Il Garante per la protezione dei dati personali ha sanzionato Banco Bilbao Vizcaya Argentaria Italia (BBVA Italia) per oltre 5,5 milioni di euro. Il provvedimento, il n. 613 del 3 settembre 2026 (doc. web n. 10291895), è stato reso pubblico l'11 settembre.

All'origine non c'è un data breach, non c'è un attacco informatico e non c'è una fuga di dati. C'è un cliente che ha detto «no» e un'azienda che, per sette mesi, non è stata in grado di far arrivare quel «no» a tutti i propri sistemi.

I fatti

Il cliente aveva manifestato la propria opposizione alla ricezione di comunicazioni commerciali attraverso l'app della banca. Poi aveva ribadito il rifiuto al Servizio clienti. Ha continuato comunque a ricevere messaggi promozionali da ottobre 2025 a maggio 2026: sette mesi.

La spiegazione fornita dalla banca è di quelle che chiunque lavori nella compliance ha già sentito: un errore tecnico avrebbe impedito il corretto allineamento fra i sistemi aziendali e la piattaforma incaricata di gestire le comunicazioni commerciali alla clientela. Il «no» era stato registrato. Semplicemente, non era arrivato dove serviva.

Per il Garante il malfunzionamento non esclude la responsabilità del titolare. Il principio affermato nel provvedimento è più ampio del caso concreto: non è sufficiente che la volontà dell'interessato venga registrata da un sistema, se poi l'organizzazione non è in grado di garantirne l'effettiva applicazione lungo tutte le fasi del trattamento. I diversi sistemi aziendali devono dialogare correttamente, e le procedure devono assicurare che la scelta del cliente venga rispettata ovunque quel dato venga usato.

L'istruttoria ha fatto emergere una seconda criticità, che pesa quanto la prima: la banca non ha fornito al cliente un riscontro corretto nell'esercizio dei suoi diritti, arrivando a comunicargli informazioni errate sul funzionamento dei trattamenti interni. In altre parole, il cliente ha chiesto conto della situazione e si è sentito rispondere qualcosa che non corrispondeva a come le cose funzionavano davvero.

Oltre alla sanzione pecuniaria, il Garante ha prescritto a BBVA Italia di adottare misure tecniche e organizzative adeguate a facilitare l'esercizio dei diritti degli interessati e a garantire una gestione corretta e tempestiva delle loro richieste.

Perché 5,5 milioni per un solo reclamante

È la domanda che si pone chiunque legga la cifra. La risposta spiega bene come ragiona l'Autorità, e vale la pena capirla prima di trovarsi dall'altra parte.

Il reclamo di un singolo interessato è il punto di ingresso, non l'oggetto dell'accertamento. Una volta aperta l'istruttoria, il Garante non valuta il danno subito da quella persona: valuta il processo che ha prodotto quel risultato. E un disallineamento sistemico fra il sistema che raccoglie le preferenze e la piattaforma che invia le campagne non riguarda un cliente: riguarda, potenzialmente, l'intera base clienti.

A questo si somma il criterio di commisurazione dell'art. 83 GDPR, che per le violazioni relative ai diritti degli interessati arriva fino al 4% del fatturato mondiale annuo. La base di calcolo è la dimensione del titolare, non il numero di reclami ricevuti. Un'organizzazione grande che sbaglia un processo trasversale espone una cifra grande, anche se a lamentarsi è stata una persona sola.

C'è poi un elemento che in questo caso ha quasi certamente inciso in aggravio: la risposta sbagliata all'interessato. Un errore di sincronizzazione è un guasto. Dire a chi lo segnala che il sistema funziona quando non funziona è un problema di governo del processo, e sposta il giudizio dalla colpa tecnica alla responsabilità organizzativa.

Cosa significa per le aziende italiane

L'architettura che ha prodotto questa sanzione è la stessa che si trova, praticamente identica, in quasi ogni azienda italiana di medie o grandi dimensioni: un CRM, una piattaforma di marketing automation, un'app, un gestionale, un centralino o un fornitore esterno per l'invio di SMS, e magari un portale clienti. Sei sistemi che si scambiano dati.

Il problema è che, in un'architettura del genere, la preferenza dell'interessato non esiste in un solo posto. Esiste in copia in ciascun sistema, e sopravvive nelle liste esportate, nei segmenti già costruiti, nelle campagne già schedulate, negli ambienti di test popolati con dati di produzione. Ogni copia è un punto in cui la volontà del cliente può essere ignorata senza che nessuno se ne accorga.

Nella pratica di consulenza è comune trovare aziende che hanno documentazione ineccepibile — informative aggiornate, registro dei trattamenti completo, procedure per l'esercizio dei diritti formalizzate — e che non hanno mai testato una sola volta il percorso completo di un'opposizione. Il consenso viene verificato al momento della raccolta; la sua revoca quasi mai, perché revocare è un evento raro, silenzioso e che non genera reclami se non nel caso peggiore, cioè quando il cliente scrive al Garante.

C'è infine un aspetto che riguarda il front office, e che questo provvedimento porta in primo piano. Chi risponde al cliente — call center, filiale, help desk — normalmente non ha visibilità su come i sistemi si sincronizzano. Se legge «opposizione registrata» sulla propria schermata, risponde in buona fede che tutto è a posto. Quella buona fede non protegge il titolare: di fronte all'Autorità è un riscontro non veritiero fornito a un interessato che stava esercitando un diritto.

Il quadro normativo

L'opposizione al marketing diretto è disciplinata dall'art. 21, par. 2 e 3, del GDPR ed è incondizionata: non richiede motivazione e non ammette bilanciamento. Una volta esercitata, il trattamento per quella finalità deve cessare. Non «deve cessare appena i sistemi si allineano»: deve cessare.

Si aggiungono l'art. 12, par. 2 e 3, che impone al titolare di agevolare l'esercizio dei diritti e di rispondere senza ingiustificato ritardo e comunque entro un mese; l'art. 5, par. 2 (responsabilizzazione), che richiede di essere in grado di dimostrare la conformità, non soltanto di affermarla; e l'art. 25, che chiede misure tecniche e organizzative adeguate fin dalla progettazione. Per le comunicazioni promozionali resta poi applicabile l'art. 130 del Codice privacy.

Il combinato disposto di queste norme porta a una conclusione che il provvedimento rende esplicita: la propagazione di un'opposizione attraverso i sistemi aziendali è una misura tecnica ai sensi dell'art. 32 e dell'art. 25, non un dettaglio implementativo del reparto marketing. Se si rompe, si rompe un obbligo, non un'integrazione.

Cosa fare subito

  • Mappare ogni sistema che può inviare una comunicazione commerciale: CRM, marketing automation, app, gateway SMS, piattaforme di e-mail, call center, portale clienti, fornitori esterni. L'elenco è quasi sempre più lungo di quanto il marketing ricordi.
  • Individuare il sistema che detiene la preferenza in modo autoritativo e verificare che tutti gli altri la leggano da lì al momento dell'invio, anziché da una copia locale aggiornata periodicamente.
  • Eseguire un test end-to-end almeno trimestrale: con utenze di prova, esercitare l'opposizione su ciascun canale disponibile, lasciare trascorrere un ciclo di campagna completo e verificare che nessun canale invii. È l'unico controllo che accerta davvero il risultato.
  • Definire e misurare un tempo massimo di propagazione dell'opt-out fra i sistemi (per esempio 24 ore), con allarme automatico sui fallimenti di sincronizzazione. Un errore di allineamento che nessuno vede è un errore che dura sette mesi.
  • Registrare l'evento di opposizione in modo immodificabile, con data, ora e canale: serve per fermare gli invii e serve a dimostrare, in sede di istruttoria, quando la volontà è stata acquisita.
  • Escludere dalle campagne le liste e i segmenti già costruiti prima della revoca: le esportazioni statiche sono il punto di fuga più frequente.
  • Formare chi risponde ai clienti affinché non confermi mai uno stato che non ha verificato, e preveda un percorso di escalation verso il DPO quando l'interessato segnala che l'opposizione non ha avuto effetto.
  • Trattare i disallineamenti fra sistemi come incidenti di protezione dei dati, con registrazione e analisi delle cause, non come normali anomalie di integrazione da chiudere in silenzio.
  • Verificare che i riscontri agli interessati siano accurati prima di inviarli, e che vengano forniti entro il mese previsto dall'art. 12.

Il messaggio che il Garante consegna con questo provvedimento è semplice e scomodo: la conformità non si misura su ciò che l'azienda ha configurato, ma su ciò che il cliente riceve effettivamente nella propria casella. Fra le due cose c'è un'architettura, e quell'architettura è responsabilità del titolare.