Lucrezia Ciotti La tutela dei dati personali è diventato un tema centrale nel rapporto tra banche e clienti, soprattutto in un contesto in cui i servizi finanziari sono sempre più digitali. Il caso della multa di Intesa Sanpaolo legata al trasferimento dei correntisti verso Isybank dimostra quanto sia fondamentale garantire trasparenza, consenso informato e rispetto delle norme sulla privacy quando vengono introdotti nuovi modelli di gestione bancaria.
Intesa Sanpaolo-Isybank: multa da oltre 17 milioni
Come riportato da La Stampa, il Garante per la protezione dei dati personali ha inflitto a Intesa Sanpaolo una sanzione pari a 17,6 milioni di euro per il trattamento illecito dei dati personali di circa 2,4 milioni di clienti coinvolti nel passaggio verso Isybank, banca digitale interamente controllata dal gruppo. Il provvedimento conclude un’istruttoria particolarmente articolata, avviata dopo le numerose segnalazioni presentate dai correntisti. Come precisato dall’Autorità, la decisione «chiude un’indagine complessa, avviata a seguito di numerose segnalazioni di correntisti».
Nel corso delle verifiche sarebbero emerse irregolarità rilevanti nella gestione dei dati e nelle modalità con cui l’istituto ha individuato i clienti destinati al trasferimento. Secondo il Garante, la banca avrebbe effettuato «senza un’idonea base giuridica, una profilazione della clientela» allo scopo di selezionare gli utenti da spostare verso il nuovo servizio digitale. La selezione sarebbe stata compiuta prendendo in considerazione caratteristiche specifiche, tra cui un’età inferiore ai 65 anni, l’uso frequente dei canali digitali nell’ultimo anno, l’assenza di prodotti di investimento e disponibilità economiche al di sotto di una determinata soglia. Questa operazione ha inciso direttamente sulla posizione dei correntisti, poiché ha determinato il trasferimento dei rapporti a un nuovo titolare del trattamento e una modifica unilaterale delle condizioni operative del conto corrente.
Intesa Sanpaolo-Isybank, multa da oltre 17 milioni: i motivi della sanzione del Garante
Un ulteriore elemento critico individuato dall’Autorità riguarda il modo in cui i clienti sono stati informati dell’operazione. Sempre stando a quanto riportato da La Stampa, le comunicazioni inviate dalla banca sarebbero state giudicate poco chiare e poco visibili, poiché spesso collocate nell’archivio dell’app di Intesa Sanpaolo e inviate in pieno periodo estivo, senza adeguati avvisi o notifiche che ne evidenziassero l’importanza. In questo modo, molti correntisti non hanno compreso tempestivamente le conseguenze del trasferimento, che comportava cambiamenti rilevanti come l’assegnazione di un nuovo IBAN, l’accesso esclusivo tramite applicazione mobile e l’assenza di sportelli fisici.
Secondo il Garante, «il trattamento effettuato dalla banca con le modalità descritte nel provvedimento risulta illecito, anche perché il cliente non poteva ragionevolmente prevederlo sulla base del contesto e delle informazioni ricevute». L’operazione, inoltre, si basava su un meccanismo di silenzio-assenso che non garantiva un consenso realmente informato da parte degli utenti.
Già nel 2023 anche l’Autorità garante della concorrenza e del mercato era intervenuta sulla vicenda, imponendo lo stop al trasferimento automatico e stabilendo che i correntisti dovessero poter scegliere liberamente se restare con Intesa Sanpaolo o passare alla banca digitale. Nel determinare l’importo della multa, l’Autorità ha valutato la gravità delle violazioni, l’elevato numero di persone coinvolte e la collaborazione fornita dalla banca durante l’indagine. In ogni caso, come ha sottolineato il Garante, «la protezione dei dati non può essere sacrificata sull’altare della digitalizzazione a tutti i costi».