La risposta breve
Il 3 settembre 2026 il Garante Privacy ha multato BBVA Italia per 5,508 milioni di euro perche, per circa sette mesi, ha continuato a inviare notifiche promozionali a un cliente che le aveva disattivate nell'app. Il "no" registrato nell'interfaccia non veniva propagato al CRM interno, che ha continuato a generare comunicazioni commerciali.
Non c'e stata violazione di dati ne intento doloso: solo due sistemi che non si parlavano. Ma per il Garante non conta dove l'utente esprime la scelta, conta che l'organizzazione ne garantisca l'applicazione ovunque. Chi progetta l'integrazione tra app, CRM e piattaforme di conformita GDPR deve trattare lo stato del consenso come un dato critico, non come un flag locale nell'interfaccia.
Cosa e successo
La vicenda parte da un singolo cliente. Nell'app di BBVA Italia aveva disattivato le notifiche promozionali usando l'apposita opzione. Non contento del fatto che continuassero ad arrivare, ha contattato il servizio clienti chiedendo esplicitamente di interromperle: due richieste documentate, il 2 ottobre e il 9 dicembre 2025. Le promozioni sono comunque proseguite fino a maggio 2026 — circa dieci notifiche commerciali su un arco di sette mesi.
La risposta ricevuta dal servizio clienti, riportata negli atti, e emblematica: l'app sarebbe stata "uguale per tutti i clienti" e non si potevano rimuovere le notifiche. Una spiegazione che scarica su un presunto limite di prodotto quello che era, in realta, un problema di configurazione e integrazione dei sistemi. La prova arriva dall'epilogo: appena il reclamo e giunto al Garante, la banca ha bloccato le notifiche nel giro di poche ore. Cio che per mesi era stato presentato come impossibile si e rivelato risolvibile immediatamente.
Il provvedimento del 3 settembre 2026, pubblicato sul sito del Garante (documento web 10291895), quantifica la sanzione in 5.508.000 euro. Il tema tocca da vicino il settore FinTech, dove l'app e il canale principale di relazione con il cliente e ogni interazione — consensi inclusi — passa da una catena di sistemi che devono restare allineati.
Il difetto: un opt-out che non si propaga
Il cuore del caso e un classico problema di sistemi distribuiti. L'utente agisce su un'interfaccia — il toggle nell'app — e si aspetta che quel gesto abbia effetto su tutta l'organizzazione. Ma l'interfaccia e solo il punto di ingresso: la comunicazione promozionale viene decisa e generata altrove, nel CRM e nei sistemi di marketing a valle. Se lo stato del consenso non viaggia da un capo all'altro, il risultato e esattamente quello sanzionato: la scelta esiste nel front-end, ma i sistemi che inviano i messaggi la ignorano.
Il Garante ha stabilito un principio netto: non basta che il "no" del cliente venga registrato da un sistema, se l'organizzazione non e in grado di garantirne l'applicazione effettiva. I diversi sistemi aziendali devono poter comunicare correttamente, e le procedure devono assicurare che la scelta dell'interessato sia rispettata in tutte le fasi del trattamento. Tradotto in linguaggio tecnico: lo stato del consenso deve avere una sorgente di verita affidabile e propagarsi a ogni sistema che agisce sul cliente.
Le violazioni accertate
Il Garante ha contestato la violazione di quattro articoli del GDPR, che insieme delineano la responsabilita del titolare non solo sul "cosa" ma sul "come" tecnico.
Correttezza e accountability (Art. 5). Il trattamento deve essere corretto e il titolare deve poter dimostrare di rispettare i principi. Continuare a inviare marketing a chi ha revocato il consenso viola il principio di correttezza, e l'incapacita di far valere la scelta e un difetto di accountability.
Esercizio dei diritti agevolato (Art. 12). Il titolare deve agevolare l'esercizio dei diritti dell'interessato. Un opt-out che l'utente esprime ma che il sistema non recepisce rende quel diritto solo apparente.
Diritto di opposizione al marketing (Art. 21). L'interessato ha diritto di opporsi in qualsiasi momento al trattamento per finalita di marketing diretto, e da quel momento i dati non possono piu essere trattati per quello scopo. Qui l'opposizione era stata espressa — anche piu volte — ma disattesa.
Misure tecniche e organizzative adeguate (Art. 24). E l'articolo che pesa di piu per chi costruisce software: il titolare deve mettere in atto misure tecniche e organizzative adeguate a garantire, ed essere in grado di dimostrare, che il trattamento e conforme. Due sistemi che non si sincronizzano sul consenso sono, in sostanza, una misura tecnica inadeguata.
Cosa significa per chi sviluppa software
Il messaggio per i team di prodotto e ingegneria e diretto: lo stato del consenso e un dato di primo livello, non una preferenza cosmetica nell'interfaccia. Tre implicazioni pratiche emergono dal caso.
L'interfaccia non e la fonte di verita. Un toggle nell'app che aggiorna solo lo stato locale, o un database che non notifica i sistemi a valle, e una trappola. Il consenso deve risiedere in una sorgente autorevole e da li propagarsi. Se il CRM legge uno stato diverso da quello che l'utente vede nell'app, la conformita e gia compromessa, anche se il front-end sembra perfetto.
La propagazione va progettata, non improvvisata. Integrazioni tra app, CRM e marketing automation costruite negli anni tendono ad accumulare disallineamenti silenziosi. Serve un flusso esplicito — eventi, API, code di messaggi — che porti ogni cambiamento di consenso a tutti i sistemi interessati in tempi certi. Una sincronizzazione notturna a batch, ad esempio, lascia una finestra in cui il cliente riceve ancora comunicazioni che ha rifiutato.
L'ultima difesa e il controllo lato invio. Anche con la migliore propagazione, ogni sistema che spedisce una comunicazione dovrebbe verificare lo stato del consenso al momento dell'invio, non fidarsi di una copia locale potenzialmente vecchia. E un controllo semplice che avrebbe evitato l'intera vicenda BBVA. Per le imprese italiane che gestiscono onboarding, CRM o piattaforme SaaS con componenti di comunicazione, questo e il punto in cui la conformita GDPR smette di essere un documento e diventa codice.
Come progettare la propagazione del consenso
Sulla base dei requisiti emersi dal caso, ecco un approccio pratico per chi costruisce o integra questi sistemi:
- Sorgente di verita unica per il consenso. Definite un servizio o una tabella autorevole che detiene lo stato di ogni consenso per utente e finalita. App, CRM e marketing leggono da li, non mantengono copie divergenti.
- Propagazione basata su eventi. Ogni cambiamento di consenso genera un evento (opt-in, opt-out, revoca) che i sistemi a valle consumano quasi in tempo reale. Evitate sincronizzazioni solo batch per i consensi: la latenza si traduce in comunicazioni indesiderate.
- Controllo al momento dell'invio. Prima di spedire qualsiasi comunicazione di marketing, il sistema verifica lo stato attuale del consenso alla sorgente. Se e revocato, l'invio viene bloccato e registrato.
- Log auditabile della catena. Tracciate quando il consenso e cambiato, quali sistemi hanno recepito la modifica e quando. Se il Garante chiede "perche questa persona ha ricevuto un messaggio dopo l'opt-out", dovete poter rispondere con dati, non con supposizioni.
- Test di regressione sui consensi. Inserite nei test automatici scenari di opt-out end-to-end: disattivazione nell'interfaccia, verifica che il sistema di invio smetta di comunicare. E il tipo di test che raramente viene scritto e che avrebbe intercettato il difetto BBVA.
Domande frequenti
Perche il Garante ha multato BBVA Italia per 5,5 milioni?
Con provvedimento del 3 settembre 2026 (doc. web 10291895) il Garante Privacy ha sanzionato BBVA Italia per 5.508.000 euro. Per circa sette mesi, da ottobre 2025 a maggio 2026, la banca ha continuato a inviare notifiche promozionali in app a un cliente che le aveva disattivate dall'interfaccia e ne aveva chiesto la cessazione al servizio clienti. La scelta registrata nell'app non veniva propagata al CRM interno, che continuava a distribuire le comunicazioni commerciali.
Quali articoli del GDPR sono stati violati nel caso BBVA?
Il Garante ha contestato la violazione degli articoli 5, 12, 21 e 24 del GDPR: il principio di correttezza e accountability nel trattamento (Art. 5), l'obbligo di agevolare l'esercizio dei diritti dell'interessato (Art. 12), il diritto di opposizione al marketing diretto (Art. 21) e la responsabilita del titolare di adottare misure tecniche e organizzative adeguate a garantirne il rispetto (Art. 24).
Come deve propagarsi un opt-out marketing tra app e CRM?
L'opt-out non deve essere solo registrato nel punto in cui l'utente lo esprime, ma propagato in modo affidabile a tutti i sistemi che generano comunicazioni: app, CRM, piattaforme di marketing automation, motori di push e provider esterni. In pratica serve una sorgente di verita unica per lo stato del consenso, aggiornamenti in tempo reale o quasi verso i sistemi a valle, e un controllo lato invio che blocchi la comunicazione se il consenso risulta revocato. La sola interfaccia utente non basta se il back-end non recepisce la scelta.
Fonti
Garante per la protezione dei dati personali — Provvedimento del 3 settembre 2026 n. 10291895
Teleborsa — Privacy: sanzione di 5,5 milioni di euro a BBVA Italia per messaggi in app nonostante il "no" del cliente
Tom's Hardware Italia — BBVA dovra pagare 5,5 milioni: quando app e sistemi aziendali non si parlano