Il Garante multa Poste e Postepay per oltre 12,5 milioni: cosa contesta sulle app e perché il caso pesa sulla privacy.

Nel mirino del Garante per la protezione dei dati personali finiscono ancora una volta le app usate ogni giorno da milioni di italiani. L’Autorità ha sanzionato Poste Italiane e Postepay per un totale di oltre 12,5 milioni di euro. Il tutto al termine di un’istruttoria partita dopo numerose segnalazioni e reclami arrivati dalla primavera del 2024. Secondo quanto ricostruito, il caso riguarda il funzionamento delle app BancoPosta e Postepay su dispositivi Android. In particolare, il modo in cui veniva richiesto agli utenti di autorizzare controlli sui dati del telefono.  

Il punto centrale è semplice da capire. Per continuare a usare i servizi, gli utenti si trovavano davanti a un messaggio che presentava come obbligatoria l’autorizzazione necessaria a rilevare la presenza di eventuali software dannosi. In caso di mancata attivazione, l’operatività dell’app sarebbe stata limitata dopo pochi accessi. Per il Garante, però, questa modalità ha prodotto un’interferenza troppo invasiva nella sfera privata delle persone. Il controllo sui dispositivi, infatti, non è risultato strettamente necessario rispetto all’obiettivo dichiarato di contrastare frodi e minacce informatiche.  

Le società hanno sostenuto che il trattamento fosse collegato a esigenze di sicurezza e alla tutela delle transazioni digitali. L’Autorità, tuttavia, ha ritenuto che le soluzioni adottate andassero oltre quanto richiesto e che mancassero adeguate garanzie sotto più profili. Nel provvedimento si parla infatti di trattamento illecito dei dati personali di milioni di utenti, con rilievi che toccano informativa, misure di sicurezza, tempi di conservazione e valutazioni preventive dei rischi.  

Garante, Poste e multa: cosa pesa davvero nel provvedimento

Il comunicato del Garante riassume con chiarezza i punti contestati. Tra le criticità emerse ci sono carenze nell’informativa agli utenti, l’assenza di un’adeguata valutazione d’impatto sulla protezione dei dati (DPIA), la mancata adozione di misure ritenute sufficienti e problemi legati alla conservazione delle informazioni e alla gestione dei soggetti coinvolti nel trattamento. In altre parole, non è stata contestata in astratto la necessità di difendere i servizi di pagamento dalle frodi, ma il fatto che il sistema scelto fosse sproporzionato e poco trasparente rispetto ai diritti degli utenti.  

Sul piano economico, il conto è molto pesante. Il Garante ha ordinato a Poste Italiane di pagare 6,624 milioni di euroe a Postepay altri 5,877 milioni, arrivando così a una sanzione complessiva superiore a 12,5 milioni di euro. Oltre alla multa, le società dovranno anche conformarsi alle prescrizioni dell’Autorità e fornire un riscontro documentato sugli adeguamenti richiesti.  

La vicenda manda un messaggio preciso a tutto il settore digitale e finanziario. La sicurezza informatica resta una priorità, ma non può trasformarsi in una raccolta di dati più ampia del necessario o in richieste presentate come inevitabili senza spiegazioni davvero comprensibili. Per chi usa app bancarie e di pagamento, il caso Poste ricorda che privacy e cybersicurezza non sono obiettivi in conflitto: devono procedere insieme. E proprio su questo equilibrio si misureranno sempre di più le responsabilità delle grandi piattaforme.