Sancions a Poste Italiane i Deutsche Bank per falta de transparència

La transparència en el tractament de dades personals no és només un requisit formal, sinó un pilar fonamental del Reglament General de Protecció de Dades (RGPD). Recentment, l'Autoritat de Protecció de Dades (DPA) d'Itàlia ha enviat un missatge clar al sector financer i de serveis amb dues sancions administratives dirigides a Poste Italiane i Deutsche Bank. El cas, que ha culminat amb una multa combinada de 81.000 euros, posa de manifest els riscos que comporta una gestió imprecisa de les figures legals de responsabilitat en el tractament de la informació.

L'origen del conflicte: una queixa interna

El procés sancionador no va començar per una inspecció rutinària, sinó per la denúncia d'una emplegada de Poste Italiane. La treballadora havia sol·licitat un préstec a través de BancoPosta, però la seva sol·licitud va ser rebutjada. En el procés posterior, va descobrir que una quantitat considerable d'informació sobre la seva situació econòmica i patrimonial era accessible a través d'una plataforma utilitzada pel personal autoritzat de l'empresa.

Entre les dades exposades es trobaven el seu rendiment net i els seus compromisos financers actuals. Davant d'aquesta revelació, la denunciant va qüestionar la legalitat de la divulgació d'aquesta informació i va exigir la seva eliminació immediata, cosa que va activar la maquinaria d'investigació de l'autoritat reguladora italiana.

La discordança entre contractes i realitat operativa

L'investigació feta per la DPA ha revelat una incongruència crítica entre el que estava escrit en els contractes i com es gestionaven realment els dades. Segons els acords formals entre Poste Italiane i Deutsche Bank, la relació de tractament de dades estava definida d'una manera determinada. No obstant això, la realitat operativa demostrava que ambdues entitats actuaven com a responsables independents del tractament.

En aquest esquema, Poste Italiane es dedicava a recollir les sol·licituds de préstec i a realitzar activitats d'intermediació, identificant els productes financers més adequats per a cada client. Per la seva part, Deutsche Bank evaluava de manera autònoma la solvència creditícia del sol·licitant i decidia si concedia o no el préstec. Aquesta separació de funcions, tot i ser habitual en el sector, no estava reflectida correctament en la documentació informativa proporcionada als usuaris.

Deficiències en els avisos de privacitat

El nucli de la sanció resideix en la falta de claredat dels avisos de privacitat. L'autoritat italiana ha determinat que ni Poste Italiane ni Deutsche Bank van informar adequadament els clients sobre els seus respectius rols ni sobre els fluxos de dades intercanviats. L'EDPB ha detallat que Poste Italiane va fallar en proporcionar informació clara sobre els destinataris dels dades durant la promoció i distribució dels préstecs.

Similment, Deutsche Bank no va identificar correctament Poste Italiane com a un receptor de dades que actuava com a responsable independent. La DPA ha estat taxativa: la necessitat de ser concisos en la informació no pot servir com a justificació per ometre detalls essencials que permetin a l'individu entendre exactament com s'utilitzen els seus dades personals. Aquesta omissió ha suposat una vulneració dels articles 5(1)(a) i 13 del RGPD, que obliguen a la transparència i a la informació detallada.

El cost econòmic de la falta de transparència

Com a conseqüència d'aquestes infraccions, l'autoritat reguladora ha imposat dues multes administratives diferenciades segons la responsabilitat de cada entitat. El repartiment de la sanció s'ha establert de la següent manera:

Poste Italiane ha estat sancionada amb 48.000 euros, mentre que Deutsche Bank ha rebut una multa de 33.000 euros.

Cal destacar que, durant el curs de la investigació, ambdues companyies han procedit a l'eliminació dels dades objecte de la queixa, intentant mitigar l'impacte del cas, tot i que això no ha evitat l'aplicació de les sancions per les faltes informatives prèvies. Més detalls sobre aquestes resolucions poden trobar-se en portals especialitzats com Europrivacy.

L'impacte per a les empreses a Catalunya i Espanya

Aquest cas italià té readings molt directes per a l'ecosistema empresarial català i espanyol, especialment en un moment on la implementació de l'AI Act i el reforç del RGPD estan transformant la gestió de dades. A Barcelona, on el sector fintech i les startups de tecnologia financera creixen a un ritme accelerat, la definició precisa de qui és el responsable del tractament i qui el processador és vital.

Moltes empreses locals operen amb models de col·laboració on una entitat capta el client i una altra processa el servei (com passava amb Poste i Deutsche Bank). Si els avisos de privacitat no reflecten exactament aquest flux, les empreses s'exposen a sancions severes de l'Agència Espanyola de Protecció de Dades (AEPD). L'error habitual és confiar en un contracte intern que regula la relació entre empreses, oblidant que el RGPD exigea que sigui l'usuari final qui entengui aquesta relació.

A més, amb l'arribada de sistemes d'IA per a l'avaluació de crèdits, la transparència es torna encara més crítica. L'AI Act exigirà que els sistemes de puntuació creditícia siguin transparents i explicables. Les empreses catalanes que vulguin escalar els seus models de negoci a nivell europeu han de garantir que la seva arquitectura de dades sigui coherent amb la seva comunicació externa. La lecció d'aquest cas és clara: la conformitat legal no és un document estàtic, sinó que ha de reflectir la realitat operativa diària de l'empresa.

Preguntes freqüents

Fonts: Edpb, Europrivacy, Simplybiz ·