הסכמה כפויה עלתה ל-Elkjop יותר מ-1.8 מיליון יורו, חמש שנים אחרי התלונה

בקיץ 2021 היה אלכסנדר האנף, מומחה להגנת מידע, חבר ב-Elgiganten Kundklubb, מועדון הלקוחות של קמעונאית הנורדית Elkjop. מוצף בדואר שיווקי, הוא חיפש דרך לכבות אותו — וגילה שהאפשרות היחידה היא לוותר לגמרי על החברות במועדון.

הפרה שהחברה עצמה העלתה על הכתב

ב-30 ביולי 2021 כתב האנף לממונה על הגנת המידע של החברה והסביר מדוע הסדר זה אינו חוקי. לפי סעיף 21(2) ל-GDPR לכל אדם זכות מוחלטת להתנגד לשיווק ישיר, והנחיית ePrivacy מתירה שיווק בדואר אלקטרוני רק בהסכמה או בקשר לקוח קיים שמציע דרך פשוטה לסרב. הסכמה, לפי סעיפים 4(11) ו-7, חייבת להינתן מרצון — אסור לכרוך אותה בתנאי אחר.

תשובת החברה, לדבריו, אישרה את הבעיה: עמדתה הייתה ש"כדי לקבל שיווק והצעות יש להיות חבר במועדון הלקוחות". האנף הגיש דרישה להגבלת עיבוד לפי סעיף 18 ובקשת גישה מלאה לפי סעיף 15, ותלונה לרשות השוודית Integritetsskyddsmyndigheten (IMY) במספר DI-2021-6660. לדבריו, החברה הפנתה אותו למדיניות פרטיות מעורפלת והאריכה את המועד למענה לבקשה ל-90 יום, בנימוק של "מורכבות" ו"משאבים פנימיים מוגבלים".

איך תלונה שוודית הפכה לקנס נורווגי

את המועדון מפעילה חברת האם הנורווגית Elkjop Nordic AS. בספטמבר 2022 קבעה IMY כי אינה הרשות המוסמכת והעבירה את התיק ל-Datatilsynet הנורווגית, לפי כלל "חלון יחיד" בסעיף 56(1) ל-GDPR.

ב-1 ביוני 2026 הטילה Datatilsynet על קבוצת Elkjop קנס של 20 מיליון כתרים נורווגיים — מעט יותר מ-1.8 מיליון יורו. הממצאים תאמו את טענתו של האנף מ-2021: ההסכמה שעליה נשען המועדון לא הייתה תקפה — היא הייתה כפויה, לא ספציפית, והחברים לא קיבלו מידע הולם. הרשות גם קבעה כי מידע אישי שנאסף דרך המועדון נוצל מחדש לפרסום ולמעקב המרות בלי הערכת תאימות כנדרש בסעיף 6(4). ההחלטה מסתמכת על סעיפים 4(11), 5(1)(a), 5(2), 6(1)(a), 6(1)(f) ו-6(4).

למה זה חשוב מעבר לקמעונאית אחת

האנף רואה בתיק מבחן למודל הרחב של "הסכם לכל התנאים או שלא תוכלו להשתמש בשירות", שלדבריו הוא ברירת המחדל של חלק גדול מהכלכלה הדיגיטלית. אם סירוב עולה לך במשהו שזכאי לך להשאיר, אין כאן הסכמה חופשית.

הוא גם מבקר את התנהלות הרשויות: על ההחלטה נודע לו מ-GDPRhub, ויקי המתוחזק בידי מתנדבים, ולא מ-IMY או מ-Datatilsynet, אף שסעיף 77(2) ל-GDPR מחייב רשויות פיקוח לעדכן את המתלונן על התקדמות התלונה ותוצאותיה. האנף דרש מ-IMY הסבר ואמר שאם התשובה לא תספק אותו ישקול הליך הפרה באיחוד האירופי; הליך אזרחי נגד קבוצת Elkjop עדיין תלוי ועומד.