L'autorité italienne de protection des données (GPDP) a publié une décision de sanction à l'encontre d'Intesa Sanpaolo S.p.A. (comprenant le prononcé d'une amende de 31 800 000 €) pour des manquements en lien avec la sécurité des données, la gestion d'une violation de données et le principe de responsabilité. Cette affaire débute par la notification d'une violation de données par la banque le 17 juillet 2024, concernant un accès abusif par un employé aux données de 9 clients, mais l'enquête de l'autorité a été initiée suite à des articles de presse parus en octobre 2024, qui révélaient une portée bien plus large de l'incident.

L’enquête menée par l’autorité a permis de constater :
* Obligation de garantir l'intégrité et la confidentialité des données et principe de responsabilité (article 5, paragraphe 1, point f) et paragraphe 2, 24 et 32 du RGPD) : La banque a permis à un employé de consulter, entre le 21 février 2022 et le 24 avril 2024, les données de 3 573 clients (totalisant 6 637 accès) sans justification professionnelle. L'autorité a relevé que le choix organisationnel de la banque de permettre à ses opérateurs de consulter les données de l'ensemble de la clientèle ("en pleine circularité") n'était pas contrebalancé par des mesures de sécurité adéquates. Les contrôles et systèmes d'alerte se sont révélés insuffisants pour prévenir ou détecter ces accès illégitimes sur une longue période, notamment pour des clients à haut risque comme les personnes politiquement exposées (PEP). La banque n'a pas pu démontrer avoir mis en place des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque.

* Obligation de notifier une violation de données à l'autorité de contrôle (article 33 du RGPD) : La notification initiale du 17 juillet 2024 a été jugée largement incomplète, ne mentionnant que 9 personnes concernées alors que la violation en affectait 3 573. La portée réelle de l'incident n'a été révélée qu'après la parution d'articles de presse et l'enquête de l'autorité. Ce retard et ce manque d'exhaustivité ont gravement compromis la capacité de l'autorité à évaluer les faits et à exercer ses pouvoirs, retardant ainsi l'adoption de mesures pour atténuer les risques pour les personnes concernées.

* Obligation de communiquer une violation de données aux personnes concernées (article 34 du RGPD) : La banque a estimé à tort que la violation ne présentait pas un risque élevé pour les droits et libertés des personnes physiques et n'a donc pas communiqué l'incident aux 3 573 clients concernés. L'autorité a contredit cette évaluation, considérant la nature des données (financières), le secteur d'activité et la présence de personnalités publiques parmi les victimes. La communication n'a été effectuée qu'à la suite d'une injonction de l'autorité en date du 2 novembre 2024, privant les personnes concernées de la possibilité de prendre des mesures pour se protéger.

En conséquence, l’autorité a imposé une amende de 31 800 000 € à Intesa Sanpaolo S.p.A. .
En outre, l’autorité a ordonné la publication de sa décision.