Il Garante Privacy ha inflitto a Intesa Sanpaolo una sanzione da 17,6 milioni di euro per trattamento illecito dei dati di circa 2,4 milioni di clienti, coinvolti nel trasferimento unilaterale dei loro rapporti alla controllata digitale Isybank, interamente online. 

L’istruttoria dell’Autorità è nata da numerose segnalazioni di correntisti che si sono visti migrare verso la nuova banca senza aver compreso appieno natura e conseguenze dell’operazione.

Per individuare i clienti da trasferire, Intesa Sanpaolo ha effettuato una profilazione della propria clientela priva di un’idonea base giuridica, selezionando, tra l’altro, soggetti con età non superiore a 65 anni, uso abituale dei canali digitali nell’ultimo anno, assenza di prodotti di investimento e disponibilità finanziarie inferiori a determinate soglie.

Questa scelta ha inciso in modo significativo sulla posizione dei clienti: il passaggio a Isybank ha comportato il trasferimento dei rapporti a un diverso titolare del trattamento, la modifica unilaterale delle condizioni contrattuali e delle modalità operative del conto (nuovo Iban da comunicare ai terzi, assenza di sportelli fisici, accesso esclusivo tramite app).

Il Garante Privacy ha inoltre rilevato la carenza delle comunicazioni informative: i messaggi sono stati inviati in prevalenza nel periodo estivo e collocati nella sezione archivio dell’app, senza adeguata evidenza rispetto alla straordinarietà dell’operazione, che avrebbe richiesto canali più incisivi, come notifiche push o sms. 

Secondo l’Autorità, il trattamento è illecito anche perché il cliente non poteva ragionevolmente prevedere un uso dei propri dati così invasivo sulla base del contesto e delle informazioni ricevute.

Nel quantificare la sanzione, il Garante ha considerato la gravità delle violazioni, l’elevato numero di interessati coinvolti, ma anche il carattere colposo delle condotte e la collaborazione mostrata dalla banca nel corso del procedimento.

Il provvedimento, adottato il 12 marzo 2026, chiude una delle indagini più rilevanti degli ultimi anni in tema di data protection nel settore bancario, confermando l’attenzione dell’Autorità su profilazioni massive e operazioni societarie con impatto diretto sui diritti della clientela. 

Fonte: Com. Stampa Garante Privacy 12 marzo 2026