Kundërshtimi i Marketingut të Drejtpërdrejtë dhe Çsinkronizimi i CRM: Gjobë 5.5 Milionë Euro për BBVA — E Drejta Absolute dhe Përgjegjësia Bankare sipas Ligjit 124/2024
Përmbledhje Ekzekutive për Drejtuesit e Kompanive
Autoriteti mbikëqyrës ka vendosur një gjobë prej 5.508.000 eurosh ndaj institucionit bankar BBVA për shkak të mosrespektimit të së drejtës së klientit për të kundërshtuar marketingun e drejtpërdrejtë. Pavarësisht revokimit të pëlqimit në aplikacion dhe në shërbimin ndaj klientit, njoftimet promocionale vazhduan për më shumë se 7 muaj për shkak të një defekti teknik në sinkronizimin midis bazës qendrore të të dhënave dhe modulit CRM. Autoriteti ritheksoi se defektet teknike nuk e shfajësojnë kontrolluesin nga parimi i llogaridhënies (Accountability).
1. Dinamika e Hetimit
Procedimi nisi pas ankesës së një klienti, i cili pasi kishte aktivizuar opsionin opt-out në aplikacionin celular të bankës, vazhdoi të merrte njoftime promocionale për muaj të tërë. Banka u justifikua me një mosfunksionim të lidhjes së brendshme midis bazës së anagrafikës dhe platformës përgjegjëse për fushatat e marketingut.
Autoriteti theksoi se e drejta për të kundërshtuar përpunimin e të dhënave për qëllime të marketingut të drejtpërdrejtë është absolute dhe e pakushtëzuar.
2. Analiza Juridike: Ligji Nr. 124/2024 dhe GDPR
- Neni 19 i Ligjit Nr. 124/2024 dhe Neni 21 i GDPR-it (E drejta për të kundërshtuar): Kur subjekti i të dhënave kundërshton përpunimin për qëllime marketingu, të dhënat nuk mund të përpunohen më për këto qëllime. Kontrolluesi nuk mund të pretendojë asnjë interes legjitim mbizotërues.
- Neni 46 i Ligjit Nr. 124/2024 (Marketingu i drejtpërdrejtë): Rregulla të posaçme të legjislacionit shqiptar që kërkojnë pëlqim paraprak dhe mekanizëm të menjëhershëm e falas për heqjen dorë.
- Neni 12 i Ligjit Nr. 124/2024 dhe Neni 12 i GDPR-it (Modalitetet e ushtrimit të të drejtave): Detyrimi për t’iu përgjigjur kërkesës së subjektit pa vonesa të pajustifikuara dhe brenda afatit ligjor prej 30 ditësh.
- Neni 22 i Ligjit Nr. 124/2024 dhe Neni 24 i GDPR-it (Përgjegjësia e Kontrolluesit): “Bugs” ose gabimet e integrimit midis sistemeve IT nuk përbëjnë forcë madhore; ato dëshmojnë mangësi në masat teknike dhe organizative.
3. Matrica e Rreziqeve për Bankat dhe Bizneset B2C
| Pika Kritike në CRM | Rreziku i Sanksioneve | Shkaku Tipik Teknik | Zgjidhja Teknike e Detyrueshme |
|---|---|---|---|
| Sinkronizim me Vonesë | Gjoba deri në masën maksimale | Procese automatike nate (batch) që dështojnë pa njoftuar | Arkitekturë në kohë reale me listë bllokuese të menjëhershme (hard suppression list) |
| Kanale të Shkëputura | E Lartë (Nenet 12 & 19) | Refuzimi në App nuk transmetohet te qendra e telefonatave | Platformë e unifikuar e pëlqimeve (Consent Management Platform) |
4. Plani Operativ i Zgjidhjes EON (P0 / P1 / P2)
Faza P0 (Urgjente – Brenda 24 Orëve)
Verifikoni funksionimin e menjëhershëm të heqjes së pëlqimit në të gjitha pikat e kontaktit (aplikacione, faqe interneti, call center, email) dhe integroni një listë përjashtimi paraprak për çdo fushatë.
Faza P1 (Afatshkurtër – 15 Ditë)
Vendosni pajtueshmëri të automatizuar ditore midis bazës qendrore dhe softuerëve të dërgimit masiv të mesazheve.
Faza P2 (Afatmesëm – Audit Periodik)
Testoni periodikisht procesin e opt-out përmes simulimeve të pavarura nga Zyrtari për Mbrojtjen e të Dhënave (NMDH/DPO).
