Mitä tapahtui
BBVA Italian asiakas kytkee sovelluksessa kaupalliset viestit pois. Markkinointi-ilmoitukset jatkuvat. Hän vastustaa toisen kerran, nyt kirjallisesti asiakaspalvelulle. Ne jatkuvat silti. Tämä jatkuu lokakuusta 2025 toukokuuhun 2026, noin seitsemän kuukautta, kunnes hän 11. maaliskuuta 2026 kantelee viranomaiselle. Päätöksellä nro 613, 3. syyskuuta 2026, viranomainen määräsi pankille 5 508 000 euroa 5, 12, 21 ja 24 artiklan rikkomisesta ja velvoitti toteuttamaan tekniset ja organisatoriset toimet, jotka varmistavat rekisteröityjen pyyntöjen asianmukaisen ja oikea-aikaisen käsittelyn.
Pankin puolustus oli tekninen: vika CRM-järjestelmässä, ohjelmistossa joka pitää asiakastiedot koossa. Vastustus oli kirjattu, sitä ei vain välitetty järjestelmiin jotka lähettävät ilmoitukset. Näin sanottuna se kuulostaa epäonnelta; rekisteröidyn näkökulmasta se on täsmälleen sama asia kuin ettei sitä olisi koskaan kirjattu.
Miksi vika ei ole tekosyy
21 artiklan 3 kohta ei sano, että rekisterinpitäjän on merkittävä vastustus muistiin: se sanoo, ettei tietoja enää käsitellä suoramarkkinointia varten. Se on tulosvelvoite, ei huolellisuusvelvoite. Ja 24 artikla edellyttää asianmukaisia teknisiä ja organisatorisia toimia, mukaan lukien ne, jotka tarkastavat muiden toimivuuden. Vastustus, joka menee järjestelmään eikä tule ulos toisesta päästä, osoittaa juuri tuon tarkastuksen puuttumisen.
- Suoramarkkinoinnin vastustaminen on ehdotonta: ei punnintaa, ei kestävää oikeutettua etua, eikä rekisteröidyn tarvitse perustella sitä.
- Se on toteutettava ilman aiheetonta viivytystä, ja viitemääräaika on 12 artiklan 3 kohdan mukainen: yksi kuukausi.
- Valinnan kirjaaminen ja sen välittäminen ovat kaksi eri toimenpidettä: jälkimmäinen ratkaisee, eikä sitä juuri kukaan testaa.
- Saman henkilön toinen ilmoitus on hälytys: se tarkoittaa, ettei ensimmäinen toiminut eikä kukaan huomannut.
- Rekisterinpitäjän on kyettävä osoittamaan, että vastustus toteutettiin, ei vain että se vastaanotettiin — se on 5 artiklan 2 kohta.
Puolen tunnin testi, jota lähes kukaan ei tee
Sitä kutsutaan välitystestiksi ja se tehdään näin: otetaan palvelupostilaatikko, tilataan viestit, vastustetaan sitä kanavaa käyttäen jota asiakas käyttäisi, ja odotetaan. Jos kahden viikon jälkeen tulee vielä jotain, ongelma on olemassa ja se on dokumentoitu ennen kuin viranomainen dokumentoi sen. Se kannattaa tehdä jokaisessa viestejä lähettävässä järjestelmässä: sähköposti, tekstiviesti, sovelluksen ilmoitukset, puhelin. Usein ne ovat neljä eri järjestelmää, ja vastustuksen on tavoitettava kaikki neljä.
Sitten on kohta, joka tekee tästä päätöksestä hyödyllisen paljon pankkialaa laajemmin. Vika on riski, jota käsittelytoimien seloste ei näe: selosteessa lukee, että vastustukset käsitellään, ja muodollisesti se on totta. Mitä seloste ei kerro, on se, onko lomakkeen ja lähettävän järjestelmän välissä vaihe, joka voi rikkoutua äänettömästi. Tuota kysymystä ei esitä yksikään malli: sen esittää tietosuojavastaava, joka menee katsomaan.
Mitä tehdä tänään, konkreettisesti. Jokaisesta kaupallisia viestejä lähettävästä asiakkaasta kolme riviä kansioon: mistä järjestelmistä viestit lähtevät, mihin vastustus kirjataan, ja kuka on tarkistanut — päivämäärän kanssa — että jälkimmäinen pysäyttää ensimmäisen. Jos kolmas rivi on tyhjä, se on tällä viikolla täytettävä rivi, sillä se on ainoa, jonka todistamista viranomainen pyytäisi.
Virallinen lähde:Garante per la protezione dei dati personali — päätöksetVirallinen lähde:Altalex — Kun CRM tekee tyhjäksi oikeuden vastustaa suoramarkkinointiaVirallinen lähde:Cybersecurity360 — BBVA:n seuraamus: kun CRM tekee tyhjäksi vastustamisoikeudenEtsitkö työkalua tietosuojavastaavan työhösi?
DPO Workspace on sertifioidun tietosuojavastaavan rakentama. 30 päivää maksutta.
Aloita maksutta
