Con provvedimento del 3 settembre 2026, il Garante per la Protezione dei Dati Personali ha irrogato a BBVA Italia una sanzione pari a 5.508.000 euro per il mancato riscontro, protratto per sette mesi, alla richiesta di un cliente di revocare il consenso alle comunicazioni commerciali tramite applicazione mobile.
L'Autorità ha accertato la violazione degli artt. 5, par. 1, lett. a), 12, 21 e 24 del Regolamento, riconducibile a un disallineamento tra i sistemi interni e l'unità CRM del Titolare, aggravata dalla recidiva rispetto a un precedente provvedimento sanzionatorio del luglio 2025 per fattispecie analoghe.
Il caso offre un elemento di riflessione rilevante per chi opera nella gestione dei sistemi di protezione dei dati: un Sistema di Gestione per la Sicurezza delle Informazioni certificato ISO/IEC 27001, integrato con i controlli dello standard ISO/IEC 27701 in materia di privacy, avrebbe verosimilmente consentito di intercettare per tempo, nell'ambito del ciclo di audit interno, il disallineamento tra le impostazioni dichiarate dal cliente e i processi CRM effettivamente in essere.
La conformità documentale non è, di per sé, garanzia di conformità sostanziale.
Le organizzazioni verificano periodicamente, attraverso audit indipendenti, che l'esercizio dei diritti dell'interessato si traduca in un effettivo allineamento operativo tra tutti i sistemi coinvolti?
Fonte: Garante Privacy, provvedimento del 3 settembre 2026 [doc. web n. 10291895]