Die italienische Datenschutzbehörde hat ihre Entscheidung am Montag bekannt gegeben. Demnach müssen Poste Italiane SpA und die digitale Zahlungstochter Postepay SpA zusammen 12,5 Millionen Euro zahlen. Die Behörde wirft beiden Unternehmen vor, die persönlichen Daten von Millionen Nutzern unrechtmäßig verarbeitet zu haben.
Die Strafe verteilt sich auf 6,6 Millionen Euro für den Postdienstleister und 5,9 Millionen Euro für Postepay. Poste Italiane ist ein staatlich kontrolliertes, aber börsennotiertes Unternehmen mit mehreren Tochtergesellschaften, darunter Postepay.
Im Mittelpunkt der Untersuchung standen laut Behörde die Postepay-App sowie eine Schwester-App, die von der Finanzsparte BancoPosta betrieben wird. Beide Anwendungen verlangten von den Nutzern, der Überwachung einer Reihe von Daten auf dem Mobilgerät zuzustimmen – einschließlich installierter und laufender Anwendungen. Ziel war es nach Darstellung der Unternehmen, Schadsoftware zu erkennen.
Die Unternehmen rechtfertigten die Überwachung mit dem Schutz von Transaktionen und der Einhaltung der Regeln für Zahlungsdienste. Die Behörde kommt jedoch zu einem anderen Schluss: Die eingesetzten Methoden seien übermäßig invasiv und für die Betrugsprävention nicht notwendig gewesen.
Darüber hinaus sollen die Unternehmen weitere datenschutzrechtliche Vorgaben verletzt haben. Nach Angaben der Behörde informierten sie ihre Nutzer nicht ausreichend darüber, wie deren Daten verarbeitet wurden, setzten keine hinreichenden Sicherheitsvorkehrungen um und speicherten Daten länger als zulässig.