Det registrerade och aldrig tillämpade «nej»: fem och en halv miljon

Bankens försvar var tekniskt: ett fel i CRM-systemet, programvaran som håller ihop kunduppgifterna. Invändningen hade registrerats, den fördes bara inte vidare till systemen som skickar aviseringarna. Sagt så låter det som otur; sett från den registrerades håll är det exakt detsamma som att aldrig ha registrerat den.

Varför ett fel inte är en ursäkt

Artikel 21.3 säger inte att den personuppgiftsansvarige ska notera invändningen: den säger att uppgifterna inte längre får behandlas för direkt marknadsföring. Det är en resultatförpliktelse, inte en aktsamhetsförpliktelse. Och artikel 24 kräver lämpliga tekniska och organisatoriska åtgärder, inbegripet de som kontrollerar att de övriga fungerar. En invändning som går in i systemet och inte kommer ut på andra sidan visar just att en sådan kontroll saknades.

• Invändning mot direkt marknadsföring är absolut: ingen avvägning, inget berättigat intresse som står sig, och den registrerade behöver inte motivera den.
• Den ska tillämpas utan onödigt dröjsmål, och referensfristen är den i artikel 12.3: en månad.
• Att registrera önskemålet och att föra det vidare är två olika åtgärder: det är den andra som räknas, och nästan ingen testar den.
• En andra anmälan från samma person är ett larm: den betyder att den första inte fungerade och att ingen märkte det.
• Den ansvarige måste kunna visa att invändningen tillämpades, inte bara togs emot — det är artikel 5.2.

Sedan finns poängen som gör detta beslut användbart långt utanför banksektorn. Ett fel är ett slags risk som behandlingsregistret inte ser: i registret står att invändningar hanteras, och formellt stämmer det. Vad registret inte säger är om det mellan formuläret och det sändande systemet finns ett steg som kan brista tyst. Den frågan ställer ingen mall: den ställer dataskyddsombudet som går och tittar.

Vad man gör i dag, konkret. För varje klient som skickar kommersiella meddelanden, tre rader i akten: ur vilka system meddelandena kommer, var invändningen registreras, och vem som har kontrollerat — med ett datum — att det andra stoppar det första. Är den tredje raden tom är det den raden som ska fyllas i denna vecka, för det är den enda en myndighet skulle begära bevis för.