**Il Garante della Privacy ha inflitto una multa da 12,5 milioni di euro a Poste Italiane e PostePay per violazioni del GDPR legate al monitoraggio antifrode nelle app mobili. Un caso che ridisegna i confini tra sicurezza e tutela dei dati personali.**
—
Il 17 aprile 2026, il Garante della Privacy italiano ha emesso una sanzione da **12,5 milioni di euro** nei confronti di Poste Italiane e PostePay, per trattamento illecito di dati personali attraverso le applicazioni mobili BancoPosta e PostePay. Non si tratta di un attacco informatico, né di una violazione perpetrata da attori esterni: è un’azione regolatoria che colpisce direttamente le scelte architetturali e di governance interna dei due operatori.
## Cosa è successo
L’indagine del Garante è stata avviata in seguito a reclami presentati a partire dall’aprile 2024. Al centro della contestazione c’è il sistema di monitoraggio antifrode integrato nelle app, basato sulla tecnologia **ThreatMetrix**, un software utilizzato in ambito finanziario per la profilazione comportamentale e la rilevazione di attività anomale sui dispositivi degli utenti.
Il problema non era la tecnologia in sé, bensì le modalità con cui veniva impiegata. Le app richiedevano agli utenti di autorizzare, come **condizione obbligatoria per accedere al servizio**, il monitoraggio dei dati del dispositivo, inclusi le applicazioni installate e quelle in esecuzione in background. Un requisito che il Garante ha giudicato eccessivamente invasivo e non strettamente necessario alle finalità dichiarate di prevenzione delle frodi.
## Le violazioni contestate
L’autorità ha rilevato una serie di inadempimenti rispetto al quadro normativo del GDPR:
- **Insufficiente trasparenza** verso gli utenti riguardo alle modalità e alla portata del trattamento dei dati;
- **Assenza di una valutazione d’impatto sulla protezione dei dati (DPIA)**, uno strumento obbligatorio quando il trattamento presenta rischi elevati per i diritti degli interessati;
- **Misure di sicurezza inadeguate** rispetto alla sensibilità delle informazioni raccolte;
- **Politiche di conservazione dei dati** insufficienti e non proporzionate rispetto agli scopi dichiarati.
In aggiunta alla sanzione pecuniaria, il Garante ha emesso ordini correttivi che impongono alle due società di **cessare le attività di trattamento contestate** e di allinearsi ai requisiti previsti in materia di conservazione dei dati.
## Un settore sotto pressione
Il caso Poste Italiane non è isolato. Il settore finanziario e postale italiano sta attraversando una fase di **crescente scrutinio regolatorio**, con un’attenzione sempre più marcata verso le pratiche di raccolta e gestione dei dati personali.
Solo un mese prima, a marzo 2026, il Garante aveva comminato a **Intesa Sanpaolo una multa da 31,8 milioni di euro** per aver consentito, senza rilevarlo, che un dipendente accedesse illegittimamente ai dati di oltre 3.500 clienti per più di 6.600 volte. In quel caso, il problema era l’assenza di controlli interni adeguati. Nel caso Poste, invece, la questione riguarda la **proporzionalità e la liceità del trattamento** a monte, nella fase di progettazione del sistema.
Due casi distinti, due tipologie di violazione differenti, ma con un filo conduttore comune: la sottovalutazione del GDPR come vincolo strutturale e non meramente formale.
## Le lezioni per il settore
Il caso Poste offre indicazioni pratiche e urgenti per tutti gli operatori che sviluppano soluzioni antifrode in ambito digitale, in particolare per chi è tenuto a rispettare simultaneamente le disposizioni della **PSD2** e del **GDPR**.
Le priorità su cui intervenire sono chiare:
1. **Condurre la DPIA prima del deployment** di qualsiasi sistema di monitoraggio comportamentale;
2. **Garantire trasparenza reale** negli avvisi sulla privacy, evitando formulazioni generiche o fuorvianti;
3. **Limitare la raccolta dei dati** a ciò che è strettamente necessario, valutando alternative meno invasive;
4. **Implementare politiche di retention proporzionate** agli scopi del trattamento;
5. **Supervisionare i fornitori terzi** come ThreatMetrix, assicurandosi che il loro utilizzo rispetti i requisiti normativi europei.
Il messaggio del Garante è inequivocabile: la sicurezza non può essere un pretesto per aggirare i diritti fondamentali degli utenti. E con sanzioni che possono raggiungere il **4% del fatturato globale**, il costo dell’inosservanza è destinato a pesare ben più di qualsiasi investimento in compliance preventiva.
—
- *Fonti:**
- Electronics Payments International – [https://www.electronicspaymentsinternational.com/news/italy-fines-poste-italiane/](https://www.electronicspaymentsinternational.com/news/italy-fines-poste-italiane/)
- MarketScreener – [https://www.marketscreener.com/news/poste-italiane-fined-12-5-million-euros-by-privacy-authority-over-personal-data-processing-ce7f59dada88ff24](https://www.marketscreener.com/news/poste-italiane-fined-12-5-million-euros-by-privacy-authority-over-personal-data-processing-ce7f59dada88ff24)
- Global Banking & Finance – [https://www.globalbankingandfinance.com/italys-privacy-watchdog-fines-poste-italiane-12-5-million/](https://www.globalbankingandfinance.com/italys-privacy-watchdog-fines-poste-italiane-12-5-million/)
- GRC Report – [https://www.grcreport.com/post/italys-privacy-regulator-hits-poste-italiane-postepay-with-eu12-5-million-fine-over-app-data-practices](https://www.grcreport.com/post/italys-privacy-regulator-hits-poste-italiane-postepay-with-eu12-5-million-fine-over-app-data-practices)
- Garante della Privacy (provvedimento ufficiale) – [https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10241537](https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10241537)
Fonte: Articolo originale