Il Garante per la Privacy ha irrogato una sanzione complessiva di oltre 12,5 milioni di euro a Poste Italiane e Postepay per il trattamento illecito di dati personali di milioni di utenti. 

In dettaglio, “ha irrogato una sanzione di 6.624.000 euro a Poste Italiane S.p.A. e una di 5.877.000 euro a Postepay S.p.A.”, come annuncia una nota ufficiale dell’Autorità. L’istruttoria, partita da numerose segnalazioni a partire da aprile 2024, si è concentrata sulle app BancoPosta e PostePay, accusate di un’ingerenza eccessiva nella privacy degli utenti.

Il contesto e le violazioni riscontrate

La vicenda nasce da 140 segnalazioni e 12 reclami tra aprile e maggio 2024: gli utenti ricevevano messaggi che li invitavano ad “autorizzare l’App ad accedere ai dati per rilevare la presenza di eventuali software dannosi”, pena l’inibizione dei servizi. Questo consentiva l’accesso a dati sensibili come app installate, frequenza d’uso e operatore telefonico, tramite il sistema ThreatMetrix per prevenire frodi. 

Il Garante ha rilevato che “la configurazione dell’applicativo ThreatMetrix appariva eccessivamente invasiva della sfera giuridica dell’interessato”, poiché esistevano alternative meno impattanti. Emerse anche violazioni come carenze nell’informativa, assenza di DPIA (valutazione d’impatto), misure di sicurezza inadeguate e irregolarità nella designazione del responsabile del trattamento.

Le motivazioni del Garante e le prescrizioni

Secondo il provvedimento del Garante, “le modalità adottate comportavano un’ingerenza eccessivamente invasiva nella sfera privata degli utenti, in quanto non risultavano strettamente necessarie rispetto alle finalità di prevenzione delle frodi”. 

Poste Italiane e Postepay invocavano normative UE come PSD2 e regolamenti EBA per giustificare i controlli, ma l’Autorità ha contestato la sproporzione. Oltre alle multe, è stato ingiunto di cessare i trattamenti (ormai superati dalla fusione in un’unica app dopo 28 mesi) e di adeguarsi su conservazione dati, con comunicazione obbligatoria al Garante.

Booking.com sotto indagine Antitrust: dubbi su ranking e programmi ‘Partner Preferiti’

La replica di Poste Italiane

Poste Italiane ha reagito con una nota critica nella quale si legge: “Poste Italiane accoglie con stupore il provvedimento con il quale il Garante Privacy ha comminato una sanzione per un presunto trattamento illecito dei dati personali degli utenti BancoPosta e PostePay”. 

Il gruppo contesta vizi procedurali, come il ritardo nei termini, e cita l’annullamento TAR del giugno 2025 della multa Antitrust da 4 milioni (confermato dal TAR Lazio il 2 febbraio 2026), che ne riconosceva la legittimità. “Respinge ogni addebito e ribadisce la correttezza e la trasparenza del proprio operato”, invocando l’ok di Banca d’Italia e PSD2 per tutelare gli utenti da frodi. Poste Italiane, infine, annuncia ricorso al Tribunale di Roma.