Sancions per el dret a l'oblit: el cas Barbuti i el risc del GDPR
- L'autoritat italiana ha sancionat Barbuti S.p.A. amb 5.000 euros per no processar una sol·licitud d'esbornyament de dades.
- La companyia va continuar enviant SMS promocionals malgrat que l'usuari havia sol·licitat la baixa via correu electrònic.
- Es confirma que les sol·licituds enviades a canals de contacte generals són vàlides, encara que no siguin els preferits de l'empresa.
- La sentència subratlla la necessitat de mesures organitzatives internes per gestionar els drets dels interessats.
La gestió de les dades personals ha deixat de ser una qüestió merament tècnica per convertir-se en un pilar estratègic de la governança corporativa. Un cas recent a Itàlia, involving la companyia de roba Barbuti S.p.A., serveix com a advertència per a totes les empreses que operen dins del marc del Reglament General de Protecció de Dades (GDPR). La sanció imposada per l'Autoritat de Protecció de Dades italiana no només castiga una omissió administrativa, sinó que defineix la interpretació dels canals de comunicació entre l'empresa i el ciutadà.
L'error de Barbuti S.p.A. i la persistència del màrqueting
El conflicte va començar quan un client va començar a rebre missatges de text promocionals de manera recurrent. Davant la manca d'informació clara dins d'aquests SMS sobre com exercir els drets de protecció de dades, l'usuari va optar per enviar una sol·licitud d'esbornyament de les seves dades personals a l'adreça de correu electrònic general de contacte de la companyia. Aquest acte, aparentment senzill, va desencadenar una cadena d'errors organitzatius.
Tot i que Barbuti S.p.A. va enviar un reconeixement automàtic de recepció del correu, la companyia no va respondre formalment a la petició ni va procedir a l'eliminació de la informació del client. El resultat va ser la continuïtat dels enviaments de màrqueting, ignorant completament la voluntat de l'interessat. Aquesta acció va portar l'usuari a presentar una denúncia formal davant l'autoritat supervisora, que ha acabat determinant que l'empresa operava sense una base legal vàlida per continuar processant aquestes dades amb fins promocionals.
La validesa dels canals de comunicació generals
Un dels punts més rellevants d'aquesta resolució és la interpretació sobre per on s'ha de presentar una sol·licitud de drets. Moltes empreses inclouen en les seves polítiques de privacitat un canal preferent —com un formulari específic o una adreça de correu dedicada al delegat de protecció de dades (DPO)— i assumeixen que qualsevol petició fora d'aquest canal pot ser ignorada o no té validesa legal.
L'autoritat italiana, recolzant-se en les directrius 01/2022 de l'EDPB (European Data Protection Board), ha estat taxativa: les sol·licituds presentades a través de qualsevol canal de comunicació proporcionat pel responsable del tractament s'han de considerar vàlides. Això significa que si una empresa publica un correu general de contacte, està obligada a monitoritzar-lo i a gestionar qualsevol petició de drets que hi arribi, independentment de si existeix una via preferent.
Infraccions normatives i la multa administrativa
La resolució final ha conclòs que Barbuti S.p.A. va cometre diverses infraccions graves. En primer lloc, s'ha vulnerat l'article 5(2) del GDPR, relacionat amb els principis del tractament de dades, i l'article 17, que recull el dret d'esbornyament, popularment conegut com el dret a l'oblit. També s'ha assenyalat el incompliment de l'article 12, que exigeix una comunicació transparent i modalitats accessibles per a l'exercici dels drets dels interessats.
A més del marc europeu, la companyia ha infringit l'article 130 del Codi de Protecció de Dades italià, ja que els missatges promocionals no incloïen les dades de contacte adequades per permetre als receptors exercir els seus drets. Com a conseqüència, l'autoritat ha imposat una multa administrativa de 5.000 euros i ha ordenat a l'empresa adoptar mesures immediates per adequar les seves pràctiques de màrqueting directe.
La manca de mesures organitzatives adequades per gestionar les sol·licituds a través dels canals de comunicació generals és, per si mateixa, una vulneració de les obligacions del responsable del tractament.
L'impacte de la desorganització interna
El cas Barbuti no és una història de malícia, sinó de deficiència operativa. El fet que existís un sistema de resposta automàtica indica que la companyia tenia una infraestructura bàsica de recepció, però careixia d'un flux de treball intern que connectés la recepció del correu amb l'execució tècnica de l'esbornyament de dades. Per a un emprenedor o un gestor de business, aquest detall és crucial: la tecnologia (el bot de resposta) no substitueix el procés (la baixa real de la base de dades).
L'autoritat ha subratllat que el responsable del tractament ha de garantir que qualsevol petició, independentment de la via, arribi a la persona o departament encarregat de processar-la. La fragmentació de la comunicació interna, on el departament de màrqueting no sap què ha rebut el departament d'atenció al client, és un risc legal que pot derivar en sancions econòmiques i, sobretot, en un dany a la reputació de la marca.
L'observatori legal i la tendència europea
Aquest cas s'inscreu en una tendència generalitzada de les autoritats europees de ser més rigoroses amb el màrqueting no sol·licitat. Com s'ha documentat en el observatori legal de la SCLA, la tendència és eliminar qualsevol zona grisa sobre la validesa de les sol·licituds dels usuaris. Ja no és acceptable que una empresa es refugi en la formalitat d'un canal específic per evitar l'execució d'un dret fonamental.
La sanció de 5.000 euros pot semblar modesta per a una gran empresa, però el cost real resideix en l'ordre de compliment imposat. La companyia ha hagut de reportar en un termini de 30 dies les mesures adoptades per alinear-se amb la normativa. Aquest escrutini constant per part de les autoritats augmenta la pressió sobre les PIMES per professionalitzar la seva gestió de dades.
Implicacions per a les empreses a Catalunya i Espanya
Per a l'ecosistema empresarial català, especialment a Barcelona, on el sector del comerç i el retail digital té un pes enorme, aquest precedent és molt revelador. Espanya, a través de l'Agència Espanyola de Protecció de Dades (AEPD), ha demostrat històricament una severitat similar o superior a la italiana en el que respecta al màrqueting no sol·licitat i la gestió de les baixes.
Amb l'arribada i la implementació progressiva de l'AI Act, el risc augmenta. Moltes empreses catalanes estan integrant sistemis d'IA per automatitzar el màrqueting i la segmentació de clients. Si aquests sistemes no estan connectats en temps real amb els registres de consentiment i esbornyament, el risc de continuar enviant comunicacions a persones que han sol·licitat la baixa és alt. Una IA que genera campanyes hiper-personalitzades però que ignora una sol·licitud d'esbornyament enviada a un correu general podria provocar sancions molt més elevades que les de Barbuti S.p.A.
Les empreses locals han de revisar tres punts crítics: primer, assegurar que tots els canals de contacte (inclosos els correus generals i els xats de suport) teniguin un protocol de derivació de sol·licituds de privacitat. Segon, garantir que els SMS i correus promocionals incloïn un mètode de baixa immediat i clar. I tercer, auditar que els sistemis de CRM i les eines d'automatització estiguin sincronitzades per evitar el tractament de dades sense base legal. En un mercat tan competitiu com el spagnol, la confiança del consumidor en la gestió de la seva privacitat es converteix en un avantatge competitiu real.
Preguntes freqüents
Què passa si un client sol·licita la baixa a través d'un canal que no és el canal preferent de l'empresa?
Segons les directrius de l'EDPB i la sentència del cas Barbuti, la sol·licitud és totalment vàlida i l'empresa està obligada a processar-la, independentment de la via utilitzada, sempre que sigui un canal proporcionat per l'empresa.
Quins articles del GDPR s'han vulnerat en aquest cas?
S'han vulnerat els articles 5(2) sobre els principis del tractament, l'article 12 sobre la transparència i la comunicació, i l'article 17 que recull el dret d'esbornyament o dret a l'oblit.
Quina és la sanció econòmica imposada a Barbuti S.p.A.?
L'autoritat italiana ha imposat una multa administrativa de 5.000 euros, a més d'una ordre de compliment per adequar les seves pràctiques de màrqueting.
Per què és important que els SMS promocionals tinguin informació sobre els drets de protecció de dades?
Perquè la normativa exigeix que l'usuari tingui una via clara i accessible per exercir els seus drets. La manca d'aquesta informació pot ser considerada una infracció legal, com ha passat en aquest cas.
Fonts: Edpb, Scla, Punicsystems ·
glacom · IA per a despatxos d’advocats: els expedients no surten del despatx →Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
