Garante Privacy multa Poste Italiane e PostePay per oltre 12,5 milioni di euro

Il Garante per la Privacy sanziona Poste per oltre 12,5 milioni accogliendo una serie di reclami sul funzionamento delle app BancoPosta e PostePay. Ma la società contesta la decisione, si dice 'sorpresa' e farà un ricorso per chiedere l'annullamento della decisione. Ricorda tra l'altro che questo è già accaduto in passato, quando il Tar le ha dato ragione su un altro analogo provvedimento della stessa authority.

La multa, accompagnata dalla richiesta di cessare i comportamenti contestati, è motivata con l'accusa di aver trattato illecitamente i dati personali di milioni di utenti ed è divisa quasi equamente tra i 6.624.000 euro di Poste Italiane e i 5.877.000 euro della sua controllata PostePay.

L'istruttoria - spiega l'autorità - è stata avviata a partire da numerose segnalazioni e reclami ricevuti a partire da aprile 2024 e ha riguardato "le modalità di funzionamento delle app BancoPosta e PostePay". Come condizione obbligatoria per usare i servizi delle applicazioni - ricostruisce il Garante - si richiedeva agli utenti un'autorizzazione al monitoraggio di una serie di dati contenuti nei dispositivi mobili. La sorveglianza avrebbe incluso le applicazioni installate e quelle in esecuzione, al fine di individuare eventuali software malevoli.

Le modalità adottate sono state considerate "un'ingerenza eccessivamente invasiva nella sfera privata degli utenti" e questo anche se la società ha giustificato i trattamenti come "necessari per garantire la sicurezza delle operazioni e conformarsi alla normativa in materia di servizi di pagamento".

Violazioni sarebbero emerse anche sulla normativa in materia di protezione dei dati personali, sotto forma di carenze informative agli utenti e l'assenza di adeguata protezione e sicurezza dei dati.

Decisa la risposta di Poste Italiane che ha annunciato il ricorso per annullare la decisione dell'Antitrust, considerata viziata nel merito e sotto il profilo procedimentale: sarebbe stato adottato in ritardo rispetto ai termini previsti dalla legge.

Nel comunicato Poste esprime anche "stupore" per la scelta del Garante e ricorda come il 2 febbraio 2026 il Tar del Lazio abbia già annullato un provvedimento per una presunta pratica commerciale scorretta, relativa al medesimo dispositivo antifrode oggetto delle odierne censure del Garante. In quel caso, il Tar aveva riconosciuto la piena legittimità e l'assenza di intento commerciale.

"Come riconosciuto anche da Banca d'Italia - dichiara Poste - il Gruppo ha utilizzato legittimamente e in conformità con la normativa in materia di servizi di pagamento l'accesso ai dati tecnici dei dispositivi dei clienti, finalizzati esclusivamente all'attivazione di presidi antifrode e antimalaware, come richiesto dalla normativa europea (Direttiva Psd2), per una piena tutela della sicurezza degli utenti".