Banca Intesa Sanpaolo nuova multa colossale per accessi indebiti alle informazioni bancarie

Banca Intesa Sanpaolo di nuovo nel mirino del Garante: Accessi indebiti alle informazioni bancarie di oltre 3.500 clienti per più di due anni

Ci risiamo. Banca Intesa Sanpaolo torna sotto i riflettori del Garante per la protezione dei dati personali e si guadagna un’altra sanzione che lascia il segno: 31,8 milioni di euro. Una cifra che va a sommarsi ai 17, 628 milioni di euro ricevuta solo qualche settimana fa e che racconta da sola la gravità del caso e che riaccende un tema ormai ricorrente quando si parla del gruppo: il rapporto complicato con la gestione dei dati e con la privacy i clienti.

Negli ultimi anni, l’istituto è già stato oggetto di attenzione da parte del Garante e, come abbiamo detto sopra, solo qualche settimana fa ha ricevuto una multa colossale di oltre 17milioni di euro (leggi qui l’articolo) e pare proprio che la privacy e il trattamento dei dati personali non sia un punto di forza dell’Istituto torinese.

La ricostruzione dell’Autorità ha riportato la vicenda dentro un perimetro molto meno spettacolare di quanto si potrebbe immaginare. Un accesso ai dati personali di oltre tremila correntisti che non è dipeso, come si potrebbe pensare, da un attacco esterno di hackers esperti o da un problema di cybersecurity, ma da delle normali ma illegali attività interne all’Istituto stesso.

Cosa è successo?

L’istruttoria dell’Autorità – avviata a seguito del data breach notificato dalla banca nel luglio 2024 – ha accertato che un dipendente ha avuto accesso, senza giustificato motivo, alle informazioni bancarie di 3.573 clienti, effettuando oltre 6.600 consultazioni tra il 21 febbraio 2022 e il 24 aprile 2024. Tali accessi indebiti non sono stati rilevati dai sistemi di controllo interni, evidenziando significative criticità nei meccanismi di monitoraggio e prevenzione.

L’accesso illecito ha riguardato anche dati relativi a clienti “ad alto rischio”, tra cui soggetti con ruoli di rilievo pubblico, per i quali sarebbero stati necessari presidi di controllo rafforzati.

Il Garante ha accertato, in particolare, la violazione dei principi di integrità e riservatezza dei dati personali, nonché del principio di accountability, rilevando l’inadeguatezza complessiva delle misure adottate. Il modello operativo utilizzato, che consentiva agli operatori di interrogare in piena circolarità l’intera base clienti, non era infatti adeguatamente bilanciato da controlli idonei a prevenire e individuare accessi non giustificati.

Per una banca di queste dimensioni, il dato colpisce più della violazione stessa.

Una banca con il disturbo dell’attenzione

L’organizzazione interna consente agli operatori e ai dipendenti di muoversi con grande facilità tra i dati della clientela, ma non tutti i dipendenti hanno autorizzazione all’ accesso al database completo e comunque, anche chi ha piene autorizzazioni, può accedere ai dati di un correntista solo se ha un giustificato motivo professionale. Per farvi un esempio, un dipendente non può accedere al conto corrente personale della moglie per vedere quanto ha speso al centro benessere, neppure se è sua moglie. In tanti istituti è vietato al dipendente accedere, dalla propria postazione di lavoro, addirittura al proprio conto personale. E tutto questo è regolato da una capillare e stretta sorveglianza interna.

Certo, in una struttura complessa, il rischio di comportamenti scorretti esiste sempre. Per questo esistono controlli, tracciamenti, sistemi di monitoraggio. La questione non riguarda tanto l’azione del singolo, quanto la capacità dell’organizzazione di intercettarla.

Nel caso di Banca Intesa Sanpaolo, gli accessi indebiti sono proseguiti per oltre due anni e nessuno se n’è accorto: una durata che pesa più di qualsiasi aggettivo.

Le banche monitorano in tempo reale operazioni finanziarie complesse, intercettano anomalie sui conti, bloccano movimenti sospetti nel giro di pochi istanti. Sui dati personali, in questa vicenda, il livello di attenzione non ha mostrato la stessa prontezza.

…e non è finita qui

Ulteriori criticità sono emerse nella gestione del data breach. La notifica è risultata incompleta e tardiva rispetto ai termini previsti dalla normativa, così come la comunicazione agli interessati, avvenuta solo a seguito di un precedente provvedimento del Garante del 2 novembre 2024.

Tali condotte hanno compromesso la possibilità di un tempestivo intervento dell’Autorità a tutela dei diritti e delle libertà delle persone coinvolte.

Alla luce delle violazioni riscontrate, il Garante ha ritenuto illecita la condotta posta in essere da Intesa Sanpaolo.

Nel determinare l’importo della sanzione, l’Autorità ha tenuto conto della gravità e della durata delle violazioni, dell’elevato numero di clienti coinvolti, nonché delle misure correttive adottate dall’istituto successivamente ai fatti, finalizzate al rafforzamento dei sistemi di controllo interno e dei presidi di sicurezza.

Intesa Sanpaolo, un nome una garanzia (forse)

Quando si tratta di banche, la fiducia rappresenta il capitale più importante per entrambi le parti e le informazioni bancarie sono parte integrante del rapporto tra istituto e cliente, sigillate in calce da tonnellate di carta e di firme. Ogni episodio che riguarda i dati personali incide direttamente su questo equilibrio.

Nel caso di Intesa Sanpaolo, la nuova sanzione si inserisce in una contesto che ha già sollevato interrogativi su trasparenza e comunicazione.

Dopo il provvedimento, la banca ha avviato interventi per rafforzare i sistemi di controllo e migliorare i presidi di sicurezza.

Un passaggio dovuto, certo, ma resta una questione aperta: quanto spesso queste correzioni arrivano dopo che il problema ha già prodotto effetti significativi?

Scarica qui il Comunicato stampa del Garante Download