Una decisión del Garante italiano para la Protección de Datos vuelve a poner el foco sobre una cuestión esencial para cualquier empresa que realice comunicaciones comerciales: no basta con disponer de mecanismos para que un usuario rechace la publicidad. La organización debe garantizar que esa decisión se respeta realmente en todos sus sistemas.
El caso afecta a la sucursal italiana de BBVA, que ha sido sancionada con 5.508.000 euros después de que un cliente continuara recibiendo comunicaciones comerciales a través de la aplicación móvil del banco pese a haber manifestado expresamente su oposición.
La resolución, adoptada el 3 de septiembre de 2026 y publicada por el Garante italiano, considera vulnerados varios principios y derechos recogidos en el Reglamento de Protección de Datos (RGPD), entre ellos los relativos a la licitud, transparencia, ejercicio de derechos y oposición al marketing directo.
El cliente había rechazado las comunicaciones comerciales
El origen del procedimiento se encuentra en una reclamación presentada en marzo de 2026 por un cliente de BBVA Italia. El usuario había desactivado las comunicaciones comerciales desde la propia aplicación del banco y, posteriormente, volvió a manifestar su oposición a través del servicio de atención al cliente.
A pesar de ello, continuó recibiendo notificaciones comerciales dentro de la aplicación.
Según explicó BBVA durante la investigación, el problema se habría producido por un fallo de sincronización entre sus sistemas internos y el sistema CRM encargado de gestionar el envío de comunicaciones comerciales. La entidad reconoció que la petición de desactivación había sido registrada, pero no se había trasladado correctamente al sistema utilizado para realizar los envíos.
El resultado fue que las comunicaciones comerciales continuaron durante meses. El Garante constató que entre octubre de 2025 y mayo de 2026 se produjeron al menos diez envíos comerciales no solicitados al cliente.
Un error técnico no elimina la responsabilidad
Uno de los aspectos más relevantes de esta resolución es que el Garante no considera suficiente justificar el incumplimiento como un simple fallo técnico puntual.
Para una organización que trata datos personales, los sistemas tecnológicos deben estar configurados de manera que permitan aplicar de forma efectiva las decisiones adoptadas por los interesados.
En este caso, el cliente había ejercido su derecho de oposición y la entidad disponía de información suficiente para actuar. Sin embargo, la falta de coordinación entre los sistemas provocó que la decisión del usuario no se trasladara correctamente al mecanismo encargado de enviar las comunicaciones.
El RGPD reconoce expresamente, en su artículo 21, el derecho del interesado a oponerse en cualquier momento al tratamiento de sus datos personales con fines de marketing directo. Cuando se ejerce este derecho, el responsable debe dejar de tratar los datos con esa finalidad.
Por tanto, disponer de un botón de «desactivar comunicaciones» o registrar internamente una solicitud de oposición no es suficiente si, posteriormente, otro sistema continúa enviando publicidad.
¿Tu empresa garantiza realmente el cumplimiento del RGPD?
Contar con procedimientos adecuados para gestionar los datos personales es fundamental para evitar errores que pueden derivar en sanciones y problemas de cumplimiento. En FORLOPD te ayudamos a revisar y adaptar tus procesos, sistemas y medidas de protección de datos a las exigencias del RGPD.
Conoce nuestro servicio de Protección de Datos y asegura el cumplimiento de tu empresa.
También falló la atención al ejercicio de derechos
La resolución del Garante italiano señala además deficiencias en la respuesta proporcionada por el servicio de atención al cliente.
Según la documentación analizada por la autoridad, el cliente recibió información que apuntaba a que las notificaciones promocionales de la aplicación no podían eliminarse y que, si no estaba interesado en ellas, simplemente podía ignorarlas. Sin embargo, posteriormente la propia entidad pudo bloquear técnicamente esas comunicaciones mediante la correcta sincronización de sus sistemas.
Este aspecto resulta especialmente relevante porque el RGPD no exige únicamente disponer de procedimientos internos. Las empresas también deben proporcionar a los interesados información clara y adecuada y facilitar el ejercicio efectivo de sus derechos.
La resolución recuerda así que la protección de datos no puede quedar limitada al departamento jurídico o al responsable de privacidad. Los equipos de atención al cliente, marketing, tecnología y CRM también forman parte del sistema de cumplimiento.
¿Por qué la multa alcanza los 5,5 millones?
El Garante fijó la sanción en 5.508.000 euros, teniendo en cuenta diferentes circunstancias relacionadas con la infracción. Entre ellas se encuentra la dimensión económica de la entidad, la responsabilidad apreciada por la falta de medidas organizativas adecuadas y la existencia de un precedente sancionador relacionado con incumplimientos pertinentes.
La autoridad también valoró como circunstancia atenuante las medidas adoptadas por BBVA durante la investigación para poner fin a la situación.
Además de la multa económica, el Garante ordenó a la entidad adoptar medidas técnicas y organizativas adecuadas para facilitar el ejercicio de los derechos de los interesados y garantizar que las solicitudes sean atendidas correctamente y sin retrasos injustificados.
El caso demuestra que el importe de una sanción no depende únicamente de que se haya producido un envío publicitario. También pueden influir factores como la duración de la infracción, la dimensión del responsable, las medidas de cumplimiento implantadas, los antecedentes y la capacidad de la organización para garantizar los derechos de los afectados.
Qué deben revisar las empresas que realizan marketing
El caso BBVA ofrece una advertencia especialmente importante para empresas que utilizan email marketing, SMS, llamadas comerciales, aplicaciones móviles, notificaciones push o plataformas CRM.
El principal riesgo aparece cuando diferentes herramientas intervienen en el proceso de comunicación y no existe una correcta sincronización entre ellas.
Una solicitud de oposición, baja o revocación debe trasladarse de manera fiable a todos los sistemas que puedan utilizar los datos personales con fines comerciales. No debería depender de procesos manuales ni de que un trabajador recuerde modificar determinados registros.
También es necesario comprobar periódicamente que las bajas funcionan correctamente, establecer mecanismos de control y auditoría y formar al personal que atiende las solicitudes de los clientes.
La tecnología, por sí sola, tampoco garantiza el cumplimiento. Una empresa puede disponer de un CRM avanzado y de herramientas automatizadas de marketing y, aun así, incumplir el RGPD si no ha establecido correctamente los procedimientos y controles necesarios.
¿Cuánto tiempo debe conservar una empresa la evidencia del consentimiento para recibir publicidad?
La empresa debe poder demostrar que el consentimiento que utiliza como base para una campaña fue obtenido correctamente. Por ello, no basta con disponer actualmente de una dirección de correo electrónico o un número de teléfono: resulta recomendable conservar información sobre cuándo, cómo y para qué finalidad se obtuvo el consentimiento, así como las condiciones que conoció el interesado.
¿Qué ocurre si un cliente se opone a la publicidad pero sus datos aparecen en varias bases de datos?
La oposición debe trasladarse a todos los sistemas y tratamientos en los que pueda utilizarse el dato con fines comerciales. Un error frecuente es registrar la baja en la plataforma de email marketing, pero mantener al usuario activo en el CRM, en una herramienta de automatización o en una base de datos utilizada por el departamento comercial. La gestión de la oposición debe ser transversal y evitar que el contacto vuelva a incorporarse a futuras campañas.
¿Puede una empresa volver a enviar publicidad a una persona que se dio de baja?
No debería hacerlo mientras mantenga vigente su oposición o retirada del consentimiento para esa finalidad. Una nueva campaña no convierte automáticamente en válida una comunicación que contradice una decisión previa del interesado. Por ello, las listas de exclusión internas deben actualizarse antes de cada campaña y mantenerse correctamente sincronizadas.
¿Es suficiente incluir un enlace para darse de baja al final de un correo comercial?
El mecanismo de oposición debe ser sencillo y gratuito. Además, la empresa debe asegurarse de que la solicitud realmente produce la exclusión del destinatario de las comunicaciones correspondientes. Un enlace que devuelve un error, exige varios pasos innecesarios o no actualiza las herramientas desde las que se realizan los envíos puede generar un problema de cumplimiento.
¿Qué debe comprobar una empresa antes de lanzar una campaña publicitaria?
Además de disponer de una base jurídica adecuada, debería comprobar la procedencia y antigüedad de los datos, la finalidad para la que fueron obtenidos, las preferencias publicitarias registradas y las exclusiones existentes. También conviene dejar constancia de las verificaciones realizadas antes del envío para poder acreditar posteriormente que se aplicaron controles de cumplimiento.
El derecho de oposición debe funcionar en la práctica
La principal lección de esta sanción es sencilla: los derechos reconocidos por el RGPD deben poder ejercerse de forma efectiva.
Cuando un cliente comunica que no desea recibir publicidad, la organización debe ser capaz de identificar esa decisión, registrarla correctamente y hacer que se respete en todos los canales correspondientes.
Un error de sincronización, una configuración incorrecta o una deficiencia en la comunicación entre departamentos pueden terminar convirtiéndose en un problema de cumplimiento normativo.
Para las empresas, este caso constituye una oportunidad para revisar sus procedimientos de marketing y comprobar si las solicitudes de oposición, bajas y revocaciones se aplican realmente en todos sus sistemas y canales de comunicación.
La privacidad no termina cuando el usuario pulsa «no recibir más publicidad». El verdadero cumplimiento comienza cuando la organización es capaz de garantizar que ese «no» se respeta.
Fuente: Expansión
