Che cosa è successo
Una dipendente di Poste Italiane, dopo il rifiuto di una propria richiesta di finanziamento, ha trovato su una piattaforma consultabile da alcuni operatori aziendali informazioni sulla sua situazione economica: reddito netto e impegni finanziari in corso. Dal reclamo è partita l'istruttoria. Con i provvedimenti n. 746 e 747 del 7 ottobre 2026, resi noti nella newsletter del 23 ottobre, il Garante ha sanzionato Poste Italiane per 48.000 euro e Deutsche Bank per 33.000 euro.
Il punto centrale non è la piattaforma ma il rapporto tra le due società. Poste raccoglieva le richieste e svolgeva un'attività di intermediazione, individuando il prodotto più adatto; Deutsche Bank valutava in autonomia il merito creditizio e decideva se concedere il prestito. Ciascuna decideva quindi per proprio conto finalità e mezzi del trattamento: per il Garante operavano come titolari autonomi, in contrasto con quanto previsto formalmente negli accordi tra loro.
Le due violazioni
- Poste Italiane non aveva informato adeguatamente chi chiedeva il prestito sui trattamenti svolti durante la promozione e il collocamento, in particolare sui destinatari dei dati e sui flussi di informazioni verso la banca.
- Deutsche Bank non aveva indicato correttamente nella propria informativa il ruolo di Poste Italiane come destinataria dei dati e titolare autonoma; deve adeguare l'informativa entro sei mesi.
- Durante l'istruttoria entrambe hanno cancellato i dati della reclamante; Poste ha aggiornato l'informativa, la banca ha istruito il personale a limitare i dati personali e creditizi nelle comunicazioni sui finanziamenti.
Il Garante ha ricordato che le informative devono indicare in modo chiaro, completo e comprensibile chi tratta i dati, per quali finalità e a chi li comunica: la sintesi non può arrivare a omettere gli elementi essenziali.
Il controllo da fare sui clienti che distribuiscono o vendono prodotti di altri
Agenzie, intermediari, reti di vendita, comparatori, punti di ritiro: prendete l'accordo con il partner e mettetelo accanto a quello che succede davvero. Chi sceglie il prodotto? Chi decide sull'esito? Chi può usare i dati per sé? Se ognuno decide per proprio conto, sono due titolari, e la nomina a responsabile (art. 28) non regge. Poi aprite l'informativa: deve dire che i dati passano al partner, in quale ruolo e per fare cosa.
La qualificazione dei ruoli non si sceglie scrivendola nel contratto: si ricava da chi determina finalità e mezzi (art. 4, n. 7, GDPR). Un contratto che descrive un rapporto diverso da quello reale non protegge nessuna delle due parti; anzi, porta a informative sbagliate, che sono esattamente ciò che qui è stato sanzionato.
Nel fascicolo del cliente annotate per ogni partner commerciale il ruolo reale (titolare autonomo, contitolare, responsabile), il documento che lo regola e il punto dell'informativa che lo dichiara. Su DPO Workspace la mappa delle relazioni e il registro dei trattamenti permettono di tenere insieme le tre cose.
Fonte ufficiale:Garante per la protezione dei dati personali — Newsletter n. 554 del 23 ottobre 2026Fonte ufficiale:Garante per la protezione dei dati personali — provvedimento n. 746 del 7 ottobre 2026 [doc. web 10310707]Fonte ufficiale:Garante per la protezione dei dati personali — provvedimento n. 747 del 7 ottobre 2026 [doc. web 10310391]Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
