O que aconteceu
Um cliente do BBVA Italia desativa na aplicação as comunicações comerciais. As notificações promocionais continuam. Opõe-se uma segunda vez, desta vez por escrito ao apoio ao cliente. Continuam na mesma. Isto prolonga-se de outubro de 2025 a maio de 2026, cerca de sete meses, até que a 11 de março de 2026 apresenta reclamação à autoridade. Pela deliberação n.º 613, de 3 de setembro de 2026, a Autoridade sancionou o banco em 5 508 000 euros por violação dos artigos 5.º, 12.º, 21.º e 24.º do RGPD e ordenou a adoção de medidas técnicas e organizativas que garantam um tratamento correto e atempado dos pedidos dos titulares.
A defesa do banco foi técnica: uma avaria no CRM, o software que mantém unidos os dados dos clientes. A oposição tinha sido registada, apenas não era propagada aos sistemas que enviam as notificações. Dito assim parece azar; visto do lado do titular dos dados é exatamente o mesmo que nunca a ter registado.
Porque uma avaria não é desculpa
O artigo 21.º, n.º 3, não diz que o responsável deve tomar nota da oposição: diz que os dados deixam de ser tratados para efeitos de comercialização direta. É uma obrigação de resultado, não de diligência. E o artigo 24.º exige medidas técnicas e organizativas adequadas, incluindo as que verificam se as restantes funcionam. Uma oposição que entra no sistema e não sai do outro lado demonstra justamente a ausência dessa verificação.
- A oposição à comercialização direta é absoluta: não há ponderação, não há interesse legítimo que resista, e o titular não tem de a fundamentar.
- Deve ser aplicada sem demora injustificada, e o prazo de referência é o do artigo 12.º, n.º 3: um mês.
- Registar a preferência e propagá-la são duas operações distintas: a segunda é a que conta, e quase ninguém a testa.
- Uma segunda reclamação da mesma pessoa é um alarme: significa que a primeira não funcionou e ninguém deu por isso.
- O responsável tem de poder demonstrar que a oposição foi aplicada, não apenas recebida — é o artigo 5.º, n.º 2.
O teste de meia hora que quase ninguém faz
Chama-se teste de propagação e faz-se assim: pega-se numa caixa de correio de serviço, subscreve-se, pede-se a oposição pelo canal que um cliente usaria, e espera-se. Se ao fim de duas semanas ainda chegar alguma coisa, o problema existe e fica documentado antes de o documentar uma autoridade. Vale a pena fazê-lo em cada sistema que envia comunicações: correio eletrónico, SMS, notificações na aplicação, telefone. São muitas vezes quatro sistemas diferentes, e a oposição tem de chegar aos quatro.
Há depois o ponto que torna esta deliberação útil muito para lá da banca. Uma avaria é um tipo de risco que o registo das atividades não vê: no registo está escrito que as oposições são tratadas, e formalmente é verdade. O que o registo não diz é se entre o formulário e o sistema de envio existe um passo que pode partir em silêncio. Essa pergunta não a faz nenhum modelo: fá-la o encarregado que vai ver.
O que fazer hoje, em concreto. Para cada cliente que envia comunicações comerciais, três linhas no processo: de que sistemas saem as mensagens, onde se regista a oposição, e quem verificou — com uma data — que a segunda trava a primeira. Se a terceira linha estiver vazia, é a linha a preencher esta semana, porque é a única cuja prova uma autoridade pediria.
Fonte oficial:Garante per la protezione dei dati personali — deliberaçõesFonte oficial:Altalex — Quando o CRM anula o direito de oposição à comercialização diretaFonte oficial:Cybersecurity360 — Coima ao BBVA: quando o CRM anula o direito de oposiçãoProcura uma ferramenta para o seu trabalho de EPD?
O DPO Workspace foi construído por um DPO certificado. 30 dias de experiência gratuita.
Começar gratuitamente
