หลังถูกทักท้วงเรื่องการบังคับยินยอมนาน 5 ปี Elkjop ถูกปรับ 1.8 ล้านยูโร
(thatprivacyguy.com)- คลับลูกค้า Nordic ของกลุ่ม Elkjop บังคับให้ผู้ใช้ ยกเลิกสมาชิก หากต้องการปิดอีเมลการตลาด และมีสมาชิกคนหนึ่งร้องเรียนในปี 2021 ว่าเป็นการละเมิด GDPR และ ePrivacy
- ประเด็นสำคัญคือ โครงสร้างที่บังคับให้ต้องสละสิทธิประโยชน์ของคลับลูกค้าจึงจะปฏิเสธการตลาดทางตรงได้ นั้นเข้าเกณฑ์ ความยินยอมโดยเสรี หรือไม่
- หน่วยงานกำกับดูแลของสวีเดน IMY ส่งเรื่องไปยังเขตอำนาจของบริษัทแม่ในนอร์เวย์ และ Datatilsynet ได้สั่งปรับ 20 ล้านโครนนอร์เวย์ (NOK) เมื่อวันที่ 1 มิถุนายน 2026 หรือมากกว่า 1.8 ล้านยูโรเล็กน้อย
- Datatilsynet เห็นว่าความยินยอมดังกล่าวเป็นการบังคับ ไม่เฉพาะเจาะจง และไม่ได้แจ้งข้อมูลอย่างเพียงพอ อีกทั้งยังนำข้อมูลส่วนบุคคลที่เก็บมาไปใช้ซ้ำเพื่อโฆษณาและ การติดตามคอนเวอร์ชัน โดยไม่ได้ทำการประเมินความเข้ากันได้ตาม GDPR Article 6(4)
- ผู้ร้องเรียนระบุว่าไม่ได้รับการแจ้งผลการตัดสินจากหน่วยงานกำกับดูแล และเพิ่งทราบผลผ่าน GDPRhub จึงได้ขอคำอธิบายจาก IMY พร้อมส่งสัญญาณว่าจะเดินหน้า EU infringement procedure และฟ้องคดีแพ่งต่อ Elkjop
โครงสร้างที่การปฏิเสธการตลาดลงเอยด้วยการยกเลิกสมาชิก
- ในช่วงฤดูร้อนปี 2021 สมาชิกคนหนึ่งของ Elgiganten Kundklubb พบวิธีปิดอีเมลการตลาดในคลับลูกค้าที่กลุ่ม Elkjop ดำเนินการทั่วภูมิภาคนอร์ดิก
- แต่ในความเป็นจริง วิธีดังกล่าวคือผู้ใช้ต้องยกเลิกสมาชิกคลับลูกค้าเองจึงจะ หยุดการตลาด ได้
- สมาชิกได้แจ้งต่อ Data Protection Officer เมื่อวันที่ 30 กรกฎาคม ว่าวิธีนี้ขัดต่อกฎหมาย
- GDPR Article 21(2) มอบ สิทธิคัดค้านโดยเด็ดขาด ต่อการตลาดทางตรงให้กับทุกคน
- ภายใต้ ePrivacy Directive การทำการตลาดผ่านอีเมลจะชอบด้วยกฎหมายได้ก็ต่อเมื่อมีความยินยอมหรือมีความสัมพันธ์กับลูกค้าเดิม และต้องมีวิธี opt-out ที่ง่ายทั้งตอนเก็บข้อมูลและในทุกข้อความหลังจากนั้น
- ตาม GDPR Article 4(11) และ Article 7 ความยินยอมต้องให้มาโดยเสรี และต้องไม่ถูกผูกกับเงื่อนไขอื่นหรือกลายเป็นข้อกำหนดบังคับ
- เหตุผลคือ หากต้องสละสิทธิประโยชน์ของคลับลูกค้าเพื่อใช้สิทธิที่มีอยู่แล้ว ความยินยอมนั้นก็ไม่ใช่ความยินยอมที่ให้มาโดยเสรี
คำตอบของ Elkjop และการยื่นคำร้องเรียน
- ฝั่ง Elkjop ตอบในทำนองว่า “การจะรับการตลาด/ข้อเสนอได้นั้นมีเงื่อนไขว่าต้องเป็นสมาชิกคลับลูกค้า”
- ในมุมของสมาชิก จึงเท่ากับมีหลักฐานเป็นลายลักษณ์อักษรว่าบริษัทได้เปลี่ยนการใช้สิทธิให้กลายเป็น เงื่อนไขการสมัคร
- หลังจากนั้น สมาชิกได้ดำเนินการหลายขั้นตอน
- ยื่นคำขอจำกัดการประมวลผลอย่างเป็นทางการตาม GDPR Article 18
- ส่งคำขอเข้าถึงข้อมูลทั้งหมดของเจ้าของข้อมูลตาม Article 15
- ขอบเขตคำขอรวมถึงฐานทางกฎหมาย, legitimate interest balancing test, ผู้รับข้อมูล, ผู้ประมวลผลช่วงต่อ, การโอนข้อมูลระหว่างประเทศ และการทำ profiling
- ยื่นคำร้องเรียนต่อหน่วยงานกำกับดูแลของสวีเดน Integritetsskyddsmyndigheten (IMY) โดยมีเลขอ้างอิง DI-2021-6660
- บริษัทชี้ไปที่นโยบายความเป็นส่วนตัวที่คลุมเครือ และต่อมาได้ขยายกำหนดเวลาตอบคำขอเข้าถึงข้อมูลเป็น 90 วัน โดยอ้าง “ความซับซ้อน” และ “ทรัพยากรภายในที่จำกัด”
จากคำร้องเรียนในสวีเดนสู่ค่าปรับในนอร์เวย์
- คลับลูกค้าดำเนินการโดยบริษัทแม่ในนอร์เวย์คือ Elkjop Nordic AS และถูกมองว่าบริษัทแม่มีอำนาจตัดสินใจที่แท้จริงเกี่ยวกับวัตถุประสงค์และวิธีการประมวลผล
- IMY ตัดสินในเดือนกันยายน 2022 ว่าตนไม่ใช่หน่วยงานที่มีเขตอำนาจเหมาะสม
- ภายใต้ระบบ one-stop-shop ของ GDPR Article 56(1) หน่วยงานกำกับดูแลของประเทศที่เป็นสถานประกอบการหลักของผู้ควบคุมข้อมูลจะเป็นผู้มีเขตอำนาจ
- สถานประกอบการหลักอยู่ในนอร์เวย์
- IMY จึงส่งการสอบสวนและคำร้องเรียนต่อไปยัง Datatilsynet ซึ่งเป็น DPA ของนอร์เวย์
- Datatilsynet รับเรื่องนี้ไว้
- หลังจากนั้น คดีดำเนินต่อไปเป็นเวลานานโดยแทบไม่มีความคืบหน้าที่เปิดเผยออกมา
คำตัดสินของ Datatilsynet ในปี 2026
- เมื่อวันที่ 1 มิถุนายน 2026 Datatilsynet สั่งปรับกลุ่ม Elkjop เป็นเงิน 20 ล้านโครนนอร์เวย์ (NOK) หรือมากกว่า 1.8 ล้านยูโรเล็กน้อย
- แก่นของคำตัดสินตรงกับประเด็นที่ถูกร้องเรียนไว้ตั้งแต่ปี 2021
- ความยินยอมในคลับลูกค้าใช้ไม่ได้
- ความยินยอมดังกล่าวเป็นการ บังคับ
- ความยินยอมไม่เฉพาะเจาะจง
- สมาชิกไม่ได้รับข้อมูลอย่างเพียงพอ
- Datatilsynet เห็นว่า Elkjop ได้นำข้อมูลส่วนบุคคลที่เก็บผ่านคลับลูกค้าไปใช้เพิ่มเติมเพื่อการโฆษณาและการติดตามคอนเวอร์ชัน
- อีกประเด็นที่เป็นปัญหาคือ ก่อนนำข้อมูลส่วนบุคคลไปใช้ซ้ำเพื่อวัตถุประสงค์อื่น บริษัทไม่ได้ทำ การประเมินความเข้ากันได้ ตามที่ GDPR Article 6(4) กำหนด
- คำตัดสินอ้างถึง Article 4(11), 5(1)(a), 5(2), 6(1)(a), 6(1)(f), 6(4)
- โดยครอบคลุมทั้งความชอบด้วยกฎหมาย ความเป็นธรรม ความโปร่งใส และความรับผิดชอบของโครงสร้างโดยรวม
การบังคับยินยอมและปัญหา pay-or-consent
- โมเดลการบังคับยินยอม, pay-or-consent, bundled consent และ “ถ้าไม่ยอมทั้งหมดก็ใช้บริการไม่ได้” ถูกใช้ราวกับเป็นวิธีมาตรฐานในเศรษฐกิจดิจิทัลหลายส่วน
- ประเด็นสำคัญคือ หากผู้ใช้สูญเสียสิ่งที่เดิมตนมีสิทธิรักษาไว้เมื่อเลือกปฏิเสธ ความยินยอมนั้นก็ไม่อาจถือเป็น ความยินยอมโดยเสรี ได้
- หลังผ่านไป 5 ปีและมีค่าปรับระดับ 7 หลัก ประเด็นนี้จึงถูกบันทึกไว้ในคำตัดสินที่เผยแพร่ต่อสาธารณะ
หน้าที่ในการแจ้งผู้ร้องเรียนและขั้นตอนต่อจากนี้
- ผู้ร้องเรียนเปิดเผยว่าตนทราบคำตัดสินในเช้าวันพฤหัสบดีวันหนึ่งจาก GDPRhub ซึ่งเป็นวิกิที่ขับเคลื่อนโดยอาสาสมัคร ไม่ใช่จาก IMY หรือ Datatilsynet
- GDPR Article 77(2) กำหนดให้หน่วยงานกำกับดูแลต้องแจ้งผู้ร้องเรียนถึงความคืบหน้าและผลของคำร้องเรียน
- นี่ไม่ใช่ดุลพินิจหรือความกรุณา แต่เป็นหน้าที่ตามกฎหมาย
- ปัญหาคือคำร้องเรียนถูกยื่นต่อ IMY และคดีที่ IMY ส่งต่อก็จบลงด้วยการบังคับใช้กฎหมายมูลค่าหลายล้านยูโร แต่ไม่มีหน่วยงานใดแจ้งผู้ร้องเรียนเลย
- ผู้ร้องเรียนได้ขอคำอธิบายเป็นลายลักษณ์อักษรจาก IMY และกำหนดเส้นตายตอบกลับไว้ที่ 5 วันทำการ
- เขาระบุว่าหากคำตอบออกมาตามที่คาด ก็จะยกประเด็นนี้ขึ้นมาตาม European Union infringement procedure
- เนื่องจากกระบวนการกำกับดูแลสิ้นสุดแล้ว คดีแพ่งต่อกลุ่ม Elkjop ก็ยังคงอยู่ และระบุว่าขอบเขตคดีอาจกว้างขึ้นจากรายละเอียดเพิ่มเติมของการประมวลผลข้อมูลส่วนบุคคลที่ผิดกฎหมาย
- หาก Elkjop รับฟังข้อทักท้วงตั้งแต่ปี 2021 ก็อาจหลีกเลี่ยงค่าปรับ การประมวลผลที่ผิดกฎหมาย ความเสียหายต่อแบรนด์ และคดีต่อเนื่องในภายหลังได้
1 ความคิดเห็น
ความคิดเห็นจาก Hacker News
ดีใจที่เรื่องนี้ลงเอยได้ดี และยิ่งโลกดิสโทเปียหนักขึ้นเท่าไร ก็ยิ่งอยากให้มีคนใช้ชีวิตแบบนี้มากขึ้นเท่านั้น
โดยเฉพาะในอเมริกา แค่ ใช้สิทธิของตัวเอง หรืออ่านเอกสารทุกฉบับที่ต้องเซ็นให้ครบ ก็กลับกลายเป็นว่าทำให้คนรอบข้างหงุดหงิดอย่างประหลาด และเสียเปรียบกว่าคนที่ไม่อยากสร้างแรงกระเพื่อมเลยเงียบไว้ หรือปล่อยผ่านแบบ “คงไม่เป็นไรหรอก” มาก
พอฉันขอให้เอา สำเนากระดาษ มาให้ดูว่าเซ็นอะไรอยู่ พวกเขากลับหาไม่เจอ และด้วยเหตุผลบางอย่างก็พิมพ์ออกมาไม่ได้ สุดท้ายเลยยอมแพ้ เซ็นลวก ๆ ด้วยนิ้วแล้วเข้ารับการรักษา มันน่าคลั่งจริง ๆ
ฉันคัดค้าน แต่ท่าทีคือคงไม่ดึงทีมกฎหมายมาเพราะฉันคนเดียวหรอก ไม่ชอบก็ย้ายออกไปได้
ฉันกลับชอบนะที่ได้เห็นว่าใครรู้สึกอึดอัดกับเรื่องนี้ เพราะมันบอกได้ว่าใครบ้างที่ยอมจับมือ แต่ไม่ได้ตั้งใจจะรักษาสัญญา
ประสบการณ์นี้ยังเปลี่ยนวิธีที่ฉันเขียนเอกสารแบบนี้ด้วย และเงื่อนไขการใช้งานกับนโยบายความเป็นส่วนตัวฉบับล่าสุดที่ฉันเขียนก็สั้นพอจะอ่านจบได้ในรวดเดียวแต่ละฉบับ
แต่โรงพยาบาลกลับยื่น แบบฟอร์มยินยอมราว 10 หน้า ให้ภรรยาฉันเซ็น ซึ่งแทบจินตนาการไม่ออกว่าจะมีใครอ่านมันในสถานการณ์นั้น
แต่ก็ยากจะจินตนาการเหมือนกันว่าเธอจะปฏิเสธการนอนโรงพยาบาลเพราะเอกสารพวกนั้น
การที่วัฒนธรรมแบบนี้แพร่หลายแม้ในหมู่ชาวอเมริกันที่มองตัวเองว่าเป็นผู้รักชาติก็น่าสมเพช
ประเทศนี้ก่อตั้งขึ้นบนการกบฏและ การยืนยันสิทธิ แต่ไม่รู้ว่าเมื่อไรอุดมคติของพลเมืองจำนวนมากถึงกลับตาลปัตรไปเป็นตรงกันข้ามแบบทุกวันนี้
คำตัดสินฉบับจริง (ภาษานอร์เวย์): https://www.datatilsynet.no/contentassets/c8d0551d2a64403285...
สรุปที่โพสต์บล็อกพูดถึงและฉบับแปลเครื่องของหัวข้อ 5.1 (มีบางส่วนอื่นปนมาด้วย): https://chatgpt.com/share/6a34732c-0fa4-83e8-aae1-95c25dd117...
มาทีหลังถึงพบว่ามีคำตัดสินฉบับภาษาอังกฤษอย่างเป็นทางการด้วย: https://www.datatilsynet.no/contentassets/59addbef9c1b48a28f...
พออ่านประโยคที่ว่า “ต้องเป็นสมาชิกคลับลูกค้าจึงจะได้รับการตลาด/ข้อเสนอ” อย่างเดียวแล้วก็ยังไม่ค่อยเข้าใจ
ถ้าหมายถึง “การรับการตลาด/ข้อเสนอเป็นเงื่อนไขของการเป็นสมาชิกคลับลูกค้า” ก็เป็นอีกเรื่องหนึ่ง แต่ประโยคข้างบนกลับดูเหมือนหมายความว่า ถ้าอยาก รับการตลาด ก็ต้องสมัครเข้าคลับเสียก่อน
เหมือนมีอะไรสลับกันตอนแปลหรือตอนเรียบเรียง
ถ้าจะได้ส่วนลดหรือโปรโมชันพิเศษก็ต้องเป็นสมาชิกคลับ และถ้าเป็นสมาชิกคลับก็ต้องยินยอมรับอีเมล ขณะที่ตามกฎหมาย EU คุณก็ควรมีสิทธิ์เข้าถึงส่วนลดทั้งหมดอยู่ดี ประมาณนั้น
ตัวมันเองฟังดูปกติและสมเหตุสมผลดี
เช่นโครงสร้างแนว ๆ ว่า “การได้รับข้อเสนอเป็น... เงื่อนไขของการคงสถานะสมาชิก”
5 ปีนี่เหมือนเรื่องตลกชัด ๆ ประชาธิปไตยและหลักนิติรัฐ ดูเหมือนจะไม่มีอยู่แล้ว
นักการเมืองก็รวยขึ้นเรื่อย ๆ ไม่มีใครต่อต้าน ส่งต่อตำแหน่งให้คนในครอบครัว ภาษีก็ขึ้นต่อเนื่องแต่บริการกลับแย่ลงเรื่อย ๆ
อีกด้านหนึ่งมันก็น่าสนใจที่ได้เห็นการทำลายยุโรปและประชาธิปไตยตะวันตกเกิดขึ้นต่อหน้าต่อตา
ช่วงปลายจักรวรรดิโรมันก็คงมีการทรุดลงอย่างเจ็บปวดแบบนี้ และตอนนี้ก็ดูเหมือนเรากำลังเห็นจุดจบของจักรวรรดิยุโรป/อเมริกา
ยังมีปัญหาที่บริษัทใน EU บังคับให้ผู้สมัครงานยอมรับ นโยบายต่อต้านความเป็นส่วนตัว ก่อนสัมภาษณ์ด้วย ทั้งที่ชวนสับสนตรงที่ดันเรียกมันว่า “นโยบายความเป็นส่วนตัว”
ในนโยบายนั้นระบุว่าบริษัทและบุคคลที่สาม หรือแทบจะใครก็ตาม มีสิทธิใช้ข้อมูลรวมถึงเสียงและภาพเพื่อวัตถุประสงค์ใดก็ได้
แน่นอนว่าพวกเขาเขียนด้วยถ้อยคำกำกวมเล็กน้อยจนคนทั่วไปเข้าใจได้ยาก
อยากรู้ว่าเคยมีมาตรการคล้าย ๆ กันในกรณีแบบนี้หรือไม่
ข้อความลักษณะนั้นมีแนวโน้มสูงว่าจะไม่ผ่านข้อกำหนดด้านการปฏิบัติตามกฎหมาย
ถ้าจะเพิ่มประสิทธิภาพสูงสุด ให้ส่งคำขอเข้าถึงข้อมูลตาม GDPR มาตรา 15 ไปยังบริษัทนั้นเพื่อขอรายชื่อผู้รับข้อมูลจริง ๆ โดยระบุให้เฉพาะเจาะจงว่าต้องการรายการนั้น แล้วค่อยส่งคำขอแบบเดียวกันไปยังบริษัทเหล่านั้นทั้งหมดอีกที
แบบนั้นจะเปิดช่องให้ร้องเรียนเพิ่มเติมได้ เช่น ทำไมพวกเขาไม่ส่งข้อมูลตามมาตรา 14 หรือถ้าฐานทางกฎหมายเดิมคือความยินยอม และความยินยอมนั้นไม่ได้ให้โดยเสรีจริง ๆ ฐานทางกฎหมายนั้นเหมาะสมจริงหรือไม่ เป็นต้น
ฉันเข้าใจจุดยืนของคนนี้นะ แต่ก็ยังขำอยู่ดีที่เขาไปฟ้อง หน่วยงานทางกฎหมาย ที่ตัดสินคดีนี้เข้าข้างตัวเองอีกครั้ง
หน่วยงานที่ตัดสินคดีนี้เป็นคุณกับเขาคือ หน่วยงานคุ้มครองข้อมูลส่วนบุคคลของนอร์เวย์
เป็นไปได้ว่า IMY อาจมองว่าประเด็นนี้อยู่นอกอำนาจของตนแล้วส่งคำร้องต่อไปยัง Datatilsynet และหลังจากปิดคดีแล้วก็ลืมแจ้ง Hanff หรืออาจไม่ได้รับคำตอบใด ๆ จาก Datatilsynet เลย
อ้างอิงจากต้นฉบับ: คำตอบที่ได้รับหลังจากนั้นไม่กี่วันช่วยยืนยันการละเมิดไว้เป็นลายลักษณ์อักษรอย่างใจดี โดยจุดยืนของพวกเขาตามคำพูดของตัวเองคือ “หากต้องการรับการตลาด/ข้อเสนอ คุณต้องเป็นสมาชิก customer club”
ฉันไม่เข้าใจว่านี่จะตีความเป็น “ถ้าเป็นสมาชิกคลับก็ต้องรับการตลาด/ข้อเสนอด้วย” ได้อย่างไร
มันดูเหมือนแค่พูดว่า “เฉพาะสมาชิกเท่านั้นที่ได้รับ การตลาด/ข้อเสนอ”
จากประสบการณ์ของฉัน Datatilsynet ซึ่งเป็นหน่วยงานคุ้มครองข้อมูลส่วนบุคคลของนอร์เวย์ ให้ความสำคัญกับผู้ใช้อย่างสม่ำเสมอ
น่าเสียดายที่ต้องใช้เวลานานกว่าจะผ่านระบบได้ แต่โดยรวมแล้วมักตัดสินใจได้ดีอย่างสม่ำเสมอ
ฝั่งฉันรูปไม่โหลด และเห็นแค่ พรอมป์ต์ ที่ใช้สร้างภาพ ซึ่งพูดตามตรงว่าดีกว่าอีก
พอลองรีเฟรชเมื่อกี้ CSS ก็โหลดแล้ว และไม่เห็นพรอมป์ต์อีกต่อไป
น่าจะเป็นเพราะเว็บเซิร์ฟเวอร์โดนทราฟฟิกถล่มชั่วคราว เลยทำให้ผู้เยี่ยมชมบางคนได้รับรูปภาพ ส่วนบางคนได้รับไฟล์ CSS อย่างไม่สม่ำเสมอ
การที่ Elkjøp ถูกปรับจริง ๆ นั้นทั้งยอดเยี่ยมและเป็นเรื่องที่ควรแล้ว แต่การที่ไม่แจ้งให้เจ้าตัวรู้ต่อเนื่องนี่ค่อนข้างน่าแปลกใจ