Data breach, Garante Privacy multa Intesa Sanpaolo per 31,8 milioni
Il Garante Privacy multa Intesa Sanpaolo per un data breach che ha comportato accessi indebiti alle informazioni bancarie di oltre 3500 clienti
Data breach, il Garante Privacy multa Intesa Sanpaolo (Foto di <a href="https://pixabay.com/it/users/geralt-9301/?utm_source=link-attribution&utm_medium=referral&utm_campaign=image&utm_content=9611620">Gerd Altmann</a> da <a href="https://pixabay.com/it//?utm_source=link-attribution&utm_medium=referral&utm_campaign=image&utm_content=9611620">Pixabay</a>)
Accessi indebiti a informazioni bancarie di oltre 3500 clienti per più di due anni. È il data breach per cui il Garante Privacy ha multato Intesa Sanpaolo per 31,8 milioni di euro. L’Autorità contesta alla banca gravi carenze nella sicurezza dei dati dovute a misure tecniche e organizzative ritenute inadeguate.
Un data breach è una violazione di sicurezza che comporta, in modo accidentale o illecito, “la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati”.
Il data breach che ha colpito Intesa Sanpaolo
Il Garante Privacy ha avviato un’istruttoria a seguito di un data breach notificato dalla banca nel luglio 2024.
Nel corso del procedimento è emerso che un dipendente aveva avuto accesso, senza giustificato motivo, alle informazioni bancarie di 3.573 clienti, effettuando oltre 6.600 consultazioni tra il 21 febbraio 2022 e il 24 aprile 2024.
“Tali accessi indebiti – spiega l’Autorità – non sono stati rilevati dai sistemi di controllo interni, evidenziando significative criticità nei meccanismi di monitoraggio e prevenzione”.
L’accesso illecito ha riguardato anche dati relativi a clienti “ad alto rischio”, tra cui soggetti con ruoli di rilievo pubblico, per i quali sarebbero stati necessari presidi di controllo rafforzati. Le interrogazioni e le richieste di informazioni avevano riguardato anche politici, personaggi di fama dello spettacolo, dello sport e della cronaca, dipendenti e manager della banca. Altri clienti erano persone che ruotavano intorno alla sfera personale e professionale del dipendente. Nel provvedimento il Garante Privacy spiega che “la Banca ha dichiarato di non avere avuto evidenza di estrazione dei dati oggetto di accesso da parte del proprio dipendente tramite i sistemi informativi interni”.
Gestione critica del data breach
L’Autorità ha accertato, spiega una nota, “la violazione dei principi di integrità e riservatezza dei dati personali, nonché del principio di accountability, rilevando l’inadeguatezza complessiva delle misure adottate. Il modello operativo utilizzato, che consentiva agli operatori di interrogare in piena circolarità l’intera base clienti, non era infatti adeguatamente bilanciato da controlli idonei a prevenire e individuare accessi non giustificati”.
È risultata critica anche la gestione del data breach perché “la notifica è risultata incompleta e tardiva rispetto ai termini previsti dalla normativa, così come la comunicazione agli interessati, avvenuta solo a seguito di un precedente provvedimento del Garante del 2 novembre 2024”. È dunque risultata compromessa, spiega ancora il Garante Privacy, “la possibilità di un tempestivo intervento dell’Autorità a tutela dei diritti e delle libertà delle persone coinvolte. Alla luce delle violazioni riscontrate, il Garante ha ritenuto illecita la condotta posta in essere da Intesa Sanpaolo”.
Il Garante spiega poi che, nel decidere l’importo della sanzione, ha tenuto conto della gravità e della durata delle violazioni, dell’elevato numero di clienti coinvolti, nonché delle misure correttive adottate dall’istituto dopo i fatti, finalizzate al rafforzamento dei sistemi di controllo interno e dei presidi di sicurezza.
About The Author
