BBVA — Carta di Credito

Eventi documentati con conseguenze non ancora chiuse. Ogni voce ha fonte e data.

1. 3 set 2026 Provvedimento di un’autorità Moderato ● aperto

   Comunicazioni commerciali inviate in app nonostante il cliente avesse detto di no: sanzione del Garante privacy da 5,508 milioni di euro alla succursale italiana di BBVA, che gestisce l'app da cui passa anche la carta (provv. n. 613 del 3 settembre 2026)

   L'11 marzo 2026 un cliente ha presentato reclamo al Garante per la protezione dei dati personali lamentando di ricevere comunicazioni commerciali dentro l'app della banca nonostante avesse disattivato la relativa impostazione e avesse manifestato opposizione al Servizio Clienti il 2 ottobre e il 9 dicembre 2025. Le notifiche promozionali sono comunque proseguite: almeno dieci fra l'ottobre 2025 e il maggio 2026. Nelle proprie memorie la banca ha riconosciuto la causa: la disattivazione era stata recepita dai sistemi interni ma non era stata sincronizzata con l'unità CRM che materialmente invia le comunicazioni. Il Garante ha ritenuto che registrare il rifiuto in una banca dati non basta, se l'infrastruttura che usa quei dati continua a operare come se il diritto non fosse mai stato esercitato. Con il provvedimento n. 613 del 3 settembre 2026 — reso noto l'11 settembre — l'Autorità ha dichiarato illecito il trattamento per violazione degli artt. 5, par. 1, lett. a), 12, 21 e 24 del GDPR, ha ordinato il pagamento di 5.508.000 euro, ha prescritto alla banca di adottare misure tecniche e organizzative adeguate a garantire l'esercizio dei diritti e di riferire le iniziative prese entro 30 giorni, e ha disposto la pubblicazione del provvedimento anche in considerazione di un precedente provvedimento adottato contro la stessa società per violazioni pertinenti. Due precisazioni che cambiano la lettura della cifra. Primo: l'accertamento riguarda la posizione di UN reclamante e dieci notifiche, non una platea di clienti; l'importo è alto perché l'art. 83, par. 5 del GDPR lo parametra al fatturato del gruppo, non perché la violazione abbia colpito una massa. Secondo: non è una fuga di dati — nessuna informazione risulta uscita verso terzi. Il caso non è chiuso: la banca ha 30 giorni per pagare, può definire la controversia versando metà della sanzione oppure proporre opposizione davanti al giudice ordinario. Sul singolo reclamante il difetto risulta corretto: dal 13 maggio 2026 non riceve più le notifiche e la banca dichiara di aver rafforzato l'allineamento fra le richieste di opt-out e la piattaforma di invio.

   ↗ fonte

verificato il 24 set 2026

Media ponderata sul numero di recensioni di 2 piattaforme pubbliche (110.865 recensioni totali). Non è il nostro voto: è la media di quelle piattaforme, pesata sul volume.