L’Autorità Garante per la privacy e il caso Revolut

Sul caso Revolut si è mossa prontamente l’Autorità Garante della Privacy. È partita una verifica immediata su eventuali falle nella sicurezza degli accessi delle banche italiane. Sia per appurare se vi siano stati altri casi di tentata infiltrazione - come nella vicenda Revolut - sia per richiamare gli istituti bancari a un controllo efficace al proprio interno.

Dagli uffici dell’Autorità è partita una comunicazione alla rete dei responsabili di protezione dati (Dpo) degli istituti bancari invitandoli ad una solerte verifica interna sui propri sistemi e, nel caso di falle accertate, a prendere subito contatto con l’Autorità.

Sul tema degli accessi abusi ai conti correnti, già da mesi sta lavorando una task force Autorità-banche per rafforzare le misure di sicurezza.

Considerato che le modalità utilizzate per l'acquisizione illecita di dati personali risultano particolarmente insidiose e non si può escludere a priori che siano stati fatti tentativi analoghi anche nei confronti di altri istituiti di credito, l’Autorità ha chiesto agli istituti bancari di avviare una verifica all’interno dei sistemi per escludere l’eventuale presenza di comunicazioni "anomale" provenienti dalla stessa casella pec ed effettuare gli opportuni approfondimenti. Se dovessero emergere situazioni simili a quelle del caso Revolut, banche e istituti finanziari sono chiamati ad adottare tempestivamente le misure per attenuare i possibili effetti negativi per gli interessati e informare l'Autorità, ai sensi degli artt. 33 del Regolamento.

L’Autorità Garante si è fatta promotrice di un’azione con l’Autorità omologa lituana (dove si trova la sede legale principale di Revolut), fornendo le informazioni in possesso del Garante italiano, e invitando ad uno scambio reciproco, così da rafforzare l’azione di contrasto.

Inoltre, l’Autorità si è mossa sul fronte del Ministero degli Interni per inquadrare più approfonditamente la vicenda Revolut e appurare se vi siano altre banche o istituti finanziari coinvolti, circoscrivendo il danno avvenuto facendo emergere quanti e quali dati siano stati compromessi.

La vicenda, infatti, ha evidenziato alcuni lati deboli delle Pec ufficiali in uso, e su questo occorrerà lavorare approfonditamente.

Intervento del 18.09.2026

(info: Newsletter n. 552 del 30 settembre 2026 Garante Privacy)