Hacker News Digest

В 2021 году я был членом клиентского клуба Elgiganten, который Elkjop использует в странах Севера, и получал спам‑рассылки. Я попросил отписаться, но компания требовала отменить членство, чтобы выключить маркетинг. Я написал в DPO, указав, что согласно статье 21 пункт 2 GDPR и Директивы о ePrivacy согласие должно быть свободным, а не связано с обязательным членством. В ответе компания прямо заявила, что «получение рекламных предложений – условие входа в клуб», тем самым сделав согласие принудительным. Это нарушает статьи 4(11) и 7, где согласие должно быть добровольным и не может быть условием получения услуг.

Я подал жалобу в шведский надзорный орган, а затем в норвежский Datatilsynet, указав, что согласие было вынужденным, неспецифичным и неинформированным. По статье 56(1) GDPR компетентным стал норвежский DPA, поскольку материнская компания Elkjop Nordic AS контролировала цели и средства обработки. В июне 2026 года Datatilsynet наложил штраф 20 млн NOK (~1,8 млн €), подтвердив недействительность согласия и факт использования данных для рекламных целей. Это подтверждает, что компания нарушила как GDPR, так и Директиву о ePrivacy, и привела к крупнейшему штрафу в секторе ритейла за последние годы.