Oltre 12 milioni di multa per Poste Italiane: l’app Android raccoglieva la lista delle app senza consenso

Nel delicato equilibrio tra sicurezza e privacy, un tema che torna ciclicamente al centro del dibattito tecnologico, arriva una decisione destinata a far discutere e, molto probabilmente, a fare scuola. Il Garante per la protezione dei dati personali ha infatti sanzionato Poste Italiane e PostePay per un totale di 12,5 milioni di euro, a causa del modo in cui l’app Android gestiva alcune funzionalità antifrode.

Una vicenda che, andando oltre la semplice multa, mette in luce un aspetto spesso sottovalutato: non è sufficiente avere una finalità legittima (come la prevenzione delle frodi), ma è altrettanto fondamentale rispettare in maniera rigorosa le modalità con cui i dati vengono raccolti e trattati.

Segui TuttoAndroid su Google Discover

Sicurezza sì, ma non a qualsiasi costo

Il punto di partenza è noto, già nel 2024 era emerso che l’app di Poste richiedesse l’accesso a una serie di dati del dispositivo con l’obbiettivo dichiarato di prevenire attività fraudolente. Alla base di questo sistema c’era ThreatMatrix, una piattaforma in grado di creare una vera e propria impronta digitale del dispositivo combinando numerosi parametri tecnici.

Fin qui tutto, più o meno, nella norma. Il problema nasce dal fatto che la configurazione adottata da Poste non si limitava al cosiddetto fingerprint base (già di per sé piuttosto accurato), ma includeva anche un modulo aggiuntivo capace di raccogliere la lista completa delle applicazioni installate sul dispositivo. Ed è proprio quel qualcosa in più ad aver fatto scattare la sanzione.

Secondo il Garante infatti, la raccolta della lista delle app, anche se non in chiaro ma sotto forma di hash, rappresenta un trattamento di dati ben più invasivo di quanto possa sembrare a prima vista. Come molti di voi sapranno, l’insieme delle applicazioni installate può rivelare aspetti estremamente sensibili della vita di una persona: orientamento politico, religioso, stato di salute, abitudini finanziarie, fino ad arrivare a preferenze personali e comportamentali.

E qui entra in gioco il Regolamento generale sulla protezione dei dati: secondo la normativa europea, una raccolta di questo tipo richiede una base giuridica adeguata che, nel caso specifico, non è stata ritenuta valida.

La difesa di Poste (e perché non ha convinto)

Durante l’istruttoria, Poste ha sostenuto che il trattamento fosse giustificato da un obbligo legale legato alla PSD2, la direttiva europea sui servizi di pagamento che impone agli operatori di monitorare eventuali segnali di malware durante le operazioni.

Una linea difensiva che, tuttavia, è stata smontata dal Garante con un’argomentazione piuttosto chiara, la normativa impone un obbiettivo (prevenire le frodi), ma non specifica i mezzi con cui raggiungerlo; di conseguenza, non può essere utilizzata come giustificazione automatica per qualsiasi tipo di raccolta dati.

A quel punto, le alternative per Poste erano sostanzialmente due: richiedere il consenso esplicito agli utenti oppure basarsi sul cosiddetto legittimo interesse, dimostrando però, con una valutazione tecnica documentata, che la soluzione adottata fosse proporzionata e la meno invasiva possibile. Questa valutazione tuttavia, non è stata effettuata.

Un sistema sovradimensionato rispetto alle reali necessità

Dalle verifiche è emerso infatti che il sistema antifrode funzionava efficacemente anche senza l’accesso alla lista delle app installate. Il fingerprint di base fornito da ThreatMatrix, basato su parametri come sistema operativo, hardware, rete, indirizzi IP e altri identificativi, era già sufficiente a identificare i dispositivi con elevata affidabilità.

Non solo, nei primi mesi di utilizzo, il modulo aggiuntivo non ha portato miglioramenti significativi nel rilevamento delle frodi, e la sua disattivazione nel 2025 non ha compromesso il funzionamento dell’app. Un elemento che rafforza ulteriormente la posizione del Garante, se un dato non è strettamente necessario, la sua raccolta non può essere giustificata senza consenso.

Un altro punto interessante riguarda l’utilizzo degli hash MD5 per proteggere la lista delle app, Poste ha sostenuto che, non trattandosi di dati in chiaro, non fosse possibile risalire alle informazioni originali.

Anche in questo caso però, il Garante ha evidenziato un aspetto fondamentale: l’hashing rappresenta una forma di pseudonimizzazione, non di anonimazione. Esistono infatti strumenti in grado di ricostruire facilmente il nome delle app a partire dall’hash, rendendo di fatto il dato riconducibile all’utente.

Cosa cambia adesso e perché questa decisione è così importante

Il provvedimento non mette in discussione l’uso di sistemi antifrode, che restano pienamente legittimi, ma stabilisce un principio molto chiaro: il fingerprint basato su parametri tecnici può essere considerato necessario, mentre la raccolta di informazioni più invasive richiede trasparenza e consenso esplicito.

Poste dovrà ora interrompere rapidamente la raccolta dei dati relativi alle app installate e rivedere anche i tempi di conservazione delle informazioni, risultati più lunghi rispetto a quanto dichiarato.

Si tratta, come anticipato, di una decisione destinata a influenzare l’intero settore. Molte app bancarie e finanziarie utilizzano infatti soluzioni simili, e il confine tracciato dal Garante è piuttosto netto; proteggere gli utenti è fondamentale, ma non può diventare un pretesto per raccogliere più dati del necessario.