Sanzione privacy a BBVA: quando il CRM vanifica il diritto di opposizione

Maximulta da oltre 5,5 milioni di euro per BBVA Italia: un caso che torna ad accendere i riflettori sui comportamenti non conformi al GDPR e in particolare nel mancato rispetto delle scelte dell’utente nel fare opt-out.

Questa volta a essere sanzionato è il Banco Bilbao, succursale italiana, a seguito del reclamo di un cliente/utente che, nonostante la propria opposizione a ricevere le comunicazioni commerciali tramite l’app e ribadito poi il proprio “no” al Servizio Clienti, ha continuato a ricevere messaggi promozionali, evidenziando una “falla nei processi di gestione dei dati”.

Il rispetto della normativa in materia di protezione dati non può fermarsi alla singola app o al singolo database. I vari sistemi aziendali devono essere in grado di dialogare correttamente e le procedure non devono essere dei pezzi di carta, ma devono garantire che la scelta del cliente venga rispettata lungo tutte le fasi del trattamento dei dati.

Sanzione privacy alla BBVA: cosa è successo

Con il provvedimento del 3 settembre 2026 [doc. web n. 10291895], reso pubblico con la nota dell’11 settembre 2026, l’Autorità Garante per la Protezione dei Dati Personali ha dichiarato la “illiceità del trattamento di dati personali” per non aver trattato i dati in modo lecito, corretto e trasparente (art. 5, par. 1, lett. a), per non aver risposto all’interessato/utente (art. 12) e non dato corso all’esercizio del suo diritto di opposizione (art. 21), irrogando una sanzione pesante di oltre 5,5 milioni di euro.

Plurime, dunque, sono state le violazioni in termini di protezione dati, tra cui spicca un “disallineamento informativo tra quanto […] dichiarato dalla Società e quanto comunicato dal Servizio Clienti al reclamante”, scrive il Garante.

È chiaro che una tale evidenza è apparsa immediata conseguenza di misure organizzative non adeguate che, continua il Garante “come effetto, hanno avuto quello di fornire all’esterno informazioni non corrette e non trasparenti”. La gravità è data dal fatto che, in situazioni del genere, il Servizio Clienti diviene il primo punto di contatto tra gli interessati e il titolare del trattamento. Ma andiamo con ordine.

I fatti: tra difesa della BBVA e i difetti tecnici

La vicenda trae origine da un reclamo presentato da un cliente nel marzo del 2026, il quale lamentava la ricezione di comunicazioni commerciali in-app da parte del BBVA, succursale italiana.

Le difese del BBVA sono consistite nel giustificare la disattivazione della ricezione delle notifiche commerciali, non sincronizzata con il CRM (Customer Relationship Management) ingenerando così un “ritardo implementativo della disattivazione delle notifiche”, durate per sette mesi, con almeno dieci notifiche di messaggi promozionali non richiesti.

In sintesi, un errore tecnico avrebbe impedito, secondo la banca, “il corretto allineamento tra i sistemi aziendali e la piattaforma incaricata di governare le comunicazioni commerciali alla clientela”.

Le criticità emerse dall’istruttoria e l’opinione del Garante

Dalla lettura del provvedimento, risaltano le criticità emerse in sede istruttoria.

Anzitutto, la banca non ha fornito al cliente/utente un riscontro corretto nell’esercizio dei suoi diritti, e in particolare di opposizione, fornendo anche informazioni errate sul funzionamento dei trattamenti interni.

Quando, invece, la normativa è chiara nello stabilire che “qualora i dati personali siano trattati per finalità di marketing diretto, l’interessato ha il diritto di opporsi in qualsiasi momento al trattamento dei dati personali che lo riguardano effettuato per tali finalità, compresa la profilazione nella misura in cui sia connessa a tale marketing diretto” (art. 21, par. 2 GDPR).

Nel caso di specie, il cliente aveva più volte comunicato al Servizio Clienti della Banca l’opposizione al trattamento opt-in, nonché in app.

Non solo, non ha fornito riscontro al cliente/interessato nei tempi (entro un mese) e modi espliciti, previsti chiaramente dall’art. 12, limitandosi la BBVA a indicare la procedura standard per modificare le impostazioni dell’app della Banca.

Nessuna informazione risulta data, come invece la BBVA in qualità di titolare avrebbe dovuto dare circa le azioni intraprese.

Secondo il Garante, dunque, il malfunzionamento avanzato dalla BBVA non è sufficiente a escludere la responsabilità della banca, in termini di accountability.

Ecco che la decisione del Garante in parola, mette in evidenza un principio di portata ben più ampia: “non è sufficiente che il no del cliente venga registrato da un sistema se poi l’Organizzazione non è in grado di garantirne l’effettiva applicazione”.

Costa caro non avere adottato adeguate misure di sicurezza

La sanzione in questione dimostra che può costare caro non aver adottato adeguate misure di sicurezza, e nel caso di specie le ha anche prescritte.

In primis, il Garante ha imposto a BBVA di “adottare adeguate misure tecniche e organizzative volte a facilitare l’esercizio dei diritti degli interessati e a garantire una corretta e tempestiva gestione delle loro richieste”.

Non sono infatti ammissibili mancate risposte all’interessato, né possono bastare, come nel caso di specie, messaggi del tenore “… Ti comunichiamo che si possono regolare solamente le comunicazioni tramite email, l’app è uguale per tutti i clienti e non possiamo rimuovere le notifiche pop-up, non le mettiamo noi del servizio clienti, ti ripetiamo, l’app è uguale per tutti, se non ha bisogno dei servizi delle notifiche promozionali, può ignorare le notifiche”.

Peggio ancora far passare cioè le comunicazioni non desiderate come una qualcosa di tecnicamente inevitabile e, invitare lo stesso reclamante a ignorarli se non interessato.

In conclusione

Da una sanzione massiccia il messaggio è chiaro: i problemi tecnici non possono esimere il titolare da rispettare la normativa di settore che impone una serie di adempimenti dal dare la possibilità all’utente di esercitare il suo diritto di opt-out in qualunque momento, e il titolare del trattamento non solo deve garantirglielo tempestivamente ma deve anche aver predisposto, fin dalla progettazione (by design) un impianto congruo e coerente, nonché funzionante nella pratica.

È inutile avere belle procedure inapplicabili o che rimangono lettera morta.