Fuite de données: la banque italienne Intesa Sanpaolo condamnée à une lourde amende

La banque Intesa Sanpaolo a été condamnée à une amende de 31,8 millions d’euros pour avoir sous-estimé une fuite de données informatiques ayant touché plus de 3.000 clients, a annoncé lundi l’Autorité italienne de protection de la vie privée.

Entre février 2022 et avril 2024, un employé de la grande banque italienne à Barletta (sud) a accédé « sans motif légitime » aux informations bancaires de 3.573 clients, a précisé l’autorité dans un communiqué.

Cet employé du réseau agricole d’Intesa a consulté les comptes courants et investissements de proches et collègues, mais aussi de clients « à haut risque », dont des personnalités politiques, « pour lesquelles des dispositifs de contrôle renforcés auraient été nécessaires », selon l’autorité.

« Ces accès indus n’ont pas été détectés par les systèmes de contrôle internes, mettant en évidence des dysfonctionnements importants dans les mécanismes de surveillance et de prévention », a souligné l’autorité, reprochant à Intesa Sanpaolo, de « graves carences dans la protection des données personnelles ».

L’autorité reproche à la banque de l’avoir notifiée, ainsi que les clients concernés, de manière « incomplète et tardive » par rapport aux délais prévus par la réglementation.

Le système informatique de la banque avait émis une première alerte en octobre 2023 mais l’employé n’a été licencié qu’en juillet 2024, la banque alertant ensuite l’Autorité de protection de la vie privée.

La banque a déclaré à l’autorité ne pas aovir détecté d’extraction des données par le salarié, seulement leur consultation.

Contactée par l’AFP, Intesa Sanpaolo n’a pas souhaité commenter cette décision, dont elle peut faire appel devant la justice.

La banque turinoise a écopé le 12 mars d’une autre amende de 17,6 millions d’euros pour avoir transféré les données de 2,4 millions de ses clients à sa filiale de banque en ligne, Isybank, « de manière illégale » et sans le consentement éclairé de ces clients.