Un errore umano può essere davvero considerato un episodio isolato quando continua a ripetersi? Il caso CaixaBank, sanzionata nel luglio 2026 dall’Autorità spagnola per la protezione dei dati (AEPD) per 500.000 euro, offre una risposta interessante.

Nel servizio di assistenza clienti della banca, alcuni correntisti avevano ricevuto documenti appartenenti ad altri clienti, contenenti dati finanziari, documenti identificativi e informazioni relative al recupero crediti.

La banca aveva ricondotto gli episodi a errori umani isolati. L’AEPD ha però contestato questa ricostruzione: problemi analoghi si erano già verificati e diverse violazioni erano state scoperte dagli stessi clienti anziché dai controlli interni.

Il principio che emerge va oltre il singolo caso: quando un errore è prevedibile e si ripete, il problema non riguarda più soltanto chi lo commette, ma anche il modo in cui il processo è stato progettato.

Formare non basta

La formazione del personale resta una misura indispensabile, ma non può essere l’unica risposta.

In un’organizzazione che gestisce migliaia di operazioni è statisticamente prevedibile che, prima o poi, qualcuno selezioni il destinatario sbagliato, alleghi un documento errato o confermi un invio senza accorgersi dell’errore.

La privacy by design e by default richiede allora di intervenire sul processo, costruendo barriere che rendano l’errore più difficile da commettere e, quando accade, permettano di intercettarlo prima che provochi conseguenze.

Quattro livelli di protezione possono aiutare concretamente.

1. Prevenire l’errore

Il primo obiettivo è rendere l’errore strutturalmente più difficile.

La selezione del destinatario può essere collegata all’anagrafica anziché affidata alla digitazione libera; documenti e pratiche possono essere associati automaticamente al cliente corretto; per gli invii più delicati può essere previsto un doppio controllo.

Anche template automatizzati e minimizzazione dei dati visualizzati riducono le occasioni di errore.

2. Intercettare l’anomalia

La seconda barriera deve rilevare ciò che non appare coerente.

Un sistema può generare un alert quando il destinatario non corrisponde a quello associato alla pratica, quando si verifica un volume anomalo di invii o quando vengono utilizzati indirizzi mai impiegati prima.

Fondamentale è anche la tracciabilità: sapere chi ha inviato cosa, quando e verso quale destinatario consente di ricostruire rapidamente un incidente.

3. Limitare le conseguenze

Se l’errore supera le prime barriere, occorre limitarne l’impatto.

Documenti protetti, link con scadenza, accessi condizionati, mascheratura automatica dei dati non necessari e limiti alle esportazioni massive possono impedire che un singolo errore si trasformi in una violazione più grave.

Quando tecnicamente possibile, anche la possibilità di revocare rapidamente un invio costituisce un ulteriore livello di protezione.

4. Imparare dall’incidente

L’ultima barriera è organizzativa.

Ogni incidente significativo dovrebbe portare a una root cause analysis, cioè alla ricerca della causa che lo ha reso possibile, non soltanto della persona che materialmente ha commesso l’errore.

I flussi devono quindi essere riesaminati periodicamente e l’efficacia dei controlli misurata: un indicatore particolarmente utile è capire quanti incidenti vengono individuati dai sistemi interni prima che siano clienti o interessati a segnalarli.

Dall’errore umano alla responsabilità del sistema

La lezione del caso CaixaBank è soprattutto questa: definire un incidente come “errore umano” non esaurisce l’analisi della responsabilità.

Se l’errore è ragionevolmente prevedibile, la privacy by design richiede di chiedersi quali misure tecniche e organizzative avrebbero potuto impedirlo o limitarne le conseguenze.

Formazione, policy e procedure rimangono necessarie. Ma devono essere accompagnate da controlli incorporati nei processi e nelle tecnologie.

La conformità si misura quindi anche nella capacità dell’organizzazione di progettare un sistema nel quale prevenzione, rilevazione, contenimento e miglioramento lavorino insieme affinché un semplice errore non diventi una violazione dei dati personali.

Articolo ripreso da Federprivacy