იძულებითი თანხმობა Elkjop-ს 1.8 მილიონ ევროდ დაუჯდა — ხუთი წლის შემდეგ

2021 წლის ზაფხულში მონაცემთა დაცვის სპეციალისტი ალექსანდრე ჰანფი სკანდინავიური რითეილერის Elkjop-ის სამომხმარებლო კლუბის, Elgiganten Kundklubb-ის წევრი იყო. მარკეტინგული წერილების ნაკადში ჩაფლულმა გამოსავალი ეძებდა და აღმოაჩინა, რომ მარკეტინგის შეწყვეტის ერთადერთი გზა კლუბის წევრობაზე უარის თქმა იყო.

დარღვევა, რომელიც კომპანიამ თავად ჩამოწერა

2021 წლის 30 ივლისს ჰანფმა კომპანიის მონაცემთა დაცვის ოფიცერს მიწერა და დაასაბუთა, რატომ მიიჩნევდა ამ მოწყობას უკანონოდ. GDPR-ის 21-ე მუხლის მე-2 პუნქტით ყველას აქვს აბსოლუტური უფლება, წინააღმდეგი იყოს პირდაპირი მარკეტინგისა, ხოლო ePrivacy დირექტივით ელფოსტით მარკეტინგი დასაშვებია მხოლოდ თანხმობით ან არსებული მომხმარებლის ურთიერთობით, რომელიც უარის თქმის მარტივ საშუალებას იძლევა. თანხმობა კი, 4-ე მუხლის მე-11 პუნქტისა და მე-7 მუხლის მიხედვით, თავისუფლად უნდა იყოს მოცემული — მას სხვა პირობასთან მიბმა არ შეიძლება.

კომპანიის პასუხი, ჰანფის თქმით, თავადვე ადასტურებდა პრობლემას: მათი პოზიცია იყო, რომ „მარკეტინგისა და შეთავაზებების მისაღებად კლუბის წევრობა აუცილებელი პირობაა“. შემდეგ მან მე-18 მუხლით დამუშავების შეზღუდვა მოითხოვა, მე-15 მუხლით სრული ინფორმაციის მოთხოვნა გააგზავნა და საჩივარი შეიტანა შვედეთის ზედამხედველობის ორგანოში — Integritetsskyddsmyndigheten (IMY), რეფერენციით DI-2021-6660. კომპანიამ, მისივე თქმით, ბუნდოვან პოლიტიკაზე მიუთითა და ინფორმაციის მოთხოვნის ვადა 90 დღემდე გაახანგრძლივა, „სირთულესა“ და „შიდა რესურსების შეზღუდვაზე“ დაყრდნობით.

როგორ იქცა შვედური საჩივარი ნორვეგიულ ჯარიმად

კლუბს ნორვეგიული დედა კომპანია Elkjop Nordic AS მართავს. 2022 წლის სექტემბერში IMY-მ დაადგინა, რომ კომპეტენტური ორგანო თავად არ იყო, და საქმე ნორვეგიის მონაცემთა დაცვის ორგანოს, Datatilsynet-ს გადასცა — GDPR-ის 56-ე მუხლის პირველი პუნქტის „ერთი სარკმლის“ წესით.

2026 წლის 1 ივნისს Datatilsynet-მა Elkjop-ის ჯგუფი 20 მილიონი ნორვეგიული კრონით — 1.8 მილიონ ევროზე ოდნავ მეტით — დააჯარიმა. დასკვნები დაემთხვა ჰანფის 2021 წლის არგუმენტს: სამომხმარებლო კლუბის საფუძვლად მყოფი თანხმობა ბათილი იყო — იძულებითი, არასპეციფიკური და წევრებისთვის სათანადოდ გაუხსნელი. ორგანომ ასევე დაადგინა, რომ კლუბის გავლით მოპოვებული პერსონალური მონაცემები რეკლამისა და კონვერსიის თვალთვალისთვის ხელახლა გამოიყენეს 6-ე მუხლის მე-4 პუნქტით მოთხოვნილი თავსებადობის შეფასების გარეშე. გადაწყვეტილება ეყრდნობა 4(11), 5(1)(a), 5(2), 6(1)(a), 6(1)(f) და 6(4) მუხლებს.

რატომ სცდება ეს საქმე ერთ რითეილერს

ჰანფის აზრით, საქმე გაცილებით ფართო მოდელს ეხება — „დაეთანხმე ყველაფერს, თორემ სერვისით ვერ ისარგებლებ“. თუ უარის თქმა იმას გაკარგვინებთ, რისი უფლებაც გაქვთ, თანხმობა თავისუფალი არ არის.

ის აკრიტიკებს ორგანოების მუშაობასაც: გადაწყვეტილების შესახებ IMY-სა თუ Datatilsynet-ისგან კი არ შეიტყო, არამედ მოხალისეების მიერ შექმნილი ვიკისგან GDPRhub, თუმცა GDPR-ის 77-ე მუხლის მე-2 პუნქტი ზედამხედველ ორგანოებს ავალდებულებს, საჩივრის ავტორი პროცესისა და შედეგის შესახებ ინფორმირებული დატოვონ. ჰანფმა IMY-ს განმარტება მოსთხოვა და აცხადებს, რომ უკმაყოფილო პასუხის შემთხვევაში ევროკავშირის დარღვევის პროცედურას განიხილავს; გრძელდება სამოქალაქო დავაც Elkjop-ის ჯგუფის წინააღმდეგ.