3 Lästid Italiens dataskyddsmyndighet har bötfällt Poste Italiane och dess betalningsdotterbolag Postepay med sammanlagt 12,5 miljoner euro för att ha krävt alltför omfattande åtkomst till användarnas mobila enheter. Enligt myndigheten rör det sig om olaglig behandling av personuppgifter som påverkat miljontals användare.
Böterna uppgår till 6 624 000 euro för Poste Italiane S.p.A. och 5 877 000 euro fört Postepay S.p.A., enligt ett uttalande från myndigheten.
Övervakade mer data än nödvändigt
Den insamlade datan behandlades via anti-bedrägeriplattformen ThreatMetrix, som skapar riskprofiler för enheter genom att analysera signaler som appaktivitet, enhetens säkerhetsstatus och eventuell förekomst av skadlig kod.
Poste Italiane och Postepay hävdade att datainsamlingen vad nödvändig för att uppfylla EU:s betaltjänstdirektiv (PSD2) och för att förebygga bedrägerier. Dataskyddsmyndigheten delar dock inte den bedömningen.
Enligt myndigheten måste även säkerhetsåtgärder vara proportionerliga. Även om systemen främst samlade in hashade identifierare (MD5) istället för klartext, anses dessa uppgifter ändå kunna kopplats till enskilda individer. Därmed kan de avslöja känslig information, såsom ekonomiska vanor, hälsotillstånd eller personliga intressen.
Poste Italiane slår tillbaka
Poste Italiane har meddelat att bolaget kommer att överklaga beslutet, som man anser vara både rättsligt och sakligt felaktigt. I ett uttalande avvisar företaget anklagelserna och framhåller att dess agerande varit korrekt och transparent.
Bolaget pekar även på en tidigare dom från en regional förvaltningsdomstol i Lazio, som i februari 2026 upphävde ett beslut om påstått otillbörliga affärsmetoder kopplade till samma anti-bedrägerisystem. Enligt domen ansågs åtgärderna vara legitima och sakna kommersiellt syfte.
Poste Italiane menar att insamlingen av teknik data från användarnas enheter skett lagligt och enbart i syfte att skydda mot bedrägerier och skadlig kod, i enlighet med gällande EU-regler.
Utredning efter användarklagomål
Utredningen inleddes i april 2024 efter ett flertal klagomål från användare. Totalt mottog myndigheten över 140 rapporter och ett dussintal formella anmälningar frn personer som reagerat på att apparna begärde tillgång till enhetsdata för att upptäcka eventuell skadlig programvara.
Granskningen identifierade flera brister, bland annat otillräcklig transparens, avsaknad av en tillräcklig konsekvensbedömning (DPIA), svaga säkerhetsåtgärder samt otydlig ansvarsfördelning kring personuppgiftsbehandling.
Utredarna fann också att vissa backend-system lagrade data om enheter och transaktioner i upp till 28 månader i externa analysmiljöer – betydligt längre än vad som tidigare kommunicerats till användarna.
Beslutet är en del av en bredare trend där Italiens dataskyddsmyndighet intensifierat sin tillsyn enligt GDPR. Nyligen bötfälldes även storbanken Intesa Sanpaolo med motsvarande 31,8 miljoner euro, tillsammans med flera mindre sanktioner mot andra finansaktörer.
Referenser
This post is also available in:
English
Related News
Nordkoreanska hackare kapade Axios-paket för 100 miljoner användare
Nordkoreanska statshackare komprometterade Axios npm-paket den 31 mars 2026 och infogade en cross-platform remote access trojan i en av JavaScripts mest använda HTTP-klienter. Angreppsfönstret varade…
april 22, 2026 
