Intesa Sanpaolo S.p.A.
ordinanza ingiunzione con sanzione pecuniaria
Sintesi del provvedimento
Il Garante accerta la violazione degli articoli 5, 24, 32, 33 e 34 del GDPR per gli accessi abusivi effettuati da un dipendente alle informazioni bancarie di oltre 3.500 clienti tra il 21 febbraio 2022 e il 24 aprile 2024. La Banca ha omesso di comunicare tempestivamente e completamente il data breach all'Autorità e agli interessati, comprometendo la capacità di intervento e la possibilità di adoperate misure di mitigazione del rischio. Il provvedimento impone la pubblicazione dell'ordinanza e il rafforzamento dei presidi di sicurezza già avviati dalla Banca.
Il titolare deve comunicare tempestivamente all'Autorità e agli interessati la reale portata della violazione dei dati: omissioni rilevanti violano gli articoli 33 e 34 GDPR anche in assenza di conseguenze ulteriori provate.
Approfondimento
Soggetti coinvolti
3.572 clienti con 6.637 accessi effettuati
Riferimenti normativi
Lettura del caso
Temi affrontati — accesso abusivo a dati bancari e omessa comunicazione della violazione
Conseguenze — Il Garante dichiara l'illiceità del trattamento; impone la pubblicazione del provvedimento sul sito del Garante; gli interessati possono impugnare il provvedimento entro 30 giorni dalla comunicazione (60 giorni se residenti all'estero). La Banca deve continuare a implementare misure di sicurezza rafforzate e procedure di escalation per la gestione dei data breach relativi a clienti esposti.
- gravità del comportamento (accesso abusivo prolungato per oltre due anni su oltre 3.500 clienti)
- numero elevato di accessi non giustificati (6.637 accessi)
- accesso a informazioni sensibili relative a politici nazionali e personaggi pubblici
- settore bancario ad elevata responsabilizzazione
- omissione di comunicazione completa e tempestiva all'Autorità
- incompletezza della notificazione iniziale che ha compromesso i poteri di intervento del Garante
- ritardo nella comunicazione agli interessati. Fattori
- licenziamento del dipendente per giusta causa
- adozione successiva del Programma Nemo per rafforzamento dei presidi
- adempimento spontaneo alle prescrizioni del provvedimento n. 659 del 2 novembre 2024
- assenza di evidenza di estrazione/diffusione dei dati
- meccanismi di controllo preesistenti che hanno permesso il rilevamento dell'anomalia
La notificazione di data breach deve rappresentare l'intera portata della violazione con precisione: omissioni rilevanti in fase di notificazione compromettono il potere di controllo dell'Autorità.
AISintesi generata con intelligenza artificiale
Questa è una sintesi indipendente, non un documento ufficiale del Garante. Il testo integrale e autentico del provvedimento è disponibile sul sito ufficiale garanteprivacy.it.