Il tracciamento delle operazioni effettuate dal personale bancario sui conti dei clienti rappresenta una priorità nell’agenda del Garante Privacy per il 2025, con un piano ispettivo dedicato a verificare l’effettiva applicazione delle prescrizioni vigenti. Gli istituti bancari devono garantire sistemi efficaci di logging e controllo degli accessi ai dati dei clienti, implementando soluzioni tecniche e organizzative adeguate per prevenire violazioni della riservatezza.
Indice degli argomenti
Il piano ispettivo del Garante per il primo semestre 2025 e il tracciamento delle operazioni bancarie
Nel primo semestre del 2025, il Garante per la protezione dei dati personali ha avviato un piano ispettivo volto a rafforzare il controllo sul trattamento dei dati personali in ambito bancario, con particolare attenzione ai sistemi di tracciamento delle operazioni effettuate dal personale bancario sui conti dei clienti. Tale attenzione nasce dalla necessità di prevenire accessi non autorizzati e utilizzi impropri delle informazioni personali e patrimoniali, in un contesto in cui le tecnologie digitali espongono a rischi crescenti di violazione della privacy.
Il tracciamento delle operazioni bancarie è un tema centrale sin dal provvedimento del Garante del 12 maggio 2011, che ha introdotto obblighi stringenti per le banche in termini di logging, controllo e segnalazione degli accessi ai dati dei clienti da parte dei dipendenti. Il provvedimento prevede che ogni accesso effettuato dal personale bancario ai dati dei clienti debba essere registrato e soggetto a controllo, al fine di garantire la sicurezza dei dati personali e prevenire comportamenti illeciti o impropri.
Pur trattandosi di prescrizioni ormai piuttosto risalenti nel tempo, le stesse risultano più attuali che mai, soprattutto alla luce dei recenti avvenimenti di cronaca che hanno riguardato l’accesso illecito ai conti di diversi personaggi noti, da parte di un dipendente di un noto istituto bancario (per i cui dettagli si rinvia all’obbligo di comunicazione agli interessati emesso dall’Autorità Garante successivamente alla notifica di data breach).
Modalità e buone prassi per affrontare un’ispezione del Garante sul tracciamento delle operazioni bancarie
Senza voler ripercorrere pedissequamente il contenuto dei due provvedimenti principali dell’Autorità Garante recanti le prescrizioni in materia di tracciamento delle operazioni bancarie, è indispensabile individuare le modalità per affrontare correttamente un’ispezione che abbia ad oggetto tale plesso normativo.
Come noto, le buone prassi per affrontare un’ispezione includono la predisposizione di una documentazione aggiornata, comprensiva di policy interne, manuali operativi, ruoli e responsabilità. Inoltre, nell’ambito del rispetto delle prescrizioni sul tracciamento delle operazioni bancarie, deve essere garantita la piena operatività del sistema di logging, che deve registrare in maniera dettagliata ogni accesso effettuato ai dati dei clienti, specificando utente, data, ora, e finalità dell’accesso.
Altro elemento fondamentale è la configurazione di alert automatici per rilevare comportamenti anomali, come accessi frequenti a determinati conti correnti, operatività fuori orario di lavoro, query massive, ecc. Questi alert devono essere gestiti tempestivamente, attraverso un’attività di monitoraggio costante nel tempo, effettuata da una funzione di controllo indipendente (non sottoposta essa stessa a tracciamento). Il monitoraggio implica non solo le attività di verifica rispetto a potenziali anomalie rilevate, ma anche un controllo dell’effettiva efficacia dei parametri e delle soglie di alert pre-impostati: affinare l’impostazione delle soglie di alert e la definizione dei parametri di indagine dei log, infatti, è un’attività complessa e dinamica, che richiede continui aggiornamenti in relazione alle condotte che tempo per tempo vengono rilevate, tenendo in debito conto l’operatività quotidiana, settimanale e mensile dell’istituto.
Per ottemperare al principio di accountability e poter rispondere in modo esaustivo alle richieste dell’Autorità in fase di ispezione, ogni istituto dovrà essere in grado di fornire evidenza documentale delle verifiche effettuate, con tracciabilità completa degli audit, delle eventuali anomalie rilevate, dei falsi positivi e delle azioni correttive intraprese.
Per garantire un’efficace attuazione delle prescrizioni in materia di tracciamento degli accessi, può essere opportuno adottare un sistema multilivello di controlli, fondato su strumenti tecnologici avanzati, policy interne e attività di verifica periodica.
Il primo livello è costituito, appunto, dagli alert automatici, con i caveat precedentemente indicati.
Il secondo livello riguarda le verifiche nel continuo, cioè il monitoraggio costante degli accessi effettuati dal personale. Questo può avvenire mediante funzioni idonee a garantire terzietà rispetto ai controlli, ma che siano comunque di secondo livello (es. Compliance).
Il terzo livello è rappresentato dalle verifiche a campione, da effettuare con cadenza regolare (ad esempio trimestrale), finalizzate a prevedere un confronto tra gli accessi effettuati e le mansioni effettive degli operatori. Tali controlli potranno essere effettuati da funzioni indipendenti come il DPO o l’Internal Audit, le quali gestiranno ogni eventuale anomalia riscontrata secondo un processo ben definito.
Altri aspetti cui prestare attenzione in ottica di ispezione dell’Autorità sono:
- Dimostrare di aver informato tutti i dipendenti che accedono ai conti bancari circa le attività di logging e monitoraggio, attraverso idonea informativa da rendersi separatamente o all’interno dell’informativa dipendenti;
- Fornire evidenza di aver consegnato istruzioni specifiche ai dipendenti che svolgono le funzioni di monitoraggio e verifica degli alert, mediante sottoposizione di apposita autorizzazione al trattamento comprensiva di indicazioni puntuali sulle attività di trattamento consentite;
- Strutturare un processo documentato, con ruoli e responsabilità, circa le attività di monitoraggio e reporting in materia di tracciamento delle operazioni bancarie, dalla fase di implementazione degli alert sino alla fase di eventuale apertura dell’incidente (data breach), laddove siano rilevate effettivi accessi anomali;
- Dimostrare di aver condotto le opportune valutazioni sul rispetto della disciplina in materia di controllo a distanza dei lavoratori (art. 4, L. 20 maggio 1970, n. 300). Va rilevato, a tal proposito, che non è pacifica l’interpretazione di tale requisito imposto dal Provvedimento, il quale, essendo antecedente alle modifiche del “Jobs Act”, probabilmente prevedeva la necessità di un accordo sindacale; ad oggi, tuttavia, una interpretazione maggiormente garantista suggerirebbe di provvedere in ogni caso al raggiungimento dell’accordo con i sindacati (o procedura equivalente), non essendo agevole ricollegare il monitoraggio dei log delle operazioni di inquiry al comma 2 dell’art. 4 dello Statuto dei Lavoratori (quale eccezione alla concertazione sindacale);
- Infine, con l’intento di poter dimostrare all’Autorità di aver effettuato tutte le valutazioni necessarie sui presidi tecnici e organizzativi relativi al trattamento in esame, sarà necessario aver condotto una valutazione d’impatto (DPIA), con particolare riferimento alle attività di monitoraggio dei dipendenti.
La possibilità di formulare riserve durante le ispezioni sul tracciamento delle operazioni bancarie
Le ispezioni del Garante per la protezione dei dati personali costituiscono momenti di particolare rilievo per qualsiasi organizzazione, soprattutto per quelle soggette a obblighi stringenti come gli istituti bancari. Come anticipato, durante le ispezioni, i funzionari del Garante possono richiedere l’accesso a documentazione, sistemi informatici, nonché raccogliere dichiarazioni da parte dei soggetti coinvolti. È quindi fondamentale che i soggetti ispezionati siano preparati (possibilmente con “stress test” preventivi) e che abbiano una linea guida operativa da poter seguire in caso di ispezione.
Una delle questioni più delicate riguarda la possibilità di formulare riserve su documenti o dichiarazioni da rendere durante l’ispezione. Si tratta di una facoltà che – seppur non codificata in modo espresso – può avere un impatto significativo nella fase successiva del procedimento, sia in termini di difesa sia in ottica di limitazione della responsabilità.
La riserva è una dichiarazione con cui il soggetto ispezionato richiede che un determinato documento possa essere fornito in un momento successivo o che le risposte formulate non vengano considerate definitive, complete o pienamente esaustive, in quanto necessitano di ulteriori approfondimenti, consultazioni interne o verifiche tecniche.
Formulare una riserva è, di conseguenza, particolarmente importante quando non si è certi della completezza delle informazioni richieste o i documenti esibiti devono essere reperiti, nonché qualora sia necessario ottenere ulteriori dati o integrazioni da altri uffici.
La riserva può essere espressa in forma scritta, in calce a una dichiarazione, o verbalmente durante l’intervista, richiedendo che sia messa a verbale.
È, come ovvio, opportuno rappresentare che formulare una riserva non deve tradursi in un rifiuto a collaborare: il mancato rispetto dell’obbligo di collaborazione può comportare sanzioni amministrative ai sensi dell’art. 83, par. 5, lett. e) del GDPR. Pertanto, la riserva deve essere uno strumento di tutela, non uno strumento per omettere informazioni od ostacolare l’ispezione.
Tuttavia, anche un utilizzo eccessivo o generico della riserva può risultare controproducente. Il Garante potrebbe interpretarlo come un segnale di opacità organizzativa o addirittura come un tentativo di eludere i controlli. È quindi essenziale che la riserva sia puntuale, motivata e circoscritta.
Il ruolo delle Autorità di Vigilanza di settore
Le ispezioni condotte dal Garante per la protezione dei dati personali e quelle effettuate dalla Banca d’Italia presentano significative differenze, sia per quanto riguarda l’approccio sia per l’ambito di intervento.
Come noto, il Garante ha competenza esclusiva in materia di protezione dei dati personali e le sue ispezioni si focalizzano sulla liceità, correttezza e trasparenza dei trattamenti di dati, sulla sicurezza dei sistemi informativi e sulla conformità alle prescrizioni del GDPR.
La Banca d’Italia, invece, agisce nell’ambito della vigilanza prudenziale e della trasparenza bancaria. Le sue ispezioni riguardano prevalentemente la sana e prudente gestione degli intermediari, l’organizzazione aziendale, la continuità operativa e la trasparenza nei confronti della clientela.
Tuttavia, va segnalato che la protezione dei dati può essere un elemento accessorio di valutazione anche di Banca d’Italia, pur non rappresentando il focus principale delle sue ispezioni.
A tal proposito, va rilevato che, soprattutto negli ultimi anni, gli intermediari sono oggetto di richieste di chiarimenti da parte di Bankit o del JST (c.d. joint supervisory team, ovvero un team che si compone di personale della Banca Centrale Europea e delle autorità di vigilanza nazionali), in particolare laddove vi siano state segnalazioni di potenziali violazioni della riservatezza dei dati bancari. Dalle esperienze recenti emerge come il JST svolga approfondite indagini sulle politiche degli accessi logici delle Banche, richiedendo dettagliate informazioni in merito alla gestione di tali accessi e alle attività di monitoraggio effettuate dagli intermediari, richiamando altresì gli adempimenti del Provvedimento sul tracciamento delle operazioni bancarie.
Ne consegue, pertanto, che la conformità al Provvedimento abbia degli importanti risvolti non solo sotto il profilo di protezione dei dati e di relazioni con l’Autorità Garante Privacy, ma anche limitatamente ai rapporti con le Autorità di Vigilanza di settore.
L’integrazione di questi tre livelli consente alla banca di dimostrare concretamente la propria conformità normativa e di adottare un approccio data-driven alla protezione dei dati personali.
Pratiche da evitare alla luce delle ultime sanzioni
L’analisi delle sanzioni comminate dal Garante nel biennio 2023-2024 ad una primaria Banca italiana consente di individuare alcune prassi da evitare.
Tra le principali criticità riscontrate dall’Autorità Garante, si segnalano:
- Inattività o disattivazione del logging in alcune strutture territoriali, che rendeva impossibile ricostruire in modo puntuale gli accessi.
- Mancata gestione degli alert, che venivano generati dal sistema, ma non esaminati dalla funzione di controllo, con conseguente mancata attivazione di misure correttive.
- Accessi ripetuti ai conti di familiari, VIP, PEP (persone politicamente esposte), senza una reale necessità di servizio, effettuati da operatori bancari senza autorizzazione specifica.
- Assenza di audit trail documentati, ossia la mancanza di tracciabilità delle attività di verifica effettuate dalle funzioni di controllo.
- Formazione del personale inadeguata, con dipendenti che risultavano non aver svolto corsi in materia di corretto trattamento dei dati bancari e che ignoravano le attività di tracciamento.
Questi elementi, considerati nel loro insieme, hanno determinato sanzioni rilevanti e un danno reputazionale per l’istituto coinvolto. Attraverso l’esame di tali ultime decisioni dell’Autorità si possono, pertanto, definire “a contrario” le buone prassi da adottare, attraverso un approccio preventivo e strutturato, che preveda controlli efficaci, personale formato e piena accountability delle funzioni coinvolte.
Conclusioni
L’ispezione del Garante Privacy sui sistemi di tracciamento delle operazioni bancarie rappresenta una sfida tuttora complessa per le banche, nonostante le prescrizioni in materia siano divenute efficaci da oltre un decennio.
Costruire un sistema di controllo interno efficace, capace di prevenire gli accessi impropri e di garantire la massima trasparenza nelle attività svolte dal personale è, oggi più che mai, un segno distintivo per gli istituti bancari, anche per assicurarsi la fiducia dei propri clienti. Il rispetto delle prescrizioni normative deve tradursi in comportamenti concreti, misurabili e documentabili.
La combinazione di sistemi di rilevamento delle anomalie, processi di audit indipendenti e una formazione continua, rappresenta la base per un sistema solido e conforme.
Se si considera che le violazioni della riservatezza delle movimentazioni bancarie spesso dipendono dalla curiosità o da vicende familiari controverse, risulta lampante come il presidio più efficace sia la sensibilizzazione delle persone.
Per affrontare in modo vincente le ispezioni dell’Autorità Garante, probabilmente, bisogna dunque partire proprio dalla sensibilizzazione delle persone; per renderle moralmente consapevoli del disvalore delle loro eventuali condotte illecite. Tutte le ulteriori misure di monitoraggio e controllo non fanno che da contorno alla dimensione etica e costituiscono mezzi per verificare la correttezza e liceità degli accessi, attraverso quelle regole che entrano in gioco laddove l’etica viene meno.
