Co się stało
Klient otrzymywał SMS-y marketingowe od Barbuti Spa, firmy odzieżowej, bez informacji, jak z nich zrezygnować. Napisał na firmowy adres e-mail dla klientów: przyszło automatyczne potwierdzenie, potem nic, a SMS-y przychodziły dalej. Decyzją nr 644 z 23 września 2026 r., ogłoszoną w newsletterze z 29 października, włoski Garante nałożył na spółkę 5000 euro kary.
W postępowaniu spółka powołała się na problem organizacyjny: skrzynka, z której skorzystał klient, nie była obsługiwana przez osoby zajmujące się żądaniami dotyczącymi danych. Właśnie to Garante odrzucił: wydzielony adres w klauzuli informacyjnej nie zwalnia z rozpoznania i obsługi żądań, które wpływają innymi kanałami firmy.
Dwie zasady potwierdzone w decyzji
- Każdy SMS marketingowy musi wskazywać odpowiedni sposób łatwego sprzeciwu: link, adres e-mail lub możliwość odpowiedzi „stop”.
- Żądanie usunięcia lub sprzeciw jest ważne, nawet jeśli trafi na inny adres niż wskazany w klauzuli: kto je otrzyma, musi przekazać je osobie, która je obsługuje.
- Automatyczna odpowiedź nie jest odpowiedzią: miesięczny termin (art. 12 ust. 3 RODO) biegnie dalej, a wysyłki muszą ustać.
Oprócz kary Garante nakazał spółce dostosować komunikaty marketingowe do włoskiego kodeksu ochrony danych i w ciągu 30 dni od doręczenia poinformować o podjętych środkach.
Kontrola na dziś u każdego klienta wysyłającego SMS-y lub newslettery
Otwórz ostatni wysłany SMS marketingowy: czy jest prosty sposób, by zatrzymać wysyłki? Potem wypisz skrzynki dostępne dla klientów — info@, kontakt@, pomoc, media społecznościowe, formularz na stronie — i zapytaj, kto je czyta. Każda potrzebuje pisemnej zasady: żądania RODO przekazuje się koordynatorowi tego samego dnia i rejestruje. Rezygnacja musi trafić także do platformy wysyłającej SMS-y.
Sprawa potwierdza, że problemem przy żądaniach osób rzadko jest błędna odpowiedź, częściej żądanie, którego nikt nie widzi. Najbardziej narażone są firmy z wieloma skrzynkami i kilkoma dostawcami marketingu, bo rezygnacja zapisana w jednym systemie nie dociera do pozostałych.
W DPO Workspace generator dokumentów zawiera teraz „Procedurę obsługi żądań osób, których dane dotyczą”, z etapami, terminami i zasadą dotyczącą kanałów niewydzielonych, oraz „Formularz realizacji praw”; otrzymane żądania rejestruje się w zakładce „Żądania” klienta, która wylicza termin.
Źródło urzędowe:Garante per la protezione dei dati personali — Newsletter n. 555 del 29 ottobre 2026Źródło urzędowe:Garante per la protezione dei dati personali — provvedimento n. 644 del 23 settembre 2026 [doc. web 10312650]Szukasz narzędzia do codziennej pracy inspektora ochrony danych?
DPO Workspace został zbudowany przez certyfikowanego IOD. 30 dni bezpłatnie.
Zacznij bezpłatnie
