Datatilsynet har ilagt Elkjøp Nordic AS og Elkjøp Norge AS et overtredelsesgebyr på 20 millioner kroner knyttet til behandling av personopplysninger i Elkjøps kundeklubb. Tilsynet var basert på varsler og klager, og Datatilsynet konkluderer at selskapet har brutt personvernforordningen på fire sentrale områder, som kan være av interesse for andre som har medlemsklubber – se også Datatilsynets informasjon til de som driver kundeklubber.
Elkjøp baserer medlemskapet i kundeklubben med 6 millioner medlemmer på samtykke, men Datatilsynet mente at samtykket var ugyldig. Dette fordi samtykket ikke var spesifikt siden behandlingen av personopplysninger knyttet til kundeklubben gjaldt mange formål som ikke var tilstrekkelig definert ved innhentelse av samtykket. Tilsynet mente heller ikke at samtykket var frivillig, fordi kundene ikke kunne gi samtykke for hver aktivitet – dvs. medlemskap i Elkjøps kundeklubb, behandling av personopplysninger i forbindelse med utsendelse av nyhetsbrev, utsendelse av tekstmeldinger, profilering, personalisering og analyse. Det er verdt å merke seg at tilsynet anbefaler på sine nettsider at det bør unngås å lokke kundene med generelle rabatter i kassa hvis de melder seg inn i en kundeklubb, for så å få dem til å «samtykke» til bruk av personopplysninger som de kanskje ikke forventet eller er komfortable med.
I tillegg var ikke kundene tilstrekkelig informert da samtykket ble avgitt, ved at kundene fikk ikke god nok informasjon til å forstå hva de samtykket til eller konsekvensene av å gi samtykke. Muntlig informasjon i kassa kan i visse tilfeller ikke være tilstrekkelig, og informasjonen må være spesifikk så generelt å si at informasjonen skal brukes til «markedsføring» er ofte ikke nok. Informasjon i etterkant kan også anses å ikke være tilstrekkelig. At noen av kundene var barn, skjerpet vurderingen, særlig fordi det ikke var alderskontroll, og barn (under 18 år) ikke skal utsettes for profilering til markedsføringsformål (aldersgrensen i kundeklubben var 15 år).
Datatilsynet mente dermed at Elkjøp brøt kravene til samtykke i GDPR artikkel 6 nr. 1, jf. artikkel 4 nr. 11. Fra vedtaket fremkommer det at Elkjøp vurderte risikoen for at tilsynet ville finne praksisen ulovlig, men aksepterte risikoen.
Elkjøp brukte også personopplysninger som var samlet inn til kundeklubben til formål som ikke var dekket av det opprinnelige samtykket, knyttet til kundematching ved at opplysninger som ble samlet inn gjennom kundeklubben ble brukt til kundematch – altså at identifikatorer for kundene (e-post og/eller telefonnr.) matches med annonseplattformer som Google og Schibsted. Datatilsynet uttaler her at utsendelse av generell markedsføringskommunikasjon og profilering for personlig tilpasset markedsføring er separate formål, og må derfor ha to separate samtykker. Brukes opplysninger samlet inn for det første formålet til det neste, krever dette en såkalt forenlighetsvurdering, som er en vurdering av om det nye formålet er forenlig med det opprinnelige etter GDPR artikkel 6 nr. 4. Elkjøp hadde ikke gjort en slik vurdering, noe som er et brudd på GDPR artikkel 6 nr. 4. Elkjøp mente at artikkel 6 nr. 1 bokstav f (såkalt berettiget interesse) var rettslig grunnlag, men Datatilsynet mente at de registrertes ikke kunne ha rimelige forventninger om at data innsamlet til kundeklubben senere skulle brukes til andre formål som ikke var omfattet av samtykket (som kundematch). At Elkjøp ikke viste til hvem som mottok opplysningene, var heller ikke tilstrekkelig informasjon.
Et annet brudd gjelder såkalte offline-konverteringer, hvor Elkjøp målte hvor effektiv digital markedsføring var for salget i butikk, dvs. koblet sin markedsføring på Google og Facebook til de reelle kjøpene i butikk. Etter Datatilsynets oppfatning hadde Elkjøp ikke gjennomført en tilstrekkelig dokumentert vurdering etter artikkel 6 nr. 1 bokstav f (berettiget interesse, som krever en interessevurdering). Etter GDPR artikkel 5 nr. 1 bokstav a skal den behandlingsansvarlige kunne påvise at behandlingen er lovlig ved å dokumentere den, og Elkjøp kunne ikke vise til slik dokumentasjon.
Sist hadde ikke Elkjøp håndtert krav fra de registrerte på tilstrekkelig måte. Da personer ba om å få rettet e-postadressen sin, mente Elkjøp at alle slike forespørsler var komplekse og utvidet fristen for å gi svar til de registrerte fra én til tre måneder etter GDPR artikkel 12 nr. 3. Datatilsynet mente at det ikke kan antas at alle rettingforespørsler er komplekse, og hver forespørsel må vurderes konkret. Dessuten svarte Elkjøp ikke på noen forespørsler selv innen den forlengede fristen på tre måneder, et brudd som også forelå i SATS-saken.
Datatilsynet har lagt til grunn at Elkjøp retter overtredelsene, og at selskapet innhenter gyldig samtykke fra kundeklubben dersom medlemskapet skal baseres på samtykke. Tilsynet selv omtaler bruddene som «ikke blant de mest alvorlige», og boten utgjorde forholdsmessig en liten andel av konsernets omsetning, men ble likevel satt til 20 millioner kroner.