Una finalità legittima non rende automaticamente lecito il trattamento
Il provvedimento sanzionatorio adottato ad Aprile dal Garante nei confronti di Poste Italiane e Postepay rappresenta un passaggio particolarmente significativo nel rapporto tra sicurezza digitale, prevenzione delle frodi e tutela dei dati personali.
Il caso nasce dalle segnalazioni e dai reclami di numerosi utenti delle app BancoPosta e PostePay, ai quali veniva richiesto di autorizzare l’accesso a informazioni presenti sui dispositivi mobili per individuare eventuali software dannosi. Il punto centrale non riguarda tanto la legittimità astratta dell’obiettivo perseguito: prevenire frodi nei servizi di pagamento è certamente una finalità rilevante, coerente con gli obblighi di sicurezza che gravano sugli operatori del settore.
La questione riguarda invece le modalità concrete con cui tale finalità è stata perseguita. Il Garante ha infatti chiarito che, in ambito GDPR, non è sufficiente invocare una finalità lecita per rendere automaticamente lecito qualsiasi trattamento di dati personali. Anche quando l’obiettivo è la sicurezza, il titolare deve dimostrare che i mezzi impiegati siano necessari, proporzionati, adeguati e trasparenti rispetto allo scopo perseguito.
In questo senso, il caso evidenzia un rischio sempre più frequente nei servizi digitali: trasformare la sicurezza in una giustificazione generale, capace di estendere il perimetro del trattamento oltre ciò che è realmente indispensabile.
Necessità, proporzionalità e trasparenza: i limiti all’accesso ai dispositivi
Uno degli aspetti più rilevanti del provvedimento riguarda l’uso estensivo del concetto di necessità. Le società coinvolte richiamavano la normativa europea sui servizi di pagamento. Secondo questa norma il sistema antifrode è necessario per garantire la sicurezza delle operazioni e adempiere agli obblighi normativi del settore.
Tuttavia, secondo il Garante, tali obblighi non rendono automaticamente necessario lo specifico trattamento posto in essere, ossia un monitoraggio ampio del contesto digitale dell’utente. La necessità, nel GDPR, non coincide con ciò che è tecnicamente utile o funzionalmente vantaggioso, ma con ciò che non può essere ragionevolmente sostituito da soluzioni meno invasive.
Da questo punto di vista, il trattamento è stato considerato eccedente, anche alla luce dell’art. 122 del Codice privacy, che consente l’accesso alle informazioni archiviate nel dispositivo dell’utente senza consenso solo quando strettamente necessario per erogare il servizio richiesto.
La sicurezza del servizio, però, non può essere confusa con la sua erogazione. Se un controllo ulteriore non è indispensabile per permettere all’utente di utilizzare l’applicazione o eseguire l’operazione richiesta, non può essere sottratto automaticamente alla libera scelta dell’interessato. A ciò si aggiunge il profilo della trasparenza: gli utenti non risultavano messi nelle condizioni di comprendere pienamente quali dati venissero raccolti, con quale estensione e con quali conseguenze.
In trattamenti tecnologicamente complessi, l’informativa non può limitarsi a formule generiche o rassicuranti. Deve rendere percepibile il reale perimetro del controllo effettuato sul dispositivo.
PSD2, accountability e privacy by design: verso una sicurezza realmente sostenibile
Il caso mostra con chiarezza che la PSD2 (Payment Services Directive 2) e il GDPR operano su piani distinti ma complementari.
La PSD2 individua obiettivi e obblighi di sicurezza nel settore dei servizi di pagamento. Il GDPR stabilisce invece le condizioni per cui i dati personali possono essere trattati per perseguire tali obiettivi. La normativa di settore, quindi, non può diventare un alibi normativo né una base giuridica autonoma. Non è possibile giustificare qualsiasi misura tecnica con la motivazione dell’antifrode. Proprio nei contesti ad alto rischio, il principio di accountability impone al titolare una valutazione preventiva, concreta e documentata delle scelte adottate.
In questa prospettiva, la DPIA non è un adempimento formale, ma uno strumento di governo del rischio. Serve a verificare, prima dell’implementazione del trattamento, la compatibilità della soluzione progettata con i diritti e le libertà degli interessati.
Lo stesso vale per l’individuazione dei responsabili del trattamento, per la definizione dei tempi di conservazione e per la limitazione dell’accesso ai dati ai soli soggetti e processi effettivamente necessari.
La sicurezza, dunque, non è intesa come un valore contrapposto alla privacy, ma come una componente della protezione dei dati personali. Un sistema antifrode maturo non è quello che raccoglie il maggior numero possibile di informazioni. Bensì quello che riesce a selezionare i dati realmente necessari, circoscrivere il controllo ai profili di rischio pertinenti, ridurre la durata del trattamento e rendere comprensibile all’utente ciò che accade.
Il provvedimento del Garante non mette in discussione l’importanza degli strumenti antifrode. Richiama le organizzazioni a una progettazione più rigorosa: tra ciò che è tecnicamente possibile e ciò che è giuridicamente sostenibile esiste uno spazio da governare secondo necessità, proporzionalità, trasparenza e privacy by design.