Примусова згода коштувала Elkjop €1,8 млн через п'ять років після скарги

Улітку 2021 року фахівець із захисту даних Александр Ханфф був членом Elgiganten Kundklubb — клієнтського клубу, який скандинавський рітейлер Elkjop веде для покупців. Завалений маркетинговими листами, він шукав спосіб їх вимкнути і виявив, що єдиний варіант — зовсім вийти з клубу.

Порушення, яке компанія зафіксувала письмово

30 липня 2021 року Ханфф написав уповноваженому із захисту даних компанії й пояснив, чому вважає таку схему незаконною. За статтею 21(2) GDPR кожна людина має абсолютне право заперечити проти прямого маркетингу, а Директива ePrivacy дозволяє маркетинг електронною поштою лише за згодою або за наявних клієнтських відносин із простою можливістю відмовитися. Згода ж, згідно зі статтями 4(11) і 7, має бути вільною: її не можна прив'язувати до іншої умови.

Відповідь компанії, за його словами, сама засвідчила проблему: її позиція полягала в тому, що «для отримання маркетингу й пропозицій необхідно бути членом клубу». Далі Ханфф подав запит на обмеження обробки за статтею 18 і повний запит на доступ до даних за статтею 15, а також скаргу до шведського наглядового органу Integritetsskyddsmyndigheten (IMY) під номером DI-2021-6660. Компанія, за його словами, послалася на розпливчасту політику конфіденційності й продовжила строк відповіді на запит до 90 днів, посилаючись на «складність» і «обмежені внутрішні ресурси».

Як шведська скарга стала норвезьким штрафом

Клубом керує норвезька материнська компанія Elkjop Nordic AS. У вересні 2022 року IMY визнала, що не є компетентним органом, і передала справу норвезькому Datatilsynet — регулятору за правилом «єдиного вікна» зі статті 56(1) GDPR.

1 червня 2026 року Datatilsynet оштрафував групу Elkjop на 20 млн норвезьких крон — трохи більше ніж €1,8 млн. Висновки збіглися з аргументами Ханффа 2021 року: згода, на якій тримався клуб, була недійсною — примусовою, неконкретною, а члени клубу не були належно поінформовані. Регулятор також встановив, що зібрані через клуб дані повторно використали для реклами й відстеження конверсій без оцінки сумісності, якої вимагає стаття 6(4). Рішення посилається на статті 4(11), 5(1)(a), 5(2), 6(1)(a), 6(1)(f) і 6(4).

Чому це важливо не лише для одного рітейлера

Ханфф розглядає справу як перевірку ширшої моделі «погодься на все, інакше не користуйся сервісом», яка, за його словами, стала типовою для значної частини цифрової економіки. Якщо відмова коштує вам того, що ви маєте право зберегти, жодної вільної згоди немає.

Він також критикує роботу органів: про рішення він дізнався з GDPRhub — вікі, яку ведуть волонтери, — а не від IMY чи Datatilsynet, хоча стаття 77(2) GDPR зобов'язує наглядові органи інформувати заявника про хід і результат скарги. Ханфф вимагає пояснень від IMY і каже, що в разі незадовільної відповіді розгляне процедуру порушення ЄС; триває й цивільний позов проти групи Elkjop.