Con provvedimento adottato nell’adunanza del 20 maggio 2025 e pubblicato nel Bollettino n. 22 del 9 giugno 2025, l’Autorità Garante della Concorrenza e del Mercato (AGCM) ha sanzionato Poste Italiane S.p.A. per una pratica commerciale scorretta ai sensi degli articoli 20, 24 e 25 del Decreto Legislativo 6 settembre 2005, n. 206 (Codice del consumo). Il procedimento è stato avviato con comunicazione del 22 aprile 2024 e codificato come PS12768.
L’istruttoria ha riguardato la condotta di Poste Italiane consistente nel subordinare l’utilizzo delle App Banco Posta e PostePay – per dispositivi Android – al rilascio dell’autorizzazione all’accesso ai dati dello smartphone. In caso di mancata autorizzazione, le App venivano bloccate. Tale comportamento è stato ritenuto contrario alla diligenza professionale e connotato da aggressività commerciale.
A partire da aprile 2024, gli utenti Android ricevevano un messaggio che richiedeva l’autorizzazione all’accesso ai “dati di utilizzo” dello smartphone, pena il blocco dell’App dopo tre (poi cinque) accessi. I dati richiesti permettevano a Poste Italiane di conoscere quali App fossero in esecuzione, la frequenza d’uso, l’operatore telefonico, la lingua impostata e altri elementi tecnici.
Numerose segnalazioni lamentavano la scarsa trasparenza, l’ampia portata della richiesta di autorizzazione e l’impossibilità di usare le App senza concessione del consenso. Alcuni utenti segnalavano la presenza di messaggi di sistema che enfatizzavano i rischi legati al monitoraggio del dispositivo.
Poste Italiane ha sostenuto che l’adozione del sistema antifrode fosse in linea con la Direttiva (UE) 2015/2366 (PSD2) e il Regolamento (UE) 2018/389 (RTS), in particolare agli artt. 2 e 18. Ha evidenziato la natura open-source di Android come motivazione della misura. I dati, secondo Poste, erano anonimizzati (mediante hash MD5), segregati e non utilizzati a fini commerciali.
A seguito del procedimento, dal 18 febbraio 2025 Poste ha: (i) eliminato il blocco delle App, (ii) introdotto la facoltà di revoca del consenso, (iii) modificato l’informativa online, (iv) reso disponibile l’opzione “Non mostrare più” per il messaggio di richiesta.
L’Autorità ha ritenuto che la pratica:
- violasse l’art. 20 del Codice del consumo per mancanza di diligenza professionale;
- fosse aggressiva ai sensi degli artt. 24 e 25, per il condizionamento indebito dei consumatori;
- avesse interessato oltre 10-15 milioni di utenti Android;
- fosse sproporzionata rispetto alle finalità di prevenzione delle frodi;
- non fosse imposta da obblighi normativi, come ammesso da Poste nelle controdeduzioni.
La Banca d’Italia ha ritenuto il sistema anti-malware coerente con il quadro normativo, pur non esprimendosi sulla proporzionalità. L’AGCOM ha sottolineato il potenziale impatto delle comunicazioni online sui consumatori. Il Garante Privacy ha espresso il proprio parere (contenuto omissis nel testo).
Tenuto conto:
- della durata della pratica (aprile 2024 – febbraio 2025),
- della diffusione e dell’ampiezza del pregiudizio,
- della dimensione economica del Gruppo (fatturato 2023: €11.989 milioni, EBITDA €3.431 milioni),
- delle misure correttive adottate,
l’AGCM ha determinato una sanzione pecuniaria di €6.000.000, ridotta a €4.000.000 per effetto del ravvedimento operoso, ai sensi dell’art. 27, comma 9, Codice del consumo, e dell’art. 11 della legge n. 689/1981.
AGCM Bollettino n. 22 del 9 giugno 2025
