El Garante per la Protezione dei Dati Personali (Garante), autoridad italiana de protección de datos, ha impuesto una sanción de 5,5 millones de euros a la sucursal italiana de BBVA por incumplir las obligaciones previstas en los artículos 5.1.a), 12, 21 y 24 del Reglamento (UE) 2016/679 (RGPD), relativas al respeto de los principios del tratamiento, al ejercicio de los derechos de los interesados y a la adopción de medidas adecuadas para garantizar el cumplimiento de la normativa de protección de datos.
El procedimiento tiene su origen en la reclamación presentada por un cliente de BBVA que continuó recibiendo comunicaciones comerciales a través de la aplicación de la entidad pese a haber desactivado la opción correspondiente y manifestado expresamente su oposición al tratamiento de sus datos con fines comerciales. A raíz de la reclamación, el Garante inició una investigación que culminó en la apertura del procedimiento sancionador.
BBVA sostuvo que había facilitado al cliente las instrucciones correctas para desactivar las comunicaciones y que la continuidad de los envíos se debió a un fallo técnico puntual de sincronización entre la configuración de la aplicación y la base de datos del equipo CRM. Asimismo, alegó que el cliente no había utilizado los canales específicos habilitados para ejercer sus derechos en materia de protección de datos. La entidad añadió que el incidente afectó únicamente a ese usuario, que el problema fue posteriormente corregido y que se adoptaron medidas técnicas, organizativas y formativas adicionales.
En relación con los artículos 5.1.a), 12 y 21 del RGPD, el Garante considera que el cliente ejerció válidamente su derecho de oposición mediante las herramientas habilitadas por la propia entidad. Por ello, rechaza que el interesado estuviera obligado a utilizar los canales específicos indicados por BBVA y recuerda que corresponde al responsable facilitar el ejercicio de los derechos. Asimismo, señala que el fallo de sincronización entre los sistemas internos no exime a la entidad de garantizar la efectividad de la oposición ni de proporcionar al interesado una respuesta adecuada.
Respecto de los artículos 5.1.a) y 24 del RGPD, el Garante considera que BBVA facilitó al cliente información incorrecta y poco transparente al indicarle que las notificaciones comerciales de la aplicación no podían desactivarse, cuando posteriormente la propia entidad consiguió bloquearlas. Para la autoridad, esta contradicción evidencia una falta de coordinación interna y la ausencia de medidas organizativas adecuadas para garantizar que la información facilitada a los interesados fuera correcta y coherente con el funcionamiento de sus sistemas.
En consecuencia, el Garante impuso a la sucursal italiana de BBVA una multa de 5,5 millones de euros, valorando, entre otros factores, la duración y el carácter negligente de la infracción, así como las deficiencias organizativas detectadas. Asimismo, tuvo en cuenta como atenuante las medidas adoptadas por la entidad durante la investigación y le ordenó reforzar sus medidas técnicas y organizativas para garantizar el correcto ejercicio de los derechos de los interesados.
En todo caso, debe tenerse en cuenta que la resolución ha sido dictada por la autoridad italiana de protección de datos. Por lo que la valoración de un supuesto similar por parte de la AEPD podría diferir, especialmente en lo relativo a los criterios aplicados para determinar la sanción.