Una decisión del Garante italiano para la Protección de Datos vuelve a poner el foco sobre una cuestión esencial para cualquier empresa que realice comunicaciones comerciales: no basta con disponer de mecanismos para que un usuario rechace la publicidad. La organización debe garantizar que esa decisión se respeta realmente en todos sus sistemas.
El caso afecta a la sucursal italiana de BBVA, que ha sido sancionada con 5.508.000 euros después de que un cliente continuara recibiendo comunicaciones comerciales a través de la aplicación móvil del banco pese a haber manifestado expresamente su oposición.
La resolución, adoptada el 3 de septiembre de 2026 y publicada por el Garante italiano, considera vulnerados varios principios y derechos recogidos en el Reglamento de Protección de Datos (RGPD), entre ellos los relativos a la licitud, transparencia, ejercicio de derechos y oposición al marketing directo.
El cliente había rechazado las comunicaciones comerciales
El origen del procedimiento se encuentra en una reclamación presentada en marzo de 2026 por un cliente de BBVA Italia. El usuario había desactivado las comunicaciones comerciales desde la propia aplicación del banco y, posteriormente, volvió a manifestar su oposición a través del servicio de atención al cliente.
A pesar de ello, continuó recibiendo notificaciones comerciales dentro de la aplicación.
Según explicó BBVA durante la investigación, el problema se habría producido por un fallo de sincronización entre sus sistemas internos y el sistema CRM encargado de gestionar el envío de comunicaciones comerciales. La entidad reconoció que la petición de desactivación había sido registrada, pero no se había trasladado correctamente al sistema utilizado para realizar los envíos.
El resultado fue que las comunicaciones comerciales continuaron durante meses. El Garante constató que entre octubre de 2025 y mayo de 2026 se produjeron al menos diez envíos comerciales no solicitados al cliente.
Un error técnico no elimina la responsabilidad
Uno de los aspectos más relevantes de esta resolución es que el Garante no considera suficiente justificar el incumplimiento como un simple fallo técnico puntual.
Para una organización que trata datos personales, los sistemas tecnológicos deben estar configurados de manera que permitan aplicar de forma efectiva las decisiones adoptadas por los interesados.
En este caso, el cliente había ejercido su derecho de oposición y la entidad disponía de información suficiente para actuar. Sin embargo, la falta de coordinación entre los sistemas provocó que la decisión del usuario no se trasladara correctamente al mecanismo encargado de enviar las comunicaciones.
El RGPD reconoce expresamente, en su artículo 21, el derecho del interesado a oponerse en cualquier momento al tratamiento de sus datos personales con fines de marketing directo. Cuando se ejerce este derecho, el responsable debe dejar de tratar los datos con esa finalidad.
Por tanto, disponer de un botón de «desactivar comunicaciones» o registrar internamente una solicitud de oposición no es suficiente si, posteriormente, otro sistema continúa enviando publicidad.
¿Tu empresa garantiza realmente el cumplimiento del RGPD?
Contar con procedimientos adecuados para gestionar los datos personales es fundamental para evitar errores que pueden derivar en sanciones y problemas de cumplimiento. En FORLOPD te ayudamos a revisar y adaptar tus procesos, sistemas y medidas de protección de datos a las exigencias del RGPD.
Conoce nuestro servicio de Protección de Datos y asegura el cumplimiento de tu empresa.
También falló la atención al ejercicio de derechos
La resolución del Garante italiano señala además deficiencias en la respuesta proporcionada por el servicio de atención al cliente.
Según la documentación analizada por la autoridad, el cliente recibió información que apuntaba a que las notificaciones promocionales de la aplicación no podían eliminarse y que, si no estaba interesado en ellas, simplemente podía ignorarlas. Sin embargo, posteriormente la propia entidad pudo bloquear técnicamente esas comunicaciones mediante la correcta sincronización de sus sistemas.
Este aspecto resulta especialmente relevante porque el RGPD no exige únicamente disponer de procedimientos internos. Las empresas también deben proporcionar a los interesados información clara y adecuada y facilitar el ejercicio efectivo de sus derechos.
La resolución recuerda así que la protección de datos no puede quedar limitada al departamento jurídico o al responsable de privacidad. Los equipos de atención al cliente, marketing, tecnología y CRM también forman parte del sistema de cumplimiento.
¿Por qué la multa alcanza los 5,5 millones?
El Garante fijó la sanción en 5.508.000 euros, teniendo en cuenta diferentes circunstancias relacionadas con la infracción. Entre ellas se encuentra la dimensión económica de la entidad, la responsabilidad apreciada por la falta de medidas organizativas adecuadas y la existencia de un precedente sancionador relacionado con incumplimientos pertinentes.
La autoridad también valoró como circunstancia atenuante las medidas adoptadas por BBVA durante la investigación para poner fin a la situación.
Además de la multa económica, el Garante ordenó a la entidad adoptar medidas técnicas y organizativas adecuadas para facilitar el ejercicio de los derechos de los interesados y garantizar que las solicitudes sean atendidas correctamente y sin retrasos injustificados.
El caso demuestra que el importe de una sanción no depende únicamente de que se haya producido un envío publicitario. También pueden influir factores como la duración de la infracción, la dimensión del responsable, las medidas de cumplimiento implantadas, los antecedentes y la capacidad de la organización para garantizar los derechos de los afectados.
Qué deben revisar las empresas que realizan marketing
El caso BBVA ofrece una advertencia especialmente importante para empresas que utilizan email marketing, SMS, llamadas comerciales, aplicaciones móviles, notificaciones push o plataformas CRM.
El principal riesgo aparece cuando diferentes herramientas intervienen en el proceso de comunicación y no existe una correcta sincronización entre ellas.
Una solicitud de oposición, baja o revocación debe trasladarse de manera fiable a todos los sistemas que puedan utilizar los datos personales con fines comerciales. No debería depender de procesos manuales ni de que un trabajador recuerde modificar determinados registros.
También es necesario comprobar periódicamente que las bajas funcionan correctamente, establecer mecanismos de control y auditoría y formar al personal que atiende las solicitudes de los clientes.
La tecnología, por sí sola, tampoco garantiza el cumplimiento. Una empresa puede disponer de un CRM avanzado y de herramientas automatizadas de marketing y, aun así, incumplir el RGPD si no ha establecido correctamente los procedimientos y controles necesarios.
El derecho de oposición debe funcionar en la práctica
La principal lección de esta sanción es sencilla: los derechos reconocidos por el RGPD deben poder ejercerse de forma efectiva.
Cuando un cliente comunica que no desea recibir publicidad, la organización debe ser capaz de identificar esa decisión, registrarla correctamente y hacer que se respete en todos los canales correspondientes.
Un error de sincronización, una configuración incorrecta o una deficiencia en la comunicación entre departamentos pueden terminar convirtiéndose en un problema de cumplimiento normativo.
Para las empresas, este caso constituye una oportunidad para revisar sus procedimientos de marketing y comprobar si las solicitudes de oposición, bajas y revocaciones se aplican realmente en todos sus sistemas y canales de comunicación.
La privacidad no termina cuando el usuario pulsa «no recibir más publicidad». El verdadero cumplimiento comienza cuando la organización es capaz de garantizar que ese «no» se respeta.
Fuente: Expansión
