E-banking e sicurezza

Voleva controllare on line la situazione del proprio conto corrente ma, per un baco del server della banca, si era trovato a navigare tra numeri di conto, bonifici, polizze, operazioni bancarie di altri ignari clienti. Ha deciso, quindi, di rivolgersi al Garante della privacy per vedere tutelato il suo diritto alla riservatezza.

Dalla denuncia di questo correntista sono partite nel gennaio 2003 le verifiche dell’Autorità sull’operato di un istituto bancario che offriva servizi per via telematica. Gli accertamenti si sono conclusi con la denuncia alla magistratura e con un provvedimento che ha ordinato all’istituto di adottare rigorose misure di sicurezza.
Le misure di sicurezza da adottare prevedono in particolare l’utilizzo di una o più parole chiave per l’accesso ai dati da fornire al personale della banca incaricato all’uso dei dati personali e l’attribuzione a ciascun cliente abilitato ai servizi di Internet banking, di un codice identificativo personale per le consultazioni telematiche.

Il caso, di estrema rilevanza considerati gli sviluppi delle attività bancarie e finanziarie svolte on line, è stato illustrato nella newsletter settimanale del Garante.

A giustificazione del proprio operato la banca aveva dichiarato che l’accesso anomalo ai dati dei correntisti si sarebbe verificato solo per pochi giorni durante i quali erano in corso alcune attività tecniche connesse all’affidamento della gestione del sito web della banca ad una società esterna, ed era in funzione un cosiddetto server di back up.
L’erronea configurazione dei programmi installati su questo server (il cosiddetto “browsing”), alla quale è stata attribuita la visualizzazione dei dati dei correntisti, sarebbe stata poi corretta tempestivamente.

Il Garante ha ritenuto che la banca, pur essendovi tenuta anche sul piano penale, non aveva adottato le misure minime di sicurezza previste dalla normativa, in grado di ridurre il rischio di accesso non autorizzato ai dati personali da parte di terzi su reti telematiche (art.3, comma 1, lett. b) del d.P.R. 318/1999).