L'autorité italienne de protection des données personnelles (GPDP) a publié une décision de sanction à l'encontre d'Intesa Sanpaolo Spa, comprenant le prononcé d'une amende de 17 628 000 €, pour des manquements liés au traitement illicite des données de 2,4 millions de clients transférés unilatéralement à sa filiale numérique. Cette affaire débute par de nombreux signalements de titulaires de comptes.

L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité et de loyauté du traitement (article 5 du RGPD et article 6 du RGPD) : La banque a réalisé un profilage de sa clientèle sans base juridique appropriée pour sélectionner les clients à transférer vers sa filiale, Isybank Spa. Les critères de sélection incluaient notamment un âge inférieur à 65 ans, une utilisation habituelle des canaux numériques et des avoirs financiers inférieurs à un certain seuil. De plus, les communications informant les clients de ce transfert vers un nouveau responsable du traitement ont été jugées insuffisantes, car elles ont été envoyées pendant l'été dans la section archives de l'application mobile, sans mise en évidence particulière, ce qui ne permettait pas aux clients d'anticiper raisonnablement l'opération et ses conséquences contractuelles.

En conséquence, l'autorité a imposé une amende de 17 628 000 € à Intesa Sanpaolo Spa.