Norský úřad pro ochranu osobních údajů Datatilsynet uložil společnostem Elkjøp Nordic AS a Elkjøp Norge AS pokutu ve výši 20 milionů norských korun (1 820 000 EUR) za několik porušení GDPR souvisejících s provozováním zákaznického klubu, využíváním nástrojů cílené reklamy a vyřizováním žádostí subjektů údajů.
Rozhodnutí přináší důležitá vodítka pro maloobchodníky a další organizace provozující věrnostní nebo zákaznické programy. Ukazuje zejména rizika spojená se slučováním členských výhod, přímého marketingu, profilování a reklamní analytiky pod jediný souhlas.
Současně potvrzuje, že správce nemůže při používání reklamních technologií spoléhat na oprávněný zájem, aniž by skutečně posoudil a zdokumentoval dopady zpracování na práva a svobody fyzických osob.
Pozadí kontroly
Datatilsynet provedl v červnu 2022 kontrolu v sídle společnosti Elkjøp v Oslu. Kontrole předcházelo několik oznámení porušení zabezpečení osobních údajů, stížností a podnětů týkajících se fungování zákaznického klubu.
Elkjøp je významným severským prodejcem spotřební elektroniky, který provozuje více než 400 prodejen a působí pod několika obchodními značkami v Norsku, Švédsku, Dánsku, Finsku, na Islandu, Faerských ostrovech a v Grónsku.
Podle informací předložených v průběhu řízení měla skupina přibližně 11 milionů zákazníků, z nichž 6,7 milionu bylo členy zákaznického klubu.
Vzhledem k tomu, že Elkjøp používal ve svých severských společnostech společné postupy v oblasti ochrany osobních údajů a jeho hlavní provozovna se nacházela v Norsku, vystupoval Datatilsynet jako vedoucí dozorový úřad v rámci mechanismu spolupráce podle GDPR.
Datatilsynet identifikoval čtyři hlavní okruhy porušení:
neplatný souhlas se zpracováním osobních údajů v rámci zákaznického klubu;
neexistence platného právního základu pro párování zákaznických údajů s údaji reklamních platforem;
nedostatečné posouzení a zdokumentování měření offline konverzí;
nevyřizování žádostí subjektů údajů ve lhůtách stanovených GDPR.
Jeden souhlas se vztahoval na příliš mnoho účelů
Elkjøp se při zpracování osobních údajů členů zákaznického klubu opíral o souhlas subjektu údajů podle čl. 6 odst. 1 písm. a) GDPR.
Souhlas měl zahrnovat několik činností, mimo jiné zasílání newsletterů a SMS zpráv, profilování, personalizaci nabídek a analýzu zákaznického chování.
Datatilsynet dospěl k závěru, že takový souhlas nebyl dostatečně konkrétní ani svobodný.
Zasílání obecných marketingových sdělení, profilování za účelem personalizace reklamy a analytické zpracování zaměřené na zvyšování účinnosti marketingu představovaly podle Datatilsynet odlišné účely zpracování. Zákazníci však byli postaveni před jedinou volbu typu „vše, nebo nic“ a nemohli samostatně rozhodnout, se kterými jednotlivými způsoby zpracování souhlasí.
Datatilsynet odmítl argument společnosti Elkjøp, podle něhož všechny činnosti tvořily součást jednotné „výměny hodnot“. Zákazníci měli podle této argumentace získávat slevy a jiné výhody výměnou za používání svých osobních údajů.
Společnost si sice může určit, jaké obchodní výhody bude prostřednictvím zákaznického klubu poskytovat, tyto výhody však musí být nastaveny v souladu s GDPR.
Pokud správce zpracování zakládá na souhlasu, musí mít subjekt údajů skutečnou možnost volby. Zákazník nesmí být nucen souhlasit s profilováním, které není nezbytné pro fungování zákaznického klubu, pouze proto, aby mohl získat obecné slevy nebo se účastnit soutěží.
Souhlas nebyl dostatečně informovaný
Datatilsynet dále dospěl k závěru, že zákazníci před udělením souhlasu neobdrželi dostatečné informace.
Informace prezentované při registraci se soustředily zejména na slevy, výhodné nabídky a marketingové kampaně. Podrobnější vysvětlení zpracování se zákazníkům zobrazilo až po udělení souhlasu.
Takový postup však podle Datatilsynet nemohl zhojit nedostatečné informování zákazníka v okamžiku, kdy se rozhodoval, zda souhlas udělí.
Současně existovalo riziko, že rozsah informací poskytovaných zákazníkům závisel na jednotlivých zaměstnancích prodejen. Nebylo proto zajištěno, že všichni zákazníci před vstupem do klubu obdrží úplné a konzistentní informace.
Elkjøp proto nemohl dotčené zpracování založit na souhlasu podle čl. 6 odst. 1 písm. a) GDPR.
Zpracování osobních údajů dětí zvýšilo závažnost případu
V době kontroly byla minimální věková hranice pro vstup do zákaznického klubu stanovena na 15 let.
Elkjøp však věk členů nezaznamenával a neměl zaveden žádný mechanismus, kterým by ověřoval, zda zákazník požadované věkové hranice skutečně dosáhl.
Datatilsynet neuložil samostatnou sankci pouze za absenci ověřování věku. Skutečnost, že byly protiprávně zpracovávány také osobní údaje dětí, však považoval za přitěžující okolnost.
Datatilsynet poukázal na to, že zákaznický klub nabízel také produkty atraktivní pro mladší zákazníky, zejména herní zařízení a příslušenství. Děti přitom podle GDPR požívají zvláštní ochrany, zejména pokud jde o profilování a používání jejich osobních údajů pro marketingové účely.
Elkjøp následně zvýšil minimální věk pro členství v zákaznickém klubu na 18 let.
Párování zákaznických údajů představovalo nový účel zpracování
Elkjøp rovněž testoval nástroj pro párování zákazníků s uživateli reklamních platforem.
Takové nástroje umožňují porovnat e-mailové adresy nebo telefonní čísla zákazníků s identifikátory, které mají k dispozici provozovatelé reklamních platforem. Cílem společnosti bylo přesněji cílit reklamu na vybrané skupiny zákazníků, zvýšit účinnost reklamních kampaní a efektivněji využívat prostředky vynakládané na reklamu.
Společnost považovala párování zákazníků za novou zpracovatelskou činnost, kterou chtěla založit na oprávněném zájmu podle čl. 6 odst. 1 písm. f) GDPR.
Současně však tvrdila, že se nejedná o nový účel ve vztahu k původnímu shromáždění osobních údajů. Z tohoto důvodu neprovedla posouzení slučitelnosti účelů podle čl. 6 odst. 4 GDPR.
Datatilsynet s tímto názorem nesouhlasil.
Zákazník, který vstoupil do věrnostního programu proto, aby získával slevy a členské výhody, nemohl podle Datatilsynet rozumně očekávat, že jeho kontaktní údaje budou později porovnávány s identifikátory reklamních platforem za účelem optimalizace reklamních investic společnosti.
Takové zpracování proto představovalo nový účel. Elkjøp měl posoudit, zda je tento nový účel slučitelný s účelem, pro který byly údaje původně shromážděny.
Oprávněný zájem nebyl dostatečným právním základem
Datatilsynet současně odmítl, že by Elkjøp mohl v daném případě založit zpracování na oprávněném zájmu.
Zásada korektnosti vyžaduje, aby zpracování odpovídalo důvodným očekáváním subjektů údajů a nebylo pro ně překvapivé, nepředvídatelné nebo zavádějící.
Předávání identifikátorů provozovatelům reklamních platforem nebylo zahrnuto v původním souhlasu a nešlo ani o činnost, kterou by zákazníci mohli při vstupu do zákaznického klubu rozumně očekávat.
Datatilsynet proto konstatoval porušení čl. 6 odst. 1 a čl. 6 odst. 4 GDPR.
Rozhodnutí v této souvislosti obsahuje důležité vodítko pro další zpracování osobních údajů.
Správce nemůže zpracování neslučitelné s původním účelem dodatečně legitimizovat pouze tím, že pro něj označí jiný právní základ.
Pokud byly osobní údaje původně shromážděny na základě souhlasu, přechod na oprávněný zájem pro neočekávaný sekundární reklamní účel může narušit kontrolu subjektu údajů nad jeho osobními údaji, kterou měl souhlas zajišťovat.
Měření offline konverzí nebylo dostatečně posouzeno
Elkjøp používal také nástroje pro měření offline konverzí. Jejich účelem bylo zjistit, zda reklama zobrazená zákazníkovi na internetu vedla k následnému nákupu v kamenné prodejně.
Po nákupu v prodejně byly určité údaje zasílány společnostem Google a Facebook, aby bylo možné nákup propojit s kliknutím na reklamu zobrazenou prostřednictvím jejich platforem.
Elkjøp toto zpracování zakládal na oprávněném zájmu.
Společnost později přestala používat měření offline konverzí prostřednictvím společnosti Meta, a to kvůli nejasným podmínkám v příslušné smlouvě o zpracování osobních údajů. Datatilsynet však vycházel z toho, že obdobnou funkcionalitu společnost nadále používala ve vztahu ke společnosti Google.
Datatilsynet výslovně neuzavřel, že oprávněný zájem nelze pro měření offline konverzí použít za žádných okolností. Dospěl však k závěru, že posouzení provedené společností Elkjøp bylo příliš obecné a neprokazovalo zákonnost zpracování.
Posouzení se dostatečně nezabývalo zejména:
počtem dotčených osob;
kategoriemi zpracovávaných osobních údajů;
možným zpracováním osobních údajů dětí;
důvodnými očekáváními zákazníků;
možnými nepříznivými důsledky pro subjekty údajů;
dopady předávání údajů společnostem Google a Facebook.
Datatilsynet zdůraznil, že test proporcionality, respektive balanční test oprávněného zájmu, musí skutečně hodnotit zájmy, základní práva a svobody dotčených fyzických osob.
Nestačí pouze popsat obchodní zájem správce a vyjmenovat zavedená ochranná opatření. Pokud správce neidentifikuje možné dopady zpracování na subjekty údajů, nemůže provést skutečné poměřování protichůdných zájmů.
Elkjøp proto podle Datatilsynet neprokázal soulad se zásadou zákonnosti, korektnosti a transparentnosti a porušil zásadu odpovědnosti správce podle čl. 5 odst. 2 ve spojení s čl. 5 odst. 1 písm. a) GDPR.
Technické problémy neodůvodňují prodlení při vyřizování žádostí
Kontrola rovněž odhalila závažné nedostatky při vyřizování žádostí subjektů údajů.
K 1. červnu 2022 evidoval Elkjøp celkem 75 nevyřízených žádostí, u nichž již uplynula základní jednoměsíční lhůta stanovená GDPR. Některé žádosti zůstávaly nevyřízené již od února 2021.
Žádosti o opravu e-mailové adresy byly automaticky klasifikovány jako složité. V důsledku toho společnost automaticky prodlužovala lhůtu pro jejich vyřízení.
Datatilsynet však dospěl k závěru, že oprava e-mailové adresy obecně nepředstavuje složitou žádost.
Prodloužení lhůty o další dva měsíce podle čl. 12 odst. 3 GDPR je výjimkou. Lze je použít pouze s ohledem na složitost a počet žádostí a na základě konkrétního posouzení okolností daného případu.
Některé žádosti navíc nebyly vyřízeny ani v rámci prodloužené tříměsíční lhůty.
Správce musí své systémy přizpůsobit právům subjektů údajů
Elkjøp odkazoval na technické problémy, které mu bránily provádět změny v zákaznických profilech.
Datatilsynet tuto argumentaci odmítl.
Správce musí své informační systémy a interní procesy navrhnout a provozovat tak, aby subjekty údajů mohly účinně vykonávat svá práva podle GDPR.
Omezení interních systémů nemůže vést k pozastavení práva na opravu ani k prodloužení zákonných lhůt pro vyřízení žádostí.
V jednom z případů popsaných v rozhodnutí vedla nesprávná e-mailová adresa k tomu, že účtenky a platební informace byly zasílány jiné osobě.
Přestože zákazník opakovaně žádal o opravu již od dubna 2020, e-mailová adresa byla opravena až v listopadu téhož roku.
Datatilsynet považoval za přitěžující okolnost, že technický problém přetrvával ještě v době kontroly.
Proč byla pokuta stanovena na 20 milionů NOK?
Datatilsynet posoudil jednotlivá porušení ve svém souhrnu jako porušení střední závažnosti, i když při spodní hranici této kategorie.
Porušení se týkala základních požadavků GDPR, zejména:
zásady zákonnosti, korektnosti a transparentnosti;
zásady účelového omezení;
zásady odpovědnosti správce;
práva subjektů údajů na účinný výkon jejich práv.
Za přitěžující okolnosti Datatilsynet považoval zejména vysoký počet dotčených osob, zpracování osobních údajů dětí, délku trvání porušení a obchodní význam zákaznického klubu.
Zpracování v rámci zákaznického klubu bylo úzce spojeno s hlavními marketingovými aktivitami společnosti. Nešlo tedy pouze o okrajovou nebo administrativní činnost.
Datatilsynet považoval jednání za úmyslné
Datatilsynet rovněž dospěl k závěru, že porušení byla úmyslná ve smyslu čl. 83 odst. 2 písm. b) GDPR.
To neznamená, že by Elkjøp jednal s cílem porušit právní předpisy.
Úmysl se podle Datatilsynet vztahoval k vědomému nastavení souhlasu, používání reklamních nástrojů a přijetí konkrétních technických a obchodních řešení. Pro posouzení úmyslnosti není nezbytné, aby si správce byl zároveň vědom toho, že jeho jednání představuje porušení GDPR.
Rozhodující je, že si byl vědom samotného jednání a skutkových okolností, které následně vedly k porušení.
Pokutu snížila spolupráce i délka řízení
Výši pokuty významně ovlivnilo několik polehčujících okolností.
Elkjøp s Datatilsynet spolupracoval, zlepšil své interní postupy v oblasti ochrany osobních údajů, zavedl technické řešení pro vyřizování žádostí o opravu a po kontrole přijal další nápravná opatření.
Datatilsynet rovněž uznal, že správní řízení trvalo nepřiměřeně dlouho, částečně i kvůli prodlevám na straně samotného Datatilsynet.
Při výpočtu pokuty Datatilsynet zohlednil celosvětový obrat mateřské skupiny Currys plc. Na základě obratu ve výši 8,706 miliardy liber odpovídalo orientační výchozí rozpětí podle pokynů Evropského sboru pro ochranu osobních údajů přibližně částce od 434 milionů do 869 milionů NOK.
Datatilsynet však výslednou částku snížil na 20 milionů NOK. Zohlednil především délku řízení, následná opatření přijatá společností a skutečnost, že nebylo prokázáno zpracování zvláštních kategorií osobních údajů.
Poučení pro zákaznické a věrnostní programy
Rozhodnutí potvrzuje, že vstup do zákaznického klubu nelze automaticky považovat za souhlas se všemi způsoby zpracování, které mohou mít souvislost s marketingem.
Správci by měli jasně rozlišovat mezi:
správou členství a poskytováním členských výhod;
zasíláním obecných marketingových sdělení;
analýzou zákaznického chování;
vytvářením zákaznických profilů;
personalizací reklamy;
předáváním identifikátorů reklamním platformám.
Pokud tyto činnosti sledují odlišné účely, mohou vyžadovat samostatné volby zákazníka a případně také odlišné právní základy zpracování.
Rozhodnutí rovněž ukazuje, že používání reklamních technologií nelze odůvodnit obecným nebo formálním posouzením oprávněného zájmu.
Správce musí znát rozsah zpracování, rozumět tomu, jaké údaje jsou předávány reklamním platformám, kolika osob se zpracování týká, zda může zahrnovat děti a jaké důsledky může mít párování údajů nebo měření konverzí pro dotčené osoby.
GDPR compliance navíc nelze oddělit od technického nastavení informačních systémů.
Pokud zákaznická databáze neumožňuje opravit nepřesné osobní údaje ve lhůtě stanovené GDPR, vystavuje se správce riziku sankce bez ohledu na to, zda příčina problému spočívá v právním, organizačním nebo technickém oddělení.
Rozhodnutí ve věci Elkjøp se proto netýká pouze formulace souhlasu. Týká se celkové architektury věrnostních programů, propojení s reklamními platformami a toho, zda interní procesy a technické systémy skutečně umožňují zákazníkům vykonávat kontrolu nad jejich osobními údaji.
