Co się stało
Klient BBVA Italia wyłącza w aplikacji komunikaty handlowe. Powiadomienia promocyjne nadchodzą dalej. Wnosi sprzeciw po raz drugi, tym razem pisząc do obsługi klienta. Nadchodzą mimo to. Trwa to od października 2025 r. do maja 2026 r., około siedmiu miesięcy, aż 11 marca 2026 r. składa skargę do organu. Decyzją nr 613 z 3 września 2026 r. organ ukarał bank kwotą 5 508 000 euro za naruszenie art. 5, 12, 21 i 24 RODO i nakazał przyjąć środki techniczne i organizacyjne zapewniające prawidłową i terminową obsługę żądań osób, których dane dotyczą.
Obrona banku była techniczna: awaria CRM, oprogramowania spinającego dane klientów. Sprzeciw został zapisany, po prostu nie był przekazywany do systemów wysyłających powiadomienia. Tak powiedziane brzmi jak pech; z perspektywy osoby, której dane dotyczą, jest to dokładnie to samo, co niezapisanie go w ogóle.
Dlaczego awaria nie jest usprawiedliwieniem
Art. 21 ust. 3 nie mówi, że administrator ma odnotować sprzeciw: mówi, że danych nie wolno już przetwarzać do celów marketingu bezpośredniego. To obowiązek rezultatu, nie staranności. A art. 24 wymaga odpowiednich środków technicznych i organizacyjnych, w tym tych, które sprawdzają, czy pozostałe działają. Sprzeciw, który wchodzi do systemu i nie wychodzi z drugiej strony, dowodzi właśnie braku takiej kontroli.
- Sprzeciw wobec marketingu bezpośredniego jest bezwzględny: nie ma ważenia, nie ma uzasadnionego interesu, który by się ostał, i osoba nie musi go uzasadniać.
- Trzeba go zastosować bez zbędnej zwłoki, a termin odniesienia to ten z art. 12 ust. 3: miesiąc.
- Zapisanie preferencji i jej propagacja to dwie różne operacje: liczy się druga, a prawie nikt jej nie testuje.
- Druga skarga tej samej osoby to alarm: znaczy, że pierwsza nie zadziałała i nikt tego nie zauważył.
- Administrator musi umieć wykazać, że sprzeciw został zastosowany, a nie tylko przyjęty — to art. 5 ust. 2.
Półgodzinny test, którego prawie nikt nie robi
Nazywa się testem propagacji i robi się tak: bierze się służbową skrzynkę, zapisuje ją, wnosi sprzeciw kanałem, z którego skorzystałby klient, i czeka. Jeśli po dwóch tygodniach wciąż coś przychodzi, problem istnieje i jest udokumentowany, zanim udokumentuje go organ. Warto zrobić go w każdym systemie wysyłającym komunikaty: e-mail, SMS, powiadomienia w aplikacji, telefon. To często cztery różne systemy, a sprzeciw musi dotrzeć do wszystkich czterech.
Jest też punkt, który czyni tę decyzję użyteczną daleko poza bankowością. Awaria to rodzaj ryzyka, którego rejestr czynności nie widzi: w rejestrze napisano, że sprzeciwy są obsługiwane, i formalnie to prawda. Rejestr nie mówi natomiast, czy między formularzem a systemem wysyłki jest krok, który może pęknąć po cichu. Tego pytania nie zadaje żaden wzór: zadaje je IOD, który idzie sprawdzić.
Co zrobić dziś, konkretnie. Dla każdego klienta wysyłającego komunikaty handlowe trzy wiersze w teczce: z jakich systemów wychodzą wiadomości, gdzie zapisuje się sprzeciw i kto zweryfikował — z datą — że drugie zatrzymuje pierwsze. Jeśli trzeci wiersz jest pusty, to ten wiersz trzeba wypełnić w tym tygodniu, bo jest jedynym, którego dowodu zażądałby organ.
Źródło urzędowe:Garante per la protezione dei dati personali — decyzjeŹródło urzędowe:Altalex — Gdy CRM niweczy prawo sprzeciwu wobec marketingu bezpośredniegoŹródło urzędowe:Cybersecurity360 — Kara dla BBVA: gdy CRM niweczy prawo sprzeciwuSzukasz narzędzia do codziennej pracy inspektora ochrony danych?
DPO Workspace został zbudowany przez certyfikowanego IOD. 30 dni bezpłatnie.
Zacznij bezpłatnie
