Kahdella rivillä
Italian viranomainen, päätös nro 613, 3.9.2026 (doc. web nro 10291895): 5 508 000 euroa Banco Bilbao Vizcaya Argentaria S.A:n Italian sivuliikkeelle 5 art. 1 kohdan a alakohdan sekä 12, 21 ja 24 artiklan rikkomisesta. Yksi kantelija, vähintään kymmenen markkinointi-ilmoitusta sovelluksessa lokakuun 2025 ja toukokuun 2026 välillä.
Tosiseikat mahtuvat muutamaan riviin. Asiakas ilmoittaa 2. lokakuuta ja 9. joulukuuta 2025 välisenä aikana asiakaspalvelulle, ettei halua enää markkinointiviestejä, ja sammuttaa samalla ilmoitukset sovelluksen asetuksista. Vastineessaan pankki myöntää, että sammutus oli kirjautunut sisäisiin järjestelmiin mutta «sitä ei ollut synkronoitu» markkinointiviestit lähettävän CRM-yksikön kanssa. Ilmoitukset jatkuvat toukokuuhun 2026, jolloin pankki puuttuu asiaan — viranomaisen tietopyynnön jälkeen.
Puolustus joka ei kestänyt, ja miksi se koskee myös sinua
Pankki väitti, ettei kantelija ollut käyttänyt oikeita kanavia: tietosuojaselosteessa mainittiin erillinen oikeuksien osoite ja tietosuojavastaavan osoite, ja jos hän olisi käyttänyt niitä, pyyntö olisi käsitelty 15-22 artiklan mukaisena oikeuden käyttönä. Viranomainen hylkää väitteen vedoten 12 artiklaan, joka velvoittaa rekisterinpitäjän HELPOTTAMAAN oikeuksien käyttöä, sekä EDPB:n ohjeisiin 1/2022 tiedonsaantioikeudesta (versio 2.1, hyväksytty 28.3.2023): muotovaatimuksia ei ole, rekisteröidyn ei tarvitse käyttää ilmoitettuja kanavia ja hän voi kääntyä rekisterinpitäjän virallisen yhteyspisteen puoleen. Rajana ovat vain «täysin sattumanvaraiset tai ilmeisen virheelliset» osoitteet.
Asiakaspalvelun lause josta tuli 24 artiklan rikkomus
Asiakaspalvelu vastaa 10. joulukuuta 2025, että vain sähköpostiviestejä voi säätää, että sovellus «on kaikille asiakkaille sama» ja ettei ponnahdusilmoituksia voi poistaa: ellei niitä halua, voi jättää huomiotta. Viranomainen huomauttaa, että väitteen kumoavat tekniset toimet, jotka pankki itse myöhemmin teki juuri näiden ilmoitusten estämiseksi. Ero sen välillä mitä yritys tekee ja mitä se ulospäin kertoo katsotaan riittämättömien organisatoristen toimien seuraukseksi — ja se on toinen rikkomus, 5 artiklan 1 kohdan a alakohdan ja 24 artiklan. Asiakaspalvelu, viranomainen kirjoittaa, on ensimmäinen kontaktipiste rekisteröityjen ja rekisterinpitäjän välillä.
Miten yhdestä rekisteröidystä päädytään 5,5 miljoonaan:
- Vakavuus MATALA: yksi henkilö, yhteystiedot, tuottamuksellinen rikkomus, markkinointitarkoitus (EDPB:n ohjeet 4/2022, 24.5.2023, kohta 60)
- Kesto: seitsemän kuukautta, lokakuusta 2025 toukokuuhun 2026
- Rekisterinpitäjän liikevaihto yli 500 miljoonaa euroa: sovelletaan 83 artiklan 5 kohtaa, enintään 4 % vuoden 2025 maailmanlaajuisesta liikevaihdosta
- Lieventävä: menettelyn aikana toteutetut toimet rikkomuksen lopettamiseksi
- Raskauttava: keskitason vastuu asiakaspalvelun riittämättömästä koulutuksesta
- Raskauttava: aiempi päätös nro 413, 10.7.2025 (doc. web nro 10168555) merkityksellisistä rikkomuksista
Mitä tarkistaa maanantaiaamuna jokaiselta asiakkaalta
1) Pyydä luettelo järjestelmistä jotka lähettävät markkinointiviestejä ja niistä jotka kirjaavat vastustuksen: jos ne eivät ole sama järjestelmä, kysy miten ja kuinka usein ne synkronoidaan, ja pyydä todiste viimeisimmästä synkronoinnista. 2) Tarkista, että muuta kuin varsinaista kanavaa — vaihde, palvelupiste, chat, sosiaalinen media — pitkin esitetty vastustus tavoittaa silti käsittelijän: tämä polku kirjoitetaan menettelyyn, ei jätetä työntekijän harkintaan. 3) Varmista, että jokaiseen pyyntöön vastataan kuukauden kuluessa 12 artiklan 3 kohdan mukaisesti: tässä pankki korjasi tiedon mutta ei koskaan vastannut, ja puuttuva vastaus luettiin erikseen syyksi. 4) Ota etulinja koulutussuunnitelmaan: asiakaspalvelu on käsittelytoimi, ei puhelinvaihde.
Varoitus luvun lukemisesta
Päätös tehtiin 3. syyskuuta ja julkaistiin 11. syyskuuta 2026. Yhtiöllä on edelleen mahdollisuus päättää asia maksamalla puolet seuraamusmaksusta (Italian tietosuojalain 166 §:n 8 momentti) ja hakea muutosta yleisessä tuomioistuimessa kolmenkymmenen päivän kuluessa tiedoksiannosta, lain 152 §:n ja asetuksen 150/2011 10 §:n nojalla. Tämän artikkelin päivämääränä ei ole julkisesti tiedossa kumpi tie on valittu: 5 508 000 on siis luettava määrättynä eikä lopullisesti perittynä summana.
Etsitkö työkalua tietosuojavastaavan työhösi?
DPO Workspace on sertifioidun tietosuojavastaavan rakentama. 30 päivää maksutta.
Aloita maksutta
