Che cosa è successo
Un cliente di BBVA Italia disattiva nell'app le comunicazioni commerciali. Le notifiche promozionali continuano. Si oppone una seconda volta, questa volta scrivendo all'assistenza clienti. Continuano lo stesso. Va avanti così da ottobre 2025 a maggio 2026, circa sette mesi, finché l'11 marzo 2026 presenta reclamo al Garante. Con il provvedimento n. 613 del 3 settembre 2026 l'Autorità ha sanzionato la banca per 5.508.000 euro, contestando gli artt. 5, 12, 21 e 24 del GDPR, e ha ordinato di adottare misure tecniche e organizzative che garantiscano una gestione corretta e tempestiva delle richieste degli interessati.
La difesa della banca è stata tecnica: un malfunzionamento del CRM, il software che tiene insieme i dati dei clienti. L'opposizione era stata registrata, semplicemente non veniva propagata ai sistemi che mandano le notifiche. Detta così suona come una disgrazia; letta dal lato dell'interessato è esattamente la stessa cosa di non averla mai registrata.
Perché un guasto non è una scusa
L'art. 21, par. 3, non dice che il titolare deve prendere nota dell'opposizione: dice che i dati non sono più trattati per finalità di marketing diretto. È un obbligo di risultato, non di diligenza. E l'art. 24 chiede misure tecniche e organizzative adeguate, comprese quelle che verificano che le altre misure funzionino. Un'opposizione che entra nel sistema e non esce dall'altra parte dimostra proprio l'assenza di quel controllo.
- L'opposizione al marketing diretto è assoluta: non c'è bilanciamento, non c'è interesse legittimo che tenga, non serve motivazione da parte dell'interessato.
- Va applicata senza ingiustificato ritardo, e in ogni caso il termine di riferimento è quello dell'art. 12, par. 3: un mese.
- Registrare la preferenza e propagarla sono due operazioni diverse: la seconda è quella che conta, e quasi nessuno la verifica.
- La seconda segnalazione dello stesso interessato è un campanello: significa che la prima non ha funzionato e che nessuno se n'è accorto.
- Il titolare deve poter dimostrare che l'opposizione è stata applicata, non solo ricevuta — è l'art. 5, par. 2.
La prova che vale mezz'ora e che quasi nessuno fa
Si chiama prova di propagazione e si fa così: si prende un indirizzo di posta di servizio, lo si iscrive, si chiede l'opposizione dal canale che il cliente userebbe, e poi si aspetta. Se dopo due settimane arriva ancora qualcosa, il problema c'è ed è documentato prima che lo documenti un'autorità. Vale la pena farla in ogni sistema che manda comunicazioni: email, SMS, notifiche in app, telefonate. Sono spesso quattro sistemi diversi, e l'opposizione deve arrivare in tutti e quattro.
C'è poi il punto che rende questo provvedimento utile anche a chi non fa marketing bancario. Il malfunzionamento è un tipo di rischio che il registro dei trattamenti non vede: nel registro c'è scritto che le opposizioni si gestiscono, e formalmente è vero. Quello che il registro non dice è se fra il modulo e il sistema che invia ci sia un passaggio che può rompersi in silenzio. Quella domanda non la pone nessun modello: la pone il DPO che va a guardare.
Che fare oggi, in concreto. Per ogni cliente che manda comunicazioni commerciali, tre righe nel fascicolo: da quali sistemi escono i messaggi, dove si registra l'opposizione, e chi ha verificato — con una data — che la seconda cosa fermi la prima. Se la terza riga è vuota, è la riga da riempire questa settimana, perché è l'unica che un'autorità chiederebbe di dimostrare.
Fonte ufficiale:Garante per la protezione dei dati personali — provvedimentiFonte ufficiale:Altalex — Quando il CRM vanifica il diritto di opposizione al marketing direttoFonte ufficiale:Cybersecurity360 — Sanzione privacy a BBVA: quando il CRM vanifica il diritto di opposizioneStai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
