Poste Italiane multata di 4 milioni dall’Antitrust per autorizzazioni invasive delle app Android

Poste Italiane, nel corso del 2024, si è trovata al centro di un procedimento dell'Antitrust, conclusosi con una sanzione da 4 milioni di euro per una pratica commerciale ritenuta scorretta nella gestione delle app per smartphone BancoPosta e PostePay sui dispositivi Android. Secondo l'AGCM (Autorità Garante della Concorrenza e del Mercato), l'azienda avrebbe imposto agli utenti Android l'obbligo di concedere l'accesso a diversi dati personali presenti sul proprio smartphone per poter continuare a utilizzare le applicazioni. In altre parole, se non si accettava questa autorizzazione, le app in questione non potevano essere adoperate. Questo meccanismo, adottato esclusivamente su Android e non su iOS, è stato giustificato da Poste come misura di sicurezza contro possibili frodi. L'Antitrust, però, ha definito la condotta «aggressiva», lesiva della libertà di scelta degli utenti, e contraria agli «articoli 20, 24 e 25 del Codice del Consumo».

Nonostante la modifica del comportamento da parte di Poste (avvenuta a febbraio 2025) e l'assenza di finalità economiche dirette, l'AGCM ha considerato grave l'asimmetria informativa tra l'azienda e i consumatori, molti dei quali potrebbero non possedere le competenze digitali necessarie per valutare l'impatto di tali richieste. Vediamo allora più nel dettaglio cosa è successo e quali sono i punti critici evidenziati dalle autorità competenti.

La violazione di Poste Italiane secondo l’Antitrust

L'origine della vicenda risale a inizio 2024, quando Poste Italiane ha implementato una modifica tecnica che ha reso il funzionamento delle app BancoPosta e PostePay subordinato al rilascio del consenso da parte dell’utente all'accesso a determinati dati personali memorizzati sul proprio dispositivo Android. Si tratta di dati come informazioni sull'hardware, sulla rete, o altri dettagli sensibili che, in assenza di un consenso esplicito, avrebbero impedito l'uso stesso dell’applicazione. Il tutto era motivato, secondo Poste, da un'esigenza di sicurezza: proteggere gli utenti da frodi digitali sfruttando un sistema di rilevamento minacce (una sorta di feed anti-malware) ritenuto più necessario su Android, considerato da Poste più esposto rispetto ad iOS per la sua natura di sistema operativo “aperto”.

L'AGCM ha ritenuto che questa scelta violasse i principi fondamentali del Codice del Consumo. In particolare, l'articolo 24 vieta le pratiche aggressive che limitano indebitamente la libertà di scelta del consumatore, mentre l’articolo 25 vieta ogni forma di pressione indebita per ottenere un determinato comportamento. Secondo l'Autorità, chiedere il consenso per l’accesso ai dati non come opzione ma come condizione vincolante per l’utilizzo delle app rappresentava un’imposizione inaccettabile, perché metteva l’utente nella condizione di dover scegliere tra la propria riservatezza e la possibilità di accedere a servizi essenziali offerti dalle app di Poste.

L'AGCM, nel bollettino dove ha illustrato l'accaduto e il relativo provvedimento preso a danno di Poste, ha parlato anche di «asimmetria informativa», un concetto richiamato dall'AGCM per rafforzare le proprie argomentazioni. In economia e in diritto dei consumatori, si parla di “asimmetria informativa” quando una delle parti coinvolte in una transazione (in questo caso l'utente) dispone di molte meno informazioni rispetto all'altra (in questo caso Poste Italiane), che può utilizzarle per trarre vantaggio dalla situazione.

Anche l'AGCOM (Autorità per le Garanzie nelle Comunicazioni), è intervenuta esprimendo un giudizio negativo sulla condotta di Poste. Ha evidenziato che il mezzo stesso attraverso cui il servizio viene offerto – cioè le app – è in grado di influenzare significativamente le scelte dei consumatori. Se un'app presenta messaggi che lasciano intendere che l’autorizzazione ai dati sia necessaria e non negoziabile, l’utente può essere indotto a dare un consenso che in condizioni normali avrebbe potuto negare, solo per non perdere accesso a funzionalità fondamentali.

Perché Poste è stata multata di 4 milioni anche se ha modificato il comportamento scorretto

È vero che Poste, nel corso dell’anno, ha rivisto la propria posizione: dal 18 febbraio 2025 le sue app non vengono più bloccate se l'utente rifiuta di concedere loro l'accesso ai dati presenti sul proprio smartphone Android, e viene data la possibilità di revocare il consenso già concesso. Tuttavia, per l'Antitrust questa correzione tardiva non è stata sufficiente ad annullare la portata della violazione, che è stata valutata sulla base dei mesi in cui la pratica era attiva e delle sue implicazioni sui diritti dei consumatori.

non perderti questo articolo

Perché Facebook ha ricevuto una multa di 798 milioni di euro: gli scenari per il mercato digitale