Ce qui s'est passé
Un client de BBVA Italia désactive dans l'application les communications commerciales. Les notifications promotionnelles continuent. Il s'oppose une deuxième fois, cette fois en écrivant au service client. Elles continuent tout de même. Cela dure d'octobre 2025 à mai 2026, environ sept mois, jusqu'à ce que, le 11 mars 2026, il saisisse l'autorité. Par la décision n° 613 du 3 septembre 2026, l'Autorité a sanctionné la banque à hauteur de 5 508 000 euros pour violation des articles 5, 12, 21 et 24 du RGPD, et lui a ordonné d'adopter des mesures techniques et organisationnelles garantissant un traitement correct et rapide des demandes des personnes concernées.
La défense de la banque était technique : un dysfonctionnement du CRM, le logiciel qui réunit les données des clients. L'opposition avait bien été enregistrée, elle n'était simplement pas propagée aux systèmes qui envoient les notifications. Dit ainsi, cela ressemble à de la malchance ; vu du côté de la personne concernée, c'est exactement la même chose que de ne jamais l'avoir enregistrée.
Pourquoi une panne n'est pas une excuse
L'article 21, paragraphe 3, ne dit pas que le responsable doit prendre note de l'opposition : il dit que les données ne sont plus traitées à des fins de prospection. C'est une obligation de résultat, pas de diligence. Et l'article 24 exige des mesures techniques et organisationnelles appropriées, y compris celles qui vérifient que les autres fonctionnent. Une opposition qui entre dans le système et n'en ressort pas démontre précisément l'absence de cette vérification.
- L'opposition à la prospection est absolue : pas de mise en balance, aucun intérêt légitime qui tienne, et la personne n'a pas à motiver sa demande.
- Elle doit être appliquée sans retard injustifié, et le délai de référence est celui de l'article 12, paragraphe 3 : un mois.
- Enregistrer la préférence et la propager sont deux opérations différentes : la seconde est celle qui compte, et presque personne ne la teste.
- Une seconde réclamation de la même personne est une alarme : cela signifie que la première n'a pas fonctionné et que personne ne l'a vu.
- Le responsable doit pouvoir démontrer que l'opposition a été appliquée, et pas seulement reçue — c'est l'article 5, paragraphe 2.
Le test d'une demi-heure que presque personne ne fait
On l'appelle test de propagation et il se fait ainsi : on prend une boîte de service, on l'inscrit, on demande l'opposition par le canal qu'un client utiliserait, puis on attend. Si quelque chose arrive encore après deux semaines, le problème existe et il est documenté avant qu'une autorité ne le documente. Il vaut la peine de le faire sur chaque système qui envoie des communications : courriel, SMS, notifications dans l'application, téléphone. Ce sont souvent quatre systèmes différents, et l'opposition doit atteindre les quatre.
Il y a ensuite le point qui rend cette décision utile bien au-delà de la banque. Une panne est un type de risque que le registre des traitements ne voit pas : le registre dit que les oppositions sont gérées, et formellement c'est vrai. Ce que le registre ne dit pas, c'est s'il existe, entre le formulaire et le système d'envoi, une étape qui peut casser en silence. Aucun modèle ne pose cette question : c'est le DPO qui va regarder qui la pose.
Que faire aujourd'hui, concrètement. Pour chaque client qui envoie des communications commerciales, trois lignes au dossier : de quels systèmes sortent les messages, où est enregistrée l'opposition, et qui a vérifié — avec une date — que la seconde arrête la première. Si la troisième ligne est vide, c'est la ligne à remplir cette semaine, car c'est la seule qu'une autorité demanderait de prouver.
Source officielle:Garante per la protezione dei dati personali — décisionsSource officielle:Altalex — Quand le CRM anéantit le droit d'opposition à la prospectionSource officielle:Cybersecurity360 — Sanction BBVA : quand le CRM anéantit le droit d'oppositionVous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
