Италия оштрафовала Intesa Sanpaolo на 31,8 млн евро за утечку внутренних данных

Штраф в 31,8 млн евро, наложенный Италией на Intesa Sanpaolo, — это событие в области контроля за внутренним доступом, а не просто заголовок о защите приватности. Garante установила, что сотрудник банка более двух лет получал доступ к банковской информации тысяч клиентов, включая клиентов с высоким риском, а модель мониторинга банка не выявила схему достаточно быстро, а последующие уведомления преуменьшили масштаб нарушения. Стратегический сигнал: правоприменение в сфере банковской конфиденциальности смещается от отчётности об утечках к проектированию прав на внутренние запросы, порогов мониторинга, эскалации и коммуникации с клиентами.

Действия Garante в марте 2026 года превращают внутренний инцидент в Intesa Sanpaolo в сигнал управления для европейского банковского сектора. Регулятор заявил, что сотрудник получал доступ к банковской информации 3 573 клиентов, совершив более 6 600 обращений в период с 21 февраля 2022 года по 24 апреля 2024 года без обоснованной причины. Доступ не был внешним вторжением; это было злоупотребление внутренним доступом в крупном банке.

Именно это различие делает санкцию значимой. Garante сосредоточилась на модели контроля за правомерным доступом, а не только на том, покинули ли данные банк. В пресс-релизе регулятора указывалось, что неправомерные обращения не были обнаружены системами внутреннего контроля и выявили существенные слабости в мониторинге и предотвращении. Официальное решение связало дело с принципами целостности, конфиденциальности, подотчётности, безопасности обработки, уведомления об утечках и информирования затронутых лиц в соответствии со статьями 5, 24, 32, 33 и 34 GDPR.

Масштаб последствий шире, чем сумма в 31,8 млн евро. Регулятор описал доступ к клиентам с высоким уровнем риска, включая лиц, занимающих важные государственные должности, для которых должны были действовать усиленные меры защиты. В решении также упоминается последующая программа банка по усилению защиты отдельных чувствительных клиентов, ужесточению предварительной авторизации и последующего контроля, а также внедрению динамического маскирования данных.

Эти меры устранения нарушений раскрывают контур контроля: кто может запрашивать какие клиентские досье, как обнаруживаются необычные обращения, когда происходит эскалация и когда уведомляются затронутые клиенты.

Intesa Sanpaolo — не мелкая мишень. Группа называет себя одним из ведущих европейских банковских холдингов и лидером Италии в розничном, корпоративном бизнесе и управлении капиталом, обслуживая около 14 миллионов клиентов в Италии. Для учреждения такого масштаба контроль за внутренними доступами — основа операционной устойчивости. За этим событием стоит следить: снизят ли последующие меры банка необоснованное любопытство сотрудников с привилегированным доступом, изменят ли апелляционные процедуры размер санкции и используют ли другие европейские надзорные органы это дело как ориентир для управления доступом в банках.