Em duas linhas
Autoridade italiana, decisão n.º 613 de 3 de setembro de 2026 (doc. web n.º 10291895): 5 508 000 euros ao Banco Bilbao Vizcaya Argentaria S.A., sucursal italiana, por violação dos arts. 5.º, n.º 1, al. a), 12.º, 21.º e 24.º do RGPD. Um só reclamante, pelo menos dez notificações comerciais na app entre outubro de 2025 e maio de 2026.
Os factos cabem em poucas linhas. Entre 2 de outubro e 9 de dezembro de 2025 o cliente comunica ao Serviço de Apoio que não quer mais comunicações comerciais e, em paralelo, desativa as notificações nas definições da app. Nas suas alegações o banco reconhece que a desativação tinha sido registada pelos sistemas internos mas «não tinha sido sincronizada» com a unidade de CRM que envia as comunicações. As notificações prosseguem até maio de 2026, quando o banco intervém — depois do pedido de informações da autoridade.
A defesa que não resistiu, e porque também lhe diz respeito
O banco alegou que o reclamante não teria usado os canais certos: no aviso de privacidade constavam um endereço dedicado aos direitos e o do EPD, e se os tivesse usado o pedido teria sido tratado como exercício de um direito nos termos dos arts. 15.º a 22.º. A autoridade rejeita o argumento invocando o art. 12.º, que impõe ao responsável o dever de FACILITAR o exercício dos direitos, e as Orientações CEPD 1/2022 sobre o direito de acesso (versão 2.1, adotadas em 28 de março de 2023): não há requisitos de formato, o titular não é obrigado a usar os canais indicados e pode dirigir-se a um ponto de contacto oficial do responsável. O único limite são os endereços «totalmente aleatórios ou aparentemente incorretos».
A frase do Serviço de Apoio que se tornou violação do art. 24.º
Em 10 de dezembro de 2025 o Serviço de Apoio responde que só se podem regular as comunicações por e-mail, que a app «é igual para todos os clientes» e que as notificações pop-up não se podem remover: se não as quer, pode ignorá-las. A autoridade observa que essa afirmação é desmentida pelas intervenções técnicas que o próprio banco realizou depois para bloquear precisamente essas notificações. O desfasamento entre o que a empresa faz e o que diz para fora é qualificado como consequência de medidas organizativas inadequadas — e é a segunda violação, a dos arts. 5.º, n.º 1, al. a) e 24.º. O Serviço de Apoio, escreve a autoridade, é o primeiro ponto de contacto entre titulares e responsável.
Como se chega a 5,5 milhões partindo de um só titular:
- Gravidade intrínseca BAIXA: uma só pessoa envolvida, dados de contacto, violação negligente, finalidade de marketing (Orientações CEPD 4/2022 de 24 de maio de 2023, ponto 60)
- Duração: sete meses, de outubro de 2025 a maio de 2026
- Volume de negócios do responsável acima de 500 milhões de euros: aplica-se o art. 83.º, n.º 5, com máximo de 4% do volume de negócios mundial de 2025
- Atenuante: medidas adotadas na pendência da instrução para fazer cessar a violação
- Agravante: responsabilidade de grau médio por falta de formação adequada do Serviço de Apoio
- Agravante: decisão anterior n.º 413 de 10 de julho de 2025 (doc. web n.º 10168555) por violações pertinentes
O que verificar segunda-feira de manhã, em cada cliente
1) Peça a lista dos sistemas que enviam comunicações comerciais e dos que registam a oposição: se não forem o mesmo sistema, pergunte como e de quanto em quanto tempo se sincronizam, e peça a prova da última sincronização. 2) Verifique se uma oposição manifestada por um canal não dedicado — central telefónica, balcão, chat, redes sociais — chega na mesma a quem trata: esse percurso escreve-se em procedimento, não se deixa ao bom senso do operador. 3) Assegure que a cada exercício de direito se siga uma resposta no prazo de um mês nos termos do art. 12.º, n.º 3: aqui o banco corrigiu o dado mas nunca respondeu, e a falta de resposta foi imputada à parte. 4) Ponha a primeira linha no plano de formação: o Serviço de Apoio é um tratamento, não uma central telefónica.
Uma advertência sobre a leitura do número
A decisão foi adotada em 3 de setembro e publicada em 11 de setembro de 2026. A sociedade mantém a faculdade de encerrar o litígio pagando metade da coima (art. 166.º, n.º 8, do Código italiano) e a de deduzir oposição perante o tribunal comum no prazo de trinta dias a contar da comunicação, nos termos do art. 152.º do Código e do art. 10.º do d.lgs. 150/2011. À data deste artigo não é publicamente conhecido qual o caminho escolhido: os 5 508 000 devem, pois, ler-se como montante intimado, não como montante definitivamente cobrado.
Procura uma ferramenta para o seu trabalho de EPD?
O DPO Workspace foi construído por um DPO certificado. 30 dias de experiência gratuita.
Começar gratuitamente
