Intesa Sanpaolo — XME Prestito

Eventi documentati con conseguenze non ancora chiuse. Ogni voce ha fonte e data.

1. 26 mar 2026 Fuga di dati Grave ● aperto

   Accessi indebiti di un dipendente ai dati bancari di 3.573 clienti per oltre due anni: il Garante privacy ha irrogato una sanzione di 31,8 milioni di euro (provv. n. 208 del 26 marzo 2026), la cui efficacia esecutiva è stata poi sospesa in via cautelare dal Tribunale di Torino

   Tra il 21 febbraio 2022 e il 24 aprile 2024 un dipendente di una filiale della banca ha consultato senza alcuna motivazione professionale le informazioni bancarie di 3.573 clienti, con oltre 6.600 accessi; fra i profili consultati figurano anche persone politicamente esposte. Per oltre due anni i controlli interni non hanno rilevato nulla. Il Garante per la protezione dei dati personali ha contestato l'inadeguatezza complessiva delle misure tecniche e organizzative — un modello operativo che consentiva agli operatori di interrogare in piena circolarità l'intera base clienti, senza controlli rafforzati sui profili più esposti — oltre alla notifica della violazione incompleta e tardiva e alla comunicazione agli interessati, arrivata solo dopo l'ordine dell'Autorità del 5 novembre 2024. Con il provvedimento n. 208 del 26 marzo 2026 il Garante ha irrogato una sanzione amministrativa di 31,8 milioni di euro, fra le più alte mai comminate in Italia e la più alta nel settore bancario. La banca si è opposta: il 13 luglio 2026 il Tribunale di Torino ha sospeso in via cautelare l'efficacia esecutiva del provvedimento, che il Garante ha di conseguenza rimosso temporaneamente dal proprio sito; il giudizio di opposizione è pendente. Va tenuta ferma la distinzione: la sanzione non è definitiva, la violazione dei dati sì — è la stessa Autorità ad averla accertata già nel novembre 2024, quando ordinò alla banca di informare i clienti coinvolti.

   ↗ fonte
2. 12 mar 2026 Provvedimento di un’autorità Grave ● aperto

   Dati di circa 2,4 milioni di clienti profilati senza base giuridica adeguata per selezionare chi trasferire alla controllata Isybank: sanzione del Garante privacy da 17,6 milioni di euro (provv. n. 163 del 12 marzo 2026), contro cui è pendente il giudizio di opposizione

   Fra il 2023 e il 2024 Intesa Sanpaolo ha selezionato i clienti da trasferire alla controllata al 100% Isybank incrociando criteri predefiniti: età non superiore a 65 anni, uso regolare dei canali digitali nell'ultimo anno, assenza di prodotti d'investimento e disponibilità finanziarie sotto una certa soglia. Il Garante per la protezione dei dati personali ha accertato che questa profilazione è avvenuta senza una base giuridica adeguata e che i clienti non potevano ragionevolmente prevedere quel trattamento: le comunicazioni sono state per lo più depositate nella sezione archivio dell'app di Intesa Sanpaolo, in pieno periodo estivo, senza avvisi di rilievo (notifiche push o SMS) che ne segnalassero la portata. Il passaggio ha comportato una modifica unilaterale del contratto: nuovo IBAN e operatività solo digitale, senza più lo sportello. Il procedimento era nato da numerosi reclami dei correntisti. Con il provvedimento n. 163 del 12 marzo 2026 il Garante ha irrogato a Intesa Sanpaolo S.p.A. una sanzione amministrativa di 17.628.000 euro. Isybank S.p.A., la controllata destinataria dei conti, non è stata sanzionata autonomamente. Il provvedimento è stato rimosso temporaneamente dal sito dell'Autorità ai sensi dell'art. 5 del d.lgs. 150/2011 perché il giudizio di opposizione è pendente. La distinzione va tenuta ferma: la sanzione non è definitiva, l'illiceità del trattamento è stata accertata dall'Autorità.

   ↗ fonte

verificato il 23 set 2026