Comissão Nacional de Proteção de Dados (CNPD) har utfärdat en sanktionsavgift på 107 000 euro med Deco Proteste Edições Lda för överträdelser av dataskyddsförordningen (GDPR).
Av beslutet framgår att en registrerad tagit emot oönskad direktmarknadsföring via e-post från Deco Proteste. Den registrerade har aldrig lämnat sina personuppgifter till Deco Proteste och samtyckte därför aldrig till att ta emot e-postmeddelanden med direktmarknadsföring från organisationen. Den registrerade lämnade in ett klagomål till CNPD. Efter utredningen lades 45 andra icke begärda e-postmeddelanden om direktmarknadsföring, mellan den 11 oktober 2011 och den 5 juni 2013, till klagomålet.
Deco Proteste hävdade att den registrerades personuppgifter ingick i en databas som ägdes av ett direktmarknadsföringsföretag som företaget hade anlitat som underleverantör för att tillhandahålla direktmarknadsföringstjänster. Därför hävdade Deco Proteste att det var direktmarknadsföringsföretaget som var personuppgiftsansvarig och inte Deco Proteste.
CNPD godtog inte Deco Protestes argument att marknadsföringsbyrån som skickade ut marknadsföringsmeddelandena agerade som en oberoende personuppgiftsansvarig. Det faktum att Deco Proteste använde en tredje part för att hjälpa till med direktmarknadsföring av sina produkter uteslöt inte deras status som personuppgiftsansvarig, även om den databas som användes ägdes av den tredje parten. Marknadsföringsföretaget betraktades därför av CNPD som ett personuppgiftsbiträde.
CNPD förklarade också att det berättigade intresset enligt artikel 6.1 (f) GDPR inte var den tillämpliga rättsliga grunden för att använda den registrerades kontaktuppgifter för direktmarknadsföringsändamål. CNPD ansåg att alla e-postmeddelanden med direktmarknadsföring som skickats hänvisade till produkter och tjänster som erbjuds av Deco Proteste. CNPD ansåg också att Deco Proteste fritt, frivilligt och medvetet beslutat att behandla personuppgifter utan någon rättslig grund för att marknadsföra sina produkter och tjänster, och därmed åsidosatt sina rättsliga skyldigheter enligt lagen om skydd av personuppgifter från 1998, som var i kraft vid tidpunkten för överträdelserna.
Mot denna bakrund biföll CNPD klagomålet och utfärdade en sanktionsavgift på 107 000 euro mot Deco Proteste.