Comunicările comerciale trimise când destinatarul a optat expres să nu le primească încalcă GDPR

Trebuie menționat, din start, că GDPR nu interzice, la modul absolut, comunicarea de mesaje, în scop de marketing, cu clienți sau cu potențiali clienți. Ca orice prelucrare de date, ea trebuie să urmeze niște principii și să respecte unul din temeiurile predefinite în Regulament (în cazul de față, cel mai potrivit temei, ca regulă, ar fi consimțământul persoanei vizate de comunicarea comercială sau chiar interesul legitim al firmei ce ar trimite comunicarea, în anumite situații).

În același timp, una din paradigmele GDPR-ului este acordarea de drepturi concrete și efective persoanelor vizate de prelucrări de date, pentru a putea să se asigure că, atunci când apărarea interesului de a le fi respectată confidențialitatea datelor este mai importantă decât orice alte interese, aceasta primează.

O aplicare concretă a acestui lucru este articolul 21 din GDPR, care prevede că, „[a]tunci când prelucrarea datelor cu caracter personal are drept scop marketingul direct, persoana vizată are dreptul de a se opune în orice moment prelucrării în acest scop a datelor cu caracter personal care o privesc, inclusiv creării de profiluri, în măsura în care este legată de marketingul direct respectiv”. Cu alte cuvinte, GDPR-ul îi acordă un drept expres persoanei vizate de comunicări comerciale de a se opune trimiterii unor astfel de mesaje, indiferent de momentul când are loc această opoziție.

În plus, pentru a se garanta efectivitatea dreptului respectiv, GDPR prevede că un client trebuie să fie informat de entitatea care îi prelucrează datele despre existența dreptului în cauză, „cel târziu în momentul primei comunicări cu persoana vizată”.

O modalitate concretă prin care se manifestă procesul de îndeplinire a acestei obligații este informarea persoanei vizate de prelucrare, la momentul primei comunicări, de posibilitatea de a alege dacă să îi fie sau nu trimite comunicări comerciale, pe parcursul relației cu un furnizor de bunuri sau servicii. Cu această ocazie, poate fi informată persoana vizată și de dreptul de opoziție, la care am făcut referire mai sus.

În acest context, o companie ce era activă în domeniul hotelier a primit un refuz, din partea unei persoane care îi folosea serviciile, de a-i fi trimise comunicări comerciale. În concret, persoana vizată și-a exercitat dreptul de opoziție, în temeiul articolului 21 din GDPR. În acest caz, ea a apărut într-un „sistem de excludere”, unde apăreau datele persoanelor care și-au exercitat opțiunea de a nu fi contactate, în scop de marketing.

Acest lucru, însă, nu a fost luat în considerare de companie, care, ulterior, a trimis comunicări comerciale. Având în vedere existența unei opoziții la astfel de comunicări, din partea clientului (deci și lipsa unui temei valid de prelucrare), compania a fost amendată de Autoritatea spaniolă de protecția datelor cu 1.200 euro. 

E interesant de punctat faptul că, la momentul contactării în scop de marketing, compania a justificat acest lucru prin referire la faptul că un prieten de-al persoanei vizate le-a dat datele de contact ale acesteia, acesta fiind motivul trimiterii de comunicări în scop de marketing.

Însă Autoritatea spaniolă nu a acceptat o astfel de situație ca derogând de la efectele articolului 21 din GDPR, ceea ce demonstrează că existența unei opoziții la comunicări în scop de marketing trebuie să fie tratată ca o opoziție general aplicabilă (o interpretare, în context, a prevederii în cauză ar duce la aceleași concluzii), de la care nu se poate deroga prin încercarea - formală - de a căuta un alt motiv pentru contactare.

Nu este prima data când amenzi pentru trimiterea de comunicări în scop de marketing, dar nesolicitate, au fost date. De fapt, una din amenzile „record” date în baza GDPR a fost aplicată pentru o asemenea faptă, fiind vorba de o sumă de 27,8 milioane euro, amenda fiind dată de Autoritatea italiană de protecție a datelor.

Chiar dacă sancțiunile precizate mai sus au fost aplicate de Autorități de protecție a datelor din alte state decât România, ele ajută la interpretarea GDPR (interpretare care nu este, însă, obligatorie), act normativ aplicabil în aceeași formă pe tot teritoriul Uniunii Europene, deci inclusiv în România.