文章摘要
2021年，作者发现Elkjop客户俱乐部将取消营销邮件与会员资格捆绑，违反GDPR规定。五年后，该公司因强制用户以放弃会员身份为代价行使拒绝营销权，被罚款180万欧元。
文章总结
2021年夏天，我作为北欧Elkjop集团旗下Elgiganten客户俱乐部的会员，被大量营销邮件困扰。当我试图关闭这些邮件时，却发现唯一的方法是取消会员资格。7月30日，我致信该公司的数据保护官，明确指出这种做法违反法律：根据GDPR第21条第2款，每个人都有绝对权利反对直接营销；根据电子隐私指令，电子邮件营销只有在获得自由同意或提供简单退出选项时才合法。而我的同意被捆绑在会员资格中，无法自由撤回——这正是强迫同意的典型例子。
几天后，公司回复确认了违规行为，称“接收营销/优惠是会员资格的条件”。我将此事升级，提交了处理限制请求、全面访问请求，并向瑞典监管机构IMY投诉。公司以模糊的隐私政策回应，并以“复杂性”和“资源有限”为由拖延了90天。
由于客户俱乐部由挪威母公司Elkjop Nordic AS运营，IMY于2022年9月将案件移交挪威数据保护局Datatilsynet。2026年6月1日，Datatilsynet对Elkjop集团处以2000万挪威克朗（约180万欧元）罚款，认定其客户俱乐部的同意无效——是强迫的、不具体的，且会员未获充分告知。此外，公司未经GDPR第6条第4款要求的兼容性评估，就将收集的个人数据用于广告和转化追踪。
这一案例的意义远超单个零售商：强迫同意、捆绑同意、“全盘接受否则无法使用服务”的模式在数字经济中普遍存在，但都是非法的。如果你无法拒绝而不失去应得的东西，你就没有自由同意。
然而，我并非从监管机构得知这一决定，而是从志愿者运营的GDPRhub维基上偶然发现。根据GDPR第77条第2款，监管机构有法律义务告知投诉人案件进展和结果。我向IMY投诉，IMY移交案件，最终产生数百万欧元的执法行动，却没有一个机构通知我。我已致信IMY要求解释，若答复不理想，我将向欧盟委员会提起侵权诉讼。我此前曾因Phorm案和英国未能正确实施通信保密规则而推动过类似程序。
隐私是个人化的。这是我的会员资格、我的收件箱、我的数据和我的投诉。2021年法律站在我这边，现在依然如此。那个告诉我“要么退出，要么忍受”的公司已经为此付出了代价。唯一悬而未决的是监管机构的解释，以及针对Elkjop集团的民事诉讼——随着更多非法处理细节的曝光，诉讼范围将更加广泛。如果他们2021年听取了我的意见，本可避免罚款、品牌损害和后续诉讼。我并非外行，而是参与制定这项法律的专家。当我以DPO身份提出投诉时，那是在提供免费建议，应当认真对待，而非防御性地拒绝改变。
评论总结
根据评论内容，总结如下：
主要观点与论据：
对处罚结果的支持与赞赏（多数评论，如评论1、2、5、8、9、11）
- 评论1：赞赏对Elkjøp的罚款，但惊讶于未及时通知用户。
- 评论2：羡慕欧盟的隐私权，批评美国缺乏类似保护。
- 评论5：喜爱挪威的隐私与数据处理法律。
- 评论8：挪威数据保护局（Datatilsynet）始终以用户利益为先，但处理时间较长。
- 评论9：用户分享类似经历，强调“必须取消会员才能停止营销”的不合理，并赞扬有人抗争并成功罚款。
- 评论11：希望更多人像作者一样行使权利，但指出在美国这样做会处于劣势。
对法律执行效率的质疑（评论2、3、8）
- 评论2：正义虽好，但耗时5年太久。
- 评论3：质疑这5年间公司通过违规营销获利多少。
- 评论8：承认系统处理缓慢，但结果公正。
对GDPR合规负担的批评（评论13）
- 评论13：认为GDPR对小公司是噩梦，导致“cookie同意弹窗”等表面合规，实际削弱隐私。
对具体细节的讨论（评论4、6、12）
- 评论4：图片无法加载，但提示文本本身更佳。
- 评论6：贴纸有趣，表示喜欢。
- 评论12：质疑原文表述“接收营销是会员条件”是否翻译有误。
对用户行为的担忧（评论10）
- 评论10：若在欧盟经营，会因风险过大而禁止该用户使用服务。
平衡性总结：
多数评论支持处罚结果，赞赏欧盟/挪威的隐私保护法律，但指出执行缓慢、合规负担重等问题。少数评论质疑法律细节或用户行为。整体上，正面评价占主导，但批评声音集中在效率与合规成本上。