Sicurezza dei Dati Bancari: L’allarme sui Controlli Interni e la Fiducia nel Sistema

Gli ultimi fatti di cronaca, tra la violazione dei dati bancari di persone più o meno esposte politicamente e gli accessi abusivi alle comunicazioni di tutti i dipendenti del Ministero della Giustizia, riaccendono i riflettori sulla tenuta dei sistemi di controllo contro l’accesso abusivo ai dati riservati. Il dibattito è certamente ampio e complesso, ma qui ci focalizzeremo sui protocolli di sicurezza all’interno delle banche e sulle responsabilità degli organi societari, i cui responsabili possono essere perseguiti civilmente e penalmente anche ai sensi del D.Lgs. 231/2001.

Come tutti i titolari del trattamento dei dati, anche le banche sono obbligate a gestire i dati personali degli interessati in maniera lecita. Oltre ai protocolli imposti dal GDPR, gli istituti di credito devono rispettare precise istruzioni impartite da anni dal Garante per la protezione dei dati personali e dalla Banca d’Italia, che impongono l’adozione di misure tecniche e organizzative per impedire accessi non autorizzati. Queste istruzioni, risalenti già al 2011, richiedono un monitoraggio attivo e costante del comportamento dei dipendenti, corredato da report sui log di accesso.

Negli ultimi anni, intermediari finanziari e banche hanno dovuto introdurre procedure mirate a prevenire comportamenti illeciti da parte dei dipendenti, inclusa l’adozione di software dedicati a intercettare accessi anomali sui conti correnti. Inoltre, è stato necessario nominare diversi responsabili interni e supervisori, come il DPO (Data Protection Officer), il cui ruolo è quello di monitorare costantemente l’impatto della protezione dei dati.

Considerato che le regole esistono già da oltre un decennio, ci si chiede come un dipendente di una filiale possa ancora accedere ai conti correnti di clienti appartenenti ad altre filiali, magari situate a distanza, in assenza di un apparente fondato motivo. Le normative, infatti, stabiliscono che i sistemi debbano includere indicatori di allerta e tracciamento per monitorare comportamenti anomali, come accessi ingiustificati ai conti correnti, consultazioni frequenti senza movimenti anomali, visione di conti appartenenti a filiali non di competenza, indagini su persone politicamente esposte e accessi fuori orario. Se configurati correttamente, questi sistemi dovrebbero impedire tali accessi e, in caso di forzature, generare segnalazioni automatiche ai responsabili del controllo, permettendo loro di intervenire tempestivamente, e non dopo giorni, mesi o anni. Tale assetto, se adottato efficacemente concorre a dotare la banca di un adeguato sistema di presidi.

È evidente che le configurazioni dei sistemi gestionali, spesso lasciate alla discrezione di persone più o meno apicali, possono risultare inadeguate. Nonostante le misure di sicurezza imposte dalle autorità di vigilanza, i controlli interni nelle banche rischiano di non funzionare correttamente, specialmente se non viene effettuato un monitoraggio costante tramite un’analisi regolare degli accessi. A tal proposito, è prevista una debita e periodica informativa agli organi societari di governo.

I recenti eventi hanno evidenziato una debolezza non tanto regolamentare, quanto piuttosto di vigilanza, sollevando interrogativi sull’efficacia dei controlli interni e sull’adeguatezza dei sistemi e delle procedure attualmente in uso. La violazione delle normative sulla privacy non è solo una questione legale, ma anche reputazionale, poiché mina la fiducia dei clienti nel sistema bancario.

Le banche devono urgentemente rivedere le loro procedure e adottare misure efficaci per prevenire l’accesso illecito ai dati. L’implementazione di soluzioni tecnologiche adeguate e un coordinamento efficace tra i vari responsabili, incluse procedure di collaudo e back-testing, sono essenziali per garantire la sicurezza dei dati e proteggere la privacy dei clienti.

In questo contesto, è fondamentale lavorare con esperti per rivedere e migliorare le procedure di controllo interno. 

Solo un sistema integrato e trasparente può garantire la protezione dei dati e mantenere alta la fiducia nel sistema bancario più virtuoso.