Banca finlandese: vulnerabilità nel login che ha esposto i conti dei clienti
- Paese
- Finlandia
- Autorità
- Garante finlandese per la protezione dei dati
- Settore
- Banche
- Notizia dell'EDPB
- 18 novembre 2025
- Misure decise
-
- Sanzione pecuniaria
- Ammonimento
Sintesi della decisione
L'autorità finlandese di protezione dei dati ha esaminato una violazione notificata da S-Bank dopo l'introduzione di una nuova funzione di accesso nell'app mobile. Un errore software nel servizio di autenticazione ha consentito di accedere al online banking con le credenziali di altri clienti, e la vulnerabilità è rimasta sfruttabile per più di tre mesi. L'autorità ha ritenuto violati gli articoli 5.1.f, 25.1, 32.1 e 32.2 del GDPR, per carenza di test adeguati prima del rilascio e per risposte insufficienti alle segnalazioni dei clienti. Sono state disposte una sanzione amministrativa e un richiamo.
Un test di sicurezza adeguato prima del rilascio di nuove funzioni di autenticazione e una risposta tempestiva alle segnalazioni anomale dei clienti sono obblighi concreti di protezione by design e di sicurezza del trattamento.
Articoli del GDPR violati
- art. 5 GDPR Principi applicabili al trattamento di dati personali
- art. 25 GDPR Protezione dei dati fin dalla progettazione e protezione dei dati per impostazione predefinita
- art. 32 GDPR Sicurezza del trattamento
I link verdi portano alla mappa del GDPR con i provvedimenti italiani che citano lo stesso articolo; gli altri al testo ufficiale su EUR-Lex.
Casi simili in Italia
- SospesoIntesa Sanpaolo S.p.A.
Anche in questo caso una banca è sanzionata per accesso abusivo a dati bancari e per la mancata gestione della violazione.
- SospesoPoste Italiane S.p.a.; Postepay S.p.a.
Riguarda un istituto finanziario italiano e un'app mobile, con contestazioni su base giuridica e minimizzazione nel trattamento dei dati del dispositivo.
Fonti
- Notizia del Comitato europeo per la protezione dei dati (EDPB) ↗ “Finnish SA: S-Bank fined for data security vulnerability”, in inglese
- Decisione o comunicato dell'autorità nazionale ↗
AISintesi generata con intelligenza artificiale e rivista prima della pubblicazione
Questa è una sintesi indipendente in italiano della notizia pubblicata dall'EDPB, non una traduzione ufficiale né un documento dell'autorità che ha deciso. Per il testo autentico fa fede la decisione originale. Progetto indipendente, non affiliato al Garante né all'EDPB.