Itália multa Intesa Sanpaolo em €31,8 milhões por violação de dados internos

A sanção de 31,8 milhões de euros da Itália contra o Intesa Sanpaolo é um evento de controle de acesso interno, não apenas uma manchete de privacidade. A Garante constatou que um funcionário do banco acessou informações bancárias de milhares de clientes por mais de dois anos, incluindo clientes de alto risco, enquanto o modelo de monitoramento do banco não detectou o padrão com rapidez suficiente e as notificações posteriores minimizaram a violação. O sinal estratégico é que a fiscalização da privacidade bancária está migrando da notificação de violações para o design de direitos de consulta interna, limites de monitoramento, escalada e comunicação com o cliente.

A ação da Garante de março de 2026 transforma o incidente interno do Intesa Sanpaolo em um sinal de governança para o setor bancário europeu. O regulador declarou que um funcionário acessou as informações bancárias de 3.573 clientes, realizando mais de 6.600 consultas entre 21 de fevereiro de 2022 e 24 de abril de 2024 sem justificativa. O acesso não se apresentava como uma intrusão externa; tratava-se de uso abusivo de um acesso interno dentro de um grande banco.

Essa distinção é a razão pela qual a sanção é importante. A Garante concentrou-se no modelo de controle em torno do acesso legítimo, e não apenas na questão de saber se os dados haviam saído do banco. Seu comunicado de imprensa indicava que os acessos inadequados não foram detectados pelos sistemas de controle interno e revelavam fragilidades significativas na supervisão e prevenção. A decisão formal vinculou o caso aos princípios de integridade, confidencialidade, responsabilidade, segurança do tratamento, notificação de violação e comunicação aos titulares, nos termos dos artigos 5, 24, 32, 33 e 34 do GDPR.

O impacto é mais amplo que o valor de 31,8 milhões de euros. O regulador descreveu o acesso a clientes de alto risco, incluindo pessoas que ocupam cargos públicos importantes, para os quais proteções reforçadas deveriam existir. A decisão menciona também o programa subsequente do banco para reforçar as proteções para certos clientes sensíveis, fortalecer a autorização ex ante e os controles ex post, e introduzir mascaramento dinâmico de dados.

Esses pontos de remediação revelam a superfície de controle: quem pode consultar quais registros de clientes, como acessos incomuns são detectados, quando isso escala e quando os clientes afetados são informados.

O Intesa Sanpaolo não é um alvo pequeno. O grupo se descreve como um dos principais grupos bancários europeus e líder italiano nas atividades de varejo, corporativo e gestão de patrimônio, servindo cerca de 14 milhões de clientes na Itália. Para uma instituição desse porte, a supervisão dos acessos internos está no centro da resiliência operacional. É adequado acompanhar o evento para ver se os controles pós-incidente do banco reduzem a curiosidade privilegiada, se os procedimentos de recurso alteram a sanção e se outros supervisores europeus usam o caso como referência para a governança de acessos bancários.