Hva som skjedde
En kunde hos BBVA Italia slår av kommersielle meldinger i appen. Markedsføringsvarslene fortsetter. Han gjør innsigelse en gang til, nå skriftlig til kundeservice. De fortsetter likevel. Dette varer fra oktober 2025 til mai 2026, rundt sju måneder, inntil han 11. mars 2026 klager til tilsynet. Ved vedtak nr. 613 av 3. september 2026 ila tilsynet banken 5 508 000 euro for brudd på artikkel 5, 12, 21 og 24 i personvernforordningen, og påla tekniske og organisatoriske tiltak som sikrer korrekt og rettidig behandling av henvendelser fra registrerte.
Bankens forsvar var teknisk: en feil i CRM-et, programvaren som holder kundeopplysningene sammen. Innsigelsen var registrert, den ble bare ikke videreført til systemene som sender varslene. Sagt slik høres det ut som uflaks; sett fra den registrertes side er det nøyaktig det samme som aldri å ha registrert den.
Hvorfor en feil ikke er en unnskyldning
Artikkel 21 nr. 3 sier ikke at den behandlingsansvarlige skal notere seg innsigelsen: den sier at opplysningene ikke lenger behandles for direkte markedsføring. Det er en resultatforpliktelse, ikke en aktsomhetsforpliktelse. Og artikkel 24 krever egnede tekniske og organisatoriske tiltak, herunder de som kontrollerer at de øvrige virker. En innsigelse som går inn i systemet og ikke kommer ut på den andre siden, viser nettopp at en slik kontroll manglet.
- Innsigelse mot direkte markedsføring er absolutt: ingen avveining, ingen berettiget interesse som holder, og den registrerte trenger ikke begrunne den.
- Den skal anvendes uten ugrunnet opphold, og referansefristen er den i artikkel 12 nr. 3: én måned.
- Å registrere preferansen og å videreføre den er to forskjellige handlinger: det er den andre som teller, og nesten ingen tester den.
- En ny henvendelse fra samme person er en alarm: den betyr at den første ikke virket og at ingen merket det.
- Den behandlingsansvarlige må kunne påvise at innsigelsen ble anvendt, ikke bare mottatt — det er artikkel 5 nr. 2.
Den halvtimes testen nesten ingen gjør
Den kalles propagasjonstest og gjøres slik: man tar en tjenestepostkasse, melder den på, gjør innsigelse gjennom kanalen en kunde ville brukt, og venter. Kommer det fortsatt noe etter to uker, finnes problemet og det er dokumentert før et tilsyn dokumenterer det. Det lønner seg i hvert system som sender meldinger: e-post, SMS, varsler i appen, telefon. Ofte er det fire ulike systemer, og innsigelsen må nå alle fire.
Så er det poenget som gjør dette vedtaket nyttig langt utenfor bankvesenet. En feil er en type risiko protokollen over behandlingsaktiviteter ikke ser: i protokollen står det at innsigelser håndteres, og formelt er det sant. Det protokollen ikke sier, er om det mellom skjemaet og utsendingssystemet finnes et ledd som kan briste i stillhet. Det spørsmålet stiller ingen mal: det stiller personvernombudet som går og ser etter.
Hva man gjør i dag, konkret. For hver klient som sender kommersielle meldinger, tre linjer i mappen: hvilke systemer meldingene kommer ut av, hvor innsigelsen registreres, og hvem som har kontrollert — med dato — at det andre stanser det første. Er den tredje linjen tom, er det den linjen som skal fylles denne uken, for det er den eneste et tilsyn ville be om bevis for.
Offisiell kilde:Garante per la protezione dei dati personali — vedtakOffisiell kilde:Altalex — Når CRM-et setter innsigelsesretten mot direkte markedsføring ut av spillOffisiell kilde:Cybersecurity360 — Gebyr til BBVA: når CRM-et setter innsigelsesretten ut av spillSer du etter et verktøy for arbeidet ditt som personvernombud?
DPO Workspace er bygget av et sertifisert personvernombud. 30 dager gratis.
Kom i gang gratis
