Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
Cinque milioni e cinquecentomila euro per un cliente, sette mesi, dieci notifiche promozionali. Non è la trama di una class action americana. È il provvedimento n. 613 del 3 settembre 2026 con cui il Garante Privacy italiano ha sanzionato Banco Bilbao Vizcaya Argentaria Italia S.p.A. — e il dato che più colpisce non è l'importo assoluto, ma la proporzione: una sola persona che aveva esercitato il proprio diritto di opposizione al marketing diretto GDPR, due canali diversi, nessuna risposta concreta.
Cosa succede se un cliente si oppone al marketing e continua a ricevere messaggi?
Il cliente aveva disattivato le comunicazioni commerciali tramite l'app e poi ribadito il diniego al servizio clienti. Le notifiche promozionali sono proseguite da ottobre 2025 a maggio 2026, per almeno dieci invii documentati. Il Garante ha accertato la violazione degli artt. 5(1)(a), 12, 21 e 24 del Regolamento UE 2016/679 (GDPR) e ha irrogato una sanzione di 5.508.000 euro, con ordine di adottare misure tecniche e organizzative adeguate. Il titolare del trattamento risponde anche quando il problema è "tecnico": questo è il punto.
Il diritto di opposizione al marketing GDPR deve essere rispettato subito?
L'art. 21 GDPR è categorico: quando l'interessato si oppone al trattamento a fini di marketing diretto, il titolare deve cessare immediatamente il trattamento, senza attendere una verifica ulteriore, senza richiedere una forma scritta e senza poter eccepire inconvenienti di sistema. Immediatamente significa nella pratica che i canali di raccolta dell'opt-out e i sistemi che governano le spedizioni devono essere collegati in tempo reale o con latenza tecnica minima e documentata. La legge non conosce il concetto di "database non ancora aggiornato".
L'errore che nessun altro blog segnala: il flag c'era, ma non bastava
I commenti al caso BBVA disponibili online si fermano alla descrizione del problema come "mancato allineamento tecnico tra sistemi". Questa lettura è parziale e, per un'azienda che voglia proteggersi, fuorviante.
Il Garante ha messo in evidenza un principio di portata più ampia: non è sufficiente che il "no" del cliente venga registrato da un sistema se poi l'organizzazione non è in grado di garantirne l'effettiva applicazione. Traducendo: l'opposizione era da qualche parte nei sistemi di BBVA. Ma ciò non ha costituito esimente.
L'opt-out era registrato internamente, ma non si era mai propagato al team CRM che gestiva le spedizioni commerciali; il Garante ha inoltre respinto l'argomento della banca secondo cui il cliente avrebbe dovuto scrivere agli indirizzi email del DPO o dell'ufficio privacy indicati nell'informativa, ritenendo che un'opposizione espressa tramite le impostazioni dell'app e al servizio clienti non possa essere ignorata.
Chi si occupa di compliance sa che questa è la radice del problema. Nelle pratiche che seguiamo, l'errore più frequente non è la mancanza di un meccanismo di opt-out: è che il meccanismo esiste nel portale o nell'app, ma il contratto con il fornitore del CRM di marketing non contiene alcuna clausola che obblighi quel fornitore a ricevere e applicare le preferenze di consenso provenienti dagli altri sistemi. Il risultato è un'architettura a silos: ogni piattaforma tiene il suo registro, nessuna parla con le altre. L'accountability GDPR — cioè la responsabilizzazione concreta e dimostrabile del titolare — non si esaurisce nel tenere un log: richiede che la volontà dell'interessato produca effetti reali lungo tutta la catena del trattamento.
Quanto può multare il Garante Privacy per email di marketing non autorizzate?
La violazione dell'art. 21 GDPR rientra nel regime sanzionatorio più elevato previsto dall'art. 83 par. 5 GDPR: fino a 20 milioni di euro oppure fino al 4% del fatturato mondiale annuo totale, se superiore. Nel caso BBVA, il Garante ha tenuto conto della gravità e della durata della violazione, del fatturato di BBVA — superiore a 500 milioni di euro — e di un precedente provvedimento del luglio 2025, con cui l'Autorità aveva già contestato alla banca un tardivo riscontro a una richiesta di accesso ai dati.
Questo secondo elemento — il precedente del 2025 — aggrava strutturalmente la posizione del titolare. Non era la prima volta che il Garante segnalava criticità nella gestione dei diritti degli interessati. La recidiva, anche parziale, incide in misura significativa sulla quantificazione della sanzione.
Anche per un'azienda con fatturato di 10 milioni di euro il massimo teorico per le violazioni ex art. 83 par. 5 GDPR resta di 20 milioni di euro, perché il 4% del fatturato si applica solo se superiore; ma anche il solo obbligo di adeguamento, se affidato a consulenti esterni e richiede interventi architetturali sui sistemi, può costare tra 30.000 e 150.000 euro (stima orientativa, dipende fortemente dalla complessità dell'ecosistema IT). Il costo di prevenzione resta largamente inferiore al costo della sanzione.
La sentenza Cass. 22791/2026 e i tempi del procedimento sanzionatorio
C'è un'ulteriore circostanza che le aziende tendono a sottovalutare. La Corte di Cassazione, Sez. I civile, con sentenza del 6 luglio 2026 n. 22791 (Pres. Giusti) ha chiarito che il termine di 120 giorni previsto dal regolamento del Garante n. 2/2019 non si riferisce all'emissione della sanzione decorrente dalla contestazione delle violazioni, ma è un termine per notificare le contestazioni. In concreto: una volta notificata tempestivamente la contestazione, non è previsto un ulteriore termine di centoventi giorni per adottare l'ordinanza-ingiunzione.
Cosa significa per le imprese? Che l'argomento difensivo della "decadenza per tardività" — un tempo abbastanza efficace — è diventato molto più difficile da sostenere. Il Garante ha tutto il tempo necessario per completare l'istruttoria dopo la contestazione; l'unico limite residuo è la prescrizione quinquennale ordinaria. Chi pensa di potersi difendere sul piano procedurale invocando i 120 giorni dovrà fare i conti con questo orientamento.
Il diritto di opposizione marketing GDPR nella pratica: cosa verificare subito
La sincronizzazione CRM privacy non è un tema solo bancario. Qualunque azienda che gestisca comunicazioni di marketing — newsletter, push notification, SMS, messaggi in-app — deve rispondere a queste domande concrete.
Primo: dove vengono raccolte le opposizioni al marketing? Elencare tutti i canali: sito web, app, servizio clienti telefonico, punti vendita fisici, email al DPO.
Secondo: per ciascun canale, esiste un flusso automatico e documentato verso il sistema che governa le spedizioni? Con quale latenza massima? Chi la verifica?
Terzo: i contratti con i fornitori di CRM, piattaforme di email marketing o sistemi di notifica push contengono clausole che li obbligano a ricevere, applicare e tracciare le preferenze di opt-out in tempo reale?
Quarto: esiste un registro dei diritti esercitati che sia interrogabile per data, canale e risposta data, e che sia accessibile al DPO?
Quinto: quanto tempo intercorre tra la ricezione dell'opposizione e la cessazione effettiva degli invii? Se la risposta è "non lo sappiamo" o "dipende dal sistema", il rischio è reale.
Il Garante ha ordinato a BBVA di adottare misure tecniche e organizzative adeguate tali da assicurare una gestione corretta e tempestiva delle richieste degli interessati e da evitare che situazioni simili si ripetano in futuro. Quella prescrizione vale come specchio per chiunque non l'abbia ancora fatto.
Nota dall'esperienza
Nelle pratiche che seguiamo, l'errore più frequente è che l'opt-out viene gestito come un problema del team marketing — "togliamo il cliente dalla lista" — invece che come un processo aziendale trasversale con ownership chiara, tracciabilità e audit periodici. Questo funziona finché non arriva un reclamo. Il punto di fragilità lo vediamo quasi sempre nel passaggio tra il sistema di gestione delle preferenze e il software di spedizione: due piattaforme diverse, spesso di due fornitori diversi, con integrazioni costruite anni prima e mai più riviste dopo un cambio di CRM.
Il brocardo fraus omnia corrumpit — la frode travolge tutto ciò che ha contaminato — si adatta qui con una variazione: non serve la frode. Basta l'inerzia organizzativa a travolgere la difesa in sede sanzionatoria.
Il Garante, con il provvedimento su BBVA, ha ricordato che l'accountability GDPR non è una dichiarazione d'intenti: è un sistema che deve funzionare end-to-end, ogni giorno, su ogni canale.
Domande frequenti
Un'azienda PMI rischia davvero una sanzione da milioni per email di marketing non autorizzate?
L'entità della sanzione dipende anche dal fatturato e dalla recidiva. Per una PMI con 5 milioni di fatturato il massimo ex art. 83 par. 5 GDPR resta di 20 milioni di euro (il 4% del fatturato vale solo se superiore), anche se in concreto la sanzione è commisurata a gravità, durata e dimensioni dell'impresa; ma anche 20.000-50.000 euro di sanzione, uniti ai costi di adeguamento imposti dal Garante e al danno reputazionale, rappresentano un impatto concreto. La soglia d'ingresso per un procedimento è un singolo reclamo fondato.
Basta avere una pagina "gestione preferenze" sul sito per essere in regola col diritto di opposizione?
No. La pagina di gestione preferenze è il punto di raccolta dell'opt-out, non il sistema che lo applica. Se le preferenze registrate lì non si propagano automaticamente al CRM di marketing e a tutti gli altri sistemi che inviano comunicazioni, l'azienda è esposta esattamente come BBVA: l'opposizione è formalmente raccolta ma sostanzialmente ignorata.
Se il cliente ha espresso l'opposizione solo verbalmente al servizio clienti, vale comunque?
Sì. Il Garante ha chiarito nel provvedimento BBVA che l'opposizione espressa al servizio clienti è giuridicamente valida e il titolare non può esigere che venga ripetuta tramite i canali formali indicati nell'informativa. L'art. 21 GDPR non prescrive una forma specifica per l'opposizione al marketing diretto: qualunque manifestazione di volontà inequivoca, su qualunque canale gestito dal titolare, è sufficiente a far scattare l'obbligo di cessazione immediata.
Redazione - Staff Studio Legale MP
