In breve

• Mediobanca Premier è stata multata di 100.000 euro dall’autorità italiana per la privacy per non aver fornito a un cliente l’accesso alle sue registrazioni telefoniche.
• Il cliente aveva richiesto le registrazioni dopo un bonifico fraudolento di 10.000 euro dal suo conto.
• La banca ha rilasciato i dati solo dopo un’indagine ufficiale, superando il termine legale di 30 giorni previsto dal GDPR dell’UE.
• Il caso mette in evidenza il diritto legale di accesso ai dati personali, incluse le chiamate registrate, secondo la normativa europea.
• Le truffe telefoniche ai danni dei clienti bancari sono in forte aumento in tutta Europa, sollevando interrogativi su trasparenza e responsabilità delle banche.

L’incubo di un cliente: dalla truffa all’ostruzionismo

Immagina di scoprire che dal tuo conto bancario sono spariti 10.000 euro, sottratti tramite un misterioso bonifico. Il passo successivo più naturale? Chiedere alla banca delle prove - nello specifico, le registrazioni della tua chiamata con il servizio clienti, sperando di ricostruire come si sia svolta la frode. Ma per un cliente di Mediobanca Premier, questa ricerca di risposte si è scontrata non con il supporto, ma con un muro di silenzio.

Dopo essere stato vittima di una sofisticata truffa telefonica, il cliente ha esercitato il suo diritto previsto dall’Articolo 15 del Regolamento Generale sulla Protezione dei Dati (GDPR) per accedere ai propri dati personali - in questo caso, le registrazioni delle conversazioni chiave con il call center della banca. Invece di una collaborazione tempestiva, ha ricevuto una risposta vaga e incompleta. Frustrato, si è rivolto al Garante Privacy, che ha avviato un’indagine formale.

Perché le registrazioni delle chiamate sono cruciali nell’era delle truffe bancarie

Nell’era digitale, le truffe telefoniche - in cui i criminali si spacciano per personale bancario per indurre i clienti a rivelare credenziali o autorizzare trasferimenti - sono un business in forte espansione. Secondo l’Autorità Bancaria Europea, i casi segnalati di “vishing” (phishing vocale) sono aumentati vertiginosamente, costando milioni ogni anno a vittime e banche. La possibilità per i clienti di accedere alle proprie registrazioni telefoniche non è solo una formalità burocratica: può essere l’unica ancora di salvezza per dimostrare cosa è stato detto, cosa è stato autorizzato e se i protocolli di sicurezza sono stati rispettati.

Secondo il GDPR, le persone hanno il diritto di accedere ai propri dati personali, incluse le registrazioni audio, a meno che ciò non leda i diritti di terzi. Le autorità europee hanno più volte chiarito che le banche devono adempiere rapidamente - entro 30 giorni. Il ritardo di Mediobanca Premier, che ha consegnato le registrazioni solo dopo l’intervento del garante, rappresenta una violazione evidente.

Trasparenza sotto accusa: un problema più ampio nel settore bancario

Non si tratta di un caso isolato. In tutta Europa, i clienti hanno segnalato difficoltà simili nell’ottenere accesso ai log o alle registrazioni delle chiamate, soprattutto dopo episodi di frode. Nel 2022, il Financial Ombudsman del Regno Unito ha evidenziato un aumento delle segnalazioni relative all’accesso ai dati e alla trasparenza nelle indagini su frodi bancarie. Gli esperti avvertono che quando le banche sono lente o riluttanti a condividere le prove, si mina la fiducia dei clienti e si ostacolano gli sforzi per combattere la criminalità informatica.

L’autorità italiana per la privacy ha valutato diversi fattori nel determinare la sanzione: il fatturato della banca, l’assenza di precedenti violazioni e la collaborazione finale. Ma il messaggio è chiaro - il diritto del cliente ai propri dati, soprattutto dopo un incidente di sicurezza, non è facoltativo.

WIKICROOK

• GDPR: Il GDPR è una rigorosa normativa UE e UK che protegge i dati personali, imponendo alle aziende di gestire le informazioni in modo responsabile o affrontare pesanti sanzioni.
• Vishing: Il vishing è una truffa telefonica in cui gli aggressori si spacciano per entità affidabili per rubare informazioni sensibili o denaro tramite chiamate ingannevoli.
• Dati personali: I dati personali sono tutte le informazioni che possono identificare una persona, come nomi, indirizzi o foto. Richiedono una gestione attenta per la privacy.
• Richiesta di accesso ai dati: Una richiesta di accesso ai dati è un’istanza formale che consente agli individui di accedere ai dati personali che un’organizzazione detiene su di loro, a tutela dei diritti sulla privacy.
• Garante Privacy: Il Garante Privacy è l’autorità indipendente italiana responsabile dell’applicazione delle leggi sulla privacy, dell’emissione di linee guida e della tutela dei diritti sui dati personali.