Wat er is gebeurd
Een klant van BBVA Italia zet in de app commerciële communicatie uit. De promotionele meldingen gaan door. Hij maakt een tweede keer bezwaar, nu schriftelijk bij de klantenservice. Ze gaan toch door. Dit duurt van oktober 2025 tot mei 2026, zo'n zeven maanden, totdat hij op 11 maart 2026 klaagt bij de toezichthouder. Met besluit nr. 613 van 3 september 2026 beboette de Autoriteit de bank met 5.508.000 euro wegens schending van de artikelen 5, 12, 21 en 24 AVG, en gelastte zij technische en organisatorische maatregelen die een correcte en tijdige afhandeling van verzoeken van betrokkenen waarborgen.
Het verweer van de bank was technisch: een storing in het CRM, de software die de klantgegevens bijeenhoudt. Het bezwaar was vastgelegd, het werd alleen niet doorgegeven aan de systemen die de meldingen versturen. Zo gezegd klinkt het als pech; vanuit de betrokkene bezien is het precies hetzelfde als het nooit te hebben vastgelegd.
Waarom een storing geen excuus is
Artikel 21, lid 3, zegt niet dat de verwerkingsverantwoordelijke nota moet nemen van het bezwaar: het zegt dat de gegevens niet langer voor direct marketing worden verwerkt. Dat is een resultaatsverplichting, geen inspanningsverplichting. En artikel 24 verlangt passende technische en organisatorische maatregelen, met inbegrip van die welke controleren of de andere werken. Een bezwaar dat het systeem ingaat en er aan de andere kant niet uitkomt, bewijst juist het ontbreken van die controle.
- Bezwaar tegen direct marketing is absoluut: geen afweging, geen gerechtvaardigd belang dat standhoudt, en de betrokkene hoeft het niet te motiveren.
- Het moet zonder onnodige vertraging worden toegepast, en de referentietermijn is die van artikel 12, lid 3: één maand.
- De voorkeur vastleggen en haar doorgeven zijn twee verschillende handelingen: de tweede telt, en bijna niemand test haar.
- Een tweede melding van dezelfde persoon is een alarm: ze betekent dat de eerste niet werkte en dat niemand het merkte.
- De verwerkingsverantwoordelijke moet kunnen aantonen dat het bezwaar is toegepast, niet alleen ontvangen — dat is artikel 5, lid 2.
De test van een half uur die bijna niemand doet
Hij heet propagatietest en gaat zo: neem een dienstpostbus, schrijf die in, maak bezwaar via het kanaal dat een klant zou gebruiken, en wacht. Komt er na twee weken nog iets binnen, dan bestaat het probleem en is het gedocumenteerd voordat een toezichthouder het documenteert. Het loont bij elk systeem dat communicatie verstuurt: e-mail, sms, meldingen in de app, telefoon. Vaak zijn dat vier verschillende systemen, en het bezwaar moet alle vier bereiken.
Dan het punt dat dit besluit ver buiten het bankwezen bruikbaar maakt. Een storing is een soort risico dat het verwerkingsregister niet ziet: in het register staat dat bezwaren worden afgehandeld, en formeel klopt dat. Wat het register niet zegt, is of er tussen het formulier en het verzendende systeem een stap zit die stil kan breken. Die vraag stelt geen enkel sjabloon: die stelt de FG die gaat kijken.
Wat vandaag te doen, concreet. Voor elke cliënt die commerciële communicatie verstuurt, drie regels in het dossier: uit welke systemen de berichten komen, waar het bezwaar wordt vastgelegd, en wie — met een datum — heeft geverifieerd dat het tweede het eerste stopt. Is de derde regel leeg, dan is dat de regel die deze week ingevuld moet worden, want het is de enige waarvan een toezichthouder bewijs zou vragen.
Officiële bron:Garante per la protezione dei dati personali — besluitenOfficiële bron:Altalex — Wanneer het CRM het recht van bezwaar tegen direct marketing tenietdoetOfficiële bron:Cybersecurity360 — Boete BBVA: wanneer het CRM het recht van bezwaar tenietdoetZoekt u een hulpmiddel voor uw dagelijkse werk als FG?
DPO Workspace is gebouwd door een gecertificeerde functionaris voor gegevensbescherming. 30 dagen gratis.
Gratis starten
