Non solo le banche, ma anche Poste italiane spa, perlomeno per quel che riguarda l’attività bancaria e finanziaria, dovrà attenersi alle “Prescrizioni in materia di circolazione delle informazioni in ambito bancario e di tracciamento delle operazioni bancarie”. Misure introdotte dal Garante per la protezione dei dati personali in assenza di una normativa che obblighi tali realtà a tracciare tutte le operazioni. L’obiettivo -viene sottolineato dalla stessa Autorità- è mantenere i dati dei clienti “più sicuri e al riparo da accessi non autorizzati e intrusioni indebite”.

“Il provvedimento generale -è la spiegazione- tiene conto di numerose istanze pervenute al Garante, di accertamenti ispettivi effettuati tra il 2008 e il 2010 presso le maggiori banche o gruppi bancari e degli esiti di una ulteriore attività di rilevazione svolta in collaborazione con Abi che ha coinvolto 441 banche. Alcuni clienti, in particolare, avevano segnalato che i loro dati erano stati oggetto di accessi indebiti, presumibilmente da parte di dipendenti, e comunicati a terzi che li avevano poi utilizzati per scopi personali, in genere, in cause di separazioni giudiziali e in procedure esecutive”, come i pignoramenti presso terzi.

Ogni operazione di accesso ai dati dei clienti (sia che comporti movimentazione di denaro, sia di semplice consultazione), effettuata da qualunque figura all’interno della struttura, “dovrà essere tracciata attraverso una serie di elementi: il codice identificativo del dipendente, la data e l’ora di esecuzione, il codice della postazione di lavoro utilizzata, il codice del cliente ed il tipo di rapporto contrattuale «consultato» (numero del conto corrente, fido, mutuo, deposito titoli)”. In questo modo l’azienda saprà sempre chi e quando ha avuto accesso ad un determinato conto corrente o ha effettuato operazioni. I file relativi al tracciamento delle operazioni, comprese quelle di semplice consultazione, dovranno essere conservati per un periodo di almeno ventiquattro mesi.

Gli istituti, inoltre, saranno obbligati a prevedere l’attivazione di “alert” che individuino comportamenti anomali o a rischio (come consultazioni massive, accessi ripetuti su uno stesso nominativo). Viene raccomandato, infine, di comunicare al cliente eventuali accessi non autorizzati al conto e di rendere note al Garante le violazioni di particolare rilevanza per quantità, qualità dei dati, numero dei clienti.