Poste Italiane e Postepay: 12,5 milioni per l’antifrode che leggeva le app installate

Il 17 aprile 2026 il Garante per la protezione dei dati personali ha chiuso con un solo provvedimento l\’istruttoria sulle app BancoPosta e PostePay, sanzionando Poste Italiane S.p.A. per 6.624.000 euro e Postepay S.p.A. per 5.877.000 euro. Oltre 12,5 milioni complessivi, come riportato nel comunicato stampa del 20 aprile 2026. Al centro della vicenda c\’è una funzione antifrode che, per continuare a usare l\’app, chiedeva a milioni di clienti Android l\’accesso all\’elenco delle applicazioni installate e in esecuzione sul telefono. Il caso merita attenzione ben oltre il settore bancario, perché il Garante smonta uno per uno tutti gli argomenti che si sentono più spesso quando un trattamento invasivo viene giustificato con la sicurezza.

Un solo provvedimento, due sanzioni

La decisione è il provvedimento del Garante n. 237 del 17 aprile 2026, adottato dal collegio composto da Pasquale Stanzione, presidente e relatore, Ginevra Cerrina Feroni e Agostino Ghiglia. Le due società rispondono come contitolari del trattamento, non come titolare e fornitore: entrambe hanno deciso finalità e mezzi delle app, quindi entrambe rispondono per intero. Le violazioni accertate sono quelle degli articoli 5, 6, 13, 25, 28, 32 e 35 del GDPR e dell\’articolo 122 del Codice privacy.

Nel testo pubblicato gli importi non compaiono, perché il provvedimento riporta in apertura che alcune parti sono state omesse in pendenza del giudizio di opposizione. Le due società hanno infatti impugnato la decisione, che quindi non è definitiva: le cifre esatte si leggono solo nel comunicato dell\’Autorità, e anche il paragrafo dedicato alla violazione dell\’articolo 32 sulla sicurezza è oscurato.

Come è cominciata: 140 segnalazioni in due mesi

Tra aprile e maggio 2024 sono arrivate al Garante 140 segnalazioni e 12 reclami. Gli utenti delle app BancoPosta e PostePay su Android avevano ricevuto un messaggio che li invitava ad \”autorizzare l\’App ad accedere ai dati per rilevare la presenza di eventuali software dannosi\”. Il messaggio precisava che l\’opzione era obbligatoria e da attivare subito: senza attivazione erano concessi al massimo tre accessi, dopo i quali l\’app veniva inibita.

La schermata a cui l\’utente veniva indirizzato consentiva alle app di accedere ai cosiddetti \”dati di utilizzo\”, cioè di monitorare le applicazioni utilizzate e la loro frequenza d\’uso, oltre a identificare il gestore telefonico e le impostazioni di lingua. Sulla stessa vicenda, il 22 aprile 2024, anche l\’Autorità garante della concorrenza e del mercato ha aperto un procedimento per pratiche commerciali scorrette, ipotizzando la violazione degli articoli 20, 24 e 25 del Codice del consumo.

L\’istruttoria del Garante è durata due anni: prima richiesta di informazioni il 16 aprile 2024, accertamento ispettivo presso Poste Italiane il 17 luglio 2024, seconda richiesta il 15 ottobre 2024, ulteriori chiarimenti a gennaio 2025, relazione tecnica del Dipartimento tecnologie digitali il 20 marzo 2025, avvio del procedimento sanzionatorio il 2 aprile 2025, memoria difensiva delle società il 30 aprile 2025 e audizione il 4 giugno 2025.

Che cosa raccoglieva davvero l\’app

Lo strumento si chiama ThreatMetrix ed è una libreria integrata nelle app, fornita da soggetti terzi i cui nomi sono omessi nel testo pubblicato. Il prodotto, spiega il Garante, è modulare. Nella configurazione base accede a un ampio insieme di attributi tecnici del dispositivo, come sistema operativo, caratteristiche hardware, uso di VPN e proxy, indirizzi IP, rete cellulare, e a diversi identificativi che permettono il fingerprinting del dispositivo. Le società hanno però aggiunto a questa base un modulo opzionale di malware detection che recupera l\’elenco delle app installate e in esecuzione, sotto forma di firme hash MD5 e relativi metadati.

È questa aggiunta, non il prodotto in sé, il cuore della contestazione. La console di monitoraggio, verificata dagli ispettori, presenta l\’attributo \”malicious installed apps\” che, quando valorizzato, riporta l\’elenco delle applicazioni malevole installate come stringhe hash separate da virgole. Durante l\’ispezione è emerso anche che l\’accesso a quella console avveniva con autenticazione a un solo fattore, username e password, e che al suo interno erano presenti informazioni direttamente riconducibili agli interessati, con User ID nella forma nome.cognome.

I numeri dell\’ispezione

Al momento dell\’accertamento le app Android installate erano 5.969.456 per BancoPosta e 8.596.350 per PostePay, in entrambi i casi con oltre un milione di installazioni che non supportavano la funzionalità. Il consenso risultava acquisito per 3.226.938 app BancoPosta e 4.492.040 app PostePay. Risultavano invece bloccate 108.051 app BancoPosta e 195.829 app PostePay per mancato rilascio dell\’autorizzazione: oltre trecentomila persone che non potevano più usare l\’app della propria banca. La funzione non era attiva sulle versioni Android fino alla 7, perché non supportata dal sistema operativo, ed è stata introdotta con la release 20.336.5 di BancoPosta e la 11.405.9 di PostePay.

Perché la lista delle app non è un dato tecnico

La difesa delle società poggiava sull\’articolo 122 del Codice privacy, che esonera dal consenso l\’accesso a informazioni già presenti nel dispositivo quando è \”strettamente necessario\” a erogare il servizio richiesto dall\’utente. Il Garante ricorda che si tratta di un\’eccezione di stretta interpretazione, limitata alle operazioni indispensabili al funzionamento tecnico del servizio e non estendibile a trattamenti che, pur utili alla sicurezza o alla prevenzione delle frodi, non siano inscindibilmente connessi al servizio richiesto.

Il passaggio più importante è quello sulla natura del dato. L\’elenco delle applicazioni installate, scrive l\’Autorità, non rientra tra le caratteristiche tecniche di un dispositivo come il modello, la versione del sistema operativo o la risoluzione dello schermo, perché può rivelare indirettamente informazioni sulla persona. Il provvedimento fa esempi concreti: app per il monitoraggio di condizioni mediche possono rivelare lo stato di salute, app di organizzazioni religiose o politiche possono far dedurre convinzioni religiose od orientamenti politici, app di incontri possono suggerire aspetti della vita privata o dell\’orientamento affettivo, app di trading, gioco d\’azzardo o prestiti possono indicare la situazione finanziaria, app antivirus e VPN rivelano la postura di sicurezza dell\’utente. Sono, in parte, categorie particolari di dati ai sensi dell\’articolo 9 del GDPR.

Non regge nemmeno l\’analogia con i cosiddetti cookie di sicurezza, che le linee guida del Garante sui cookie del 2021 collocano tra i cookie tecnici esenti da consenso. Per l\’Autorità la configurazione adottata raccoglie dati che eccedono il semplice fingerprinting e consentono potenzialmente una profilazione dell\’utente, quindi è assimilabile ai cookie di profilazione, non a quelli tecnici. Con un\’aggravante rispetto ai cookie: il fingerprinting è una tecnica passiva, l\’utente non può cancellare nulla dal proprio dispositivo perché non c\’è nulla di archiviato, e il profilo resta nella sola disponibilità del titolare.

Esistevano alternative, e l\’hanno dimostrato le società stesse

Il principio di minimizzazione impone di preferire la soluzione meno invasiva quando esistono strumenti che garantiscono un livello di sicurezza equivalente. Il Garante elenca quelli usati anche da altri operatori dello stesso settore: autenticazione multi-fattore con step-up autorizzativi, algoritmi di scoring anonimi, monitoraggi di rete, controlli runtime di tipo RASP, schermate informative in app durante la convalida di un pagamento. La stessa soluzione ThreatMetrix, nella configurazione base e senza il modulo opzionale, genera già il fingerprint del dispositivo con precisione soddisfacente.

A chiudere il ragionamento arrivano due fatti, non due opinioni. Il primo: le società hanno poi disattivato la funzione e ripristinato il funzionamento precedente senza particolari disfunzioni, il che conferma che non era tecnicamente irrinunciabile. Il secondo: nel procedimento davanti all\’Antitrust le parti hanno dichiarato che \”all\’utilizzo del nuovo sistema non è corrisposto, nei primi sette mesi di attuazione, una rilevazione maggiore o più efficiente di fenomeni fraudolenti\”, come richiamato nel provvedimento AGCM n. 31566/2025 del 20 maggio 2025. Uno strumento più invasivo che non produce più risultati non supera nessun test di necessità.

Il permesso di Android non è il consenso del GDPR

Le società sostenevano di non aver mai chiesto un consenso, ma una \”mera autorizzazione tecnica\”, quella che Android chiama accesso ai dati di utilizzo e che l\’utente deve concedere a mano dalle impostazioni di sistema. Il Garante risponde che i permessi dei sistemi operativi, per quanto utili, non sono progettati per raccogliere un consenso valido ai sensi degli articoli 4, punto 11, e 7 del Regolamento. Il consenso va quindi chiesto a prescindere dal fatto che il sistema operativo presenti o meno una schermata di autorizzazione, e deve essere informato, specifico e liberamente prestato. Difficile sostenere la libertà di una scelta quando l\’alternativa è perdere l\’accesso all\’app dopo tre accessi.

La PSD2 non è una delega in bianco

Per il trattamento successivo alla raccolta, cioè il monitoraggio antifrode vero e proprio, le società invocavano l\’obbligo legale dell\’articolo 6, paragrafo 1, lettera c) del GDPR, richiamando gli articoli 2 e 18 delle norme tecniche EBA adottate con il Regolamento Delegato (UE) 2018/389 in attuazione della PSD2. Il Garante osserva che quelle disposizioni non dicono nulla sul trattamento dei dati personali da svolgere nel monitoraggio delle frodi: non individuano finalità e modalità, non fissano condizioni di liceità. Un obbligo legale funziona come base giuridica solo se il trattamento è specificamente richiesto dalla legge, come chiarito dalle Guidelines 1/2024 dell\’EDPB al punto 107 e dal considerando 45 del Regolamento.

La base corretta, osserva l\’Autorità, sarebbe stata il consenso oppure il legittimo interesse. Ma il legittimo interesse richiede un bilanciamento documentato, il LIA, e nel caso in esame quel documento non era stato redatto per questi trattamenti. Le società hanno obiettato di avere una valutazione generale sulle attività antifrode già dal 2021: troppo vecchia e troppo generica, risponde il Garante, perché non prende in considerazione la specificità tecnica dei trattamenti contestati. Risultato: violazione dell\’articolo 6, perché il trattamento era riconducibile al legittimo interesse ma è stato fatto senza il bilanciamento che quel legittimo interesse presuppone.

Informativa, nomina del responsabile, DPIA, conservazione

Trasparenza. L\’informativa delle app citava, tra i dati raccolti, \”il numero di telefono per la trasmissione ai sistemi anti frode di Poste Italiane\”. Da nessuna parte si diceva che venivano raccolti i dati sulle app installate o in esecuzione per rilevare malware. Il messaggio di richiesta dell\’autorizzazione, per il Garante, non soddisfa i requisiti dell\’articolo 13. Di qui la violazione degli articoli 5, paragrafo 1, lettera a), e 13: un trattamento che l\’interessato non può ragionevolmente prevedere è illecito. Le società hanno poi rivisto le informative nel corso del procedimento.

Articolo 28. Qui il rilievo è istruttivo per chiunque firmi nomine a responsabile. Le società hanno designato il responsabile senza verificare le garanzie relative alla soluzione tecnologica che quel responsabile già utilizzava, e con un contratto, sottoscritto il 4 aprile 2024, che non menziona affatto i trattamenti effettuati tramite ThreatMetrix. L\’allegato IV, intitolato \”elenco dei sub-responsabili del trattamento\”, non contiene alcun elenco: solo un nominativo con la qualifica di Data Protection Officer. Le società parlano di errori materiali senza conseguenze; il Garante replica che la corretta definizione dei ruoli non è un adempimento formale, ma la condizione che rende possibili liceità, trasparenza e controllo sulla catena dei subfornitori.

DPIA e privacy by design. Una valutazione d\’impatto esisteva, riferita in generale alla piattaforma antifrode. Ma l\’elenco dei dati trattati in quel documento comprendeva codice fiscale, IBAN, IP, dati anagrafici, transazioni e geolocalizzazione, e non comprendeva né le app installate né i dati di fingerprinting. Cioè non riguardava il trattamento contestato. Sul punto il Garante respinge anche l\’argomento tecnico secondo cui l\’hash MD5 renderebbe il dato non personale: l\’hash è una pseudonimizzazione, non un\’anonimizzazione, e il recupero del nome in chiaro dell\’app a partire dalla sua impronta è di facile e veloce esecuzione con servizi disponibili in rete. Viene citata la Cassazione civile, sezione I, 11 ottobre 2023: la valutazione del rischio va fatta al momento della progettazione del sistema, quindi prima che il trattamento inizi.

Conservazione. In ispezione le società avevano dichiarato 6 mesi. Poi hanno comunicato 24 mesi nel database analitico del fornitore, infine hanno rettificato a 28 mesi, spiegando che la conservazione aggiuntiva serviva a esigenze analitiche e statistiche e, in seguito, che i quattro mesi in più erano il tempo tecnico per la cancellazione sicura. Il Garante smonta anche questa: la documentazione del fornitore dice che i dati servono agli analisti per migliorare le analisi e sviluppare nuove funzionalità, e la cancellazione è affidata a un processo automatizzato giornaliero, quindi non richiede mesi. La piattaforma interna di Poste, del resto, conserva gli stessi dati per 24 mesi. Violato il principio di limitazione della conservazione.

Che cosa ha ordinato il Garante, oltre alla sanzione

• Interrompere entro 10 giorni dalla notifica i trattamenti relativi alla raccolta dei dati del dispositivo sulle app installate o in esecuzione, ai sensi dell\’articolo 58, paragrafo 2, lettera f) del GDPR.
• Individuare entro 30 giorni tempistiche di conservazione specifiche per i dati ancora trattati tramite ThreatMetrix, ai sensi dell\’articolo 58, paragrafo 2, lettera d).
• Documentare al Garante, entro gli stessi termini e ai sensi dell\’articolo 157 del Codice, le iniziative adottate. Il mancato riscontro può comportare l\’ulteriore sanzione prevista dall\’articolo 83, paragrafo 5, lettera e) del Regolamento.
• Pubblicazione del provvedimento sul sito dell\’Autorità e annotazione delle violazioni nel registro interno.

Che cosa impara chi non è Poste Italiane

La tentazione è archiviare il caso come una vicenda da grande gruppo bancario. Sarebbe un errore, perché gli errori contestati sono esattamente quelli che si trovano nelle organizzazioni di ogni dimensione, solo su scala minore.

• \”Lo impone la normativa di settore\” non è una base giuridica. Se la norma non descrive quel trattamento, l\’obbligo legale non copre nulla. Vale per la PSD2 come per la NIS2, per le regole antiriciclaggio come per i contratti collettivi: verificate se la disposizione che citate dice davvero che quei dati vanno trattati in quel modo.
• Il permesso concesso dall\’utente al sistema operativo non è consenso. Chi sviluppa app deve tenere separate le due cose: l\’autorizzazione tecnica di Android o iOS abilita l\’accesso, il consenso ai sensi del GDPR va raccolto a parte, informato, specifico e revocabile. E non è libero se il rifiuto blocca il servizio.
• Se usate il legittimo interesse, il LIA deve esistere e riguardare quel trattamento. Un documento generico scritto anni prima non copre una tecnologia introdotta dopo. In caso di controllo, l\’assenza del bilanciamento fa cadere la base giuridica, non solo l\’accountability.
• La DPIA va fatta sullo strumento, non sul processo in astratto. Se il documento non elenca i dati che state effettivamente raccogliendo, per l\’Autorità è come se non ci fosse. E va fatta prima di attivare, non durante l\’istruttoria.
• Nominare un responsabile non basta: bisogna verificarlo. Le garanzie dell\’articolo 28 si accertano, non si presumono dalla reputazione del fornitore. Il contratto deve descrivere i trattamenti reali, e l\’elenco dei sub-responsabili deve contenere davvero dei nomi.
• I tempi di conservazione dichiarati devono essere quelli veri, anche a casa del fornitore. Il disallineamento tra informativa e pratica è una violazione autonoma, e nessuno può dirvi quanto conserva davvero il vostro sub-fornitore se non glielo chiedete per iscritto.
• La sicurezza non è un lasciapassare per raccogliere di più. L\’obbligo di adottare misure adeguate non legittima, di per sé, una raccolta più ampia del necessario: se esiste una strada meno invasiva a parità di efficacia, quella è la strada obbligata.

PL Consulting accompagna aziende ed enti proprio su questi punti: valutazioni d\’impatto riferite alla singola tecnologia e non al processo generico, e nomine dei responsabili del trattamento con verifica effettiva delle garanzie e della catena dei sub-fornitori. Se state introducendo uno strumento che legge qualcosa sui dispositivi dei vostri utenti o dei vostri dipendenti, il momento giusto per guardarci dentro è prima di attivarlo.

Articolo aggiornato al 2 agosto 2026 sul testo del provvedimento n. 237 del 17 aprile 2026 pubblicato dal Garante (doc. web 10241537) e sul comunicato stampa del 20 aprile 2026 (doc. web 10241568). Le società hanno proposto opposizione: il giudizio è pendente e alcune parti del provvedimento, tra cui gli importi e le motivazioni sulla sicurezza, risultano omesse nel testo pubblicato.