جریمهی ۲۰ میلیون کرونی بابت «رضایت اجباری» به مشتری
خلاصهٔ کاملتر
به گفتهی نویسنده، تابستون ۲۰۲۱ عضو باشگاه مشتریانِ گروه Elkjop تو کشورهای نوردیک بود و مثل خیلیهای دیگه زیر بار ایمیلهای تبلیغاتی مونده بود. وقتی دنبال راهی برای خاموشکردنشون گشت، فهمید تنها راه قطع تبلیغات، لغو کاملِ عضویت باشگاهه؛ همون مشکلی که پنج سال طول کشید تا درست شه.
اون به مسئول حفاظت دادهی شرکت نامه زد و توضیح داد چرا این کار غیرقانونیه. طبق مادهی ۲۱(۲) مقررات GDPR، هر کسی حق مطلق داره به بازاریابی مستقیم اعتراض کنه، و طبق مادهی ۴(۱۱) و ۷، رضایت فقط وقتی ارزش داره که آزادانه داده شده باشه؛ یعنی نمیتونه بستهبندیشده تو چیز دیگه یا شرطِ اون باشه. مجبورکردن آدم به از دست دادن عضویت، فقط برای استفاده از حقی که همین الان داره، مثال کتابیِ رضایتیه که آزادانه داده نشده.
نویسنده میگه شرکت خودش لطف کرد و نقض رو مکتوب کرد: تو جواب گفتن «برای دریافت تبلیغات و پیشنهادها، عضویت در باشگاه مشتریان یه شرطه.» به گفتهی اون همین یه جمله کل پروندهست. بعد اون شکایت رو تشدید کرد، درخواست دسترسی به داده و محدودیت پردازش داد، و به نهاد ناظر سوئد (IMY) با شمارهی پروندهی DI-2021-6660 شکایت کرد.
اینجا ماشین GDPR وارد شد. چون باشگاه رو شرکت مادرِ نروژی (Elkjop Nordic AS) اداره میکنه و قدرت تصمیمگیری واقعی دستِ اونه، طبق قاعدهی «تکدرگاهی» (one-stop-shop) در مادهی ۵۶(۱)، نهاد صالح، ناظرِ محل اصلی شرکت یعنی نروژه. برای همین IMY پرونده رو به Datatilsynet نروژ سپرد و بعد مدتها همهچیز ساکت شد.
اول ژوئن ۲۰۲۶ این سکوت شکست: Datatilsynet گروه Elkjop رو ۲۰ میلیون کرون نروژ (کمی بیش از ۱٫۸ میلیون یورو) جریمه کرد و دقیقاً همون چیزی رو پیدا کرد که نویسنده ۲۰۲۱ گفته بود؛ رضایت معتبر نبود، اجباری و غیراختصاصی بود و اعضا درست مطلع نشده بودن. علاوه بر اون، شرکت دادههای جمعشده رو بدون ارزیابیِ سازگاریِ مادهی ۶(۴) برای تبلیغات و ردیابی استفاده کرده بود.
نویسنده میگه اهمیت این ماجرا فراتر از یه فروشگاهه: مدلِ «رضایت اجباری» یا «یا قبول کن یا استفاده نکن» همهجا هست و پیشفرضِ بخش بزرگی از اقتصاد دیجیتاله، ولی به همون دلیل ساده غیرقانونیه؛ اگه نتونی بدون از دست دادن چیزی که حقته «نه» بگی، اصلاً آزادانه رضایت ندادی. یه گلایهی دیگه هم داره: طبق مادهی ۷۷(۲)، ناظر موظف بوده اون رو در جریان نتیجه بذاره، ولی اون خبر جریمه رو نه از نهادها، بلکه از یه ویکیِ داوطلبانه فهمید و حالا میخواد از رویهی نقض اتحادیهی اروپا استفاده کنه.
نکات کلیدی:
- برای قطع تبلیغات، شرکت کاربر رو مجبور به لغو کل عضویت میکرد؛ مصداق رضایت اجباری.
- طبق GDPR رضایت باید آزادانه باشه و نمیتونه شرطِ چیز دیگهای باشه.
- با قاعدهی one-stop-shop پرونده از سوئد به ناظر نروژ (Datatilsynet) رفت.
- اول ژوئن ۲۰۲۶ گروه Elkjop حدود ۱٫۸ میلیون یورو جریمه شد.
