Privacy, multa da 5,5 milioni a BBVA per messaggi promo nonostante il no

Il Garante per la protezione dei dati personali ha inflitto una sanzione di 5,5 milioni di euro a BBVA (Banco Bilbao Vizcaya Argentaria) per aver continuato a inviare messaggi promozionali a un cliente nonostante il suo diniego, espresso sia tramite l'app della banca sia rivolgendosi direttamente al servizio clienti. Come riporta Punto Informatico, si tratta di uno dei provvedimenti più pesanti adottati di recente dall'Autorità nei confronti di un istituto bancario.

Secondo la ricostruzione del Garante, l'utente aveva disattivato le comunicazioni commerciali direttamente dall'app della banca e, non vedendo cessare l'invio dei messaggi, aveva ribadito la propria opposizione contattando il servizio clienti. Nonostante questo doppio diniego, le notifiche promozionali sono proseguite per sette mesi, da ottobre 2025 a maggio 2026.

BBVA ha attribuito l'accaduto a un malfunzionamento del proprio software CRM (Customer Relationship Management), che non avrebbe sincronizzato correttamente la revoca del consenso espressa dal cliente con il database utilizzato per la gestione delle comunicazioni di marketing. Il problema, secondo quanto dichiarato dalla banca, sarebbe rimasto isolato al singolo utente ed è stato risolto dopo l'apertura dell'istruttoria da parte del Garante, avviata a fine giugno 2026.

L'istruttoria ha però rivelato ulteriori criticità nella gestione del caso. Il cliente aveva presentato due reclami formali, a ottobre e dicembre 2025, senza ricevere alcun riscontro entro il termine di un mese previsto dal GDPR (Regolamento generale sulla protezione dei dati). L'Autorità ha inoltre accertato che, nel rispondere al cliente, la banca aveva fornito informazioni non corrette sul reale funzionamento dei trattamenti interni dei dati.

Nel motivare la sanzione, il Garante ha sottolineato un principio che va oltre il singolo caso: non basta che il rifiuto del cliente venga registrato da un sistema aziendale, se poi l'organizzazione non è in grado di garantirne l'effettiva applicazione lungo tutte le fasi del trattamento. Il rispetto delle norme sulla privacy, si legge nel provvedimento, non può fermarsi alla singola app o al singolo database: i diversi sistemi informatici di un'azienda devono poter dialogare correttamente tra loro, in modo che la scelta espressa dal cliente venga rispettata ovunque i suoi dati vengano utilizzati.

Nel calcolare l'importo della sanzione, il Garante ha tenuto conto della gravità e della durata della violazione, del fatturato di BBVA - superiore a 500 milioni di euro - e di un precedente provvedimento del luglio 2025, con cui l'Autorità aveva già contestato alla banca un tardivo riscontro a una richiesta di accesso ai dati. Tra gli elementi considerati come attenuante c'è invece l'intervento della banca per far cessare la violazione non appena avviata l'istruttoria.

Oltre alla sanzione pecuniaria, il Garante ha ordinato a BBVA di adottare misure tecniche e organizzative adeguate, tali da assicurare una gestione corretta e tempestiva delle richieste degli interessati e da evitare che situazioni simili si ripetano in futuro.