Qué ha pasado
Un cliente de BBVA Italia desactiva en la app las comunicaciones comerciales. Las notificaciones promocionales continúan. Se opone una segunda vez, esta vez escribiendo a atención al cliente. Siguen igualmente. Esto dura de octubre de 2025 a mayo de 2026, unos siete meses, hasta que el 11 de marzo de 2026 presenta reclamación ante la autoridad. Mediante la resolución n.º 613, de 3 de septiembre de 2026, la Autoridad sancionó al banco con 5.508.000 euros por infracción de los arts. 5, 12, 21 y 24 del RGPD, y le ordenó adoptar medidas técnicas y organizativas que garanticen una gestión correcta y puntual de las solicitudes de los interesados.
La defensa del banco fue técnica: un fallo del CRM, el software que mantiene unidos los datos de los clientes. La oposición se había registrado, simplemente no se propagaba a los sistemas que envían las notificaciones. Dicho así suena a mala suerte; visto desde el lado del interesado es exactamente lo mismo que no haberla registrado nunca.
Por qué un fallo no es una excusa
El art. 21.3 no dice que el responsable deba tomar nota de la oposición: dice que los datos dejarán de tratarse con fines de mercadotecnia directa. Es una obligación de resultado, no de diligencia. Y el art. 24 exige medidas técnicas y organizativas apropiadas, incluidas las que comprueban que las demás funcionan. Una oposición que entra en el sistema y no sale por el otro lado demuestra justamente la ausencia de esa comprobación.
- La oposición al marketing directo es absoluta: no hay ponderación, no hay interés legítimo que resista, y el interesado no debe motivarla.
- Debe aplicarse sin dilación indebida, y el plazo de referencia es el del art. 12.3: un mes.
- Registrar la preferencia y propagarla son dos operaciones distintas: la segunda es la que cuenta, y casi nadie la comprueba.
- Una segunda reclamación de la misma persona es una alarma: significa que la primera no funcionó y nadie se dio cuenta.
- El responsable debe poder demostrar que la oposición se aplicó, no solo que se recibió: es el art. 5.2.
La prueba de media hora que casi nadie hace
Se llama prueba de propagación y se hace así: se toma un buzón de servicio, se suscribe, se pide la oposición por el canal que usaría un cliente, y se espera. Si pasadas dos semanas sigue llegando algo, el problema existe y queda documentado antes de que lo documente una autoridad. Conviene hacerla en cada sistema que envía comunicaciones: correo, SMS, notificaciones en la app, llamadas. Suelen ser cuatro sistemas distintos, y la oposición tiene que llegar a los cuatro.
Está además el punto que hace útil esta resolución mucho más allá de la banca. Un fallo es un tipo de riesgo que el registro de actividades no ve: en el registro pone que las oposiciones se gestionan, y formalmente es cierto. Lo que el registro no dice es si entre el formulario y el sistema que envía hay un paso que puede romperse en silencio. Esa pregunta no la hace ninguna plantilla: la hace el DPD que va a mirar.
Qué hacer hoy, en concreto. Para cada cliente que envía comunicaciones comerciales, tres líneas en el expediente: de qué sistemas salen los mensajes, dónde se registra la oposición, y quién ha verificado —con una fecha— que lo segundo detiene lo primero. Si la tercera línea está vacía, es la línea que hay que rellenar esta semana, porque es la única que una autoridad pediría demostrar.
Fuente oficial:Garante per la protezione dei dati personali — resolucionesFuente oficial:Altalex — Cuando el CRM frustra el derecho de oposición al marketing directoFuente oficial:Cybersecurity360 — Sanción a BBVA: cuando el CRM frustra el derecho de oposición¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
