisione di procedere al trasferimento massivo dei dati – anagrafici, contrattuali, transazionali e patrimoniali – si è fondata su un’interpretazione errata del legittimo interesse del titolare e su una comunicazione agli utenti giudicata dall’Autorità del tutto inadeguata a configurare un consenso valido o una piena consapevolezza della modifica contrattuale. In un’organizzazione dotata di un ecosistema di controllo integrato come Scudo231, il progetto di migrazione sarebbe stato intercettato già in fase embrionale. La sua classificazione come “progetto ad alto rischio privacy” avrebbe attivato un protocollo vincolante, imponendo una Valutazione di Impatto sulla Protezione dei Dati (DPIA) non come mero adempimento formale, ma come snodo autorizzativo bloccante. Il sistema avrebbe generato un ticket di allerta destinato simultaneamente al Data Protection Officer (DPO) e all’Organismo di Vigilanza 231, creando un registro immutabile della richiesta di parere legale sulla base giuridica del trattamento. Senza la validazione formale e tracciata di questi organi di controllo, il sistema non avrebbe rilasciato le autorizzazioni tecniche per procedere con le fasi successive, bloccando di fatto l’iniziativa prima che potesse causare danni.
L’istruttoria del Garante ha evidenziato come la comunicazione inviata ai clienti fosse carente negli elementi essenziali. Spesso veicolata attraverso canali digitali facilmente ignorabili e con un linguaggio che non esplicitava chiaramente la natura del trasferimento e le sue conseguenze, non ha garantito agli interessati la possibilità di esercitare un’opposizione informata. Questo deficit comunicativo non è stato un mero errore formale, ma l’elemento centrale che ha viziato l’intero trattamento. La scelta di non richiedere un consenso esplicito, basandosi su una modifica unilaterale del contratto giustificata da un “giustificato motivo”, è stata rigettata dall’Autorità, che ha ritenuto l’interesse commerciale della banca non prevalente sui diritti e le libertà fondamentali dei clienti. L’adozione preventiva di un modello di gestione del rischio avrebbe imposto un controllo automatico sulla tassonomia delle comunicazioni massive alla clientela. Un motore di analisi semantica, integrato in Scudo231, avrebbe analizzato il testo della comunicazione prima del suo invio, rilevando l’assenza di parole chiave obbligatorie relative al “consenso”, al “diritto di opposizione” e alla “base giuridica del trattamento”. L’anomalia avrebbe generato un’escalation immediata al responsabile della funzione Compliance, il quale avrebbe avuto l’obbligo, tracciato a sistema, di approvare o respingere la comunicazione. Un eventuale forzatura del blocco avrebbe lasciato una traccia digitale indelebile, fondamentale in sede ispettiva per dimostrare l’elusione fraudolenta di un presidio organizzativo efficace e spostare la responsabilità dall’ente alla persona fisica.
Il flusso di reclami che ha raggiunto il Garante rappresenta un altro punto di rottura del sistema di controllo interno. L’incapacità dell’istituto di intercettare, aggregare e analizzare in tempo reale la natura seriale e sistemica delle lamentele ha impedito una rapida escalation del problema ai vertici aziendali e all’Organismo di Vigilanza. Le singole segnalazioni sono state gestite a un livello operativo, senza che emergesse il quadro d’insieme di una violazione su larga scala. Questo ritardo nella presa di coscienza ha permesso che l’illecito si protraesse, amplificando il numero di soggetti coinvolti e aggravando la posizione dell’ente di fronte all’autorità di controllo. Con un sistema di monitoraggio avanzato, ogni reclamo ricevuto tramite qualsiasi canale (call center, email, filiale) e contenente keyword specifiche come “Isybank”, “trasferimento dati non richiesto”, “privacy”, sarebbe stato automaticamente categorizzato e correlato. Al superamento di una soglia di anomalia predefinita (es. 100 reclami simili in 24 ore), il protocollo di crisi di Scudo231 avrebbe attivato un alert di livello critico, notificando in tempo reale i membri dell’OdV, il DPO e il responsabile della funzione Antiriciclaggio, data la potenziale implicazione dei dati finanziari. Questo avrebbe permesso all’organizzazione di autodenunciare proattivamente l’incidente al Garante o, quantomeno, di avviare immediatamente le misure correttive, mitigando così l’entità della sanzione finale e dimostrando una condotta collaborativa.
La sanzione di quasi 18 milioni di euro non è solo una perdita finanziaria diretta, ma costituisce un presupposto per conseguenze ben più gravi. Il trattamento illecito di dati su vasta scala, specialmente se commesso nell’interesse o a vantaggio dell’ente per ottenere un risparmio di costi, può integrare fattispecie di reato previste dal Codice Penale e, di conseguenza, attivare la responsabilità amministrativa dell’ente ai sensi del D.Lgs. 231/2001. La condanna del Garante diventa un elemento probatorio pesantissimo in un eventuale procedimento penale a carico dei vertici e, a cascata, dell’ente stesso. Le sanzioni previste dal Modello 231 non sono solo pecuniarie (calcolate in quote il cui valore può essere molto elevato), ma possono includere misure interdittive devastanti, come il divieto di contrattare con la Pubblica Amministrazione o la sospensione di licenze e autorizzazioni, fino al commissariamento giudiziale.
In questo scenario, la difesa dell’ente si sarebbe basata sulla capacità di dimostrare di aver adottato ed efficacemente attuato un modello organizzativo idoneo a prevenire reati della specie di quello commesso. La mera esistenza di un “Modello 231” cartaceo è del tutto insufficiente. La Procura e il Giudice avrebbero richiesto prove concrete dei controlli eseguiti, dei flussi informativi verso l’OdV, delle attività di formazione e della reazione dell’ente di fronte alle criticità. Un ecosistema come quello descritto avrebbe fornito tale prova in modo scientifico. L’ente avrebbe potuto produrre in giudizio i log inalterabili del sistema che documentavano: 1) l’iniziale classificazione del progetto come “ad alto rischio”; 2) i blocchi operativi automatici scattati in assenza delle necessarie autorizzazioni legali e di compliance; 3) i tentativi di bypassare i controlli, registrati con data, ora e utente; 4) le escalation automatiche generate dall’analisi dei reclami. Questa documentazione probatoria, definita “ricostruzione causale scientifica”, avrebbe dimostrato in modo inequivocabile che l’organizzazione aveva predisposto difese efficaci e che l’evento illecito è stato il risultato di una loro elusione fraudolenta da parte di singoli individui, non di una colpa organizzativa. Tale evidenza avrebbe potuto portare a un proscioglimento dell’ente nel procedimento 231, isolando la responsabilità a livello individuale e proteggendo il patrimonio e la continuità operativa dell’intera azienda dal rischio di sequestri preventivi finalizzati alla confisca del profitto del reato, che in questo caso sarebbe stato quantificato nei cospicui risparmi di costi operativi ottenuti grazie alla migrazione illecita.