Məcburi razılıq Elkjop-a beş il sonra 1,8 milyon avroya başa gəldi

2021-ci ilin yayında məlumatların mühafizəsi üzrə mütəxəssis Aleksandr Hanf Skandinaviya pərakəndə satıcısı Elkjop-un müştəri klubu Elgiganten Kundklubb-ın üzvü idi. Marketinq e-məktubları altında qalan Hanf onları söndürməyin yolunu axtardı və yeganə variantın klub üzvlüyündən tamamilə çıxmaq olduğunu gördü.

Şirkətin özü yazılı təsdiqlədiyi pozuntu

Hanf 30 iyul 2021-ci ildə şirkətin məlumatların mühafizəsi üzrə məsul şəxsinə yazaraq bu quruluşun niyə qanunsuz olduğunu əsaslandırdı. Onun fikrincə, GDPR-ın 21(2) maddəsi hər kəsə birbaşa marketinqə etiraz etmək üçün mütləq hüquq verir, ePrivacy Direktivi isə e-poçtla marketinqə yalnız razılıq və ya sadə imtina imkanı təklif edən mövcud müştəri münasibəti olduqda icazə verir. Razılıq isə 4(11) və 7-ci maddələrə görə sərbəst verilməlidir; başqa bir şərtə bağlana bilməz.

Hanfın sözlərinə görə, şirkətin cavabı pozuntunu özü təsdiqlədi: onların mövqeyi "marketinq və təkliflər almaq üçün müştəri klubuna üzv olmaq şərtdir" idi. Ardınca 18-ci maddə ilə emalın məhdudlaşdırılması tələbi və 15-ci maddə ilə tam giriş sorğusu göndərdi, İsveç nəzarət orqanı Integritetsskyddsmyndigheten-ə (IMY) DI-2021-6660 istinadı ilə şikayət verdi. Onun sözlərinə görə, şirkət qeyri-müəyyən məxfilik siyasətinə işarə etdi və giriş sorğusunun müddətini "mürəkkəblik" və "məhdud daxili resurslar" əsas gətirilərək 90 günə uzatdı.

İsveç şikayəti necə Norveç cəriməsinə çevrildi

Klubu Norveç ana şirkəti Elkjop Nordic AS idarə edir. 2022-ci ilin sentyabrında IMY səlahiyyətli orqan olmadığına qərar verdi və işi GDPR-ın 56(1) maddəsindəki "vahid pəncərə" qaydası ilə Norveçin məlumatların mühafizəsi orqanı Datatilsynet-ə verdi.

1 iyun 2026-cı ildə Datatilsynet Elkjop qrupunu 20 milyon Norveç kronu — 1,8 milyon avrodan bir qədər çox — məbləğində cərimələdi. Nəticələr Hanfın 2021-ci ildəki arqumenti ilə üst-üstə düşdü: müştəri klubunun əsaslandığı razılıq etibarsız idi — məcburi, qeyri-müəyyən və üzvlər lazımınca məlumatlandırılmamışdı. Orqan həmçinin müəyyən etdi ki, klub vasitəsilə toplanan şəxsi məlumatlar 6(4) maddəsinin tələb etdiyi uyğunluq qiymətləndirməsi aparılmadan reklam və konversiya izləmə üçün yenidən istifadə edilib. Qərar 4(11), 5(1)(a), 5(2), 6(1)(a), 6(1)(f) və 6(4) maddələrinə əsaslanır.

Niyə bu, tək bir pərakəndə satıcıdan daha çoxunu aiddir

Hanf işi "hər şeyə razı ol, yoxsa xidmətdən istifadə edə bilməzsən" modelinin sınağı kimi görür; onun sözlərinə görə, bu model rəqəmsal iqtisadiyyatın böyük hissəsində standart hala gəlib. "Xeyr" demək sizə məxsus hüququ itirməyə səbəb olursa, sərbəst razılıq yoxdur.

Hanf orqanların davranışını da tənqid edir: qərarı IMY və ya Datatilsynet-dən deyil, könüllülərin idarə etdiyi GDPRhub vikisindən öyrənib; halbuki GDPR-ın 77(2) maddəsi nəzarət orqanlarını şikayətçini işin gedişi və nəticəsi barədə məlumatlandırmağı öhdəsinə qoyur. Hanf IMY-dən yazılı izahat istəyib və cavab qaneedici olmasa, Aİ pozuntu proseduruna başlaya biləcəyini deyir; Elkjop qrupuna qarşı mülki iddia da davam edir.