Podstawa prawna naruszenia

Art. 5, art. 6, art. 17, art. 21 RODO.

Niewystarczająca podstawa prawna przetwarzania danych.

Przyczyna naruszenia

Eni Gas e Luce S.p.A. (EGL) naruszyła przepisy dotyczące ochrony danych osobowych poprzez prowadzenie działań telemarketingowych i telesprzedażowych bez odpowiedniego zgody osób, których dane były przetwarzane. Naruszenia obejmowały m.in. brak weryfikacji zgód na przetwarzanie danych osobowych, nieprzestrzeganie zgłoszonych sprzeciwów wobec działań marketingowych oraz niewłaściwe zarządzanie danymi osobowymi.

Opis wydarzeń

1. Skargi i dochodzenie: W latach 2018-2019 do włoskiego organu nadzorczego wpłynęły liczne skargi dotyczące niechcianych połączeń promocyjnych od EGL. W wyniku tych skarg przeprowadzono dochodzenie, które ujawniło szereg nieprawidłowości w przetwarzaniu danych osobowych przez EGL.
2. Działania telemarketingowe: EGL prowadziła działania telemarketingowe i telesprzedażowe, korzystając z list kontaktowych nabytych od dostawców list oraz generowanych przez formularze na swojej stronie internetowej. Listy te zawierały dane osób, które nie wyraziły zgody na przetwarzanie ich danych w celach marketingowych.
3. Brak weryfikacji zgód: EGL nie przeprowadzała odpowiednich kontroli, aby upewnić się, że dane osobowe były przetwarzane zgodnie z przepisami. W wielu przypadkach brakowało zgody na przetwarzanie danych osobowych, a także nie uwzględniano sprzeciwów wyrażonych przez osoby, których dane były przetwarzane.
4. Niewłaściwe zarządzanie danymi: Dochodzenie wykazało, że EGL nie aktualizowała na bieżąco swoich baz danych, co prowadziło do przetwarzania danych osobowych osób, które wyraziły sprzeciw wobec działań marketingowych. Ponadto, dane były przechowywane przez dłuższy czas niż było to konieczne.

Źródło

Pełna treść decyzji organu nadzorczego

Aby uniknąć podobnych naruszeń, zalecamy:

1. Wdrożenie procedur weryfikacji zgód: Wdrożenie procedur i systemów umożliwiających weryfikację zgód na przetwarzanie danych osobowych przed rozpoczęciem kampanii promocyjnych. Zapewnienie dostępu do baz danych dostawców list w celu weryfikacji zgód.
2. Automatyzacja aktualizacji baz danych: Zautomatyzowanie procesów aktualizacji baz danych, aby zapewnić, że dane osób, które wyraziły sprzeciw, są natychmiast usuwane z list kontaktowych.
3. Szkolenia dla pracowników: Realizacja szkoleń z zakresu ochrony danych osobowych, aby pracownicy zrozumieli znaczenie przestrzegania przepisów i procedur dotyczących przetwarzania danych osobowych.
4. Monitorowanie i audyty: Przeprowadzanie regularnych audytów i monitorowania działań telemarketingowych, aby upewnić się, że wszystkie procedury są przestrzegane i że dane osobowe są przetwarzane zgodnie z przepisami.

Jeśli potrzebujesz wsparcia w zakresie ochrony danych osobowych, zapraszamy do kontaktu