Le 2 janvier 2026, le Bureau du commissaire à la protection des données du Kenya (ODPC) a rendu sa décision sur la plainte n° 1501/2025, en ordonnant à MOMENTUM Credit Limited de verser 500 000 shillings kényans (environ 3 870 dollars américains) d’indemnité à la plaignante, Mary Ogwena Immaculate.
La plaignante a déclaré qu’elle n’avait jamais été cliente de MOMENTUM Credit et n’avait jamais consenti au traitement de son numéro de téléphone mobile par l’entreprise ou ses mandataires. Cependant, entre le 25 février et le 28 mai 2025, elle a reçu plus de 50 SMS promotionnels faisant la publicité des produits de MOMENTUM Credit. Bien qu’elle ait explicitement demandé à l’entreprise de cesser de la contacter après avoir reçu les premiers SMS, les envois se sont poursuivis. Dans sa défense, MOMENTUM Credit a soutenu que les numéros concernés n’appartenaient pas à ses canaux de communication officiels et que les SMS avaient été envoyés par des « agents frauduleux ».
Cependant, l’enquête de l’ODPC a révélé que ces SMS mentionnaient explicitement les produits de l’entreprise et provenaient d’agents de marketing recrutés par celle-ci. L’ODPC a estimé que l’entreprise avait enfreint les articles 26 c), 30 et 37 (1) de la « Loi sur la protection des données », n’ayant pas pu prouver le fondement légitime du traitement des données personnelles et n’ayant pas répondu dans les délais à la demande d’opposition de la plaignante. L’ODPC a particulièrement souligné que les organisations assument l’entière responsabilité des actes de leurs représentants ou des personnes agissant pour leur compte : le fait de rejeter la responsabilité sur les agents ne dégage pas le responsable du traitement de ses obligations légales. Outre l’indemnité, l’ODPC a également adressé à l’entreprise un avis d’exécution, lui demandant de prendre des mesures correctives et d’assurer une conformité permanente.
Cette affaire montre que même si une entreprise affirme que les SMS ont été envoyés par des agents tiers, l’ODPC tiendra le responsable du traitement directement pour responsable. Les fournisseurs de services A2P SMS doivent contrôler strictement la conformité des opérations de leurs agents de marketing et mettre en place des mécanismes efficaces pour répondre rapidement aux demandes de désabonnement des utilisateurs.
