Il caso Revolut è stato letto come una falla della posta elettronica certificata. È anzitutto la falla di una garanzia: una banca ha consegnato dati personali coperti da tutela forte sulla base dell’autenticità del canale anziché del titolo giuridico della richiesta. Ripartire dalla riserva di giurisdizione, e dal dovere di custodia che grava sull’istituzione bancaria a prescindere dalla tecnologia, consente di spostare il discorso dalla sicurezza informatica ai diritti.
Indice degli argomenti
Caso Revolut e PEC: i fatti e la lettura prevalente
Il 12 settembre 2026 Revolut ha confermato di avere comunicato dati di propri clienti a un soggetto non autorizzato [1]. Secondo le ricostruzioni disponibili, le richieste erano giunte da una casella di posta elettronica certificata autentica, attiva sul dominio legittimo di un’amministrazione pubblica italiana e compromessa dagli aggressori, e sarebbero proseguite per circa cinque mesi prima di essere scoperte [2]. I dati consegnati comprenderebbero documenti d’identità, coordinate bancarie, indirizzi, fotografie utilizzate per la verifica del volto e cronologie delle transazioni [3]; la platea coinvolta, nell’ordine di alcune centinaia di persone, risulta distribuita su trentatré Paesi.
Alle richieste, infine, era allegato un documento presentato come ordine europeo di indagine, la cui autenticità non risulta accertata [1].
La reazione istituzionale è stata ampia. La Procura di Reggio Calabria ha aperto un fascicolo per accesso abusivo a un sistema informatico di interesse pubblico, ai sensi dell’art. 615-ter, c. 3, c.p.; si sono attivate la Direzione nazionale antimafia e antiterrorismo e la Polizia postale; l’Agenzia per la cybersicurezza nazionale ha ricevuto la prima segnalazione il 12 settembre e la Banca d’Italia segue il caso; nel Regno Unito l’Information Commissioner’s Office ha aperto un’istruttoria [4].
Il Garante per la protezione dei dati personali ha chiesto agli istituti di credito di verificare la presenza di comunicazioni anomale provenienti dalla stessa casella e, se del caso, di notificare la violazione ai sensi dell’art. 33 del reg. UE 2016/679, promuovendo al contempo un’azione con l’autorità lituana, competente in quanto sede principale di Revolut [5].
La lettura che si è imposta nel dibattito è quella della sicurezza informatica: la PEC confonde l’autenticità del canale con la legittimità dell’azione, garantisce l’integrità della busta e l’indirizzo di invio ma non l’identità di chi, in quel momento, siede alla tastiera [6]. Su queste pagine la vicenda è già stata ricondotta alla necessità di verifiche ulteriori su autorizzazione, contesto e impatto delle richieste [7]. È una diagnosi corretta, ma parziale. Prima di essere un problema di canali, il caso Revolut è un problema di titoli:
riguarda l’atto in forza del quale un’autorità può pretendere da un privato dati coperti da tutela forte, e il soggetto chiamato a verificarne l’esistenza. È su questo piano, costituzionale prima che tecnico, che conviene spostare l’analisi. Una precisazione è doverosa: i fatti sono ancora in evoluzione, e le considerazioni che seguono si fondano sul meccanismo emerso, non su dettagli che potrebbero essere smentiti.
Dal canale al titolo giuridico nel caso Revolut
La domanda da porsi non è soltanto chi abbia inviato la richiesta, ma su quale base giuridica essa potesse essere avanzata. Nel processo penale italiano l’accesso alla documentazione bancaria è ancorato a un atto dell’autorità giudiziaria. L’art. 248, c. 2, c.p.p. consente all’autorità giudiziaria, o agli ufficiali di polizia giudiziaria da questa delegati, di esaminare presso le banche atti, documenti e corrispondenza, nonché dati, informazioni e programmi informatici; l’art. 255 c.p.p. disciplina il sequestro presso le banche, disposto dall’autorità giudiziaria. Le ipotesi in cui soggetti diversi possono accedere a dati bancari sono tipizzate dalla legge e subordinate a presupposti e autorizzazioni specifici.
In nessun caso la mera qualità di pubblico ufficiale del mittente, e ancor meno l’indirizzo da cui scrive, è di per sé titolo sufficiente.
Il dettaglio dell’ordine europeo di indagine rende il punto ancora più nitido. L’ordine europeo di indagine, disciplinato dalla dir. 2014/41/UE e recepito in Italia con il d.lgs. n. 108/2017, è una decisione giudiziaria emessa o convalidata da un’autorità giudiziaria dello Stato di emissione e trasmessa all’autorità competente dello Stato di esecuzione, che la riconosce e ne cura l’esecuzione secondo il proprio diritto interno [8]. Non è un atto che l’autorità di uno Stato membro indirizza direttamente a una banca stabilita in un altro Stato.
Se le ricostruzioni saranno confermate, l’intermediario si è trovato davanti a una forma giuridica che, per la sua stessa struttura, non poteva raggiungerlo per quella via. L’anomalia non stava nascosta nell’infrastruttura di rete: stava nella forma dell’atto, e sarebbe stata riconoscibile a chi avesse verificato il titolo anziché il mittente. Il punto, come si dirà, è reso meno lineare dalla struttura dell’intermediario coinvolto, che opera in Italia attraverso una succursale ma è governato dalla sede principale in un altro Stato membro (infra, § 7).
La riserva di giurisdizione come presidio nel caso Revolut
La riserva di giurisdizione viene di norma considerata sotto un solo profilo: quello della garanzia dei diritti, assicurata dall’intervento di un terzo imparziale prima che l’autorità incida sulla sfera individuale. Il caso Revolut ne mette in luce un secondo, meno esplorato. Subordinando l’accesso ai dati a un provvedimento del giudice, o comunque a un atto tipico di un’autorità giudiziaria, l’ordinamento circoscrive un insieme ristretto e determinato di soggetti legittimati, impone forme riconoscibili e procedure verificabili.
Chi riceve la richiesta dispone così di criteri oggettivi per accertarne la genuinità, e chi intende contraffarla deve falsificare un atto giudiziario inserito in un procedimento, non soltanto impadronirsi di una casella di posta. La garanzia sostanziale è anche, e per ciò stesso, un presidio di sicurezza.
Quando il destinatario si accontenta dell’autenticità del canale, questo secondo effetto scompare, e con esso si svuota il primo. La garanzia degrada a formalità tecnica: per aggirarla è sufficiente sottrarre le credenziali di chi, nell’apparato pubblico, dispone di un indirizzo accreditato. È la stessa domanda che attraversa, in altro ambito, la disciplina italiana del riconoscimento facciale da parte delle forze di polizia: chi autorizza, e con quale atto [9].
Il filtro della Corte di giustizia sull’accesso ai dati
La giurisprudenza della Corte di giustizia offre un parametro utile. Nella sentenza Prokuratuur del 2 marzo 2021 (C-746/18), resa in materia di accesso delle autorità pubbliche ai dati di traffico e di ubicazione, la Corte ha richiesto che l’accesso sia subordinato al controllo preventivo di un giudice o di un’entità amministrativa indipendente, escludendo che tale funzione possa essere svolta da un pubblico ministero che dirige le indagini e sostiene l’accusa [10]. Il precedente riguarda un settore diverso e va impiegato per analogia, ma il principio è chiaro:
l’accesso pubblico a dati personali sensibili richiede un filtro terzo, e quel filtro è la condizione di legittimità dell’accesso, non un ornamento procedurale.
Il canale europeo per le prove elettroniche
Il confronto con il reg. UE 2023/1543 sulle prove elettroniche, applicabile dal 18 agosto 2026, è istruttivo. Quando il legislatore dell’Unione ha costruito un canale diretto tra autorità giudiziarie e prestatori di servizi privati, superando la mediazione dell’autorità dello Stato di esecuzione, ha accompagnato la scelta con un requisito infrastrutturale: le comunicazioni devono avvenire attraverso un sistema informatico decentrato sicuro e affidabile [11]. Il regolamento non si applica alle banche, per le quali il canale resta quello ordinario. Il caso Revolut mostra che cosa accade quando la richiesta diretta a un privato è priva, allo stesso tempo, del filtro giudiziario e del canale autenticato.
Sicurezza bancaria e PEC oltre il digitale
Sarebbe tuttavia un errore attribuire il caso alla digitalizzazione. Il dovere della banca di custodire le informazioni sui propri clienti e di verificare la legittimazione di chi le richiede precede qualunque tecnologia. Già nel 1974 la Corte di cassazione individuava il fondamento del segreto bancario nella consuetudine, cioè nel comportamento costante delle banche, tenuto nella convinzione di adempiere un preciso obbligo giuridico [12]. La sicurezza dell’istituzione bancaria è sempre stata, prima che una questione tecnica, una questione di verifica dei poteri: dell’autenticità della firma, della validità della procura, della legittimazione di chi dispone e di chi chiede.
Le false richieste dell’autorità su carta intestata, o le telefonate di sedicenti ufficiali di polizia giudiziaria, sono pratiche assai più antiche della PEC.
Il diritto civile offre da tempo il criterio per valutare questi casi. L’art. 1189 c.c. libera il debitore che esegue il pagamento a chi appare legittimato a riceverlo soltanto se l’apparenza si fonda su circostanze univoche e il debitore è in buona fede; l’art. 1176, c. 2, c.c. impone, nell’esercizio di un’attività professionale, una diligenza commisurata alla natura dell’attività esercitata, che per l’operatore bancario la giurisprudenza intende in senso particolarmente rigoroso. Trasposto al caso in esame, il criterio è semplice: l’autenticità del mittente non è di per sé circostanza univoca della legittimazione del richiedente. Il canale certifica la provenienza, non il potere.
Il fondamento di questo dovere, del resto, non è soltanto contrattuale. L’art. 47 Cost. impegna la Repubblica a tutelare il risparmio e a disciplinare, coordinare e controllare l’esercizio del credito: l’affidabilità dell’istituzione bancaria come custode di beni e di informazioni altrui è un interesse pubblico, sul quale si regge la fiducia nell’intero sistema. La digitalizzazione non ha creato il dovere di verifica; ha reso la verifica apparentemente automatica, trasferendo sul livello tecnico un giudizio che resta giuridico.
Il reg. UE 2022/2554 (DORA), applicabile dal 17 gennaio 2025, disciplina la resilienza operativa digitale degli intermediari, ma il caso Revolut non è, in senso stretto, un incidente informatico: i sistemi hanno funzionato, e l’errore si è prodotto nella decisione di dare seguito alla richiesta. Il fenomeno non è isolato: secondo i dati del rapporto CERTFin richiamati nel dibattito, il 96% delle transazioni fraudolente viene autorizzato attraverso processi di autenticazione forte regolarmente completati [13]. L’autenticazione riesce, la legittimità manca.
Dati personali e diritto fondamentale nel caso Revolut
Il profilo costituzionale acquista un rilievo particolare se si considera il modo in cui la Corte costituzionale ha tradizionalmente inquadrato la riservatezza bancaria. Con la sent. n. 51/1992 la Corte ha escluso che al dovere di segreto cui sono tenute le banche corrisponda, in capo ai clienti, una posizione costituzionalmente protetta, osservando che alla base del segreto bancario non vi sono valori della persona umana, ma istituzioni economiche e interessi patrimoniali, ai quali il paradigma di garanzia dei diritti di libertà non è applicabile [14]. La pronuncia riguardava l’accesso dell’amministrazione finanziaria e si inseriva in una stagione di progressivo superamento del segreto a fini fiscali.
Il caso Revolut mostra quanto quel quadro sia oggi mutato. I dati consegnati non sono soltanto saldi e movimenti: sono documenti d’identità, fotografie impiegate per la verifica del volto, che il reg. UE 2016/679 riconduce ai dati biometrici quando siano trattate mediante un dispositivo tecnico specifico per l’identificazione univoca di una persona, e cronologie delle transazioni che restituiscono abitudini, relazioni e spostamenti. Si tratta di dati personali tutelati dagli artt. 7 e 8 della Carta dei diritti fondamentali dell’Unione europea e dall’art. 8 della CEDU. Ciò che nel 1992 poteva essere descritto come interesse patrimoniale è oggi, in larga parte, oggetto di un diritto fondamentale.
La conseguenza sul piano giuridico è netta. La comunicazione di dati personali a un’autorità pubblica è lecita, ai sensi dell’art. 6, par. 1, lett. c), del reg. UE 2016/679, quando sia necessaria per adempiere un obbligo legale cui è soggetto il titolare. Se l’obbligo non esiste, perché l’atto che lo fonderebbe è contraffatto, manca la base giuridica: la comunicazione è illecita indipendentemente dalla buona fede del titolare, che rileverà semmai sul piano della responsabilità.
La verifica del titolo non è dunque soltanto un canone di diligenza contrattuale, ma una condizione di liceità del trattamento, che si salda agli obblighi di integrità e riservatezza e di sicurezza di cui agli artt. 5, par. 1, lett. f), e 32 del medesimo regolamento.
PEC pubblica e identità digitale dello Stato
Concentrare l’attenzione sulla banca non deve far dimenticare che l’identità digitale compromessa è quella di un’amministrazione pubblica. La fiducia riposta nella PEC non è un fatto culturale, ma un effetto normativo: l’art. 48 del d.lgs. n. 82/2005 (Codice dell’amministrazione digitale) equipara la trasmissione mediante posta elettronica certificata, nei casi consentiti dalla legge, alla notificazione per mezzo della posta [15]. È l’ordinamento a chiedere a cittadini e imprese di fare affidamento su quel canale.
Quando una casella istituzionale viene utilizzata per mesi da un soggetto non autorizzato senza che nessuno se ne accorga, il problema investe il buon andamento dell’amministrazione di cui all’art. 97 Cost. e l’affidamento che l’ordinamento stesso ha indotto.
Il fenomeno, peraltro, non è episodico: il CERT-AgID ha gestito dall’inizio del 2026 oltre 650 eventi relativi a caselle PEC abusate o registrate per finalità illecite [16]. Le pubbliche amministrazioni rientrano nel perimetro del d.lgs. n. 138/2024, di recepimento della direttiva NIS 2, e sono titolari del trattamento con obblighi di sicurezza propri. Sul piano convenzionale, la Corte europea dei diritti dell’uomo ha da tempo chiarito che l’art. 8 CEDU impone allo Stato obblighi positivi di protezione dei dati personali, riconoscendo una violazione nel caso di mancata adozione di misure idonee a impedire l’accesso non autorizzato ai dati custoditi da una struttura pubblica [17].
La sicurezza dell’identità digitale delle istituzioni non è dunque una questione organizzativa interna, ma parte del contenuto di un diritto.
Revolut tra IBAN italiano e baricentro lituano
Il caso Revolut porta alla luce un profilo che le cronache hanno lasciato in ombra. Revolut è entrata nel mercato italiano offrendo conti con IBAN lituano, operando cioè dalla Lituania in regime di libera prestazione di servizi, senza alcuna sede sul territorio nazionale. Soltanto dopo anni di attività, e dopo avere raccolto una platea di clienti italiani nell’ordine dei milioni, ha aperto nel novembre 2024 una succursale e ha iniziato a offrire IBAN italiani, proponendosi come banca a tutti gli effetti nel Paese, sottoposta alla vigilanza della Banca d’Italia e della Banca centrale europea [18].
La sede principale, l’autorizzazione e il sistema di garanzia dei depositi sono però rimasti lituani [19], e lituana è l’autorità capofila per la protezione dei dati.
Le succursali di banche comunitarie operano in Italia da decenni, in forza del passaporto europeo, e la loro presenza non costituisce di per sé una patologia. Ma la succursale tradizionale era un presidio territoriale: sportelli, personale, strutture decisionali e di controllo collocati nel Paese in cui la banca raccoglieva il risparmio. La succursale di una banca interamente digitale è altra cosa. La digitalizzazione consente di separare il luogo in cui il servizio è percepito da quello in cui è governato:
l’IBAN italiano colloca formalmente il rapporto in Italia, mentre la gestione resta fortemente ancorata alla struttura lituana, dove si concentrano, per quanto è dato ricostruire, i processi decisionali, di controllo e di relazione con le autorità. La succursale diventa, in questo modello, anzitutto un punto di imputazione giuridica del rapporto, più che un centro di governo dell’attività.
La distanza tra operatività italiana e governo estero
È in questa dissociazione che il caso trova il suo terreno. Un’amministrazione italiana, o chi ne ha sottratto l’identità, si rivolge a un intermediario che appare italiano, attraverso un canale domestico come la PEC, ma la richiesta viene valutata da strutture che operano secondo un altro ordinamento e che difficilmente dispongono della familiarità con le forme e i canali dell’autorità giudiziaria italiana che è propria di una banca radicata sul territorio. Anche la questione del titolo ne risulta complicata:
nei confronti di una banca italiana l’autorità giudiziaria procede secondo il codice di procedura penale, nei confronti di un intermediario stabilito in un altro Stato membro deve di regola ricorrere agli strumenti della cooperazione giudiziaria. Una succursale italiana governata dall’estero colloca il destinatario in una zona intermedia in cui non è immediato stabilire quale atto dovrebbe ricevere. E chi non sa con precisione quale atto dovrebbe ricevere non è in grado di riconoscere quello falso.
Tutela del risparmio e radicamento bancario
Il profilo costituzionale è evidente. L’art. 47 Cost. affida alla Repubblica la tutela del risparmio e il controllo dell’esercizio del credito, ma per una quota crescente di risparmiatori italiani quella tutela è mediata da autorità e da sistemi di garanzia di un altro Stato membro, secondo un riparto che il cliente non percepisce: l’IBAN italiano gli comunica un’appartenenza che il diritto non conferma.
Non si tratta di rimettere in discussione il mercato unico dei servizi bancari, ma di prendere atto che la digitalizzazione ha trasformato la succursale da presidio territoriale a interfaccia, e che le garanzie costruite sul presupposto del radicamento, dalla vigilanza dello Stato ospitante alla familiarità dell’intermediario con le procedure dell’autorità locale, reggono sempre meno. Il caso Revolut è la prima occasione in cui questa trasformazione si manifesta in forma patologica.
Caso Revolut: competenze, vigilanza e rimedi
Il caso presenta infine un profilo che merita di essere segnalato, perché rischia di pesare sull’effettività della tutela. La sede principale di Revolut si trova in Lituania, e in applicazione del meccanismo dello sportello unico previsto dall’art. 56 del reg. UE 2016/679 l’autorità capofila è quella lituana; il Garante italiano può agire in cooperazione, come ha fatto, ma non guida l’istruttoria sulla banca. L’infrastruttura pubblica compromessa è italiana, l’intermediario è vigilato altrove, gli interessati sono distribuiti in trentatré Paesi, e per i clienti del Regno Unito procede un’autorità esterna all’Unione.
Gli interessati conservano il diritto di proporre reclamo all’autorità di controllo dello Stato in cui risiedono (art. 77), di agire in giudizio (art. 79) e di ottenere il risarcimento del danno (art. 82), in un quadro presidiato dal diritto a un ricorso effettivo di cui all’art. 47 della Carta. Ma la frammentazione dei centri di controllo rende più difficile ricostruire in modo unitario le responsabilità, che qui si distribuiscono tra un intermediario privato e un’amministrazione pubblica soggetti a ordinamenti e autorità diverse. Lo Stato la cui infrastruttura ha ceduto non è quello che vigila sulla banca che ha eseguito la richiesta.
Che cosa insegna il caso Revolut sulla PEC
Tre indicazioni emergono con sufficiente chiarezza. Per gli intermediari, la verifica delle richieste dell’autorità deve spostarsi dal mittente al titolo: accertare l’esistenza dell’atto, la competenza di chi lo ha emesso, l’ammissibilità della forma e del canale, e confermarne la genuinità attraverso un canale indipendente da quello di ricezione. Per il legislatore, si pone l’opportunità di tipizzare i canali attraverso cui le autorità possono rivolgere richieste di dati agli intermediari finanziari, estendendo a questo ambito la logica del canale autenticato che l’Unione ha già adottato per le prove elettroniche.
Per le amministrazioni, la sicurezza della propria identità digitale va trattata come un dovere che discende dalla Costituzione e dalla Convenzione, non come un adempimento tecnico.
Il caso Revolut è stato presentato come la prova che la PEC non basta. È vero, ma la conclusione va rovesciata: la PEC non era mai stata la garanzia. La garanzia era il titolo, e in ultima istanza il giudice. Un ordinamento che consente a una banca di consegnare dati personali perché la richiesta proviene dall’indirizzo giusto ha già rinunciato, prima ancora di subire l’attacco, al più efficace dei suoi controlli.
Fonti
[1] ICT Security Magazine, Richieste dell’autorità contraffatte: il caso Revolut, 15 settembre 2026.
[2] ANSA, Pec italiana compromessa, Revolut consegna i dati dei clienti agli hacker, 15 settembre 2026.
[3] Il Tempo, Caso Revolut e l’illusione dell’attacco sofisticato, 17 settembre 2026; iGizmo, Revolut data breach: hacker ottengono dati via PEC italiana, settembre 2026.
[4] iGizmo, Revolut, fuga di dati tramite una PEC del Viminale: esposti anche 15 italiani, settembre 2026.
[5] Garante per la protezione dei dati personali, L’Autorità Garante della Privacy e il caso Revolut, settembre 2026, doc. web n. 10297881.
[6] Intervista a G. Costabile, in Il Tempo, Caso Revolut e l’illusione dell’attacco sofisticato, 17 settembre 2026.
[7] PEC e identità digitali, quella falla nella fiducia svelata dal caso Revolut, in Agenda Digitale, 17 settembre 2026.
[8] Dir. 2014/41/UE, relativa all’ordine europeo di indagine penale, artt. 1, 2 e 7; d.lgs. n. 108/2017.
[9] D. Fuschi, Il volto prima del reato: come il rilievo del Garante ha riscritto il decreto sul riconoscimento facciale, in Agenda Digitale, 2026.
[10] Corte Giust., Grande Sezione, 2 marzo 2021, C-746/18, H.K. c. Prokuratuur.
[11] Reg. UE 2023/1543, relativo agli ordini europei di produzione e agli ordini europei di conservazione di prove elettroniche nei procedimenti penali, artt. 19 e 34.
[12] Cass., 18 luglio 1974, n. 2147.
[13] Borsa&Finanza, Caso Revolut: la nuova frontiera delle frodi sfrutta la fiducia, settembre 2026, con richiamo al Rapporto CERTFin 2026, Sicurezza e frodi in banca.
[14] Corte cost., sent. n. 51/1992.
[15] D.lgs. n. 82/2005, Codice dell’amministrazione digitale, art. 48; d.P.R. n. 68/2005.
[16] Cybersecurity360, Revolut: violati dati di alto profilo, la pista porta al Viminale, settembre 2026.
[17] Corte EDU, 17 luglio 2008, ric. n. 20511/03, I. c. Finlandia.
[18] Borsa&Finanza, Revolut lancia gli IBAN italiani: cosa cambia per i clienti, 18 dicembre 2024; ANSA, Revolut si rafforza in Italia, lancia filiale bancaria e Iban, 16 dicembre 2024.
[19] Revolut Bank UAB – Succursale italiana, Foglio informativo del conto corrente.
Partecipa alla community