L'autorité italienne a sanctionné une société pour ne pas avoir traité une demande de suppression de données envoyée par un plaignant à une adresse de contact générale, au lieu de l'adresse spécifiquement désignée dans la politique de confidentialité. Cette défaillance organisationnelle a entraîné la poursuite de l'envoi de communications commerciales illicites.

Faits et contexte

L'autorité italienne de protection des données (Garante per la protezione dei dati personali, GPDP) a publié une décision de sanction à l'encontre de la société Barbuti s.p.a. pour des manquements liés à la gestion des droits des personnes concernées et à l'envoi de communications commerciales.

L'affaire trouve son origine dans la plainte d'une personne ayant reçu des messages promotionnels sans pouvoir s'y opposer et dont la demande de suppression, envoyée le 7 juin 2024 à une adresse électronique de la société, est restée sans réponse, entraînant la réception de nouvelles sollicitations les 21 novembre 2025 et 10 janvier 2026.

Motifs de la décision

• Obligation de responsabilité (article 5, paragraphe 2, du RGPD) : L'autorité a estimé que la société n'avait pas mis en œuvre les mesures organisationnelles appropriées pour garantir un traitement efficace des demandes d'exercice des droits. Bien que le plaignant ait utilisé une adresse de contact générale (`site@barbuti.it`) et non celle dédiée aux questions de protection des données, l'autorité, s'appuyant sur les Lignes directrices 1/2022 du Comité européen de la protection des données (points 53 et 55), a rappelé qu'une telle demande reste valide et que le responsable du traitement doit faire des efforts raisonnables pour la traiter, notamment via des mécanismes de communication interne. De plus, les messages textes promotionnels envoyés ne contenaient aucune option simple, telle qu'une fonction "STOP", pour permettre une opposition facile, ce qui constitue également un manquement à ce principe.
• Obligation de faciliter l'exercice des droits et de répondre aux demandes (article 12 du RGPD) : La société n'a fourni aucune réponse formelle et ponctuelle à la demande de la personne concernée dans le délai d'un mois prévu. Le fait que le plaignant ait reçu une réponse automatisée de prise en charge a créé une attente légitime de traitement, qui a été déçue par l'absence de suivi, en violation des obligations de communication du responsable du traitement.
• Droit à l'effacement (article 17 du RGPD) : En ne supprimant pas les données du plaignant suite à sa demande, et en continuant à lui adresser des communications commerciales, la société a manqué à son obligation d'effacer les données personnelles sans retard injustifié après l'expression d'une opposition au traitement à des fins de marketing.
• Obligation relative aux communications non sollicitées (article 130 du Code italien de la protection des données) : L'envoi de messages promotionnels après la demande de suppression du 7 juin 2024 a été jugé illicite, car il a été effectué en l'absence de base légale valide, le consentement étant considéré comme retiré. En outre, les messages ne contenaient pas les coordonnées nécessaires permettant à la personne concernée d'exercer facilement ses droits, en violation de l'article 130, paragraphe 5, du Code italien.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende administrative à Barbuti s.p.a. à auteur de 5000 euros.

En outre, l'autorité a ordonné à la société d'adopter des mesures adéquates pour garantir que ses activités promotionnelles soient menées dans le plein respect de l'article 130, paragraphe 5, du Code italien, notamment en intégrant un moyen simple de s'opposer aux communications.

Enseignements

Cette décision rappelle que :

• Une demande d'exercice de droits reste valide même si elle est envoyée à un canal de communication officiel de l'organisme autre que celui spécifiquement désigné, et le responsable du traitement doit déployer des efforts raisonnables pour la traiter.
• Le principe de responsabilité impose de mettre en place des procédures internes pour identifier et réacheminer correctement les demandes des personnes concernées, quel que soit leur point d'entrée dans l'organisation.
• Toute communication commerciale, y compris par message texte, doit systématiquement inclure une modalité simple et directe permettant à la personne concernée de s'opposer à de futurs envois.