Multa BBVA 5,5 milioni: cosa rischia chi ignora l’opt-out

Un solo cliente che non riesce a disattivare le notifiche promozionali di una banca. Sette mesi di attesa, dieci messaggi indesiderati, e alla fine una multa da 5,5 milioni di euro.

Conviene davvero preoccuparsi di questo caso, o riguarda solo le grandi banche?

Il caso BBVA riguarda chiunque faccia marketing diretto: email, SMS, notifiche push, telefonate. La logica della sanzione si applica a qualsiasi azienda che raccoglie dati e invia comunicazioni commerciali.

La multa da 5.508.000 euro al gruppo bancario BBVA non è una storia di banche. È una storia di sistemi che non si parlano tra loro. E questo problema esiste in qualsiasi azienda che usa un CRM (il software che gestisce i contatti e le comunicazioni con i clienti) separato dai canali dove i clienti fanno le loro richieste.

Il Garante per la protezione dei dati personali italiano ha accertato una violazione semplice: un cliente aveva chiesto di non ricevere più messaggi promozionali, ma per sette mesi i messaggi sono continuati lo stesso. La causa? Un disallineamento tecnico tra i sistemi interni della banca. La conseguenza? Una sanzione che supera i cinque milioni di euro.

Questo schema — opt-out registrato ma non eseguito — è molto più comune di quanto si pensi, anche tra PMI e aziende di medie dimensioni.

Cosa è successo esattamente con BBVA?

Un cliente ha esercitato il diritto di opposizione al marketing tramite l’app e poi tramite il servizio clienti. Per sette mesi ha continuato a ricevere notifiche promozionali a causa di un guasto tecnico nei sistemi della banca.

Il cliente aveva usato le impostazioni dell’app BBVA per bloccare le comunicazioni commerciali. Poi aveva ricontattato il servizio clienti per ribadire la richiesta. La banca aveva registrato la scelta, ma un problema tecnico impediva la sincronizzazione tra i sistemi interni e il CRM responsabile dell’invio dei messaggi.

Da ottobre 2025 a maggio 2026, il cliente ha ricevuto almeno dieci notifiche commerciali non richieste. Il Garante ha rilevato anche un’altra irregolarità: il servizio clienti aveva detto al cliente che le notifiche push nell’app non potevano essere disabilitate. Non era vero — la banca stessa ha poi dimostrato che si potevano fermare.

La difesa di BBVA si è concentrata su un argomento: il cliente avrebbe dovuto usare gli indirizzi email indicati nella privacy policy. Il Garante ha respinto questa tesi senza esitazione. Chi gestisce i dati deve facilitare l’esercizio dei diritti, non ostacolarli richiedendo canali specifici.

Il Garante ha anche ordinato a BBVA di adottare misure tecniche e organizzative adeguate e di comunicare entro 30 giorni le azioni intraprese. Non basta pagare la multa: bisogna dimostrare di aver risolto il problema.

Cosa dice esattamente la legge sul diritto di opposizione al marketing?

L’articolo 21 del GDPR stabilisce che chi riceve una richiesta di opposizione al marketing diretto deve smettere di inviare comunicazioni immediatamente, senza eccezioni e senza bilanciamento di interessi.

Il GDPR — il Regolamento europeo sulla protezione dei dati — prevede due tipi di diritto di opposizione. Per la maggior parte dei trattamenti, il titolare può continuare se dimostra motivi legittimi prevalenti. Per il marketing diretto, invece, non esiste questa possibilità: l’opposizione è assoluta.

Questo significa che appena il cliente dice «non voglio più ricevere messaggi commerciali», il trattamento deve cessare. Non dopo una settimana, non dopo aver verificato il canale usato, non dopo aver consultato il legale. Immediatamente.

La sanzione per chi viola questo obbligo rientra nel livello più alto previsto dal GDPR: fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, se superiore. Nel caso BBVA, la multa è stata determinata considerando che la violazione riguardava un solo soggetto, ma è durata sette mesi e c’era già un precedente.

Questo è un caso isolato o il Garante sta davvero aumentando i controlli?

I numeri mostrano una tendenza chiara: le sanzioni del Garante italiano sono cresciute del 54,5% nel 2025 rispetto al 2024, e nel 2026 il ritmo è ancora più sostenuto.

Il caso BBVA non è un episodio isolato. Lo scorso anno il Garante ha sanzionato Verisure Italia per 400.000 euro per un caso quasi identico: un ex cliente continuava a ricevere SMS promozionali dopo aver esercitato il diritto di opposizione. Nel luglio 2026 è toccato ad Altroconsumo Edizioni, multata per 280.000 euro per violazioni legate all’email marketing e al ritardo nel rispondere alle richieste degli utenti.

Il pattern è lo stesso: opt-out ignorato o gestito in ritardo, sistemi non sincronizzati, informazioni scorrette fornite ai clienti. E le sanzioni crescono.

Nel 2025 il Garante ha adottato 229 sanzioni amministrative pecuniarie e 506 misure correttive complessive, con 130 ispezioni — 78 condotte direttamente e 52 delegate alla Guardia di Finanza. I dati sono pubblicati nella Relazione annuale del Garante Privacy 2025.

Nel 2026 il ritmo è ancora più alto: secondo il tracciamento aggiornato a ottobre 2026, il Garante ha già irrogato 166 sanzioni per un totale di 83,7 milioni di euro, con una singola multa massima di 31,8 milioni. Il settore più colpito è quello dell’informativa (50 casi), ma il marketing diretto è tra le aree più monitorate.

Le «misure tecniche e organizzative insufficienti» — esattamente il problema di BBVA — sono la terza categoria più sanzionata in Europa, con 418 procedimenti. La media della multa per questa categoria è 2 milioni di euro, secondo il GDPR Enforcement Tracker Report di CMS Law.

Cosa cambia in pratica: chi fa cosa quando arriva una richiesta di opt-out?

Gestire correttamente un opt-out richiede che tre funzioni aziendali diverse — IT, customer service e marketing — siano allineate e che esista un processo scritto con responsabilità chiare.

Il punto critico è il terzo passaggio: la propagazione a tutti i sistemi. BBVA aveva registrato la scelta del cliente, ma il dato non era arrivato al CRM. Questo è il guasto che ha generato la multa da 5,5 milioni. Nelle aziende con più strumenti di marketing — e oggi quasi tutte ne hanno almeno tre o quattro — questo rischio è strutturale se non viene gestito con attenzione.

Tre scenari concreti: cosa succede in un e-commerce, uno studio professionale e un’azienda manifatturiera?

Il rischio cambia in base al numero di canali usati e alla complessità dei sistemi, ma il principio è lo stesso: ogni sistema che invia comunicazioni commerciali deve ricevere e rispettare l’opt-out.

Esempi illustrativi: i numeri e le situazioni servono a mostrare il ragionamento, non sono dati di clienti reali.

Quali altri casi simili ha già sanzionato il Garante italiano?

Il Garante ha già sanzionato più aziende per marketing indesiderato dopo opt-out: i casi Verisure e Altroconsumo mostrano che la soglia di tolleranza è molto bassa.

La differenza tra la multa a BBVA e quelle alle altre due aziende dipende da più fattori: la dimensione dell’azienda, la presenza di un precedente, la durata della violazione. Ma il principio è identico. Come abbiamo visto nell’analisi della multa Uber da 825 milioni per decisioni automatizzate, le autorità europee stanno applicando le norme con crescente rigore anche verso aziende di ogni dimensione.

Quali strumenti e approcci esistono per gestire l’opt-out in modo sicuro?

Esistono soluzioni tecniche diverse, dalla più semplice alla più strutturata: la scelta dipende dal numero di canali usati e dalla complessità del CRM.

Perché se ne parla adesso: il contesto europeo è davvero cambiato?

Le autorità europee per la protezione dei dati hanno irrogato 1,145 miliardi di euro di multe GDPR nel 2025, con un totale cumulativo dal 2018 che supera i 7 miliardi. Il ritmo di enforcement non rallenta.

Il caso BBVA arriva in un momento in cui l’enforcement del GDPR — cioè l’applicazione concreta delle sanzioni — ha raggiunto livelli record. Secondo il rapporto annuale 2025 dell’EDPB (il Comitato europeo per la protezione dei dati), le autorità nazionali hanno inflitto 1,145 miliardi di euro di sanzioni solo nel 2025. Dal 2018 a oggi, il totale supera i 7,1 miliardi su oltre 2.800 procedimenti.

Non è una tendenza che si fermerà. Le autorità hanno più risorse, più esperienza e più precedenti su cui basarsi. Chi gestisce dati di marketing senza un sistema di opt-out verificato è esposto a un rischio reale, non teorico. Il tema si intreccia anche con le nuove regole sull’AI: come abbiamo analizzato nell’articolo su AI e compliance nelle campagne ads, le impostazioni predefinite dei sistemi automatizzati sono sempre più sotto la lente delle autorità.

Come si parte concretamente: i passi per mettere in sicurezza il tuo sistema di opt-out?

Il punto di partenza è un audit dei flussi: mappare dove arrivano le richieste di opt-out e verificare che raggiungano davvero tutti i sistemi che inviano comunicazioni commerciali.

Non serve partire da zero. Serve capire dove sono i buchi. Ecco un percorso in sei passi, adatto anche a chi non ha un team IT dedicato.

Quali sono gli errori più comuni che portano a sanzioni come questa?

Il guasto tecnico di BBVA è solo uno dei modi in cui le aziende finiscono sotto sanzione: ci sono errori organizzativi e di processo altrettanto frequenti.

Un tema correlato che vale la pena tenere d’occhio riguarda la normativa UE sull’AI nei contenuti: anche lì, la responsabilità tecnica ricade sul titolare del trattamento, non sul fornitore dello strumento.

Come capire se il tuo sistema di opt-out sta davvero funzionando?

Esistono indicatori concreti che permettono di verificare l’efficacia del sistema prima che arrivi un reclamo o un’ispezione.

Allora, vale la pena investire in un audit del sistema di opt-out adesso?

Vale la pena sefai marketing diretto su più canali (email, SMS, push, telefono) e non hai mai verificato che un opt-out su un canale blocchi anche gli altri. Il rischio è concreto e il costo di un audit è una frazione di qualsiasi sanzione.

Una via di mezzousi un solo canale di marketing con un sistema integrato, ma non hai mai testato il flusso end-to-end. Un test rapido e una procedura scritta bastano per dormire tranquillo.

Non ancora senon fai marketing diretto a database di contatti e non invii comunicazioni commerciali non richieste. L’art. 21 GDPR non si applica al tuo caso specifico, ma vale la pena verificarlo con il tuo DPO.

Come la vediamo in SHM

Per noi, la multa a BBVA racconta qualcosa che vediamo spesso: i sistemi digitali crescono per accumulazione. Si aggiunge un CRM, poi una piattaforma email, poi un’app, poi un tool di automazione. Nessuno verifica che parlino tra loro quando conta davvero — cioè quando un cliente vuole fermare tutto.

Crediamo che la tecnologia debba servire le persone, non creare ostacoli. Un sistema di opt-out che non funziona non è solo un problema legale: è un segnale che l’architettura digitale dell’azienda ha bisogno di attenzione. E questo vale per il marketing come per qualsiasi altro processo automatizzato.

Se vuoi capire dove sono i gap nel tuo sistema di gestione dei consensi e delle comunicazioni commerciali, possiamo aiutarti con un audit strutturato. Lavoriamo sull’integrazione strategica dei sistemi digitali, sulla mappatura dei flussi di dati e sulla formazione dei team su automazione e processi aziendali. Puoi trovare altri approfondimenti su normativa digitale e tecnologia nell’area Project management e tecnologia.

Il tema della compliance digitale si intreccia anche con la multa UE a Meta per DSA e con la sovranità digitale europea: sono tutti segnali della stessa direzione normativa.

Domande frequenti

La multa non è arrivata perché BBVA voleva ignorare il cliente: è arrivata perché nessuno aveva mai testato che i sistemi si parlassero davvero.