Garante Privacy multa Poste per trattamento dati illecito con app BancoPosta e PostePay

Poste Italiane, insieme alla sua società PostePay, è stata sanzionata dal Garante della Privacy con delle multe per oltre 12,5 milioni di euro, a causa del trattamento illecito dei dati personali degli utenti delle app BancoPosta e PostePay.

L’Autorità Garante per la Protezione dei Dati Personali lo ha comunicato nella giornata di ieri, 20 Aprile 2026, rendendo così nota la decisione presa con il provvedimento numero 237 del 17 Aprile 2026 (ecco il documento completo) nei confronti di Poste Italiane e PostePay.

L’istruttoria dell’Autorità, come afferma il Garante avviata a seguito di numerose segnalazioni e reclami pervenuti a partire da Aprile 2024, ha riguardato, in particolare, le modalità di funzionamento delle app BancoPosta e PostePay, ormai dismesse nel corso del 2025, sostituite dalla nuova app unica di Poste Italiane.

Nello specifico, il Garante ricorda che queste applicazioni di Poste prevedevano, come condizione obbligatoria per l’utilizzo dei servizi, il rilascio da parte degli utenti di un’autorizzazione al monitoraggio di una serie di dati contenuti nei dispositivi mobili, incluse le applicazioni installate e in esecuzione, con l’obiettivo di individuare eventuali software malevoli.

Secondo quanto dichiarato da Poste Italiane e PostePay all’Autorità, tali trattamenti sarebbero stati necessari per garantire la sicurezza delle operazioni e conformarsi alla normativa in materia di servizi di pagamento.

Tuttavia, il Garante della Privacy ha rilevato che le modalità adottate da Poste comportavano un’ingerenza “eccessivamente invasiva” nella sfera privata degli utenti, in quanto non risultavano necessarie rispetto alle finalità di prevenzione delle frodi.

Inoltre, nel corso dell’istruttoria nei confronti di Poste Italiane e PostePay, il Garante afferma che sono emerse diverse violazioni della normativa in materia di protezione dei dati personali, tra cui carenze nell’informativa resa agli utenti, assenza di un’adeguata valutazione di impatto sulla protezione dei dati (DPIA), mancata adozione di misure di sicurezza adeguate e di idonee politiche di conservazione dei dati, nonché irregolarità nella designazione del responsabile del trattamento.

Pertanto, al termine del procedimento, il Garante della Privacy ha accertato che Poste Italiane e PostePay hanno trattato illecitamente i dati personali di milioni di utenti tramite le app BancoPosta e PostePay, irrogando una sanzione di 6,624 milioni di euro a Poste Italiane e una sanzione di 5,877 milioni di euro a PostePay S.p.A., per un totale di oltre 12,5 milioni di euro.

Oltre alle sanzioni pecuniarie, l’Autorità ha ingiunto alle società del Gruppo Poste Italiane di cessare i trattamenti oggetto di contestazione, nel caso non abbiano già provveduto, e di adeguarsi alle prescrizioni in materia di conservazione dei dati, dandone comunicazione al Garante.

In seguito alla pubblicazione del provvedimento del Garante della Privacy, nella giornata di ieri, 20 Aprile 2026, Poste Italiane ha diramato il seguente comunicato in cui respinge le sanzioni dell’Autorità:

“Poste Italiane accoglie con stupore il provvedimento con il quale il Garante Privacy ha comminato una sanzione per un presunto trattamento illecito dei dati personali degli utenti BancoPosta e PostePay.

Provvedimento che, peraltro, oltre che nel merito, è viziato anche sotto il profilo procedimentale, essendo stato adottato in palese ritardo rispetto ai termini perentori previsti dalla legge per l’esercizio dei poteri del Garante.

A tal riguardo, si sottolinea che il 2 febbraio 2026 il TAR Lazio ha annullato il provvedimento con cui l’Antitrust aveva sanzionato Poste Italiane per una presunta pratica commerciale scorretta relativa al medesimo dispositivo antifrode oggetto delle odierne censure del Garante, riconoscendone la piena legittimità e l’assenza di qualsivoglia intento commerciale nelle condotte di Poste.

Poste Italiane respinge, dunque, ogni addebito e ribadisce la correttezza e la trasparenza del proprio operato.

In particolare, come riconosciuto anche da Banca d’Italia, il Gruppo ha utilizzato legittimamente e in conformità con la normativa in materia di servizi di pagamento l’accesso ai dati tecnici dei dispositivi dei clienti, finalizzati esclusivamente all’attivazione di presidi antifrode e antimalaware, come richiesto dalla normativa europea (Direttiva PSD2), per una piena tutela della sicurezza degli utenti.

Poste Italiane presenterà ricorso per l’annullamento del provvedimento presso il Tribunale di Roma”.

Dunque, Poste Italiane ha voluto respingere le accuse del Garante Privacy, annunciando che presenterà ricorso per annullare il provvedimento sanzionatorio.

Editing Simone Nicolosi

Unisciti al canale Telegram dedicato agli appassionati di telefonia e a chi vuole scoprire le migliori offerte per risparmiare. Clicca qui per entrare tramite il link di invito.

Vuoi segnalarci una nuova offerta o una notizia sul mondo della telefonia? Accedi alla sezione “Segnala a MondoMobileWeb”.

Per rimanere aggiornato sulle novità della telefonia seguici su Google News (cliccando sulla stella), Telegram, Facebook, X e Instagram. Condividi le tue opinioni o esperienze nei commenti.