Il provvedimento e le motivazioni
Il Garante per la protezione dei dati personali (GPDP) ha irrogato due sanzioni nei confronti di Poste Italiane e Deutsche Bank a seguito di controlli relativi alle modalità di trattamento dei dati personali nell'ambito dell'offerta dei finanziamenti BancoPosta. I provvedimenti, numerati n.746 e n.747 e datati 7 ottobre 2026, sono scaturiti da un reclamo presentato da una dipendente di Poste Italiane che aveva rilevato la consultabilità, tramite una piattaforma aziendale, di dati sensibili sulla propria situazione economico-patrimoniale dopo il rigetto di una richiesta di prestito.
«Dagli accertamenti effettuati dall’Autorità, è emerso che le due società, in contrasto con quanto formalmente previsto dagli accordi intercorsi, operavano quali autonomi titolari del trattamento», ha precisato il Garante della privacy
Dati coinvolti e ruolo delle società
Secondo quanto comunicato dal Garante, tra le informazioni consultabili nella piattaforma figuravano il reddito netto percepito e gli impegni finanziari in essere. L'istruttoria ha rilevato che le due società non si erano comportate secondo gli accordi formali: Poste Italiane raccoglieva le richieste di finanziamento e svolgeva attività di promozione e collocamento, mentre Deutsche Bank conduceva autonomamente la valutazione del merito creditizio e la decisione finale. Questo assetto operativo ha portato l'Autorità a qualificare entrambe le imprese come titolari autonomi del trattamento, con obblighi informativi non rispettati nei confronti degli interessati.
Le violazioni contestate
- Per Poste Italiane: mancata informazione adeguata ai richiedenti sui trattamenti svolti durante la promozione e il collocamento dei prestiti, in particolare in merito ai destinatari dei dati e ai flussi informativi verso la banca;
- Per Deutsche Bank: informativa insufficiente nel descrivere il ruolo di Poste Italiane come destinatario dei dati e come autonomo titolare del trattamento.
Conseguenze e rimedi adottati
Nel corso dell'istruttoria entrambe le società hanno proceduto alla cancellazione dei dati della reclamante. Poste Italiane ha inoltre aggiornato alcuni elementi informativi (la nota originale riporta l'inizio dell'aggiornamento, senza dettagliare ulteriori misure tecniche o organizzative adottate).
| Società | Provvedimento | Importo sanzione |
|---|---|---|
| Poste Italiane | n.746 del 7/10/2026 | 48.000 euro |
| Deutsche Bank | n.747 del 7/10/2026 | 33.000 euro |
Il Garante ha motivato i provvedimenti sottolineando la centralità degli obblighi di trasparenza nei rapporti tra titolari del trattamento e interessati, in particolare quando i dati sono condivisi tra operatori che svolgono ruoli diversi nel processo di offerta e valutazione del credito.
Implicazioni per utenti e operatori
La decisione del Garante richiama l'attenzione sulle pratiche informative e sui ruoli giuridici che le imprese devono chiarire agli interessati: quando dati di richiedenti prestiti transitano tramite sistemi condivisi o piattaforme accessibili a più operatori, è necessario che l'informativa sia completa e che siano definiti i flussi e i destinatari del trattamento. Nel caso esaminato, la mancata indicazione chiara dei ruoli ha costituito elemento sufficiente per la sanzione.
Gli interessati che ritengano di aver subito un trattamento non conforme alle normative sulla protezione dei dati possono fare ricorso alle procedure previste dal Garante per la protezione dei dati personali.
