Con il provvedimento del 26 marzo 2026 il Garante per la protezione dei dati personali ha sanzionato Intesa Sanpaolo S.p.A. per 31.800.000 euro, una delle multe piu' rilevanti mai inflitte nel settore bancario italiano. Il procedimento riguarda il trattamento illecito dei dati di 2,4 milioni di clienti.
Cosa e' successo
L'Autorita' ha contestato alla banca due profili principali: il trasferimento unilaterale dei dati dei clienti ad una controllata digitale (senza adeguata base giuridica e informativa) e la gestione carente di un data breach, in violazione degli articoli 33 e 34 del GDPR.
Sul fronte del data breach, il Garante ha evidenziato come la notifica all'Autorita' sia avvenuta con un significativo ritardo rispetto al momento in cui la banca ne era venuta a conoscenza. Anche successivamente all'invio della notificazione completa (30 agosto 2024) le informazioni fornite hanno restituito un quadro solo parziale dell'effettiva entita' della violazione.
Il punto critico per il DPO
Le 72 ore previste dall'art. 33 GDPR non sono un suggerimento: il ritardo nella notifica e' una circostanza aggravante esplicita in sede sanzionatoria. Una procedura interna di gestione data breach pronta da attivare e' un asset, non un nice-to-have.
I numeri chiave
Cosa cambia per i DPO
- Le notifiche tardive vengono sanzionate piu' duramente delle violazioni stesse
- Le informazioni successive devono essere strutturate (non frammentarie)
- Il trasferimento dati infragruppo richiede sempre una base giuridica documentata
- L'art. 6 e l'art. 13 GDPR vanno verificati anche nelle operazioni societarie
In DPO Workspace
La sezione Data Breach del tuo cliente ti mostra il countdown delle 72 ore in tempo reale, con i campi gia' strutturati per la notifica al Garante (interessati coinvolti, categorie di dati, conseguenze, misure adottate).
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
