Autoriteti Italian për Mbrojtjen e të Dhënave Personale ka vendosur një gjobë të rëndë prej 31.8 milionë eurosh ndaj Intesa Sanpaolo S.p.A., për shkak të mangësive serioze në mbrojtjen e të dhënave personale, si pasojë e masave të pamjaftueshme teknike dhe organizative.
Hetimi nisi pas një shkeljeje të raportuar nga vetë banka në korrik 2024 dhe nxori në pah një skandal të brendshëm: një punonjës kishte aksesuar pa asnjë arsye të justifikuar të dhënat bankare të 3,573 klientëve, duke kryer mbi 6,600 kërkime në sistem, gjatë periudhës nga shkurti 2022 deri në prill 2024. Alarmante është fakti që këto ndërhyrje të paautorizuara nuk u zbuluan nga sistemet e kontrollit të brendshëm, duke ekspozuar dobësi të theksuara në mekanizmat e monitorimit.
Shkelja preku edhe klientë të konsideruar “me rrezik të lartë”, përfshirë individë me funksione publike, për të cilët kërkohen nivele më të forta sigurie dhe kontrolli.
Autoriteti evidentoi shkelje të qarta të parimeve bazë, si integriteti dhe konfidencialiteti i të dhënave, si dhe mungesë të llogaridhënies nga ana e institucionit. Sipas konkluzioneve, modeli operativ i bankës lejonte akses të gjerë dhe të pakufizuar në të dhënat e klientëve, pa u shoqëruar me mekanizma efektivë për të parandaluar apo identifikuar abuzimet.
Probleme serioze u konstatuan edhe në menaxhimin e vetë incidentit: njoftimi ndaj autoriteteve ishte i vonuar dhe i paplotë, ndërsa informimi i klientëve u krye vetëm pas ndërhyrjes së drejtpërdrejtë të Autoritetit në nëntor 2024.
Këto dështime, sipas Autoritetit, penguan reagimin e menjëhershëm për mbrojtjen e të drejtave të individëve të prekur. Për këtë arsye, sjellja e bankës u cilësua e paligjshme.
Në vendosjen e gjobës rekord, u morën parasysh serioziteti dhe kohëzgjatja e shkeljeve, numri i madh i klientëve të prekur, si dhe masat e ndërmarra më pas nga banka për të përmirësuar sistemet e kontrollit dhe sigurisë.
