Un cliente disattiva le comunicazioni commerciali nell’app. Il sistema registra correttamente la scelta, ma il CRM che invia le notifiche non si aggiorna. Il customer care riceve poi una seconda opposizione, indica la procedura standard e non attiva una verifica tecnica. Le promozioni continuano per mesi. È una sequenza che può sembrare un incidente circoscritto; in realtà mostra quanto la protezione dei dati dipenda dall’architettura dei processi, non dalla presenza formale di un pulsante.
È il punto centrale del provvedimento n. 613 del 3 settembre 2026, reso pubblico dal Garante privacy nella newsletter dell’11 settembre. L’Autorità ha sanzionato Banco Bilbao Vizcaya Argentaria, succursale italiana, per 5.508.000 euro. Nel caso esaminato, l’opposizione di un cliente era stata registrata nei sistemi interni, ma non sincronizzata con l’unità CRM deputata alle comunicazioni commerciali in-app. Le notifiche sono proseguite per sette mesi.
La lezione utile per qualsiasi organizzazione è semplice: un diritto non è rispettato quando viene soltanto acquisito. Deve produrre un effetto coerente in tutti i sistemi, i fornitori e i canali coinvolti.
Opposizione e revoca del consenso non sono la stessa cosa
Prima di parlare di tecnologia, è utile distinguere due concetti spesso confusi. Se un trattamento si fonda sul consenso, l’interessato può revocarlo. Per il marketing diretto, inoltre, l’articolo 21 del GDPR riconosce un diritto di opposizione esercitabile in qualsiasi momento. Come ricorda la guida EDPB per le piccole imprese, quando i dati sono trattati per finalità di marketing l’opposizione non richiede motivazioni e deve comportare la cessazione immediata di quel trattamento.
La distinzione conta anche nel disegno dei sistemi. Un database che conserva soltanto un campo generico “consenso sì/no” rischia di non descrivere la realtà: occorre sapere a quale finalità si riferisce la scelta, su quale canale produce effetti, quando è stata manifestata, da quale fonte proviene e quali sistemi l’hanno recepita.
Il “no” al marketing non implica necessariamente la cancellazione di tutti i dati del cliente. Un’organizzazione può dover conservare informazioni per eseguire un contratto, rispettare obblighi di legge o gestire la sicurezza. Deve però impedire che quei dati continuino a essere usati per la finalità contestata. La preferenza va quindi modellata come una regola operativa, non come una semplice annotazione.
Perché un flag corretto può produrre un trattamento illecito
Nel caso descritto dal Garante, la banca ha spiegato che la scelta era stata censita, ma che era mancata la sincronizzazione tra i sistemi interni e il CRM. Questa circostanza non ha escluso la responsabilità. Al contrario, ha mostrato che la misura predisposta non era efficace lungo l’intero flusso.
Il GDPR non chiede soltanto di dichiarare una procedura. Gli articoli 12, 21 e 24 collegano l’esercizio dei diritti alla capacità del titolare di agevolarlo, dare riscontro e adottare misure tecniche e organizzative adeguate. La privacy by design diventa concreta proprio qui: bisogna progettare l’effetto della scelta su ogni destinazione del dato.
In un ecosistema reale, la stessa informazione può essere presente in app, portale web, CRM, piattaforma di marketing automation, data warehouse, contact center, sistemi di profilazione e servizi di fornitori esterni. Se ciascun componente interpreta la preferenza in modo autonomo, basta una coda bloccata, un mapping errato o una lista esportata prima dell’aggiornamento per riattivare un trattamento che avrebbe dovuto cessare.
Il customer care è parte del sistema di protezione dei dati
Il provvedimento chiarisce anche un altro aspetto importante. L’interessato non può essere costretto a usare esclusivamente un indirizzo riservato al DPO quando ha già espresso chiaramente la propria volontà attraverso un canale ufficiale dell’organizzazione. Nel caso concreto, il cliente aveva usato sia l’impostazione prevista nell’app sia il Servizio Clienti.
L’articolo 12 richiede di agevolare l’esercizio dei diritti. Per questo il customer care non è un livello separato dalla compliance: è un sensore operativo. Un operatore che riceve una segnalazione di marketing indesiderato deve poter distinguere una domanda informativa da un possibile esercizio di diritto, aprire un caso, preservare le evidenze e attivare l’escalation verso chi può intervenire sul trattamento.
Una risposta generica del tipo “controlli le impostazioni” non basta se l’utente dichiara di averlo già fatto. Quella ripetizione è un indicatore di malfunzionamento e dovrebbe avviare una verifica end-to-end.
Cinque controlli per rendere il “no” effettivo
Il primo controllo è la fonte autorevole della preferenza. L’organizzazione dovrebbe definire quale registro governa lo stato del marketing e come si risolvono eventuali conflitti tra app, CRM e piattaforme esterne. La fonte non deve necessariamente essere un unico database, ma deve esistere una regola univoca.
Il secondo è la propagazione misurabile. Ogni variazione dovrebbe generare un evento con identificativo, data, finalità, canale e sistemi destinatari. Un log deve consentire di verificare non solo che l’evento sia partito, ma che sia stato applicato da tutti i componenti previsti.
Il terzo è uno SLA interno più breve del termine legale di risposta. Per il marketing, la cessazione deve essere immediata. Il mese previsto per il riscontro all’interessato non può diventare un mese di ulteriori campagne. Occorrono tempi tecnici definiti in minuti o ore, con allerta quando una sincronizzazione non si completa.
Il quarto è la riconciliazione periodica. Un confronto automatico tra il registro delle opposizioni e le audience attive può intercettare disallineamenti che il monitoraggio dei singoli eventi non vede. Il test deve includere anche liste già esportate, campagne programmate e account gestiti da fornitori.
Il quinto è la prova attraverso casi reali di collaudo. Non basta testare il percorso ideale. Vanno simulati sistemi indisponibili, eventi duplicati, cambi di identità, merge di anagrafiche, richieste ricevute dal call center e revoche durante una campagna. Il risultato atteso deve essere documentato e ripetibile.
Responsabilità, fornitori e indicatori
Un processo efficace assegna un owner alla preferenza e responsabilità chiare a marketing, IT, privacy, customer care e fornitori. Nei contratti con piattaforme e outsourcer servono tempi di aggiornamento, assistenza agli interessati, disponibilità dei log, obblighi di notifica delle anomalie e prove di cancellazione o soppressione dalle audience.
Anche gli indicatori devono misurare risultati, non soltanto attività: percentuale di opposizioni propagate entro lo SLA, numero di sistemi non allineati, campagne bloccate, richieste riaperte, tempo medio di escalation e tasso di riconciliazione. Una dashboard verde priva di test indipendenti non dimostra che il diritto sia effettivamente rispettato.
La newsletter del Garante dell’11 settembre 2026 sintetizza il principio: i sistemi aziendali devono dialogare e le procedure devono garantire che la scelta del cliente sia rispettata in tutte le fasi del trattamento. Nel quantificare la sanzione, l’Autorità ha considerato la violazione di bassa intensità e riferita a un solo interessato, ma anche la durata, il fatturato dell’organizzazione, la responsabilità organizzativa e un precedente pertinente. È quindi sbagliato trasformare il caso in una formula automatica sulla misura delle sanzioni; è corretto leggerlo come prova del valore sostanziale dell’accountability.
Dalla preferenza registrata alla conformità verificabile
Ogni organizzazione dovrebbe poter ricostruire una risposta semplice: quando una persona dice “no”, quali sistemi cambiano stato, entro quanto tempo, chi controlla l’esito e quale evidenza rimane? Se la risposta dipende da passaggi informali o da database che non si riconciliano, il rischio non è solo tecnico.
Posso aiutarti a mappare questi flussi, definire controlli e responsabilità e trasformare l’esercizio dei diritti in un processo misurabile. Contattami, seguimi o scrivimi per approfondire il tema con un approccio concreto.
Nota di trasparenza: questo contenuto, sia testuale sia visivo, è stato realizzato in parte con l’ausilio di strumenti di intelligenza artificiale, con revisione e controllo umano.