Naruszenie wynikało z błędnego założenia, że wszystkie działania marketingowe realizowane w ramach programu lojalnościowego stanowią jeden cel przetwarzania i mogą być objęte jedną ogólną zgodą. W efekcie zgoda nie była dobrowolna ani konkretna, a dodatkowo dane były dalej wykorzystywane w nowych celach bez odpowiedniej podstawy prawnej i oceny zgodności. Całość pogłębił brak rzetelnej analizy prawnie uzasadnionego interesu oraz niewydolne procesy organizacyjne, które uniemożliwiały prawidłową realizację praw osób, których dane dotyczą.

1. Funkcjonowanie klubu klienta jako głównego źródła danych: Sprawa dotyczyła przetwarzania danych osobowych w ramach programu lojalnościowego, którego celem było prowadzenie działań marketingowych oraz budowanie relacji z klientami. Dane były zbierane zarówno w kanałach online, jak i w sklepach stacjonarnych, a następnie wykorzystywane do komunikacji marketingowej oraz analiz.
2. Zastosowanie jednego modelu zgody dla wielu operacji przetwarzania: Podczas zapisu do programu klient udzielał jednej zgody obejmującej szereg działań, w tym wysyłkę newsletterów, komunikację SMS, profilowanie, analizę zachowań oraz personalizację ofert. Nie istniała możliwość wyboru poszczególnych aktywności, co prowadziło do sytuacji, w której zgoda nie była ani dobrowolna, ani wystarczająco konkretna.
3. Wprowadzenie narzędzia customer match i zmiana celu przetwarzania: Organizacja planowała wykorzystanie danych zgromadzonych w klubie klienta do dopasowywania odbiorców w zewnętrznych platformach reklamowych. Dane, takie jak adresy e‑mail lub numery telefonów, były wykorzystywane do identyfikacji użytkowników na platformach reklamowych i kierowania do nich spersonalizowanych reklam. Norweski organ nadzorczy uznał, że jest to nowy cel przetwarzania, który nie był objęty pierwotną zgodą.
4. Brak przeprowadzenia oceny zgodności celów przetwarzania: Administrator nie przeprowadził wymaganej oceny zgodności celu, uznając, że działania mieszczą się w tym samym celu marketingowym. Norweski organ nadzorczy wskazał, że takie podejście jest nieprawidłowe i prowadzi do naruszenia zasady ograniczenia celu.
5. Wykorzystanie narzędzi analitycznych typu offline conversions: Dane klientów były wykorzystywane do pomiaru skuteczności kampanii marketingowych poprzez łączenie informacji o interakcjach online z zakupami dokonywanymi w sklepach stacjonarnych. Organizacja opierała się na prawnie uzasadnionym interesie, jednak nie była w stanie wykazać, że przetwarzanie spełnia wymogi tej podstawy prawnej.
6. Niewystarczająca dokumentacja i ocena ryzyka: Analiza oparta na prawnie uzasadnionym interesie była niekompletna, gdyż nie uwzględniała wszystkich istotnych elementów, takich jak skala przetwarzania, zakres danych, możliwe skutki dla osób fizycznych czy realistyczna ocena ryzyka.
7. Nieprawidłowe zarządzanie wnioskami osób, których dane dotyczą: Norweski organ nadzorczy stwierdził, że w organizacji występowały opóźnienia w obsłudze wniosków, w tym dotyczących sprostowania danych. Wnioski były automatycznie klasyfikowane jako złożone, co skutkowało wydłużaniem terminów odpowiedzi i naruszeniem obowiązków wynikających z RODO.
8. Skala i charakter przetwarzania: Przetwarzanie obejmowało bardzo dużą liczbę klientów i było integralną częścią działalności biznesowej przedsiębiorstwa. Dodatkowo przetwarzanie mogło obejmować dane osób niepełnoletnich, co zwiększało poziom ryzyka.
9. Ocena organu nadzorczego: Norweski organ nadzorczy uznał, że administrator naruszył przepisy RODO w zakresie podstawy prawnej przetwarzania, przejrzystości, ograniczenia celu oraz realizacji praw osób fizycznych. Kluczowe znaczenie miało błędne założenie co do charakteru przetwarzania oraz brak odpowiednich mechanizmów prawnych i organizacyjnych. W rezultacie nałożono karę administracyjną w wysokości 20 000 000 NOK, czyli 1 820 000 EUR.

1. Weryfikacja struktury celów przetwarzania: Administratorzy powinni jasno rozdzielać poszczególne cele przetwarzania danych. Działania takie jak marketing bezpośredni, profilowanie, personalizacja oraz wykorzystanie danych w systemach reklamowych powinny być analizowane oddzielnie.
2. Stosowanie granularnej zgody: Zgoda powinna umożliwiać wybór poszczególnych operacji przetwarzania. Model „wszystko albo nic” nie spełnia wymogów dobrowolności i powinien zostać zastąpiony rozwiązaniem modularnym.
3. Ocena zgodności przy zmianie celu przetwarzania: Każde nowe wykorzystanie danych powinno być poprzedzone analizą. W przypadku istotnej zmiany celu konieczne może być pozyskanie nowej zgody.
4. Rzetelne stosowanie testu prawnie uzasadnionego interesu: Analiza powinna być kompleksowa i uwzględniać realne ryzyko dla osób fizycznych. Należy uwzględnić skalę przetwarzania, kategorię danych oraz rozsądne oczekiwania użytkowników.
5. Projektowanie komunikacji zgodnie z zasadą przejrzystości: Informacje przekazywane klientom powinny jasno i jednoznacznie opisywać rzeczywisty zakres przetwarzania, w tym profilowanie i analizę danych.
6. Wdrożenie skutecznych mechanizmów realizacji praw osób fizycznych: Procesy obsługi wniosków powinny być efektywne i oparte na realnych możliwościach operacyjnych, a nie tylko formalnie opisanych procedurach.
7. Zapewnienie zgodności systemów marketingowych: Systemy CRM, narzędzia marketing automation oraz integracje z platformami reklamowymi powinny być projektowane z uwzględnieniem zasad privacy by design i privacy by default.
8. Regularna weryfikacja zgodności i audyty: Organizacje powinny cyklicznie przeprowadzać audyty oraz aktualizować analizę ryzyka, szczególnie przy wdrażaniu nowych narzędzi marketingowych lub technologii analitycznych.