Il GDPR per le banche riguarda decisioni quotidiane: chi può consultare un conto, quali informazioni accompagnano una domanda di credito, come si corregge una segnalazione e quando i dati raccolti per un servizio possono essere utilizzati per un’altra finalità. Una banca deve collegare queste decisioni a basi giuridiche, responsabilità e controlli verificabili, senza confondere riservatezza bancaria, sicurezza informatica e disciplina dei sistemi creditizi.
Saldi e movimenti sono informazioni personali delicate, ma non diventano automaticamente categorie particolari dell’articolo 9 GDPR. Alcune operazioni possono però rivelare salute, religione o altre caratteristiche protette: occorre valutare concretamente dati e trattamento. Questa guida distingue il controllo degli accessi interni, la sicurezza dei servizi online e l’utilizzo delle informazioni creditizie, mantenendo separati gli obblighi GDPR e quelli di resilienza operativa previsti da DORA.
Mappare le finalità prima di scegliere la base giuridica
La gestione di un conto comporta trattamenti diversi. L’esecuzione del contratto può sostenere quelli oggettivamente necessari al rapporto con l’interessato; gli obblighi legali possono giustificare adempimenti fiscali, di vigilanza o antiriciclaggio nei limiti delle norme applicabili. Una generica clausola contrattuale non rende necessaria qualsiasi analisi dei comportamenti del cliente. Per ciascuna attività, indicate finalità, dati, destinatari e ragione della scelta.
Anche le persone coinvolte possono avere ruoli diversi: cliente, delegato, garante o rappresentante di una società. Il contratto stipulato con una società non costituisce automaticamente una base contrattuale per ogni trattamento dei dati del suo dipendente. Il legittimo interesse, ove utilizzabile, richiede invece di valutare interesse concreto, necessità e bilanciamento, considerando aspettative e possibili conseguenze per la persona.
Il registro delle attività di trattamento dovrebbe rendere riconoscibili questi flussi. L’articolo 30 non prevede una generale esenzione per una banca piccola: le condizioni relative alle organizzazioni con meno di 250 addetti vanno applicate ai trattamenti pertinenti, escludendo quelli non occasionali, quelli che possono presentare rischi per le persone e quelli relativi a categorie particolari dell’articolo 9 o condanne e reati dell’articolo 10. La valutazione non dipende soltanto dal numero di dipendenti.
Controllare gli accessi del personale ai dati dei clienti
Le prescrizioni del Garante del 12 maggio 2011 riguardano, nel loro specifico ambito, la circolazione delle informazioni bancarie e le operazioni effettuate dai dipendenti, comprese le semplici consultazioni. Il provvedimento distingue espressamente questi accessi dalle modalità con cui i clienti utilizzano i servizi di home banking. Non va quindi presentato come una disciplina tecnica indistinta di qualsiasi accesso digitale.
Per le operazioni considerate, sono previsti tracciamento, rilevazione delle anomalie e controlli interni. Il tracciato deve permettere di risalire all’operatore, al momento dell’operazione, alla postazione, al cliente e al rapporto interessato. Per i log delle consultazioni, il provvedimento prescrive almeno ventiquattro mesi dalla registrazione; non è una durata universale per tutti i documenti e tutti i log della banca. Prevede inoltre controlli almeno annuali affidati a personale distinto da chi tratta ordinariamente i dati bancari.
Sul piano operativo, abbinate ogni profilo di accesso alle mansioni effettive. Il passaggio a un’altra filiale, un incarico temporaneo o la cessazione del rapporto devono produrre cambiamenti nei permessi. Un divieto scritto di consultare il conto di un conoscente perde efficacia se tutti gli operatori mantengono accessi estesi e nessuno esamina le anomalie. I controlli devono rispettare anche la disciplina applicabile al lavoro e la trasparenza verso il personale.
Leggere correttamente il caso UniCredit
Il provvedimento n. 65 dell’8 febbraio 2024 ha irrogato a UniCredit una sanzione di 2,8 milioni di euro per carenze di sicurezza relative a un attacco al portale di mobile banking del 2018. Il caso riguardava un attacco esterno, non una consultazione del conto per curiosità da parte di un dipendente. L’istruttoria aveva individuato la restituzione di dati personali anche dopo tentativi di autenticazione falliti e debolezze nella protezione contro tentativi automatizzati.
La decisione indica 777.765 clienti ed ex clienti coinvolti e precisa che i dati esposti erano comuni, con esclusione dei dati bancari. Nella pagina ufficiale aggiornata, il Garante riferisce che il Tribunale di Milano, con sentenza n. 4499/2026 del 28 luglio 2026, ha respinto l’opposizione e confermato integralmente il provvedimento. È questo l’esito riportato dalla fonte; non se ne deduce l’assenza di qualsiasi ulteriore rimedio processuale.
La lezione organizzativa è verificare i dati realmente restituiti dalle applicazioni, anche nei percorsi di errore. La presenza di controlli sulle operazioni dispositive non dimostra che le informazioni identificative siano protette durante l’autenticazione. Un controllo utile collega la vulnerabilità individuata, il servizio interessato, la persona che deve correggerla e la verifica della soluzione. Le sanzioni del Garante privacy aiutano a individuare altri casi, purché decisione, data e stato procedurale siano controllati separatamente.
Distinguere SIC privati e Centrale dei Rischi
I Sistemi di informazioni creditizie privati non coincidono con la Centrale dei Rischi della Banca d’Italia. Per i primi, il codice di condotta pubblicato dal Garante disciplina il trattamento nel suo ambito di applicazione. Il gestore e i partecipanti operano come titolari autonomi per le rispettive attività; il gestore non è automaticamente un responsabile della singola banca.
Il codice ammette il legittimo interesse alle condizioni e per le finalità che stabilisce, senza richiedere il consenso dell’interessato. Questo non autorizza una consultazione per qualsiasi scopo: il rapporto con la richiesta o il rischio creditizio deve essere concreto e l’accesso riservato alle persone autorizzate. Prima della segnalazione di un primo ritardo occorre applicare le regole sul preavviso e sulla successiva accessibilità dei dati, considerando anche tipo di sistema e situazione del rapporto.
La Banca d’Italia chiarisce nelle proprie FAQ che la Centrale dei Rischi ha natura diversa. Gli intermediari segnalano in adempimento di obblighi legali; la Banca d’Italia tratta i dati per un compito di interesse pubblico. Essere presenti in CR non equivale di per sé a essere cattivi pagatori. Inoltre un semplice ritardo non basta automaticamente per classificare una posizione a sofferenza: serve considerare la situazione finanziaria complessiva.
Correggere e conservare le informazioni creditizie
Quando un cliente contesta una segnalazione, individuate anzitutto il sistema e l’intermediario che ha comunicato il dato. Per la CR, la responsabilità dell’esattezza ricade sugli intermediari segnalanti, che devono trasmettere le correzioni alla Banca d’Italia. Un riscontro che rinvia genericamente il cliente a un altro organismo, senza esaminare la propria segnalazione, non risolve il problema. Per i SIC, il codice permette l’esercizio dei diritti presso partecipante o gestore, secondo le rispettive competenze.
La rettifica di un errore è diversa dalla cancellazione immediata di una vicenda correttamente registrata. L’allegato 2 del codice SIC distingue richieste, informazioni positive, ritardi regolarizzati e inadempimenti non regolarizzati, con termini e condizioni differenti. Per esempio, per ritardi regolarizzati non superiori a due rate o mesi, il termine previsto è fino a dodici mesi dalla registrazione della regolarizzazione; l’eliminazione dopo tale intervallo presuppone che non siano stati registrati ulteriori ritardi o inadempimenti nel periodo.
Questi termini non sono una tabella universale della documentazione bancaria. Il codice distingue espressamente la conservazione nel SIC dalla documentazione contrattuale o contabile interna del partecipante. Per ogni archivio indicate il relativo scopo, l’evento iniziale del termine e le eventuali esigenze legali residue. Limitate gli accessi quando i dati vengono conservati soltanto per un obbligo o una controversia, evitando che restino disponibili per finalità commerciali cessate.
Valutare scoring, decisioni e profilazione commerciale
L’elaborazione di un punteggio creditizio, la decisione di concedere un prestito e la selezione dei destinatari di una campagna sono trattamenti distinti. Non è corretto sostenere che qualunque profilazione richieda sempre consenso, né che un interesse commerciale renda automaticamente lecito utilizzare tutti i movimenti del conto. Bisogna verificare finalità, necessità, base giuridica, trasparenza e disposizioni specifiche applicabili.
Se la decisione si basa unicamente sul trattamento automatizzato e produce effetti giuridici o analogamente significativi, occorre applicare l’articolo 22 GDPR e le sue condizioni. Una persona che conferma meccanicamente l’esito del sistema non offre necessariamente una valutazione umana effettiva. Documentate chi può esaminare il caso, quali elementi può considerare e come il cliente può contestare la decisione quando il regime applicabile lo prevede.
Nel marketing, la base GDPR va coordinata con le regole del canale. L’articolo 130 del Codice Privacy disciplina, fra l’altro, le comunicazioni elettroniche e l’eccezione limitata alle email raccolte nel contesto di una vendita, per propri prodotti o servizi analoghi, con possibilità di rifiuto gratuito iniziale e in ogni messaggio. Non estendete questa eccezione a ogni contatto disponibile. L’opposizione al marketing diretto comprende la profilazione connessa e impone di interrompere quel trattamento, senza un nuovo bilanciamento degli interessi commerciali.
Gestire fornitori e rapporti con altri professionisti
Cloud, servizi informatici, recupero crediti, consulenti e intermediari non hanno un ruolo privacy unico. Occorre qualificare ciascuna operazione: chi decide lo scopo, chi determina i mezzi essenziali e chi esegue istruzioni per conto della banca. Il contratto commerciale e l’eventuale appartenenza al medesimo gruppo non sostituiscono questa analisi.
Quando il soggetto opera per conto del titolare, la disciplina del responsabile dell’articolo 28 richiede un contratto o altro atto giuridico vincolante previsto dal diritto dell’Unione o di uno Stato membro, in forma scritta anche elettronica. Devono essere affrontati istruzioni, riservatezza, sicurezza, subresponsabili e assistenza. Alla fine del servizio, secondo la scelta del titolare, occorrono restituzione o cancellazione e cancellazione delle copie, salvo conservazione imposta dal diritto dell’Unione o di uno Stato membro.
Nel rapporto con assicurazioni e commercialisti, verificate lo scopo della comunicazione e l’autorità del richiedente. Il fatto che un professionista assista il cliente non consente automaticamente di comunicargli l’intera posizione bancaria. Una procedura per deleghe, richieste e documenti trasmessi aiuta a limitare i dati e a ricostruire la ragione dell’operazione.
Coordinare GDPR e DORA durante gli incidenti
DORA, regolamento UE 2022/2554, si applica dal 17 gennaio 2025 alle entità comprese nel suo ambito, tra cui gli enti creditizi. Disciplina gestione del rischio ICT, incidenti, verifiche e dipendenze dai fornitori tecnologici. L’approfondimento su DORA per le banche completa questo quadro: il GDPR resta applicabile ai trattamenti personali e non viene sostituito dalla disciplina di resilienza.
Un incidente ICT grave secondo DORA e una violazione di dati personali non sono categorie coincidenti. Lo stesso evento può rientrare in entrambe, in una sola o richiedere ulteriori accertamenti. Una procedura coordinata può condividere cronologia, sistemi interessati e prove tecniche, mantenendo distinte valutazioni, destinatari, termini e contenuto delle comunicazioni. Evitate di considerare una segnalazione al supervisore finanziario automaticamente equivalente alla notifica privacy.
La notifica al Garante va effettuata senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza della violazione, salvo sia improbabile un rischio per diritti e libertà. Un ritardo va motivato. Tutte le violazioni di dati personali devono essere documentate; l’articolo 34 richiede una distinta valutazione del rischio elevato per la comunicazione agli interessati, con le condizioni ed eccezioni previste.
Nel valutare un software per la conformità DORA, chiedete di dimostrare come vengono assegnate le attività, mantenuta la cronologia e documentate le valutazioni. Il prodotto deve adattarsi alle responsabilità dell’organizzazione; nessun registro compilato automaticamente può stabilire da solo natura e gravità dell’incidente o sostituire la decisione delle funzioni competenti.
Rispondere ai clienti e mantenere una supervisione efficace
Il diritto di accesso ai dati richiede un’organizzazione capace di individuare informazioni distribuite tra conti, carte, finanziamenti e canali digitali. Non coincide con qualsiasi richiesta di documentazione bancaria: la banca deve riconoscere il diritto esercitato e non utilizzare una procedura commerciale per restringere le garanzie del GDPR. Per informazioni riguardanti più persone occorre valutare i diritti altrui e le possibili misure di protezione, senza respingere automaticamente tutta la richiesta.
L’articolo 12 prevede normalmente un mese per il riscontro, con possibile proroga di altri due per complessità o numero delle richieste, comunicando entro il primo mese proroga e motivi. Se non dà seguito, la banca comunica le ragioni senza ritardo e al più tardi entro un mese dalla ricezione, insieme alle possibilità di reclamo e ricorso giurisdizionale. L’opposizione commerciale deve arrivare anche ai sistemi che programmano campagne e contatti successivi.
La nomina del DPO o RPD dipende dai criteri dell’articolo 37: tra questi, attività principali che richiedono monitoraggio regolare e sistematico su larga scala, oppure trattamento su larga scala di categorie particolari o dati su condanne e reati. La sola etichetta «dato finanziario» non realizza quest’ultimo criterio. Il DPO fornisce consulenza e sorveglia la conformità; la responsabilità delle scelte rimane al titolare.
Un caso operativo è la richiesta di modificare un recapito prima di ricevere la copia dei dati. Verificate l’identità con un metodo proporzionato al rischio e indipendente dal nuovo indirizzo appena comunicato, evitando di inviare l’archivio completo al recapito ancora da confermare. Registrate la verifica svolta senza raccogliere documenti ulteriori privi di necessità. Se emerge un dubbio, spiegate quali informazioni servono a risolverlo; una richiesta di identificazione non deve diventare un ostacolo standard applicato indistintamente a chi è già autenticato attraverso un canale affidabile. Questa distinzione protegge sia il cliente da un’impersonificazione sia l’effettività del suo diritto.
Per verificare il funzionamento del programma, scegliete un percorso completo: una segnalazione contestata, una revoca dei permessi o una richiesta di accesso. Controllate passaggi, tempi, persone coinvolte e risultato. L’obiettivo è mostrare come una regola applicata alla banca protegge il cliente nella pratica, non soltanto che esiste una raccolta di documenti approvati.