En juillet 2024, Donald Mkala Ngolo a déposé une plainte auprès de l'ODPC (Bureau du commissaire à la protection des données) en raison d'appels et de SMS promotionnels incessants de la part de Platinum Credit Limited.
Le plaignant indique qu'il n'a jamais été client de l'entreprise, et que les messages marketing n'ont pas cessé malgré ses multiples oppositions. Le 16 octobre 2024, l'ODPC a estimé que Platinum Credit enfreignait la "Loi sur la protection des données", et lui a ordonné de verser 1 million de shillings à Ngolo à titre d'indemnisation, ainsi que de mettre en place des mesures correctives. Le 24 février 2025, l'ODPC a adressé une notification d'application de la loi à l'entreprise, lui demandant de procéder aux corrections dans un délai de 45 jours.
Platinum Credit a ensuite interjeté appel devant la Haute Cour, arguant que la procédure de l'ODPC était inéquitable et entachée de partialité, et réitérant que Ngolo n'avait jamais été son client et que son numéro ne figurait pas dans la base de données de l'entreprise. Cette dernière a déclaré que l'enquête avait montré que l'un des numéros de contact appartenait à un agent commercial indépendant dont le contrat avait été résilié. Le 18 août 2026, la Haute Cour de Nairobi a rejeté l'appel de Platinum Credit. Le juge a estimé que l'ODPC avait dûment pris en compte les allégations du plaignant, la réponse de l'entreprise et les éléments de preuve, et que le montant de la décision "entrait dans le champ du pouvoir d'appréciation raisonnable du commissaire". La Cour a souligné que Platinum Credit n'avait pas pu prouver l'existence d'une quelconque irrégularité dans la décision de l'ODPC. Par ailleurs, Platinum Credit a également été condamnée par l'ODPC à une amende de 400 000 shillings dans une autre affaire similaire (l'affaire Samuel Kamau Waweru).
Il s'agit de l'une des décisions d'indemnisation les plus élevées jamais rendues au Kenya dans le domaine des infractions liées aux A2P SMS, et elle a été confirmée en dernier ressort par la Haute Cour. Le fait pour les entreprises d'attribuer les infractions à des "agents commerciaux indépendants" ne les exonère pas de leur responsabilité juridique : le responsable du traitement des données détient une responsabilité de surveillance incombable à l'égard des agissements des agents tiers.
