Il Garante privacy, con provvedimento n. 613 del 3 settembre 2026, ha sanzionato un istituto bancario per delle violazioni della normativa in materia di privacy con particolare riguardo al diritto di opposizione all’esercizio dei propri dati personali per finalità commerciali.
Nel caso di specie, un cliente, nonostante avesse manifestato la propria opposizione alla ricezione di comunicazioni commerciali tramite l’applicazione, aveva continuato a ricevere detti messaggi promozionali. A fronte di ciò, aveva altresì contattato il servizio clienti, ribadendo la propria opposizione. Nonostante ciò, aveva continuato a ricevere messaggi promozionali per i successivi sette mesi.
Ciò, alla luce dell’istruttoria condotta dall’Autorità, era riconducibile al mancato corretto allineamento tra i sistemi aziendali e la piattaforma che si occupava delle comunicazioni commerciali. In aggiunta, è emerso che l’istituto non aveva fornito al cliente un corretto riscontro in relazione all’esercizio dei suoi diritti.
All’interessato, infatti, al momento del contatto con il servizio clienti, è stata solo comunicata la procedura ordinaria per modificare le impostazioni della app – procedura per altro già seguita dallo stesso- senza che gli fossero fornite informazioni sulle azioni intraprese dal titolare per dar seguito alla medesima richiesta.
Il Garante ha quindi ritenuto violato gli articoli:
- 5 par. 1 lett. a) del GDPR, disciplinante i principi di liceità, correttezza e trasparenza,
- 12 del GDPR disciplinante le informazioni, comunicazioni e modalità trasparenti per l’esercizio dei diritti dell’interessato
- 21 del GDPR avente ad oggetto il diritto di opposizione.
Dall’istruttoria è emerso, altresì, che il servizio clienti della banca avesse fornito informazioni errate sul trattamento dei dati personali dell’interessato. Era, infatti, stato comunicato al cliente che potesse esercitare il proprio diritto solo con riguardo alle comunicazioni via email, mentre, per quanto concerneva quelle presenti dell’app, non era possibile per la società intervenire. In caso di mancato interesse, il cliente era stato invitato ad ignorare le notifiche promozionali.
Contrariamente a quanto dichiarato al cliente, però, in un successivo momento, la banca aveva provveduto a bloccare le notifiche commerciali all’interno dell’app.
Il disallineamento tra quanto comunicato all’interessato e quanto posto in essere dall’istituto appare essere espressione di misure organizzative inadeguate che hanno comportato la comunicazione di informazioni errate e non trasparenti in merito al trattamento realizzato dal titolare.
Alla luce di tale scorretta comunicazione, sono stati ritenuti violati dalla società gli articoli:
- 5 par. 1 lett. a) del GDPR avente ad oggetto i principi di liceità, correttezza e trasparenza
- 24 del GDPR disciplinante la responsabilità del titolare del trattamento.
Alla società è, quindi, stata inflitta una sanzione amministrativa pecuniaria, è stato imposto di adottare misure tecniche e organizzative adeguate a facilitare l’esercizio dei diritti previsti degli interessati e a comunicare all’Autorità, entro 30 giorni dalla notifica del provvedimento, le iniziative intraprese.
