EDPB: controversia sulla cancellazione di email per scopi di marketing diretto

Un’azienda aerea è stata oggetto di una decisione da parte dell’Autorità di Vigilanza ungherese (SA) in data 7 dicembre 2023, in seguito alla mancata conformità a una richiesta di cancellazione di un indirizzo email utilizzato per finalità di marketing diretto.

La decisione, datata 14 ottobre 2020, è stata presa in un contesto transfrontaliero nell’ambito della procedura di cooperazione One-Stop-Shop tra le Autorità di Vigilanza nazionali.

Nel dettaglio, il reclamante aveva richiesto alla compagnia aerea la cancellazione dei suoi dati personali e dell’indirizzo email utilizzato a fini diretti di acquisizione commerciale, e aveva altresì chiesto di non ricevere newsletter.

Nonostante l’azienda avesse informato il reclamante della ricezione della richiesta di cancellazione, ha richiesto ulteriori otto settimane per gestire la richiesta a causa di numerose richieste simili ricevute. Il reclamante, tuttavia, non ha accettato l’estensione del termine per la cancellazione e ha ribadito la richiesta di cancellazione.

Successivamente, l’azienda ha comunicato al reclamante di aver cancellato il suo indirizzo email dal database delle newsletter. Nonostante questa comunicazione, il reclamante ha continuato a ricevere la newsletter dell’azienda.

La decisione dell’Autorità di Vigilanza ungherese ha rilevato che la richiesta del reclamante riguardava un singolo indirizzo email e non poteva essere considerata complessa o comportante un grande numero di richieste, pertanto l’estensione del termine di esecuzione non era giustificata secondo l’articolo 12(3) del GDPR. L’azienda ha così violato l’obbligo di cancellazione senza indugio previsto dall’articolo 12(3) e il diritto alla cancellazione ai sensi dell’articolo 17(1)(b) del GDPR.

Inoltre, l’azienda ha infranto l’articolo 25(1) del GDPR, poiché non ha soddisfatto i requisiti della protezione dei dati per design, continuando a inviare una newsletter all’utente undici giorni dopo che il suo indirizzo email era stato cancellato dal database.

Di conseguenza, l’Autorità di Vigilanza ungherese ha emesso un richiamo all’azienda per le violazioni riscontrate in base all’articolo 58(2)(b) del GDPR, dichiarando la violazione degli articoli 12(3), 17(1)(b) e 25(1) del GDPR.