BBVA multata per 5,5 milioni, la Cassazione rafforza i poteri del Garante Privacy

🛡️ Executive Summary

• BBVA Italia riceve una sanzione da 5,508 milioni di euro dopo sette mesi di notifiche commerciali inviate nonostante l’opposizione di un cliente.
• Il Garante attribuisce il problema al mancato allineamento tra app, CRM e Servizio Clienti: registrare l’opt-out senza applicarlo non basta.
• Tre sentenze della Cassazione chiariscono che i 120 giorni decorrono dall’accertamento definitivo e riguardano la contestazione, non la sanzione finale.

Una multa da 5,508 milioni di euro a BBVA Italia e tre sentenze della Cassazione che ridefiniscono con maggiore precisione i limiti temporali dell’attività sanzionatoria del Garante per la protezione dei dati personali. I due sviluppi, pubblicati insieme nella newsletter dell’11 settembre dell’Autorità, riguardano piani differenti ma convergono su un punto: il GDPR non si esaurisce nella registrazione formale di consensi, opposizioni e procedure interne. Nel caso BBVA, un cliente ha continuato a ricevere promozioni perché app e CRM non erano sincronizzati. Sul fronte giudiziario, la Suprema Corte chiarisce invece quando parte il termine di 120 giorni entro cui il Garante deve contestare una violazione e quali margini restano per completare l’istruttoria.

BBVA registra il no del cliente ma continua a inviargli pubblicità per sette mesi

Il procedimento contro Banco Bilbao Vizcaya Argentaria, succursale italiana, nasce da un reclamo presentato l’11 marzo 2026. Il cliente aveva disattivato attraverso l’app BBVA le comunicazioni commerciali e aveva successivamente ribadito la propria opposizione al Servizio Clienti, ma continuava a ricevere notifiche promozionali. Nel provvedimento n. 613 del 3 settembre 2026 il Garante ricostruisce una sequenza particolarmente chiara: l’utente aveva manifestato l’opposizione il 2 ottobre e il 9 dicembre 2025, ma le comunicazioni sono proseguite fino a maggio 2026, per almeno dieci notifiche commerciali. BBVA ha spiegato che la scelta era stata correttamente registrata nei propri sistemi, ma non sincronizzata con l’unità Customer Relationship Management incaricata di inviare le campagne. È proprio questa difesa a diventare uno degli elementi centrali della decisione: per l’Autorità, registrare correttamente il diritto di opposizione in un database non serve se l’infrastruttura che effettivamente utilizza i dati continua a comportarsi come se quel diritto non fosse mai stato esercitato. Il caso richiama, su scala più ridotta, quanto emerso nella sanzione da 9,5 milioni di euro contro TIM per telemarketing e gestione inadeguata delle opposizioni, dove il punto centrale non era la presenza formale di procedure privacy ma la loro reale efficacia lungo tutta la filiera.

Il cliente non era obbligato a trovare l’indirizzo email giusto

BBVA ha sostenuto durante l’istruttoria che il cliente avrebbe potuto rivolgersi agli indirizzi dedicati all’esercizio dei diritti o direttamente al DPO. Il Garante respinge l’argomento. L’articolo 12 del GDPR impone infatti al titolare di agevolare l’esercizio dei diritti, non di costruire un percorso nel quale l’interessato debba individuare l’ufficio interno corretto. Il cliente aveva utilizzato proprio la funzione predisposta nell’app dalla banca e, dopo aver verificato che l’opt-out non funzionava, si era rivolto al Servizio Clienti, cioè un punto di contatto ufficiale del titolare. Per l’Autorità era sufficiente. Ancora più problematica è stata la risposta fornita dal supporto il 10 dicembre 2025: al cliente era stato sostanzialmente comunicato che le notifiche pop-up dell’app non potevano essere rimosse e che, se non interessato, avrebbe potuto semplicemente ignorarle. L’affermazione è stata poi smentita dagli stessi interventi compiuti dalla banca dopo l’apertura dell’istruttoria, quando il profilo è stato correttamente riallineato e le notifiche sono cessate. Il Garante vede in questa contraddizione non soltanto un errore tecnico, ma una carenza organizzativa: il primo punto di contatto con il cliente non conosceva correttamente il funzionamento dei trattamenti effettuati dall’azienda. Una logica analoga era già emersa nelle sanzioni contro Intesa Sanpaolo e Acea per processi aziendali incapaci di garantire concretamente la liceità dei trattamenti.

Leggi anche: Intesa Sanpaolo multata per 31,8 milioni dopo oltre 6.600 accessi abusivi ai dossier dei clienti

Il problema non è il singolo bug ma l’accountability dell’intera architettura

BBVA ha definito l’evento un difetto tecnico puntuale e isolato, riferito a un solo cliente. Il Garante riconosce effettivamente che la violazione abbia coinvolto un solo interessato, dati di contatto e un livello di intensità giudicato basso. La sanzione raggiunge però 5.508.000 euro perché il GDPR impone di valutare anche dimensione economica del titolare, durata della violazione, precedenti e adeguatezza delle misure organizzative. BBVA presenta un fatturato superiore a 500 milioni di euro e aveva già ricevuto nel luglio 2025 un provvedimento relativo a un tardivo riscontro nell’esercizio dei diritti. Tra le aggravanti viene inoltre indicata l’insufficiente formazione del Servizio Clienti. L’Autorità applica gli articoli 5, 12, 21 e 24 del GDPR e ordina alla banca di adottare misure tecniche e organizzative adeguate per facilitare realmente l’esercizio dei diritti, chiedendo entro 30 giorni una descrizione puntuale degli interventi effettuati. Il messaggio è significativo soprattutto per infrastrutture digitali complesse: consenso, revoca e opposizione devono propagarsi correttamente tra app, CRM, database, call center e sistemi di marketing. Una preferenza che rimane confinata nel frontend non è un diritto effettivamente rispettato.

La Cassazione chiarisce cosa significano davvero i 120 giorni del Garante

Nella stessa newsletter, il Garante richiama tre pronunce della Corte di Cassazione, nn. 22791, 24861 e 24862 del 2026, che intervengono su una questione diventata centrale dopo diversi ricorsi contro sanzioni privacy: il significato del termine di 120 giorni previsto per l’attività dell’Autorità. Nell’intervento del segretario generale Luigi Montuori viene ricostruita una distinzione fondamentale. I 120 giorni non costituiscono il termine entro cui il Garante deve emanare la sanzione finale. Sono invece il periodo entro cui deve notificare la contestazione dopo che la violazione è stata definitivamente accertata. La differenza modifica radicalmente la lettura di diversi procedimenti: la semplice ricezione di una segnalazione, di un reclamo o di una prima informazione non fa automaticamente partire il cronometro. L’Autorità può prima raccogliere documenti, verificare le circostanze e instaurare il contraddittorio necessario per comprendere se esistano effettivamente tutti gli elementi dell’illecito.

Il caso K-City stabilisce quando parte il cronometro

La sentenza 24862/2026 rende particolarmente concreto il principio. La società K-City era stata sanzionata per aver operato come responsabile esterno del trattamento per il Comune di Formia nell’ambito della gestione della sosta a pagamento senza un idoneo atto di nomina. Il Tribunale di Roma aveva considerato tardiva l’azione del Garante perché riteneva che i 120 giorni dovessero iniziare dal 3 febbraio 2020, quando l’Autorità aveva ricevuto informazioni dal Comune. Il Garante aveva però chiesto successivamente chiarimenti anche a K-City, che aveva risposto il 13 luglio 2021, e aveva notificato la contestazione appena 17 giorni dopo, il 30 luglio. La Cassazione ha cassato l’impostazione del Tribunale: il “definitivo accertamento” non coincide con l’arrivo della prima notizia, ma con il momento nel quale l’Autorità dispone degli elementi sufficienti per valutare tutte le componenti dell’illecito, comprese quelle emerse dal contraddittorio con il soggetto che potrebbe essere sanzionato. I 120 giorni restano quindi perentori, ma il loro dies a quo non può essere anticipato artificialmente alla prima informazione disponibile.

Reclamo e procedimento sanzionatorio restano due percorsi distinti

La sentenza 24861/2026 affronta invece il rapporto tra reclamo e sanzione. Il caso riguardava Società Editoriale Il Fatto S.p.A., sanzionata per la pubblicazione di dati che identificavano i figli maggiorenni di un condannato per abusi su minori. La Cassazione ribadisce che il procedimento avviato dal reclamo dell’interessato e quello correttivo-sanzionatorio sono autonomi. Il primo deve essere definito normalmente entro nove mesi, prorogabili a dodici; il superamento di quel termine non determina però la decadenza del successivo potere sanzionatorio del Garante. L’interessato conserva comunque la tutela giurisdizionale contro l’inerzia, mentre il procedimento sanzionatorio tutela anche un interesse pubblico differente: deterrenza e rispetto generale del sistema di protezione dei dati. Il principio ha conseguenze importanti anche per casi riguardanti giornalismo e diffusione online di dati personali, terreno recentemente tornato al centro dell’attenzione con la sanzione a Fabrizio Corona per la diffusione delle conversazioni private di Raoul Bova.

Continua con:

• Garante Privacy 2024: 186 sanzioni e oltre 24 milioni di euro di multe
• Enel, Bakeca e Sagitter sanzionate per trattamenti illeciti e controlli privacy insufficienti

Il Garante guadagna margine istruttorio ma non un tempo illimitato

Le sentenze non attribuiscono al Garante un potere senza limiti temporali. La fase istruttoria deve comunque rispettare criteri di ragionevolezza e congruità e può essere sottoposta al controllo del giudice quando si protrae senza giustificazione. Una volta raggiunto il definitivo accertamento, scattano invece i 120 giorni entro cui notificare la contestazione; superato quel termine, l’obbligazione pecuniaria si estingue. Dopo una contestazione tempestiva, la sanzione finale non è soggetta a un ulteriore termine decadenziale specifico, ma resta la prescrizione quinquennale prevista dall’articolo 28 della legge 689/1981. Il caso BBVA e le sentenze della Cassazione finiscono così per rafforzare contemporaneamente due lati dello stesso sistema. Alle aziende viene chiesto che i diritti degli utenti funzionino davvero attraverso tutta l’architettura informatica e organizzativa, non soltanto nell’interfaccia che registra una preferenza. Al Garante viene riconosciuto il tempo necessario per costruire correttamente un’istruttoria, purché la contestazione arrivi entro 120 giorni dal momento in cui l’illecito è effettivamente accertato. Da una parte cade l’alibi del “sistema aveva registrato il no”; dall’altra quello secondo cui il semplice arrivo di una segnalazione farebbe automaticamente scattare il termine finale dell’azione sanzionatoria.