Poste Italiane S.p.a.; Postepay S.p.a.
ordinanza ingiunzione con sanzione pecuniaria
Sintesi del provvedimento
Il Garante accerta l'illiceità del trattamento dei dati personali degli utenti delle app Bancoposta e PostePay su Android, condotto tramite ThreatMetrix per monitorare software dannosi. Le violazioni riguardano assenza di valida base giuridica, mancanza di DPIA, insufficiente informativa e conservazione dati oltre i termini proporzionati. Sono ordinate l'interruzione dei trattamenti entro 10 giorni e l'individuazione di specifiche tempistiche di conservazione entro 30 giorni.
Approfondimento
Soggetti coinvolti
140 segnalazioni e 12 reclami ricevuti da aprile e maggio 2024; numero complessivo degli utenti delle app Bancoposta e PostePay su Android non precisato nel testo
Riferimenti normativi
Lettura del caso
Temi affrontati — Violazione della base giuridica e dei principi di minimizzazione dei dati e limitazione della conservazione nel trattamento di dati dispositivo per rilevazione malware
Conseguenze — Poste Italiane e Postepay devono interrompere i trattamenti tramite ThreatMetrix relativi alla raccolta di dati su app installate/in esecuzione entro 10 giorni dalla notifica; individuare specifiche tempistiche di conservazione dati coerenti con il principio di limitazione entro 30 giorni; comunicare all'Autorità le iniziative intraprese entro 30 giorni con documentazione adeguata; mancato riscontro comporta applicazione di sanzione amministrativa ex art. 83, par. 5, lett. e) GDPR.
Assenza di valida base giuridica ex art. 6 GDPR; mancanza di valutazione di impatto sulla protezione dei dati ex art. 35 GDPR; violazione del principio di minimizzazione dei dati ex art. 5, par. 1, lett. c) GDPR; conservazione dati oltre i 24 mesi della piattaforma PIAF per ulteriori 4 mesi in violazione del principio di limitazione della conservazione ex art. 5, par. 1, lett. e) GDPR; informativa incompleta ex art. 13 GDPR; assenza di misure tecniche e organizzative adeguate ex art. 32 GDPR; numero significativo di segnalazioni (140) e reclami (12) ricevuti.
La sicurezza antifrode non legittima il trattamento di dati device senza base giuridica; la conservazione dati deve essere definita ex ante e comunicata agli interessati, non prolungata per fini statistici senza preventiva formalizzazione.
AISintesi generata con intelligenza artificiale
Questa è una sintesi indipendente, non un documento ufficiale del Garante. Il testo integrale e autentico del provvedimento è disponibile sul sito ufficiale garanteprivacy.it.