Banco Bilbao Vizcaya Argentaria
ordinanza-ingiunzione ai sensi dell'art. 58, par. 2, lett. d) e i) del Regolamento UE 2016/679 e dell'art. 166 del Codice Privacy
Sintesi del provvedimento
Il Garante accerta violazioni degli artt. 5, 12, 21 e 24 del GDPR per il mancato rispetto del diritto di opposizione al marketing diretto manifestato da un utente attraverso le impostazioni dell'app e al servizio clienti. La Banca non ha sincronizzato correttamente la richiesta di opt-out tra i sistemi interni, proseguendo l'invio di comunicazioni commerciali in-app per 7 mesi. Il Garante impone una sanzione di 5.508.000 euro e prescrive l'adozione di misure tecniche e organizzative adeguate.
Il titolare non può negare il diritto di opposizione al marketing limitando i canali di comunicazione: deve rispondere a istanze corrette ricevute su qualunque punto di contatto ufficiale, senza richiedere formalismi aggiuntivi.
Approfondimento
Soggetti coinvolti
1
Riferimenti normativi
Lettura del caso
Temi affrontati — esercizio dei diritti dell'interessato e diritto di opposizione al marketing diretto
Conseguenze — La Società deve pagare una sanzione amministrativa pecuniaria di 5.508.000 euro entro 30 giorni dalla notificazione; adottare misure tecniche e organizzative adeguate a facilitare l'esercizio dei diritti degli interessati e soddisfare le istanze per l'esercizio dei diritti senza ingiustificato ritardo; comunicare all'Autorità entro 30 giorni le iniziative intraprese per l'attuazione delle misure imposte; il provvedimento (ordinanza-ingiunzione) sarà pubblicato sul sito del Garante.
- responsabilità di grado medio per mancata adozione di misure organizzative adeguate (idonea formazione del Servizio Clienti) a facilitare l'esercizio dei diritti
- precedente provvedimento del Garante n. 413 del 10 luglio 2025 con violazioni pertinenti
- adozione di misure durante l'istruttoria per far cessare la violazione. Fattori
L'opposizione al marketing può essere esercitata anche contattando il servizio clienti o tramite impostazioni dell'app: il titolare non può pretendere esclusivamente indirizzi email formali.
AISintesi generata con intelligenza artificiale
Questa è una sintesi indipendente, non un documento ufficiale del Garante. Il testo integrale e autentico del provvedimento è disponibile sul sito ufficiale garanteprivacy.it.