Ordinanza ingiunzione o revoca n. 413 del 10/07/2025

BBVA - tardivo riscontro a un’istanza di accesso alle registrazioni telefoniche

Il Garante per la protezione dei dati personali ha esaminato il reclamo presentato da un cliente di Banco Bilbao Vizcaya Argentaria SA, relativo alla mancata tempestiva risposta a una richiesta di accesso ai sensi dell’art. 15 GDPR riguardante le registrazioni delle chiamate effettuate al servizio clienti. Il procedimento trae origine da un presunto episodio di frode segnalato dall’interessato e si conclude con l’accertamento dell’illiceità del trattamento e l’irrogazione di una sanzione amministrativa pecuniaria.

Fatti e svolgimento del procedimento

L’interessato aveva chiesto di accedere ai dati contenuti nelle registrazioni telefoniche delle chiamate intercorse con il servizio clienti della banca nella serata del 29 gennaio 2024. In un primo momento BBVA aveva comunicato di avere individuato una sola telefonata, priva di effettive interazioni, e aveva chiesto ulteriori elementi per reperire eventuali altre registrazioni. Solo a seguito di ulteriori verifiche interne la banca ha rintracciato e trasmesso anche le ulteriori chiamate richieste.

L’Ufficio del Garante, preso atto del ritardo, ha avviato il procedimento sanzionatorio con contestazione della violazione degli artt. 12, par. 3 e 4, e 15 GDPR. La banca ha presentato memorie difensive, sostenendo che il disguido fosse dipeso da un errore materiale e da un assetto organizzativo interno complesso, con intervento di outsourcer differenti e con successiva riorganizzazione del processo nel 2025.

Violazioni accertate e norme richiamate

Il Garante ha ritenuto accertato che BBVA, in qualità di titolare del trattamento, non ha riscontrato l’istanza di accesso entro il termine di un mese previsto dall’art. 12, par. 3, GDPR e non ha fornito, entro lo stesso termine, le informazioni dovute in caso di mancato riscontro ai sensi dell’art. 12, par. 4, GDPR.

L’Autorità ha richiamato:

• l’art. 15 GDPR, sul diritto di accesso dell’interessato;
• l’art. 4 GDPR, con le definizioni di dato personale e trattamento;
• le Linee guida EDPB 01/2022 sul diritto di accesso, che ricomprendono, al ricorrere dei presupposti, anche le registrazioni telefoniche e le eventuali trascrizioni.

Valutazioni del Garante

Secondo l’Autorità, le ricostruzioni offerte dalla banca non erano idonee a superare i rilievi contestati né a giustificare l’archiviazione. È stato pertanto dichiarato illecito il trattamento connesso al tardivo riscontro all’istanza dell’interessato.

Il Garante ha comunque preso atto dell’adozione di misure correttive da parte della banca, tra cui la revisione del processo di estrazione delle registrazioni telefoniche, l’introduzione di un protocollo di verifica incrociata tra outsourcer per le richieste di accesso, l’aggiornamento dei flussi operativi, la formazione del personale e il miglioramento dei sistemi di tracciamento.

Sanzione amministrativa e criteri di quantificazione

La violazione è stata considerata non minore, in ragione della natura del diritto coinvolto e della necessità di garantire un riscontro tempestivo alle istanze degli interessati. Ai fini della quantificazione della sanzione, il Garante ha valorizzato:

• la rilevanza della violazione, attinente all’esercizio dei diritti dell’interessato;
• il grado di responsabilità attenuato dal successivo rilascio dei dati;
• la collaborazione prestata nel procedimento;
• le misure organizzative adottate;
• il numero esiguo di interessati coinvolti, pari a uno;
• l’assenza di precedenti specifici a carico della banca;
• le condizioni economiche del contravventore.

In applicazione dell’art. 83, par. 5, GDPR, la sanzione è stata determinata in euro 100.000.

Dispositivo

Il Garante ha:

• rilevato l’illiceità del trattamento effettuato da BBVA per violazione degli artt. 12, parr. 3 e 4, e 15 GDPR;
• ordinato il pagamento della sanzione amministrativa pecuniaria di euro 100.000 entro 30 giorni dalla notifica;
• ricordato la facoltà di definizione agevolata mediante pagamento della metà della sanzione nei termini di legge;
• disposto la pubblicazione del provvedimento sul sito internet del Garante;
• disposto l’annotazione nel registro interno delle violazioni e delle misure adottate.

Avverso il provvedimento è ammessa opposizione dinanzi all’autorità giudiziaria ordinaria nei termini previsti dall’art. 78 GDPR, dagli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011.