El 2 de enero de 2026, la Oficina del Comisionado de Protección de Datos de Kenia (ODPC) emitió un fallo sobre la denuncia n.º 1501/2025, ordenando a MOMENTUM Credit Limited pagar una indemnización de 500 000 chelines kenianos (aproximadamente 3 870 dólares estadounidenses) a la denunciante, Mary Ogwena Immaculate.
La denunciante declaró que nunca había sido clienta de MOMENTUM Credit ni había dado su consentimiento para que la empresa o sus agentes trataran su número de teléfono móvil. Sin embargo, entre el 25 de febrero y el 28 de mayo de 2025, recibió más de 50 mensajes SMS promocionales que anunciaban los productos de MOMENTUM Credit. A pesar de que solicitó explícitamente que cesaran los contactos después de recibir los primeros mensajes, estos siguieron enviándose. En su defensa, MOMENTUM Credit argumentó que los números de procedencia no pertenecían a sus canales oficiales de comunicación y que los mensajes habían sido enviados por "agentes piratas".
No obstante, la investigación de la ODPC reveló que los mensajes mencionaban explícitamente los productos de la empresa y provenían de agentes de marketing contratados por esta. La ODPC determinó que la empresa infringió el artículo 26, letra c), el artículo 30 y el artículo 37, apartado 1, de la "Ley de Protección de Datos", al no poder acreditar la base jurídica para el tratamiento de datos personales y no responder oportunamente a la solicitud de oposición de la denunciante. La ODPC destacó especialmente que las organizaciones son plenamente responsables de los actos de sus representantes o terceros: delegar la responsabilidad en agentes no exime al responsable del tratamiento de datos de su responsabilidad jurídica. Además de la indemnización, la ODPC emitió un aviso de cumplimiento a la empresa, exigiéndole adoptar medidas correctivas y garantizar el cumplimiento continuo.
Este caso demuestra que, incluso cuando las empresas alegan que los mensajes SMS son enviados por agentes de terceros, la ODPC seguirá imputando la responsabilidad directa al responsable del tratamiento de datos. Los proveedores de servicios de A2P SMS deben revisar estrictamente las operaciones de cumplimiento de sus agentes de marketing y establecer mecanismos eficaces para responder oportunamente a las solicitudes de baja de los usuarios.
