Qué ocurrió
Una empleada de Poste Italiane, tras el rechazo de su propia solicitud de préstamo, encontró en una plataforma accesible a algunos operadores de la empresa información sobre su situación económica: ingresos netos y compromisos financieros. Su reclamación abrió la investigación. Con las resoluciones n.º 746 y 747 de 7 de octubre de 2026, difundidas en el boletín del 23 de octubre, el Garante italiano sancionó a Poste Italiane con 48.000 euros y a Deutsche Bank con 33.000 euros.
El punto central no es la plataforma sino la relación entre las dos sociedades. Poste recogía las solicitudes y actuaba como intermediaria, eligiendo el producto más adecuado; Deutsche Bank evaluaba de forma autónoma la solvencia y decidía si concedía el préstamo. Cada una determinaba por su cuenta fines y medios: para el Garante actuaban como responsables autónomos, en contra de lo previsto formalmente en sus acuerdos.
Las dos infracciones
- Poste Italiane no había informado adecuadamente a los solicitantes sobre los tratamientos durante la promoción y comercialización, en particular sobre los destinatarios de los datos y los flujos hacia el banco.
- Deutsche Bank no había indicado correctamente en su información el papel de Poste Italiane como destinataria y responsable autónoma; debe adecuar su información en seis meses.
- Durante la investigación ambas suprimieron los datos de la reclamante; Poste actualizó su información y el banco instruyó al personal para limitar los datos personales y crediticios en las comunicaciones.
El Garante recordó que la información debe indicar de forma clara, completa y comprensible quién trata los datos, con qué fines y a quién se comunican: la síntesis no puede llegar a omitir elementos esenciales.
La comprobación para clientes que distribuyen o venden productos de terceros
Agencias, intermediarios, redes de venta, comparadores, puntos de recogida: ponga el acuerdo con el socio junto a lo que ocurre realmente. ¿Quién elige el producto? ¿Quién decide el resultado? ¿Quién puede usar los datos para sí? Si cada uno decide por su cuenta, son dos responsables y el encargo del art. 28 no se sostiene. Después abra la información: debe decir que los datos pasan al socio, en qué papel y para qué.
Los roles no se eligen escribiéndolos en el contrato: resultan de quién determina fines y medios (art. 4.7 RGPD). Un contrato que describe una relación distinta de la real no protege a ninguna de las partes; conduce a información errónea, que es exactamente lo que aquí se ha sancionado.
En el expediente del cliente anote para cada socio comercial el papel real (responsable autónomo, corresponsable, encargado), el documento que lo regula y el apartado de la información que lo declara. En DPO Workspace el mapa de relaciones y el registro de actividades permiten mantener juntas las tres cosas.
Fuente oficial:Garante per la protezione dei dati personali — Newsletter n. 554 del 23 ottobre 2026Fuente oficial:Garante per la protezione dei dati personali — provvedimento n. 746 del 7 ottobre 2026 [doc. web 10310707]Fuente oficial:Garante per la protezione dei dati personali — provvedimento n. 747 del 7 ottobre 2026 [doc. web 10310391]¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
