イタリア、Intesa Sanpaolo に内部データ侵害で 3180 万ユーロの罰金

イタリアの Intesa Sanpaolo に対する 3180 万ユーロの制裁は、単なるプライバシーに関する見出しではなく、内部アクセス管理の問題である。Garante は、銀行員が 2 年以上にわたり、ハイリスク顧客を含む数千人の顧客の銀行情報にアクセスし、銀行の監視モデルがそのパターンを十分迅速に検知できず、その後の通知でも侵害を過小評価していたことを確認した。戦略的シグナルは、銀行のプライバシー執行が、侵害報告から内部照会権限、監視基準、エスカレーション、顧客コミュニケーションの設計へと移行しつつあることだ。

2026 年 3 月の Garante の措置は、Intesa Sanpaolo の内部インシデントを欧州銀行セクターにとってのガバナンスシグナルへと変えた。規制当局は、正当な理由なく 2022 年 2 月 21 日から 2024 年 4 月 24 日までの間に、行員が 3,573 人の顧客の銀行情報に 6,600 回以上アクセスしたと発表した。このアクセスは外部からの侵入ではなく、大手銀行内での内部アクセスの悪用だった。

この区別こそが、制裁が重要である理由である。Garante は、データが銀行の外部に出たかどうかだけでなく、正当なアクセスをめぐる管理体制に注目した。同氏のプレスリリースでは、不適切なアクセスが内部統制システムによって検知されず、監視と予防に重大な弱点があることが明らかになったと指摘された。正式な決定では、この事案を RGPD 第 5 条、第 24 条、第 32 条、第 33 条、第 34 条に基づく、完全性、機密性、説明責任、処理の安全性、侵害通知、およびデータ主体への通知の原則に関連付けた。

影響の範囲は 3,180 万ユーロの金額よりも広い。規制当局は、重要な公的役職にある人物を含むハイリスク顧客へのアクセスについて説明し、本来であればより強固な保護が存在すべきだったと指摘した。また、決定では、銀行が事後的に、特定の要注意顧客に対する保護を強化し、事前の承認と事後の管理を強化し、動的データマスキングを導入する計画を立てたと言及している。これらの改善点は、誰がどの顧客ファイルに問い合わせできるのか、異常なアクセスがどのように検知されるのか、いつエスカレーションされるのか、そして対象となる顧客にいつ通知されるのか、という管理体制を明らかにするものである。

Intesa Sanpaolo は小規模な標的ではない。同グループは、自らを欧州有数の銀行グループであり、リテール、企業、資産管理業務においてイタリアのリーダーであり、イタリア国内で約 1,400 万人の顧客にサービスを提供していると説明している。この規模の機関にとって、内部アクセスの監視はオペレーショナルレジリエンスの中核である。銀行のインシデント後の管理が内部関係者の不適切な関心を減少させるか、上訴手続きが制裁を変更するか、他の欧州の監督当局がこの事案を銀行アクセスガバナンスの基準として使用するかどうかを追跡する価値がある。