強制的な「同意」に対する 2021 年からの闘い：Elkjøp グループへの GDPR 苦情と大規模罰金の推移

背景：埋もれていたメールと見えた解決策の困難さ

• 2021 年夏、北欧全域で活動する Elkjøp グループ の会員として、マーケティング用メールに埋もれていました。
• メール配信を遮断しようと試みましたが、単純なフィルタリングではなく、クラブからの完全な離脱しか解決策は見つかりませんでした。
• その原因となる問題は、5 年もの長期を要してやっと解明されました。

GDPR と「同意」の法的根拠に基づく主張

2021 年 7 月 30 日、データ保護責任者宛に手紙を送付し、以下の法的根拠に基づき運営体制の違法性を指摘しました。

直接マーケティングへの絶対的な反対権（GDPR 第 21 条）

• すべての個人は、直接マーケティングに対し絶対的な反対権を有します。

電子メールによるマーケティングの許可条件（e プライバシー指令）

以下の条件のいずれかのみが許容されます。

• ユーザーの明確な同意がある場合。
• 既存の顧客関係があり、かつ：
  • データ収集時および各メッセージで離脱オプションを提示されている場合。

「自由な意思」に基づく同意の要件（GDPR 第 4 条・第 7 条）

• 同意は「自由な意思に基づいて与えられたもの」でなければなりません。
• 他条件に紐付ける、またはセットで要求することは禁止されています。
  • 強制された参加義務や特典付帯を伴うケースは、「自由でない同意」という教科書的な事例です。

企業の反論と対応：「加入必須」による権利の搾取

企業側は以下のような回答書を提出し、問題の本質に言及する姿勢を示しました。

• 企業の主張:
  • 「マーケティング・オファーを受信するためには、顧客クラブへの加盟が必須条件となります」という一点のみを強調しました。
• 本件の象徴性:
  • 本来無料で行使できる権利を、参加料のように捻出させられていた実態です。

追加措置：情報アクセス請求と監督機関への苦情申し立て

事態をエスカレートさせるため、以下の措置を講じました。

• GDPR 第 18 条: 処理制限請求の提出。
• GDPR 第 15 条: 情報アクセス請求（全般的な資料開示）。
  • 正当な利益衡量テスト、第三者提供先、下請けプロセッサ、国際転送、プロファイリング等の資料を要求。
• スウェーデン監督機関 IMY への苦情:
  • 参照番号：DI-2021-6660 が付与されました。

企業側の対応の遅れと不透明さ

• 当初は不明瞭なプライバシーポリシーへの誘導だけで済ませていました。
• ポリシーの変更後も、アクセス請求の期限を90 日間引き伸ばす「複雑性」と「限られた内部リソース」を理由とするような扱いが続きました。

---

スウェーデンでの苦情がノルウェーで罰金へと変貌するプロセス

このケースはスウェーデンからの苦情ですが、執行の権限が移管されました。その理由は以下の通りです。

管轄権の所在（ワンストップ・ショップ制度）

• 処理主体: ノルウェー本国に本社を置く Elkjøp Nordic AS が実質的な意思決定を担う親会社です。
• GDPR 第 56 条第 1 項: 主要な業務拠点を所管する監督機関が権限を持ちます。
  • 主要拠点がノルウェーにあるため、スウェーデンの IMY は捜査および苦情をノルウェーの Datatilsynetへ移管しました。

長年の静寂と決着

• 移管後、長期間にわたり静寂が続きました。
• 2026 年 6 月 1 日: 最終的な決定が下されました。
  • Datatilsynet の決定内容: Elkjøp グループに対し、**ノルウェークローナ 2,000 万（約€180 万）**の罰金を科しました。
  • 違反の事実確認:
    1. 無効な同意: 「顧客クラブへの加盟」を根拠にした同意は強制的であり、自由ではありませんでした。また、会員への情報提供も不十分でした。
    2. 不適切なデータ再利用: クラブで収集したデータを広告・追跡用途に流用する際、適合性評価（第 6 条第 4 項）を一切行わずに進めていました。

罰金判決の法的根拠

以下の GDPR 各条款が論じられ、全体構成の合法性・公平性・透明性・説明責任が網羅されました。

• GDPR 第 4 条第 11 項: 同意の定義と要件。
• GDPR 第 5 条第 1 項 a) 号、同条第 2 項: データ保護原則（合法性・公平性・透明性）。
• GDPR 第 6 条第 1 項 a) 号、同条第 1 項 f) 号: 法的根拠としての同意と正当な利益。
• GDPR 第 6 条第 4 項: 追加処理のための適合性評価の必要性。

この判決が示す重要な教訓

単なる小売業の事件ではなく、デジタル経済全体に影響するモデルは以下の通りです。

• 「同意しないなら利用できない」（お支払いまたは一括同意）というモデルは現在、あらゆる場所でデフォルトとなっています。
• 違法性の核心:
  • もし「いいえ」と言えない場合、それは自由な同意ではありません。
• 5 年間と桁外れの罰金を費やした結果、この点は公表された決定文書として確立されました。

---

ウィキ上で初めて事情を知った：監督機関の怠慢

情報の非公開性

• この重大な決着は、IMY や Datatilsynet から直接告知されませんでした。
• 情報を得たのは、ボランティア運営の Wiki（GDPRhub）に偶然目撃した際です。
  • 苦情提出からほぼ5 年後。
  • 罰金決定がなされた後でした。

監督機関の義務違反

• GDPR 第 77 条第 2 項: 監督機関は、苦情申立人に対して内容・進捗・結果を通知する法的義務を負っています。
  • これは礼儀や裁量事項ではなく、法令による明文規定です。
• IMY は案件を転送し、数百万ユーロ規模の執行措置に発展させたにもかかわらず、個人への説明は行いませんでした。

今後の対応と警告

今朝、IMY に対し書面での自己说明を求め、5 営業日の猶予を提示しました。

• 予想される結果:
  • 監督機関が保護対象者（個人）の基本義務さえ守れない場合、欧州委員会による調査の対象となります。
  • Phorm 事件や英国の通信秘密違反事例など、類似の手続を経る可能性が高いです。

結論：プライバシーは個人的であり、法は側にあります

メインメッセージ

「プライバシーは個人的である」

• これは字通りの意味で意図しています。
• それは私のクラブ会員資格であり、受信トレイであり、データであり、そして苦情そのものです。
• 2021 年の時点で法は私の側にあり、今もなおそうしています。

企業の選択料

「辞めさせるか我慢するかの二者択一を迫った会社」に対し、この判決は以下のコストを支払うことを示しました。

• 罰金回避の機会損失
• 処理の適法性欠如
• ブランド毀損
• その結果としての訴訟リスク

未解決事項と展望

• 監督機関への説明請求: 現在未解決。IMY の怠慢に対する説明が必要です。
• 民事訴訟: Elkjøp グループに対する訴訟は、さらに多くの個人データの違法処理が明らかになるにつれ、極めて大規模なものへと発展する見込みです。

もし 2021 年に私の話を聞いていれば、以下の回避が可能でした。

• 罰金回避
• 処理の適法性確保
• ブランド毀損と訴訟の回避

データ保護責任者（DPO）への提言

データ保護責任者として苦情書を送信される方は、以下に留意してください。

• 私は一般の人ではなく、この分野の法律における専門家です。
• 対策が「不便だから」と止めることはなく、むしろ生涯を捧げて取り組んでいます。
• 防御的になり変革を拒絶するのではなく、私の無償のアドバイスを受け止め、適切に検討すべきです。