Richiesta di finanziamento: attenzione al trattamento dei dati personali

Prestiti ‘Bancoposta’: multa da 48mila euro inflitta a ‘Poste Italiane’ dal ‘Garante per la privacy’ che ha accertato (provvedimenti del 7 ottobre 2026) violazioni degli obblighi di trasparenza e informazione sul trattamento dei dati personali dei richiedenti un finanziamento ‘BancoPosta’.
Allo stesso tempo, anche ‘Deutsche Bank’ è stata sanzionata per 33mila euro per aver violato la normativa in materia di trattamento dei dati personali nell’ambito dell’offerta dei finanziamenti ‘BancoPosta’.
I due provvedimenti adottati dal ‘Garante’ traggono origine dal reclamo presentato da una dipendente di ‘Poste Italiane’ che, a seguito del rigetto di una richiesta di finanziamento, aveva constatato la presenza, all’interno di una piattaforma accessibile a determinati operatori aziendali, di informazioni riguardanti la propria situazione economico-patrimoniale. Tra i dati consultabili figuravano, in particolare, il reddito netto percepito e gli impegni finanziari in essere.
Dagli accertamenti effettuati dal ‘Garante’ è emerso che le due società, in contrasto con quanto formalmente previsto dagli accordi intercorsi, operavano quali autonomi titolari del trattamento. In particolare, ‘Poste Italiane’ raccoglieva le richieste di finanziamento e svolgeva un’attività di intermediazione, individuando il prodotto ritenuto più adeguato alle esigenze del richiedente, mentre ‘Deutsche Bank’ procedeva autonomamente alla valutazione del merito creditizio e alla decisione finale in ordine alla concessione del prestito.
‘Poste Italiane’ è stata sanzionata per non aver informato adeguatamente i richiedenti il finanziamento sui trattamenti effettuati nel corso dell’attività di promozione e collocamento dei prestiti, in particolare sui destinatari dei dati e sui flussi di informazioni con la banca. ‘Deutsche Bank’ è stata invece sanzionata per non aver indicato correttamente nell’informativa il ruolo di ‘Poste Italiane’ in qualità di destinatario dei dati e autonomo titolare del trattamento.
Come chiosa finale, il ‘Garante’ ha ribadito che le informative sul trattamento dei dati personali devono indicare in modo chiaro, completo e facilmente comprensibile i soggetti che effettuano il trattamento, le finalità perseguite e gli eventuali destinatari dei dati. L’esigenza di garantire sintesi e immediatezza dell’informazione non può, infatti, tradursi nell’omissione di elementi essenziali per consentire agli interessati di comprendere pienamente le modalità di utilizzo dei propri dati personali.