Norský dozorový úřad pro ochranu osobních údajů udělil společnosti Elkjøp, maloobchodnímu řetězci
zaměřenému na elektroniku a domácí spotřebiče působící především ve Skandinávii, pokutu ve výši
2 miliony norských korun (zhruba 4,4 milionů českých korun) za zpracovávání osobních údajů více než
šesti milionů svých zákazníků bez platného souhlasu.
Elkjøp, stejně jako mnoho prodejců, pro své zákazníky nabízel speciální členské výhody v případě
registrace do zákaznického klubu. Společnost se ale dopustila několik přešlapů ve formulování souhlasu.
Souhlas nebyl dle dozorového úřadu dostatečně specifický, jelikož zpracovávání osobních údajů bylo
navázáno na více účelů a tato skutečnost nebyla zákazníkům vysvětlena. Souhlas také nebylo možno
považovat za svobodně udělený, jelikož nebylo možné udělit souhlas pouze k jednotlivým účelům
zpracování. Nakonec souhlas nebyl informovaný, jelikož společnost neposkytla svým zákazníkům
informace o zpracování osobních údajů tak, aby zákazníci mohli předvídat následky udělení souhlasu.
Společnost především užívala souhlas udělený ke zpracování za účelem vstoupení do zákaznického klubu
k rozesílání newsletterů, SMS zpráv a emailů, profilování, personalizaci nabídek a analytickým účelům.
Dozorový orgán vyhodnotil, že Elkjøp využíval uděleného souhlasu k personalizované reklamě, což je
jiný účel než nabízení slev a výhod za účelem udržení si zákaznické základny.
Společnost sama během kontroly popsala jejich nastavení souhlasu jako „všechno nebo nic“ či „balíček“
a popsala, že není možné být členem klubu, aniž by zákazník zároveň neudělil souhlas k personalizaci,
analýze, newsletteru apod. Dozorový orgán byl toho názoru, že Elkjøp měl pro výše uvedené účely
využívat oddělené souhlasy, jelikož jinak není možné považovat souhlas za svobodně udělený.
Pro správce z tohoto plyne několik důležitých lekcí. Pokud od subjektů údajů požadují souhlas ke
zpracování osobních údajů, takovýto souhlas musí být informovaný. Správci musí subjektům nabídnou
dostatečně vyčerpávající vysvětlení zpracování, aby subjekty mohly předvídat následky udělení souhlasu.
Subjekty musí také mít skutečnou možnost volby, zda souhlas udělí a nesmí na ně dopadnout negativní
následky za neudělení souhlasu. Nakonec, musí být jasně definováno, k čemu je souhlas udělován.
Například nestačí uvést pouze „marketing“, ale musí být jasně definováno, co takovýto „marketing“
vlastně obnáší.