Italský úřad pro ochranu osobních údajů (Garante) udělil bance Intesa Sanpaolo pokutu ve výši
31,8 milionu eur (přibližně 774 milionů korun) za závažná pochybení v oblasti zabezpečení a
správy přístupů k osobním údajům. Incident, který zahrnoval neoprávněný přístup k bankovním
informacím více než 3 500 klientů, představuje jeden z největších postihů, které tento úřad kdy
uložil. Pro italskou banku se jedná o další významnou sankci v krátké době, jelikož jen o několik
týdnů dříve obdržela pokutu 17,6 milionu eur za nezákonné zpracování dat 2,4 milionu klientů při
jejich převodu do digitální divize Isybank. Celková výše pokut tak za necelý měsíc dosáhla téměř
50 milionů eur.
Šetření odhalilo, že jeden ze zaměstnanců banky v období od února 2022 do dubna 2024 provedl
celkem 6 637 neoprávněných nahlédnutí do klientských dat bez jakéhokoli profesního
opodstatnění. V klientských portfoliích se přitom nacházely citlivé finanční údaje, včetně zůstatků
na účtech, transakčních historií, pohybů obnosů na kreditních kartách a investičních portfolií. Mezi
zasaženými subjekty se nacházely nejen osoby z osobního a profesního kruhu zaměstnance, ale
také vysoce rizikoví klienti, například politici a další politicky exponované osoby či veřejně známé
osobnosti ze světa sportu a showbyznysu.
Klíčovým problémem bylo samotné nastavení přístupových práv. Banka umožňovala svým
zaměstnancům volný přístup k celé klientské databázi, a tím pádem každý zaměstnanec mohl
libovolně přistupovat k datům jakéhokoli klienta napříč všemi pobočkami. Garante zdůraznil, že
široký model přístupu sice není sám o sobě nezákonný, ale musí být vyvážen proporcionálními
kontrolními mechanismy, které zde zcela selhaly. Absence požadavku na předchozí autorizaci pro
přístup k datům mimo vlastní portfolio a nevhodně konfigurované výstražné systémy způsobily,
že neoprávněné aktivity zůstaly po dobu dvou let neodhaleny.
Kritizován byl rovněž způsob, jakým banka incident ohlásila a jak přistoupila k hodnocení rizik.
Původní oznámení o incidentu z července 2024 uvádělo pouze 9 dotčených osob, přičemž
skutečný rozsah vyšel najevo až po mediálních zprávách v říjnu téhož roku. Banka navíc nesprávně
snížila úroveň rizika z vysoké na střední s argumentem, že se jednalo o interního aktéra, což je v
rozporu s metodikou Evropského sboru pro ochranu osobních údajů. Kvůli tomuto chybnému
posouzení banka zpočátku neinformovala dotčené klienty přímo, učinila tak až v listopadu 2024
po výslovném příkazu úřadu.