Ordinanza ingiunzione o revoca n. 613 del 03/09/2026

BBVA Italia: notifiche commerciali in-app nonostante l’opposizione dell’interessato

Il provvedimento del 3 settembre 2026 riguarda il trattamento effettuato da Banco Bilbao Vizcaya Argentaria, S.A., succursale italiana, per l’invio di comunicazioni commerciali tramite l’app BBVA. Il procedimento è stato avviato a seguito del reclamo di un interessato, che aveva disattivato le notifiche commerciali nell’app e aveva manifestato opposizione anche attraverso il Servizio Clienti.

Fatto e svolgimento dell’istruttoria

L’interessato aveva comunicato la propria opposizione il 2 ottobre e il 9 dicembre 2025. Nonostante la disattivazione effettuata nell’app, le notifiche commerciali sono proseguite. La Società ha spiegato che la modifica era stata registrata nei sistemi interni, ma non era stata sincronizzata con l’unità di Customer Relationship Management deputata all’invio delle comunicazioni commerciali.

A seguito della richiesta di informazioni del Garante del 28 aprile 2026, BBVA ha corretto il profilo dell’interessato, che dal 13 maggio 2026 non ha più ricevuto le notifiche, e ha dichiarato di avere rafforzato i sistemi di allineamento tra le richieste di opt-out e i flussi di comunicazione commerciale. Nel periodo da ottobre 2025 a maggio 2026 risultavano almeno dieci notifiche non richieste.

Esercizio del diritto di opposizione

L’art. 21, par. 2, GDPR riconosce all’interessato il diritto di opporsi in qualsiasi momento al trattamento dei dati personali per finalità di marketing diretto, compresa la profilazione connessa a tale marketing.

Il Garante ha ritenuto validamente esercitata l’opposizione tramite le impostazioni dell’app BBVA, che rappresentavano una procedura standard prevista dalla Società. Anche la comunicazione al Servizio Clienti costituiva una manifestazione sufficientemente chiara della volontà dell’interessato, tanto che l’operatore aveva compreso la richiesta e fornito indicazioni sulle impostazioni dell’app.

La Società non poteva quindi sostenere che l’interessato avrebbe dovuto utilizzare esclusivamente gli indirizzi email dedicati alla protezione dei dati o al DPO. Richiamando l’art. 12 GDPR e le Linee guida EDPB 1/2022 sui diritti degli interessati, il Garante ha ribadito che il titolare deve fornire canali semplici e appropriati e agevolare l’esercizio dei diritti. L’interessato non è tenuto a utilizzare necessariamente uno specifico indirizzo se ha indirizzato la richiesta a un punto di contatto ufficiale o ha utilizzato una procedura standard predisposta dal titolare.

Violazioni degli artt. 5, par. 1, lett. a), 12 e 21 GDPR

Il disallineamento tra i sistemi interni e il CRM ha impedito di attuare tempestivamente l’opposizione, pur essendo stata correttamente registrata la scelta dell’interessato. Il Garante ha ritenuto irrilevante, ai fini dell’illiceità, che il problema fosse tecnico, isolato e limitato a un solo interessato: tale circostanza confermava comunque che la richiesta non era stata eseguita.

La Società non ha inoltre fornito un riscontro corretto e tempestivo. Le risposte del Servizio Clienti si erano limitate a indicare la procedura standard per modificare le impostazioni dell’app, senza comunicare le azioni concretamente intraprese per dare seguito all’opposizione. BBVA si è attivata soltanto dopo l’intervento del Garante, nel maggio 2026, sebbene già la seconda segnalazione del dicembre 2025 fornisse elementi sufficienti per effettuare le verifiche interne necessarie.

Il Garante ha pertanto confermato la violazione degli artt. 5, par. 1, lett. a), 12 e 21 GDPR, relativi rispettivamente ai principi di correttezza e trasparenza, alla gestione delle richieste degli interessati e al diritto di opposizione al marketing diretto.

Informazioni non corrette e carenze organizzative

Il 10 dicembre 2025 il Servizio Clienti aveva comunicato all’interessato che le notifiche pop-up non potevano essere rimosse, che l’app era uguale per tutti i clienti e che le notifiche avrebbero dovuto essere semplicemente ignorate.

Secondo il Garante, tali informazioni erano non corrette e non trasparenti, poiché contraddette dagli interventi tecnici successivamente effettuati dalla stessa Società per bloccare le notifiche commerciali dell’interessato. Il disallineamento tra quanto comunicato dal Servizio Clienti e quanto effettivamente possibile nei sistemi BBVA ha evidenziato l’inadeguatezza delle misure organizzative interne.

Il Servizio Clienti costituisce infatti il primo punto di contatto tra il titolare e gli interessati e deve disporre di procedure, formazione e protocolli di escalation idonei a riconoscere e gestire correttamente le richieste relative ai diritti GDPR. È stata quindi confermata anche la violazione degli artt. 5, par. 1, lett. a), e 24 GDPR.

Misure correttive prescritte

Ai sensi dell’art. 58, par. 2, lett. d), GDPR, il Garante ha prescritto a BBVA di adottare misure tecniche e organizzative adeguate a:

• facilitare l’esercizio dei diritti previsti dalla normativa in materia di protezione dei dati personali;
• soddisfare le istanze degli interessati senza ingiustificato ritardo;
• assicurare che le richieste siano gestite in modo corretto;
• garantire il coordinamento tra i sistemi che registrano le opposizioni e quelli utilizzati per l’invio delle comunicazioni commerciali;
• migliorare, anche sotto il profilo formativo e procedurale, la gestione delle richieste da parte del Servizio Clienti.

Ai sensi dell’art. 157 del Codice privacy, la Società deve comunicare al Garante, entro 30 giorni dalla notificazione del provvedimento, le iniziative intraprese, fornendo una descrizione più puntuale rispetto alle misure già dichiarate. Il mancato adempimento può comportare l’applicazione della sanzione prevista dall’art. 83, par. 5, GDPR.

Sanzione amministrativa

Le violazioni degli artt. 5, par. 1, lett. a), 12, 21 e 24 GDPR sono state considerate collegate. Ai sensi dell’art. 83, par. 3, GDPR, l’importo complessivo non può quindi superare quello previsto per la violazione più grave. Il Garante ha applicato il regime dell’art. 83, par. 5, GDPR, richiamato dall’art. 166, comma 2, del Codice, con limite massimo pari al 4% del fatturato mondiale annuo del 2025.

Nella quantificazione sono stati considerati i seguenti elementi ai sensi dell’art. 83, par. 2, GDPR:

• la natura della violazione, riguardante l’esercizio dei diritti dell’interessato e il marketing;
• la durata di circa sette mesi, da ottobre 2025 a maggio 2026;
• il coinvolgimento di un solo interessato;
• il carattere colposo della condotta;
• la natura dei dati coinvolti, costituiti da dati di contatto;
• il livello di intensità valutato basso, in riferimento al punto 60 delle Linee guida EDPB 4/2022 sul calcolo delle sanzioni;
• il fatturato della Società, superiore a 500 milioni di euro;
• quale fattore attenuante, l’adozione durante l’istruttoria di misure dirette a far cessare la violazione;
• quale fattore aggravante, la responsabilità di grado medio per la mancata adozione di misure organizzative adeguate, inclusa un’idonea formazione del Servizio Clienti;
• quale ulteriore fattore aggravante, il precedente provvedimento del Garante n. 413 del 10 luglio 2025, relativo anche a violazioni pertinenti in materia di diritti degli interessati.

In applicazione dei principi di effettività, proporzionalità e dissuasività di cui all’art. 83, par. 1, GDPR, la sanzione è stata determinata in euro 5.508.000,00.

Pubblicazione e rimedi

Il Garante ha disposto la pubblicazione del provvedimento e dell’ordinanza-ingiunzione sul proprio sito, ai sensi dell’art. 154-bis, comma 3, e dell’art. 166, comma 7, del Codice, nonché dell’art. 16 del regolamento del Garante n. 1/2019.

La Società deve pagare la sanzione entro 30 giorni dalla notificazione, salvo la possibilità di definire la controversia mediante il pagamento della metà della sanzione nei termini previsti dall’art. 166, comma 8, del Codice e dall’art. 10, comma 3, del d.lgs. n. 150/2011.

Avverso il provvedimento è possibile proporre opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice e dell’art. 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione del provvedimento, ovvero entro 60 giorni se il ricorrente risiede all’estero.