Nel mirino le modalità di funzionamento delle app BancoPosta e PostePay
Il Garante per la Privacy “ha irrogato una sanzione di 6.624.000 euro a Poste Italiane S.p.A. e una di 5.877.000 euro a PostePay S.p.A., per aver trattato illecitamente i dati personali di milioni di utenti“. Lo annuncia una nota dell’Autorità.
L’istruttoria – avviata a seguito di numerose segnalazioni e reclami pervenuti a partire da aprile 2024 – “ha riguardato, in particolare, le modalità di funzionamento delle app BancoPosta e PostePay”, che “comportavano un’ingerenza eccessivamente invasiva nella sfera privata degli utenti, in quanto non risultavano strettamente necessarie rispetto alle finalità di prevenzione delle frodi“.
Tali applicazioni prevedevano, quale condizione obbligatoria per l’utilizzo dei servizi, il rilascio da parte degli utenti di un’autorizzazione al monitoraggio di una serie di dati contenuti nei dispositivi mobili, incluse le applicazioni installate e in esecuzione, al fine di individuare eventuali software malevoli. Secondo quanto dichiarato dalle società, tali trattamenti sarebbero stati necessari per garantire la sicurezza delle operazioni e conformarsi alla normativa in materia di servizi di pagamento.
La replica dell’azienda
Immediata la replica di Poste Italiane che accoglie “con stupore”, si legge in una nota, il provvedimento con il quale il Garante Privacy ha comminato una sanzione per un presunto trattamento illecito dei dati personali degli utenti BancoPosta e PostePay. “Provvedimento che, peraltro, oltre che nel merito, è viziato anche sotto il profilo procedimentale, essendo stato adottato in palese ritardo rispetto ai termini perentori previsti dalla legge per l’esercizio dei poteri del Garante – continua la nota – A tal riguardo, si sottolinea che il 2 febbraio 2026 il TAR Lazio ha annullato il provvedimento con cui l’Antitrust aveva sanzionato Poste Italiane per una presunta pratica commerciale scorretta relativa al medesimo dispositivo antifrode oggetto delle odierne censure del Garante, riconoscendone la piena legittimità e l’assenza di qualsivoglia intento commerciale nelle condotte di Poste.” Poste Italiane respinge, dunque, “ogni addebito e ribadisce la correttezza e la trasparenza del proprio operato. In particolare, come riconosciuto anche da Banca d’Italia, il Gruppo ha utilizzato legittimamente e in conformità con la normativa in materia di servizi di pagamento l’accesso ai dati tecnici dei dispositivi dei clienti, finalizzati esclusivamente all’attivazione di presidi antifrode e antimalaware, come richiesto dalla normativa europea (Direttiva PSD2), per una piena tutela della sicurezza degli utenti. Poste Italiane – conclude la nota – presenterà ricorso per l’annullamento del provvedimento presso il Tribunale di Roma”.