Španjolsko nadzorno tijelo (DPA) je kaznilo telekomunikacijsku tvrtku s 20.000 eura zbog slanja izravnog marketinga ispitaniku bez njegovog pristanka. Vodaphone España S.A.U je telekomunikacijska tvrtka koja je poslala 4 neželjene e-poruke ispitaniku. E-poruke nisu sadržavale nikakav način odjave od elektroničke komunikacije. Vodaphone je također poslao 4 SMS-a unatoč činjenici da je ispitanik povukao pristanak za izravni marketing. Ispitanik je kontaktirao Vodaphone, a kasnije je podnio pritužbu DPA-u zbog nedostatka odgovora.
Voditelj obrade je tvrdio da se radi o jednokratnoj pogrešci koja je ispravljena nakon što su primili pritužbu. Također je naveo da nije primio pismo podnositelja pritužbe. Nadalje, naveo je da je ispitanik promijenio postavke u online okruženju i stoga pristao na primanje komercijalnog materijala putem SMS-a. Konačno, adresa e-pošte ispitanika navedena je i za drugog korisnika, zbog čega su i dalje primali e-poruke.
Odluka
DPA je utvrdio kršenje članaka 21(1) i 21(2) nacionalnog zakona o provedbi e-privatnosti (LSSI). DPA je utvrdio da je telekomunikacijska tvrtka prekršila zabranu slanja neželjenih komercijalnih komunikacija bez prethodne suglasnosti (članak 21(1) LSSI). U kontekstu članka 7(1) GDPR-a i smjernica EDPB-a,[1] voditelj bi trebao dokazati suglasnost, uključujući vrijeme, kontekst i uvjete suglasnosti. Interni zapisi iz aplikacije ispunjavali su uvjete za ovog klijenta. Međutim, ovu vrstu internog mehanizma u potpunosti kontrolira sama tvrtka: stoga snimka zaslona nije dovoljna kao neovisan, provjerljiv dokaz suglasnosti. Voditelj također nije uključio mehanizam za odjavu s pretplate na komercijalne komunikacije u skladu s člankom 21(2) LSSI-a. U najmanje tri e-poruke ovaj mehanizam nije bio prisutan.
DPA je smatrao da je kršenje članka 21(1) i 21(2) LSSI-a bilo manje, jer je utjecalo na jednog ispitanika i nije uključivalo slanje neželjenog izravnog marketinga na uporan ili sustavni način.
DPA je voditelju izrekao novčanu kaznu od ukupno 20.000 eura: 15.000 eura za kršenje članka 21(1) LSSI-a i 5.000 eura za kršenje članka 21(2) LSSI-a.
Voditelj je podnio žalbu DPA-u u vezi sa sankcijama izrečenim za kršenje članaka 21(1) i 21(2) LSSI-a. Voditelj je tvrdio da je njegov sustav naveo dva ispitanika pod istom adresom e-pošte, pri čemu je jedan od ispitanika pristao na izravni marketing. DPA je odbacio žalbu uz obrazloženje da je voditelj obrade odgovoran za nastanak pogreške. DPA je ponovio da voditelj obrade mora biti u mogućnosti dokazati privolu ispitanika te da se snimka zaslona internog sustava voditelja obrade ne može prihvatiti kao dokaz takve privole.
Znate li kakva je situacija u Republici Hrvatskoj i što vam dozvoljava Zakon o elektorničkim komunikacijama? Privola nije uvijek pravni osnov no zaključak je li ili nije ne donosi se bez argumenata i dokaza te elaborata kojim se kasnije može dokazati promišljenst djelovanja i procjena rizika obrade u odnosu na ispitanike.
