Il Garante per la protezione dei dati personali ha inflitto a Intesa Sanpaolo una sanzione da 17,6 milioni di euro per il trattamento illecito dei dati personali di circa 2,4 milioni di clienti. Si tratta di uno dei provvedimenti economicamente più pesanti emessi dall'Autorità italiana nell'ultimo periodo, e segna un punto fermo importante nel modo in cui le grandi realtà del settore finanziario gestiscono le informazioni della propria clientela.

Una stagione di controlli più severi

Il caso di Intesa Sanpaolo non è isolato. Nello stesso periodo il Garante ha sanzionato anche Enel Energia per 563.000 euro, contestandole l'utilizzo improprio di contatti raccolti per finalità gestionali, e ha disposto la limitazione definitiva del trattamento dei dati dei lavoratori dipendenti da parte della sede italiana di una nota società di logistica internazionale. A questi si aggiunge il caso di un prestatore di servizi di pagamento, sanzionato per le modalità con cui trattava i dati degli utenti nell'ambito delle proprie misure antifrode.

Il quadro che emerge è quello di un'Autorità che continua a tenere alta l'attenzione su come le grandi organizzazioni, soprattutto quelle che maneggiano enormi quantità di dati sensibili come banche, assicurazioni e utility, rispettano i principi cardine del GDPR: liceità del trattamento, proporzionalità rispetto alle finalità dichiarate e trasparenza verso le persone i cui dati vengono raccolti.

Cosa significa per le aziende

Al di là dell'entità della cifra, il messaggio che arriva dal Garante è chiaro: la dimensione e la solidità di un'organizzazione non la mettono al riparo da contestazioni, se le modalità con cui tratta i dati dei propri clienti non sono pienamente in linea con la normativa. Per le aziende italiane, in particolare quelle che operano in settori regolamentati, l'episodio è un richiamo a verificare periodicamente le basi giuridiche dei trattamenti in essere, a documentare con cura le finalità per cui i dati vengono raccolti e utilizzati, e a non sottovalutare l'impatto reputazionale ed economico che una contestazione di questo tipo può comportare, ben oltre l'importo della sanzione stessa.

Va ricordato che il provvedimento è soggetto alle ordinarie possibilità di impugnazione previste dall'ordinamento, e che ulteriori dettagli sulle motivazioni saranno consultabili nella documentazione ufficiale pubblicata dal Garante.