[doc. web n. 10310391]

Provvedimento del 7 ottobre 2026

Registro dei provvedimenti
n. 746 del 7 ottobre 2026
 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito, Regolamento);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito, Codice);

VISTO il reclamo presentato ai sensi dell’art. 77 del Regolamento dalla signora XX, domiciliata presso lo studio dell’XX nei confronti della Deutsche Bank S.p.A.; 

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000;

RELATORE il prof. Pasquale Stanzione;

PREMESSO

1. Reclamo.

Con reclamo presentato il 5 gennaio 2024, l’istante, dipendente di Poste Italiane (di seguito, anche Poste o Società), ha rappresentato che, a seguito di una richiesta di finanziamento avanzata a Deutsche Bank (di seguito, anche Banca) -tramite il portale da quest’ultima messo a disposizione di Poste per i propri dipendenti- la Banca “nel negare il finanziamento inseriva nella piattaforma (accessibile a tutto il personale di Poste Italiane S.p.A. preposto alla gestione delle pratiche di finanziamento, nonché a tutto il personale che accede tramite la postazione del direttore dell’Ufficio Postale di Portacomaro Stazione -Comune di Asti) l’informazione che l’esponente” aveva impegni finanziari in corso, riportando il relativo importo e il reddito netto percepito dalla stessa interessata.

La reclamante ha altresì precisato che il modulo, pubblicato sul portale di Poste, da compilare per la presentazione della domanda di finanziamento, “non contempla lo spazio per l’inserimento del dato relativo all’ammontare dello stipendio della richiedente, in quanto tale dato viene per convenzione fornito direttamente da Poste Italiane S.p.A.” e che, nell’informativa resa, la Banca dichiara che “non comunicherà a Poste le informazioni creditizie e i dati personali riscontrati nel SIC CRIF [Sistemi di informazione creditizia, di seguito Sic], ma trasmetterà esclusivamente l’esito della verifica […] a Poste che, in qualità di Responsabile esterno del trattamento dei dati, lo comunicherà al Richiedente”.

A seguito delle istanze presentate a Deutsche Bank e a Poste, con le quali l’interessata contestava il trattamento dei propri dati e ne chiedeva la cancellazione, le stesse fornivano rispettivamente riscontri, ritenuti non soddisfacenti dall’interessata.

Tenuto conto che l’Ufficio, da un preliminare esame del reclamo e della relativa documentazione, riteneva necessario, al fine di una compiuta verifica della vicenda, avviare l’attività istruttoria, non solo nei confronti di Deutsche Bank, ma anche di Poste (soggetto nei confronti del quale l’interessata non aveva ritenuto di proporre il reclamo), con nota del 29 gennaio 2024 (prot. n. 11166), invitava la reclamante a comunicare il proprio interesse a proseguire nel reclamo anche nei confronti di Poste, proprio datore di lavoro, circostanza che l'interessata confermava, con nota del 12 febbraio 2024.

2. L’attività istruttoria svolta.

L’ufficio ha quindi avviato una complessa attività istruttoria, nei confronti di Deutsche Bank e di Poste, inviando specifiche richieste ai sensi dell’art. 157 del Codice, al fine di ottenere informazioni e documentazione utili a chiarire i rapporti contrattuali tra la Banca e Poste, i ruoli soggettivi dalle stesse ricoperti, ai fini privacy, nonché le modalità del trattamento dei dati connesse alle richieste di finanziamento e i dati reciprocamente scambiati tra esse.

A seguito della richiesta di informazioni inviata il 23 luglio 2024 (prot. n. 90731), la Banca, con nota del 5 agosto 2024, ha chiesto una proroga del termine precedentemente fissato per trasmettere i chiarimenti richiesti. L’Ufficio ha accolto la richiesta, in ragione delle motivazioni nella stessa indicate, e ha fissato il termine al 12 settembre 2024 (nota n. 98858 del 12 agosto 2024). 

Con nota del 12 settembre 2024, Deutsche Bank, nel ricostruire la vicenda oggetto del reclamo, ha precisato di ritenere di avere agito nel rispetto dei principi di liceità, correttezza e trasparenza nel trattamento dei dati dell’interessata e di avere provveduto, a seguito di richiesta dell’interessata, alla cancellazione dei dati alla stessa riferiti e di averne “tempestivamente” informato l’interessata. 

Con riferimento agli ulteriori aspetti oggetto della richiesta di informazioni, la Banca ha rappresentato quanto segue:

- la relazione commerciale intercorrente con Poste è disciplinata da una convenzione avente ad oggetto il prestito “BancoPosta” che la Banca può erogare ai clienti di Poste in presenza di determinate condizioni; 

- nell’ambito di tale convenzione, ai fini privacy, le due Società agiscono in qualità di autonomi titolari del trattamento; tuttavia, la Banca opera anche in qualità di responsabile di Poste, ai sensi dell’art. 4, comma 1, n. 8 del Regolamento “con riferimento ai dati da quest’ultima comunicati relativamente ai parametri di valutazione del richiedente il prestito che Poste stessa invia alla Banca; parallelamente, Poste opera in qualità di responsabile della Banca “con riferimento ai dati da quest’ultima comunicati a Poste relativamente all’esito della verifica preliminare della richiesta di finanziamento”; 

- il trattamento dei dati personali dei soggetti che presentano una domanda di finanziamento, tramite Poste, avviene “utilizzando due distinti sistemi informatici la cui titolarità è riconducibile, separatamente, a ciascuna parte […] i due applicativi separati e distinti si scambiano flussi informativi tramite web service online” come segue: 

- nella fase preliminare, il cliente chiede a Poste di effettuare una simulazione per una richiesta di prestito con importo e numero di rate definiti; la richiesta viene ricevuta dalla Banca che, tramite il medesimo applicativo, definisce un piano finanziario e trasmette le informazioni elaborate a Poste che, in caso di accettazione, da parte del cliente, chiede a quest’ultimo la sottoscrizione e la compilazione della documentazione; 

- nella fase intermedia, Poste trasmette, tramite web services, i dati della pratica alla Banca che effettua, a questo punto, la valutazione del merito creditizio; 

- nella fase conclusiva, possono determinarsi tre possibilità: l’accoglimento della richiesta e la successiva erogazione del finanziamento; il rifiuto della richiesta; la richiesta di integrazione/aggiunta di un coobbligato o di modifica dei termini della richiesta di finanziamento.

- l’esito della richiesta si traduce in un codice denominato “stato pratica” che viene comunicato dalla Banca a Poste e, ove necessario, l’operatore della Banca può inserire, nel campo note dell'applicazione, anche alcune ulteriori informazioni; 

- Poste, ricevuto l’esito della richiesta da parte della Banca, “aggiorna il proprio sistema con il codice “stato pratica” e con le eventuali note […] visibili solo ed esclusivamente ad alcuni addetti (in particolare, i soli addetti commerciali) delle competenti strutture aziendali di Poste”; 

- una volta conclusasi la fase deliberativa “il cliente riceve la comunicazione della Banca con cui viene fornito l’esito finale della stessa che può essere di accoglimento […] o di diniego della richiesta […], mentre non riceve e non viene consentita alcuna visualizzazione di informazioni in merito all’analisi sul merito creditizio da parte della Banca che rimane una informazione scambiata e trattata solo tra i due intermediari”. 

In data 18 marzo 2025, la Banca, su richiesta dell’Ufficio, ha inviato un'ulteriore nota al fine di meglio chiarire i ruoli ricoperti dalla stessa Banca e da Poste considerato che, pur agendo in qualità di autonomi titolari del trattamento, in alcune fasi dell’istruttoria relativa alla richiesta di finanziamento, è stata prevista la reciproca designazione a responsabili del trattamento. 

A tal riguardo, la Banca, nel confermare che “il ruolo soggettivo, ai fini del trattamento dei dati personali acquisiti dalle parti nell’ambito delle attività svolte in esecuzione delle obbligazioni assunte con la Convenzione medesima, è quello di Titolari autonomi del trattamento ex art. 4, comma 1, n. 7 del Regolamento Europeo del Trattamento dei dati”, ha altresì rappresentato che, nel corso del tempo, tenuto conto del reciproco “interesse a scambiarsi ulteriori dati lecitamente acquisiti dai potenziali clienti” e al fine di migliorare i processi relativi alla “prestazione delle attività prodromiche alla promozione e collocamento del prodotto prestito BancoPosta”, è stato convenuto, “limitatamente ad alcun dati”, di integrare gli accordi, prevedendo che: 

- “con riferimento ai dati di cui solo Poste è Titolare (in quanto si tratta di dati dalla medesima acquisiti nell’ambito delle proprie relazioni contrattuali con i clienti), da quest’ultima comunicati a DB e che riguardano solo i parametri di valutazione del richiedente il prestito […] Poste ha nominato DB quale responsabile del trattamento dei dati personali - ex art. 4, comma 1, n. 8 del Regolamento; 

- in maniera del tutto speculare al punto che precede, con riferimento ai dati di cui solo DB è Titolare e da quest’ultima comunicati a Poste e che riguardano alcuni dati raccolti nell’ambito delle verifiche preliminari svolte in esito alla richiesta di finanziamento […], DB ha nominato Poste quale responsabile del trattamento dei dati personali - ex art. 4, comma 1, n. 8 del Regolamento”; 

- le integrazioni sopra riportate consentivano alle Parti una migliore esecuzione delle rispettive obbligazioni contrattuali, garantendo alla Banca una più efficace valutazione del “rischio di credito nel processo di valutazione” e a Poste “una migliore gestione commerciale del cliente […] per poterlo anche indirizzare verso altre soluzioni [più idonee] alle sue esigenze di finanziamento oltre che per poterlo correttamente e puntualmente informare in ordine alle ragioni per cui la richiesta di prestito non è andata a buon fine”; 

- la Banca non comunica a Poste “i dati raccolti presso i Sistemi di Informazione Creditizie ma fornisce alla stessa alcuni dati […] per consentire a Poste stessa di gestire la relazione con il cliente e le sue esigenze di finanziamento ricorrendo, se del caso, ad altri intermediari finanziari che adottano politiche del credito diverse da quelle adottate da DB o per fornire al cliente medesimo le motivazioni che sono alla base del diniego del finanziamento richiesto”.

Nell'ambito dell'istruttoria parallela effettuata nei confronti di Poste, l'Ufficio acquisiva documenti e chiarimenti, necessari ai fini delle valutazioni di competenza nei confronti anche della Banca, il 12 settembre 2024.

3. L’avvio del procedimento.

L’Ufficio, sulla base degli elementi acquisiti in sede istruttoria da Poste e dalla Banca, ha notificato a Deutsche Bank, con nota prot. n. 99977 del 16 luglio 2025, l’atto di avvio del procedimento per l’adozione dei provvedimenti di cui agli artt. 58, par. 2, e 83 del Regolamento, in conformità a quanto previsto dall’art. 166, comma 5, in relazione alla violazione inerente alla corretta individuazione dell’effettivo titolare del trattamento, nonché dei principi di liceità e trasparenza in relazione all’informativa resa agli interessati  nell’ambito del rapporto di collaborazione con Poste (artt. 5, par.1, lett. a), 13 e 28 del RGPD). 

Con nota del 1° agosto 2025, Deutsche Bank ha chiesto una proroga per formulare i propri scritti difensivi ai sensi dell’art. 13, comma 3, del Regolamento del Garante n. 1/2019 (concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante) che l’Ufficio ha concesso, fissando il termine al 15 settembre 2025 (nota n. 109001 del 05 agosto 2025). 

La Banca ha inviato i propri scritti difensivi il 15 settembre 2025, con i quali ha meglio specificato alcuni profili già rappresentati con la comunicazione del 12 settembre 2024 (v. punto 2 della presente).

In particolare, in via preliminare, ha inteso evidenziare che le valutazioni elaborate dalla Banca in merito alle richieste di finanziamento e prestito sono accessibili “in applicazione del principio di sicurezza del cd. need to know, esclusivamente a un numero molto ristretto di persone (tra cui la stessa interessata) secondo logiche di segregazione territoriali di aree di competenze”.

In relazione agli altri profili sollevati, ha rappresentato quanto segue:

- le attività di pre-scoring (che si svolgono all’interno della cd. Fase preliminare) devono essere tenute distinte dalle attività di valutazione del merito creditizio vere e proprie e sono regolate da due distinte informative;

- nella fase preliminare, il cliente riceve tre documenti: “Modulo SECCI/IEBCC precontrattuale; Modulo di verifica dei dati per la richiesta di finanziamento; SECCI/IEBCC contrattuale e Modulo di richiesta prestiti per Banco Posta”; 

- nella fase di pre-scoring, il trattamento dei dati personali degli interessati -che vengono conferiti attraverso la compilazione del Modulo di verifica dei dati per la richiesta di finanziamento che contiene anche l’informativa di Poste e della Banca- è effettuato dalla Banca “per adempiere a specifiche richieste dell’interessato prima della conclusione del contratto al fine di effettuare una preliminare verifica dei dati della richiesta di finanziamenti; valutare la formula di prestito più adatta al cliente; effettuare la verifica nei Sistemi di informazione creditizia”;

- solo dopo avere completato dette verifiche, “potrà essere sottoposto al Richiedente l’IEBCC personalizzato con la relativa richiesta vincolante di finanziamento per l’eventuale sottoscrizione”;

- nella fase preliminare, “l’esito delle verifiche condotte dalla Banca […] si sostanzia solo ed esclusivamente nella trasmissione di codici alfanumerici” che indicano “esito di cliente non finanziabile […]; Passaggio della pratica allo studio […]; inserimento garante […]; rimodulazione importo/rimodulazione durata […]"; 

- completata la fase di pre-scoring, il cliente sottoscrive la proposta di contratto contenuta nel “Modulo di richiesta prestito Banco Posta” nel quale sono contenute “oltre alle condizioni generali relative al prestito” anche l’informativa relativa alla “gestione del rapporto pre-contrattuale e (in caso di accettazione della Banca) contrattuale”;

- nella fase intermedia, la Banca avvia la valutazione del merito creditizio, secondo quanto indicato nel Modulo di richiesta Prestito Banco Posta. L’insieme delle informazioni sono riportate in un report nel quale i dati verificati nei Sistemi di informazione creditizia costituiscono solo una delle sezioni contenute nel report che “non viene mai condiviso con Poste”;

- l’esito della verifica del merito creditizio (da non confondere con “l’esito della verifica dell’attività di pre-scoring”), può includere delle informazioni riportate nel “campo note”, con lo scopo di fornire “indicazioni a Poste in merito alle ragioni circa l’eventuale rifiuto di un finanziamento o la necessità di ridimensionare la richiesta” così da consentire a Poste (che ha il contatto diretto con il cliente) “di comprendere le problematiche relative alla posizione del richiedente, […] che permettano all’intermediario di motivare le ragioni del rifiuto dell’istanza al richiedente” ;

- nel caso di specie oggetto del reclamo, il campo note relativo alla posizione dell’interessata, “ha incluso le informazioni direttamente raccolte dal SIC” in quanto, alcuni di questi dati sono stati ritenuti rilevanti al fine di meglio illustrare alla richiedente le ragioni del diniego del finanziamento;

- solo nella fase conclusiva, gli operatori della Banca compilano il campo note, pertanto non si può contestare alla Banca la violazione del contenuto precettivo dell’informativa delle attività di pre-scoring;

- in relazione ai ruoli soggettivi ricoperti, la Banca ha indicato le diverse fasi in cui agisce come autonomo titolare del trattamento e quelle ove opera come Responsabile, precisando che i compiti attribuiti a Poste, come responsabile del trattamento, sono indicati nella documentazione allegata all’Accordo Integrativo.

La Banca ha, infine, avanzato richiesta di audizione, alla quale ha deciso poi di rinunciare, comunicando la decisione a questa Autorità con nota del 27 marzo 2026. 

4. L’esito dell’istruttoria e del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori di cui all’art. 58, par. 2, del Regolamento.

In via preliminare, si precisa che la presente attività istruttoria, seppure avviata con riferimento a un reclamo, è stata successivamente estesa d'ufficio per approfondire alcuni profili relativi, più in generale, al trattamento dei dati degli interessati nell’ambito dell’attività di promozione e collocamento del “Prodotto BancoPosta”.

Nel corso dell’istruttoria, l’Ufficio ha preso atto, in primo luogo, che Deutsche Bank, di concerto con Poste, ha provveduto alla cancellazione dei dati dell’interessata, informandone tempestivamente quest’ultima.

Per quanto riguarda invece i profili generali del trattamento presi in esame, essi hanno riguardato; i ruoli soggettivi ricoperti da Poste e dalla Banca, i dati oggetto di comunicazione tra le stesse, nonché l’informativa resa agli interessati, ai sensi dell’art. 13 del RGPD. 

Ciò premesso, all’esito dell’attività istruttoria, tenuto conto di quanto emerso dalle dichiarazioni rese dalla Banca, nel corso del procedimento (della cui veridicità l’autore risponde ai sensi e per gli effetti di cui all’art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”), nonché della documentazione acquisita agli atti, nell’evidenziare che i chiarimenti resi da Deutsche Bank con le memorie difensive presentate il 15 settembre 2025, hanno fornito un quadro più chiaro e completo delle diverse fasi del processo di erogazione del credito associato al prodotto BancoPosta e del trattamento dei dati degli interessati in tale ambito, si rappresenta quanto segue.

Si prende atto che “l’esito della verifica” a cui viene fatto espresso riferimento nell’informativa contenuta nel “Modulo di verifica dei dati per la richiesta di finanziamento” non è da intendersi come valutazione conclusiva della richiesta di finanziamento, bensì la stessa attiene al cd. pre-scoring della Fase preliminare, che si realizza attraverso una preliminare verifica sui dati dell’interessato, effettuata mediante l’accesso ai Sic, la individuazione del prestito più adatto alle sue esigenze e la successiva trasmissione a Poste di codici alfanumerici.

La valutazione definitiva avviene invece in una fase successiva del processo di “richiesta di prestito personale BancoPosta” con la sottoscrizione, da parte dell’interessato, del “Modulo di richiesta prestito BancoPosta” al quale è allegata un'ulteriore informativa. 

In questa fase (c.d. fase conclusiva), “l’esito” viene trasmesso a Poste, per comunicarlo al richiedente; la Banca, in questa fase, ha la facoltà di inserire nel campo “Note a Intermediario” eventuali informazioni relative all’esito della pratica. 

Ciò posto, al fine di un corretto inquadramento della vicenda, si ritiene opportuno richiamare le disposizioni contenute nel d.P.R. 14 marzo 2001, n. 144 (Regolamento di semplificazione dei servizi di Bancoposta) con il quale sono state stabilite le norme di riferimento per l'attività finanziaria di Poste Italiane S.p.A. nei confronti del pubblico.

Il citato Regolamento prevede il divieto per Poste di esercitare attività di concessione di finanziamenti nei confronti del pubblico e riconosce la possibilità di svolgere attività di promozione e collocamento di prodotti e servizi bancari e finanziari fuori sede, operando in qualità di intermediario, rispetto a banche e società finanziarie, quali soggetti erogatori del prestito, i cui rapporti sono regolati da appositi accordi e convenzioni (art. 2, commi 8 e 9-bis del d.P.R. cit.)

Dal contesto delineato, emerge che i compiti e le responsabilità che gravano su Poste e sulla Banca, pur connessi tra loro, risultano diversi e distinti, anche con riferimento al rapporto contrattuale che ognuna di loro intrattiene con l’interessato. 

Ciò trova conferma negli elementi acquisiti nel corso dell’istruttoria, dal cui esame emerge che, nella fase di richiesta e verifica del finanziamento, Poste provvede alla raccolta e al controllo dei dati degli interessati e degli eventuali coobbligati, anche al fine di collocare il prodotto finanziario più rispondente alle esigenze e alle capacità economiche del richiedente; trasmette quindi i dati alla Banca, prevedendo, ove la richiesta provenga da un titolare di conto corrente, anche la trasmissione, in forma aggregata, di indicatori generati da rapporti in essere con Poste (giacenza media, saldo di conto corrente, ecc.); comunica, infine, all’interessato, al termine dell’istruttoria, l’esito della richiesta. 

La Banca, in qualità di soggetto finanziatore, svolge invece l’attività istruttoria per la valutazione del merito creditizio dell’interessato, all’esito della quale assume la decisione di concedere o negare il finanziamento che è “subordinata all’esclusivo, discrezionale ed insindacabile giudizio della Banca”, (v. Modulo di verifica dei dati per la richiesta di finanziamento”); assunta la propria decisione, trasmette a Poste l’esito della richiesta affinché lo comunichi al richiedente il finanziamento. 

La Banca, ai sensi del quadro normativo di settore (artt. 120-undecies, comma 1 e 124-bis, comma 1 del Testo Unico Bancario, di seguito, TUB), svolge pertanto l'attività propria del soggetto finanziatore, in relazione alla quale determina le finalità e i mezzi del trattamento, operando quale autonomo titolare ai sensi dell’art. 4, n. 7 del Regolamento. 

Parallelamente, Poste mantiene una autonoma titolarità, nell’ambito del distinto rapporto con l’interessato, effettuando un’attività di intermediazione e mantenendo con l’interessato un rapporto autonomo, che permane anche all’esito di un'eventuale valutazione negativa da parte della Banca, a seguito della quale Poste può proporre al proprio cliente altre soluzioni di finanziamento (rivolgendosi ad altre banche), che offrano condizioni più congeniali alle esigenze e alla situazione creditizia del cliente stesso.

Da quanto sopra, ne deriva che, anche nella fase della reciproca comunicazione dei dati degli interessati, la Banca e Poste operano quali autonomi titolari del trattamento, poiché ciascuna di esse agisce sulla base di distinti rapporti contrattuali con il cliente, nei limiti della necessità dell’esecuzione di un contratto di cui l’interessato è parte o all’esecuzione di misure precontrattuali adottate su richiesta dello stesso (art. 6, paragrafo 1, lett. b del Regolamento). 

Dagli elementi acquisiti, risulta infatti che la Banca determina autonomamente le finalità e i mezzi essenziali del trattamento, connesso alla valutazione del merito creditizio dell’interessato -per effettuare la quale, è necessario che riceva da Poste i dati relativi al richiedente il prestito- e assume, in via esclusiva, la decisione circa la concessione o il diniego del finanziamento; Poste, di contro, opera nell’ambito di un distinto rapporto con l’interessato e tratta i dati personali per finalità proprie, connesse all’attività di intermediazione.

Ne consegue pertanto che le attività di trattamento poste in essere da Poste e dalla Banca, compresa la comunicazione, non sono avvenuto (come ritenuto dalle due Società) da una parte nell'interesse dell'altra, ma rientrano invece nei limiti di quanto necessario all'esecuzione dei rispettivi rapporti contrattuali o delle misure precontrattuali richieste dall'interessato (art. 6, par. 1, lett. b), del Regolamento), ferma restando l'autonoma responsabilità, di ciascun titolare, quanto alla liceità, correttezza, trasparenza e pertinenza dei trattamenti effettuati.

Tale orientamento trova conferma anche dalle “Linee Guida 07/2020 sui concetti di titolare del trattamento e di responsabile del trattamento ai sensi del GDPR” adottate dall’EDPB il 7 luglio 2021. 

In esse, nell’evidenziare che il ruolo “di titolare del trattamento si basa su un’analisi fattuale piuttosto che formale”, si chiarisce, altresì, che “Il ruolo di titolare e di responsabile del trattamento sono concetti funzionali: mirano a ripartire le responsabilità in funzione dei ruoli effettivamente svolti. Ciò implica che lo status giuridico di un soggetto in quanto «titolare del trattamento» o «responsabile del trattamento» deve, in linea di principio, essere determinato dalle attività effettivamente svolte in una situazione specifica, piuttosto che dalla sua designazione formale in quanto «titolare del trattamento» o «responsabile del trattamento» (ad esempio in un contratto)” (v. punto 12 delle Linee Guida cit.).

Alla luce di tale conclusione, deve ritenersi che la scelta di Deutsche Bank e di Poste di nominarsi reciprocamente responsabili del trattamento (ex art. 28 del Regolamento) nella fase di comunicazione dei dati personali degli interessati -pur essendo espressione di precise scelte dalle stesse operate e documentate da “Convenzioni” sottoscritte da entrambe- non corrisponde né al dettato normativo, secondo il quale il responsabile è il soggetto “che tratta i dati personali per conto del titolare” (art. 4, n. 8 del Regolamento) e che “è chiamato a seguire le istruzioni impartite dal titolare […] per quanto concerne la finalità del trattamento e gli elementi essenziali che ne costituiscono i mezzi” (v. EDPB, Linee guida n. 07/2020, cit., pag. 28), né trova fondamento nella valutazione fattuale del rapporto, dalla quale emerge invece che la comunicazione delle informazioni non viene effettuata da una parte nell’interesse dell’altra, bensì da ciascuna per finalità proprie, in quanto necessaria all’esecuzione dei rispettivi rapporti contrattuali o delle misure precontrattuali richieste dall’interessato; ne consegue, che le Parti agiscono quali autonomi titolari del trattamento. 

La qualificazione soggettiva proposta da Poste e dalla Banca non risulta, pertanto corrispondente alla realtà fattuale del trattamento, con immediate ripercussioni anche sulla conformità alla normativa in materia di protezione dei dati personali dell’informativa rilasciata, ai sensi dell’art. 13 del Regolamenti.

L’informativa, infatti, nel caso di specie, non risulta adeguatamente formulata, considerato che, con riferimento al trattamento dei dati degli interessati effettuato nell’ambito dell’attività di promozione e collocamento del “Prodotto BancoPosta”, la stessa avrebbe dovuto riportare i destinatari o le categorie di destinatari dei dati personali degli interessati (art. 13, par. 1, lett. e) del Regolamento, nonché le ulteriori informazioni per assicurare, nel rispetto dei principi generali di cui all’art. 5 del Regolamento, un trattamento corretto e trasparente nei confronti degli interessati.

Tanto doverosamente considerato, per tutte le ragioni complessivamente evidenziate, risulta che il titolare abbia posto in essere una condotta in contrasto con l’art. 5, par. 1, lett. a) e con l’art. 13 del Regolamento con riferimento alle informazioni fornite agli interessati.

5. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ex art. 58, par. 2 del Regolamento.

Alla luce di quanto complessivamente rilevato, l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dal titolare del trattamento nel corso dell’istruttoria, non consentano di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che risultino, pertanto, inidonee a disporre l’archiviazione, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Il trattamento dei dati personali effettuato da Deutsche Bank, risulta infatti illecito, nei termini esposti, con riferimento alla violazione dei principi di correttezza e di trasparenza in quanto posto in essere in violazione degli artt. 5, par.1, lett. a) e 13 del Regolamento.

La violazione delle disposizioni sopra richiamate comporta l’applicazione della sanzione amministrativa prevista dall’art. 83, par. 5, lett.re a) e b) del Regolamento. 

Per quanto concerne i poteri correttivi di cui all’art. 58, par. 2, del Regolamento, alla luce delle circostanze del caso concreto, si ingiunge a Deutsche Bank -con riferimento al trattamento dei dati degli interessati effettuato nell’ambito dell’attività di promozione e collocamento del “Prodotto BancoPosta”- di predisporre un'informativa che, al fine di assicurare un trattamento corretto e trasparente nei confronti degli interessati (art. 5 del Regolamento), nel riportare i destinatari o le categorie di destinatari dei dati personali (art. 13, par. 1, lett. e) del Regolamento), tenga conto del ruolo soggettivo ricoperto da Poste, quale autonomo titolare del trattamento. 

6. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i), e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi dell’art. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, ha il potere di infliggere una sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento, mediante l’adozione di una ordinanza ingiunzione (art. 18. legge 24 novembre 1981 n. 689), in relazione al trattamento dei dati personali posto in essere da Deutsche Bank S.p.A. di cui è stata accertata l’illiceità, nei termini sopra esposti.

Con riferimento agli elementi elencati dall’art. 83, par. 2, del Regolamento, ai fini della applicazione della sanzione amministrativa pecuniaria e la relativa quantificazione, tenuto conto che la sanzione deve “in ogni caso [essere] effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nel caso di specie, sono state considerate le circostanze di seguito riportate:

- in relazione alla gravità delle violazioni, è stata considerata rilevante la natura delle stesse in quanto concernenti l’inosservanza dei principi generali del trattamento, e in particolare il principio di correttezza e trasparenza in relazione al contenuto dell’informativa fornita agli interessati -ovvero a tutti i clienti che hanno richiesto un finanziamento relativo a prodotti collocati da BancoPosta- di disporre di informazioni corrette e trasparenti in ordine al trattamento dei propri dati (art. 83, par. 2, lett. a) del Regolamento);

- rispetto all’elemento soggettivo, si è tenuto conto del carattere colposo della violazione riconducibile a una erronea interpretazione dei ruoli soggettivi ricoperti in alcune fasi del processo di richiesta del prestito BancoPosta (art. 83, par. 2, lett. b) del Regolamento); 

- l’adozione, da parte del titolare, di alcune misure, atte a mitigare o a eliminare le conseguenze della violazione (art. 83, par. 2, lett. c), del Regolamento). Al riguardo, vanno positivamente considerate la circostanza che Deutsche Bank ha provveduto alla cancellazione dei dati dell’interessata, informandone tempestivamente quest’ultima, nonché le iniziative dalla stessa assunte, volte a sensibilizzare il “personale […] preposto allo svolgimento della valutazione del merito creditizio del Prodotto BancoPosta, mediante l’invio di una comunicazione organizzativa interna nella quale si ricorda di evitare di utilizzare, per quanto possibile, nei campi a compilazione libera, informazioni creditizie e dati personali”;

- l’assenza di precedenti pronunce da parte dell’Autorità nei confronti della Banca rispetto alla medesima fattispecie, nonché di reclami analoghi a quello oggetto del presente provvedimento (art. 83, par. 2, lett. e) del Regolamento; 

- la circostanza che la Banca abbia cooperato con l’Autorità nel corso del procedimento (art. 83, par. 2, lett. f) del Regolamento.

Alla luce degli elementi sopra indicati e delle valutazioni effettuate, si ritiene, nel caso di specie, di applicare nei confronti di Deutsche Bank S.p.A., la sanzione amministrativa del pagamento di una somma pari ad euro 33.000,00 (euro trentatremila,00).

Si ritiene, infine, che ricorrano i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019.

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi degli artt. 57, par. 1, lett. f) e 83 del Regolamento, rileva l’illiceità del trattamento effettuato da Deutsche Bank, in persona del legale rappresentante pro tempore, con sede legale in Milano, Piazza del Calendario n.3, C.F./P.I. 01340740156, ai sensi dell’art. 143 del Codice, per la violazione degli artt. 5, par. 1, lett. a) e 13 del Regolamento;

ai sensi dell'art. 58, par. 2, lett. d) del Regolamento ingiunge alla summenzionata Banca di conformarsi, entro 6 mesi dalla data della notifica del presente provvedimento, alla prescrizione formulate al par. 5 della presente decisione, richiedendo al contempo alla stessa di fornire, entro il predetto termine, un riscontro adeguatamente documentato ai sensi dell'art. 157 del Codice; l’eventuale mancato riscontro può comportare l'applicazione della sanzione amministrativa pecuniaria prevista dall'art. 83, par. 5, lett. e) del Regolamento;

ORDINA

ai sensi dell’art. 58, par. 2, lett. i), del Regolamento, a Deutsche Bank, di pagare la somma di euro 33.000,00 (euro trentatremila,00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento;

INGIUNGE

quindi a Deutsche Bank S.p.A. di pagare la predetta somma di euro 33.000,00 (euro trentatremila,00) secondo le modalità indicate in allegato, entro trenta giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981. Si rappresenta che resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento -sempre secondo le modalità indicate in allegato- di un importo pari alla metà della sanzione irrogata, entro il termine di cui all’art. 10, comma 3, del d. lgs. n. 150 del 1° settembre 2011 previsto per la proposizione del ricorso come sotto indicato;

DISPONE

- ai sensi dell’art. 17 del Regolamento n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.

- ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento del Garante n. 1/20129, la pubblicazione del presente provvedimento sul sito internet dell’Autorità;

- ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/20129, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante.
Ai sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 7 ottobre 2026                     

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Montuori