Per aver comunicato i dati di movimentazione del proprio conto corrente al padre (cliente anch’egli dello stesso istituto), la cliente di una banca ha presentato reclamo per violazione delle norme sulla protezione dei dati personali. In seguito alle valutazioni effettuate sul reclamo, il Garante ha sanzionato l’istituto per 100.000 euro, contestando la violazione dell’art. 5(1)(f) del Regolamento (violazione del principio di confidenzialità dei dati) e 6 (trattamento non lecito). La banca ha giustificato il proprio operato sostenendo la buona fede dell’operatore, poiché il padre della correntista, maggiorenne all’epoca dei fatti, era in passato autorizzato ad operare sul conto in quanto esercente la potestà genitoriale.
L’autorità non ha accolto questa tesi e ha ribadito l’illegittimità del trattamento, osservando come l’istituto non abbia appllicato correttivi adeguati dopo una analoga situazione verificatasi nel 2021.
In questo caso il titolare del trattamento non ha potuto dimostrare un livello adeguato di accountabililty, specie considerando l’analogo incidente avvenuto un anno prima. Misure di accountability in questa situazione potrebbero essere specifiche attività di formazione o sensibilizzazione agli operatori della banca, avvisi a video nel momento in cui viene richiesta la stampa o lo scaricamento di un estratto conto, attività che devono poi poter essere dimostrate.
