Il provvedimento del Garante Privacy nei confronti di Poste Italiane S.p.A. e Postepay S.p.A.
Profili di illecito nel trattamento dei dati tramite applicazioni mobili.
Con recente provvedimento, il Garante per la protezione dei dati personali ha irrogato una sanzione amministrativa complessiva superiore a 12 milioni di euro nei confronti di Poste Italiane e Postepay, in relazione ai trattamenti effettuati tramite le applicazioni mobili Banco Posta e Postepay.
Il provvedimento si inserisce nel solco applicativo del Regolamento (UE) 2016/679, con particolare riferimento ai principi di liceità, correttezza e trasparenza (art. 5), nonché agli obblighi di protezione dei dati fin dalla progettazione e per impostazione predefinita (art. 25.).
L’autorità ha rilevato una raccolta di dati eccedente rispetto alle finalità dichiarate, accessi invasivi ai dati del dispositivo non giustificati, informative non adeguate, carenze nella valutazione d’impatto (art. 35 GDPR), errata gestione dei ruoli tra titolare e responsabili.
É stato inoltre ritenuto invalido il consenso in quanto non libero né sufficientemente informato (artt. 6 e 7 GDPR).
La decisione conferma un orientamento ormai consolidato: la conformità al GDPR deve essere integrata nella progettazione dei servizi digitali, e non può essere ridotta a un adempimento formale.
Viene richiesta particolare attenzione nei trattamenti che implicano monitoraggio dell’utente o accesso a dati del dispositivo qualificati come potenzialmente ad alto rischio.
