Le non-respect d'une demande d'opposition à la prospection, justifié par un défaut technique de synchronisation interne, constitue une violation des droits de la personne concernée, aggravée par les informations erronées fournies par le service client sur l'impossibilité technique de donner suite à la demande.

Faits et contexte

L'autorité italienne de protection des données (Garante per la protezione dei dati personali - GPDP) a aujourd'hui publié une décision de sanction à l'encontre de la succursale italienne de Banco Bilbao Vizcaya Argentaria, S.A. pour des manquements en lien avec la gestion du droit d'opposition à la prospection commerciale.

L'affaire trouve son origine dans la plainte d'un utilisateur qui continuait de recevoir des communications commerciales dans l'application mobile de la banque, bien qu'il ait désactivé cette option et exprimé son opposition.

Motifs de la décision

• Obligation de respecter le droit d'opposition et de faciliter l'exercice des droits (article 5, paragraphe 1, point a), 12 et 21 du RGPD) : L'autorité a constaté que la société n'avait pas donné suite à l'opposition de la personne concernée, manifestée à la fois via les paramètres de l'application et auprès du service client. La société a argué que le plaignant n'avait pas utilisé les adresses électroniques dédiées, mais l'autorité a rejeté cet argument en s'appuyant sur les lignes directrices 1/2022 du Comité européen de la protection des données (CEPD), qui précisent qu'une demande peut être adressée à un point de contact officiel et que le responsable du traitement doit en faciliter l'exercice. Le défaut de synchronisation technique entre les systèmes internes et l'outil de gestion de la relation client, invoqué par la société, ne l'exonère pas de sa responsabilité. Le manquement à l'obligation de fournir une réponse appropriée et dans les délais à la personne concernée a également été retenu.
• Obligation de garantir la licéité, la loyauté et la transparence du traitement (article 5, paragraphe 1, point a) et 24 du RGPD) : L'autorité a relevé que le service client de la société avait informé à tort le plaignant qu'il était techniquement impossible de désactiver les notifications commerciales dans l'application, l'invitant à les ignorer. Cette information s'est révélée fausse, puisque la société a par la suite procédé à la correction technique nécessaire. L'autorité a considéré que cette communication erronée, issue de mesures organisationnelles inadaptées, constituait une violation des principes de loyauté et de transparence, le service client étant le premier point de contact pour les personnes concernées.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende administrative à Banco Bilbao Vizcaya Argentaria, S.A. (le montant n'est pas précisé dans l'extrait de la décision).

En outre, l'autorité a ordonné à la société d'adopter des mesures techniques et organisationnelles adéquates pour faciliter l'exercice des droits des personnes concernées et de répondre à leurs demandes sans retard injustifié et de manière correcte. La société doit communiquer les initiatives prises à l'autorité dans un délai de 30 jours.

Enseignements

Cette décision rappelle que :

• Une personne concernée peut valablement exercer ses droits via n'importe quel point de contact officiel du responsable du traitement, tel qu'un service client, et n'est pas tenue d'utiliser exclusivement les canaux dédiés spécifiés dans la politique de confidentialité.
• Un défaut technique interne, tel qu'un problème de synchronisation de bases de données, ne constitue pas une excuse valable pour ne pas respecter l'exercice du droit d'opposition d'une personne.
• Les équipes en contact avec la clientèle doivent être correctement formées aux procédures de protection des données, car fournir des informations inexactes sur la gestion des droits constitue un manquement aux obligations de transparence et de loyauté.