Dopo il caso Revolut, il Garante privacy ha avviato una verifica sulla sicurezza degli accessi ai dati nelle banche italiane. L’Autorità ha scritto ai responsabili della protezione dei dati (Dpo) degli istituti di credito. Chiede di controllare i sistemi interni per individuare eventuali comunicazioni anomale arrivate dalla stessa casella Pec coinvolta nella vicenda e, se emergono casi simili, di segnalarlo subito. L’intervento risale al 18 settembre 2026. Ha due obiettivi: accertare se ci siano stati altri tentativi di infiltrazione e richiamare banche e intermediari a controlli interni più rigorosi.
Cosa chiede il Garante alle banche
Il punto di partenza è una valutazione dell’Autorità. Secondo il Garante, le modalità usate per acquisire illecitamente i dati personali sono particolarmente insidiose, e non si può escludere che tentativi analoghi abbiano interessato altri istituti di credito.
Agli intermediari viene quindi chiesta una verifica mirata: individuare nei sistemi eventuali messaggi provenienti dalla casella Pec già emersa nel caso Revolut e svolgere gli approfondimenti necessari.
Se il controllo dà esito positivo, gli obblighi sono due. Banche e istituti finanziari devono adottare subito misure per attenuare le conseguenze per le persone coinvolte. Devono anche informare l’Autorità ai sensi dell’articolo 33 del Regolamento generale sulla protezione dei dati (GDPR), che disciplina la notifica delle violazioni dei dati personali e fissa come regola generale un termine di 72 ore da quando il titolare ne viene a conoscenza.
Per le funzioni di compliance si tratta di un controllo a ritroso sulla posta certificata già ricevuta. Il controllo coinvolge chi gestisce i flussi in entrata, chi ha dato seguito alle richieste e chi deve valutare se un episodio configura un data breach.
Il dialogo con l’autorità lituana
C’è poi il fronte europeo. Revolut ha la sede legale principale in Lituania, e per questo il Garante si è rivolto all’autorità lituana per la protezione dei dati. Le ha trasmesso le informazioni in suo possesso e ha proposto uno scambio reciproco per rafforzare l’azione di contrasto.
La scelta ha una ragione procedurale. Nei trattamenti transfrontalieri il GDPR assegna un ruolo centrale all’autorità del Paese in cui il titolare ha lo stabilimento principale. Per intervenire su un operatore che serve clienti italiani ma ha sede altrove, la cooperazione tra autorità è lo strumento previsto dal sistema.
Il coinvolgimento del Ministero dell’Interno
L’Autorità ha coinvolto anche il Ministero dell’Interno. L’obiettivo è inquadrare meglio la vicenda, verificare se siano coinvolte altre banche o altri istituti finanziari e circoscrivere il danno, chiarendo quanti e quali dati siano stati compromessi. Su questi aspetti il Garante non ha ancora reso pubblici elementi di dettaglio.
Pec e accessi ai conti, un lavoro già avviato
L’intervento si inserisce in un’attività in corso da mesi. Il Garante e le banche lavorano infatti in una task force sugli accessi abusivi ai conti correnti, con l’obiettivo di rafforzare le misure di sicurezza.
Il caso Revolut sposta l’attenzione su un altro canale. Secondo l’Autorità, la vicenda ha messo in luce alcuni punti deboli delle Pec ufficiali in uso, e su questo serviranno approfondimenti. Nell’immediato, i prossimi passaggi sono gli esiti delle verifiche chieste ai Dpo, lo scambio di informazioni con l’autorità lituana e il quadro che emergerà dal confronto con il Ministero dell’Interno su quanti intermediari e quali dati siano stati coinvolti.
