Italie: la banque Intesa Sanpaolo sanctionnée pour profilage illégal de ses clients

L’autorité italienne de protection des données personnelles (GPDP) a infligé une amende de 17,6 millions d’euros à Intesa Sanpaolo, première banque italienne, pour avoir utilisé illégalement les données de 2,4 millions de ses clients afin de transférer leurs comptes vers une de ses filiales.

« De graves violations ont été mises au jour lors de l’enquête », précise dans un communiqué le régulateur, qui dit avoir ouvert cette dernière « après de nombreux signalements de titulaires de comptes ».

Pour identifier ceux de ses clients qu’elle pourrait transférer vers sa filiale Isybank, une banque 100% en ligne, Intesa Sanpaolo a, selon l’organisme de surveillance, « procédé à un profilage de sa clientèle sans fondement juridique approprié ».

« Plus précisément, les clients répondant à certains critères ont été sélectionnés: être âgé de 65 ans ou moins, avoir utilisé fréquemment les canaux numériques au cours de l’année précédente, ne pas détenir de produits d’investissement et disposer de ressources financières inférieures à un certain seuil ».

Or ce transfert forcé de leurs comptes a eu un « impact significatif » sur la situation des clients concernés, entraînant une « modification unilatérale des conditions contractuelles et des modalités de fonctionnement du compte courant par rapport à celles initialement prévues », relève le communiqué de la GPDP.

Les clients se sont notamment vu attribuer un nouvel IBAN, les obligeant à communiquer ce dernier à des tiers, et n’ont plus pu accéder à leurs comptes que via l’application, la banque numérique Isybank ne disposant pas d’agences physiques.

Par ailleurs, « les communications envoyées aux clients pour les informer de cette opération se sont également révélées insuffisantes », ajoute l’autorité italienne, qui précise qu’elles ont été « majoritairement envoyées durant l’été dans la section +Archives+ de l’application Intesa Sanpaolo », sans être doublées de notifications push ou de SMS.

jra/de