Garante italiano multa Poste Italiane e PostePay em mais de €12,5 mi por monitoramento invasivo de apps

Garante per la Privacy aplicou multas totais superiores a 12,5 milhões de euros a duas companhias do grupo postal italiano: €6.624.000 a Poste Italiane S.p.A. e €5.877.000 a PostePay S.p.A.. A sanção, anunciada em nota oficial da autoridade, decorre de um processo administrativo aberto após várias reclamações sobre práticas de tratamento de dados pessoais.

A instrução, iniciada a partir de denúncias recebidas desde abril de 2024, centrou-se nas modalidades de funcionamento das aplicações móveis app BancoPosta e app PostePay. Segundo o relatório da autoridade, os mecanismos exigiam, como condição para o uso dos serviços, que os usuários autorizassem o monitoramento de um conjunto amplo de informações presentes nos dispositivos, incluindo a identificação e o controle das aplicações instaladas e em execução.

Esses controles eram justificados pelas empresas como medidas necessárias para detectar softwares maliciosos e «garantir a segurança das operações» e a conformidade com a normativa relativa aos serviços de pagamento. No entanto, após o cruzamento de fontes e a análise técnica, o Garante per la Privacy concluiu que a coleta e o tratamento solicitado eram «excessivamente invasivos» e não se mostravam estritamente necessários para os fins alegados de prevenção de fraude.

Na prática, a exigência condicionava o acesso a contas e serviços a uma permissão ampla para inspeção de dados do aparelho que, segundo a autoridade, viola princípios fundamentais de proteção de dados e proporcionalidade entre objetivo e meio. A decisão explicita que a proteção contra fraudes deve ser compatível com a salvaguarda dos direitos fundamentais à privacidade.

Fontes do processo indicam que a investigação incluiu avaliações técnicas de telemetria, a análise das solicitações de autorização nas interfaces das apps e o confronto com normas europeias e italianas de proteção de dados. O resultado é uma multa específica para cada empresa, refletindo a responsabilidade distinta das entidades no ecossistema de serviços financeiros digitais.

As empresas notificadas afirmaram, na fase administrativa, que tais tratamentos visavam «garantir a sicurezza delle operazioni» e cumprir requisitos regulatórios aplicáveis aos serviços de pagamento. O expediente do Garante demonstra, no entanto, que alegações de segurança não legitimam automaticamente a coleta extensa de informações sem avaliação de alternativas menos intrusivas.

O desfecho abre espaço para recursos administrativos por parte das empresas. Do ponto de vista prático, a decisão funciona como um alerta setorial: fornecedores de serviços financeiros digitais devem calibrar medidas de combate a fraudes com estrita observância dos limites impostos pela legislação de proteção de dados.

Apuração in loco, análise documental e cruzamento técnico-jurídico constituíram a base do procedimento. A realidade traduzida pela autoridade é clara: medidas de segurança não podem prescindir da proporcionalidade e da minimização no tratamento de dados. A Espresso Italia prossegue o acompanhamento do caso e informará qualquer recurso ou desenvolvimento relevante.