Il Garante per la protezione dei dati personali ha inflitto sanzioni per complessivi 12,5 milioni di euro a Poste Italiane S.p.A. (6.624.000 euro) e a Postepay S.p.A. (5.877.000 euro), per trattamento illecito dei dati personali di milioni di utenti.
Al centro del provvedimento ci sono le app BancoPosta e Postepay, che imponevano agli utenti – come condizione obbligatoria per accedere ai servizi – di autorizzare il monitoraggio dei propri dispositivi mobili, incluse le applicazioni installate e in esecuzione. Le società avevano giustificato questa prassi con la necessità di individuare eventuali software malevoli e garantire la sicurezza dei pagamenti. Il Garante ha tuttavia stabilito che tale monitoraggio configurava un’ingerenza eccessivamente invasiva nella sfera privata degli utenti, non strettamente necessaria rispetto alle finalità dichiarate di prevenzione delle frodi.
L’istruttoria – avviata a seguito di numerose segnalazioni e reclami pervenuti a partire dall’aprile 2024 – ha fatto emergere ulteriori violazioni: carenze nell’informativa resa agli utenti, assenza di un’adeguata valutazione di impatto sulla protezione dei dati (DPIA), mancata adozione di misure di sicurezza idonee, politiche di conservazione dei dati insufficienti e irregolarità nella designazione del responsabile del trattamento.
Oltre alle sanzioni pecuniarie, l’Autorità ha ordinato alle due società di cessare i trattamenti contestati, ove non vi abbiano già provveduto, e di adeguarsi alle prescrizioni in materia di conservazione dei dati, comunicando al Garante le misure adottate.