Il Garante privacy ha sanzionato Poste italiane e un istituto bancario, coinvolte nell’offerta dei finanziamenti BancoPosta, per violazioni degli obblighi di trasparenza e informazione sul trattamento dei dati personali dei richiedenti.
I provvedimenti n. 746 e n. 747 del 07 ottobre 2026 sono scaturiti dal reclamo presentato da una dipendente di Poste Italiane che, dopo il rigetto di una richiesta di finanziamento, aveva riscontrato la presenza, in una piattaforma accessibile agli operatori aziendali, di informazioni sulla propria situazione economico-patrimoniale.
Dall’istruttoria è emerso che le due società agivano come autonomi titolari del trattamento poiché operavano sulla base di distinti rapporti contrattuali con il cliente: Poste Italiane raccoglieva le richieste di finanziamento e svolgeva attività di intermediazione, individuando il prodotto più adeguato alle esigenze del richiedente, mentre l’istituto bancario valutava il merito creditizio e decideva sulla concessione del prestito.
La banca determinava autonomamente le finalità e i mezzi del trattamento e assumeva la decisione circa la concessione o il diniego del finanziamento, mentre Poste italiane operava nell’ambito di un distinto rapporto con l’interessato e trattava i dati personali per finalità proprie, connesse all’attività di intermediazione.
In tale quadro, il Garante ha evidenziato che i ruoli di titolare e di responsabile del trattamento sono concetti funzionali: mirano a ripartire le responsabilità in funzione dei ruoli effettivamente svolti. Ciò implica che lo status giuridico di un soggetto deve essere determinato dalle attività effettivamente svolte e non dalla sua designazione formale in quanto titolare o responsabile del trattamento.
Nel caso di specie, Poste italiane e l’istituto di credito si erano nominate reciprocamente responsabili del trattamento con riguardo alla fase di comunicazione dei dati.
L’Autorità ha rilevato come l’informativa fornita agli interessati non era adeguatamente formulata poiché, con riferimento al trattamento dei dati degli interessati effettuato nell’ambito dell’attività di promozione e collocamento del “Prodotto BancoPosta”, la stessa avrebbe dovuto riportare i destinatari o le categorie di destinatari dei dati personali degli interessati (art. 13, par. 1, lett. e) del GDPR), nonché le ulteriori informazioni per assicurare, nel rispetto dei principi generali di cui all’art. 5 del GDPR, un trattamento corretto e trasparente nei confronti degli interessati.
Il Garante ha, inoltre, ribadito che le informative devono indicare in modo chiaro, completo e comprensibile i soggetti coinvolti nel trattamento, le finalità perseguite e gli eventuali destinatari dei dati. L’esigenza di sintesi, di cui all’art. 12 del GDPR, non può giustificare l’omissione di informazioni essenziali per consentire agli interessati di comprendere le come i propri dati personali vengano trattati.
Di conseguenza, sia l’istituto di credito che Poste italiane sono state sanzionate per la violazione degli artt. 5, par.1, lett. a) e 13 del GDPR.
