엘키옵 그룹, 강제 동의 및 GDPR 위반으로 180만 유로 벌금 부과

GDPR에 따라 강제 동의는 불법

노르웨이 데이터 보호 당국(Datatilsynet)은 "강제 동의"를 이용한 혐의로 엘키옵 그룹에 2,000만 노르웨이 크로네(약 180만 유로) 벌금을 부과했습니다. 이 회사는 마케팅 이메일 수신을 고객 클럽 회원 가입의 필수 조건으로 만들었으며, 이는 GDPR에 따라 동의가 유효하려면 자유롭게 제공되어야 한다는 핵심 원칙을 위반한 것입니다.

위반 내용: 서비스 조건으로서의 번들 동의

엘키옵의 고객 클럽은 회원이 마케팅 커뮤니케이션을 수락해야만 회원 자격 및 관련 혜택을 유지할 수 있도록 했습니다. 사용자가 마케팅 목적의 데이터 처리를 동의하지 않으면 정당하게 받을 권리가 있는 서비스를 잃게 되는 이 "번들 동의" 모델은 불법입니다.

GDPR 제4조(11)와 제7조에 따르면 동의는 자유롭게 제공된 경우에만 유효합니다. 엘키옵은 마케팅 이메일을 중단하기 위해 회원권을 포기하도록 강요함으로써, 법적 권리를 "입장료"로 전환시켜 동의의 유효성을 사실상 무효화했습니다.

법적 근거 및 규제 판단

Datatilsynet의 조사에서 엘키옵의 데이터 처리 관행에 여러 중대한 결함이 발견되었습니다:

• 무효 동의: 고객 클럽에 사용된 동의는 강제적이며 구체성이 없고, 회원에게 필요한 정보를 제공하지 않았습니다.
• 데이터의 무단 재사용: 회사는 클럽을 통해 수집한 개인 데이터를 광고 및 전환 추적에 사용했으며, 제6조(4)에서 요구하는 적합성 평가를 수행하지 않았습니다.
• 광범위한 규제 위반: 결정은 제4조(11), 제5조(1)(a), 제5조(2), 제6조(1)(a), 제6조(1)(f), 제6조(4) 등 여러 GDPR 조항 위반을 언급했으며, 처리의 합법성, 공정성, 투명성 및 책임성을 중점으로 다루었습니다.

"원스톱샵" 메커니즘의 실제 적용

이 사례는 국경을 초월한 GDPR 집행 흐름을 보여줍니다. 최초 고소는 스웨덴 감독 기관(IMY)에 제기되었습니다. 그러나 고객 클럽이 노르웨이 모회사인 엘키옵 노르딕 AS에 의해 관리되고 의사결정 권한을 가지고 있었기 때문에, 사건은 제56조(1)에서 정의된 "원스톱샵" 메커니즘에 따라 노르웨이 DPA(Datatilsynet)로 이관되었습니다.

감독 기관의 고소인 통보 실패

수백만 유로 규모의 벌금에도 불구하고, 2021년에 절차를 시작한 고소인은 스웨덴(IMY)이나 노르웨이(Datatilsynet) 어느 기관으로부터도 결과 통보를 받지 못했습니다. 이는 GDPR 제77조(2) 위반에 해당하며, 감독 기관은 고소인에게 진행 상황 및 결과를 알려야 할 법적 의무가 있습니다.

디지털 경제에 미치는 영향

이번 판결은 "지불 혹은 동의" 혹은 "모두 동의" 모델이 불법이라는 선례를 강화합니다. 사용자가 서비스를 잃지 않고는 데이터 처리를 거부할 수 없는 경우, 동의는 자유롭게 제공된 것이 아니므로 개인 데이터 처리를 위한 합법적 근거가 될 수 없습니다.

요약: 노르웨이 데이터 보호 당국(Datatilsynet)은 엘키옵 그룹에 2,000만 노르웨이 크로네(약 180만 유로) 벌금을 부과했으며, 이는 고객 클럽 회원 자격을 마케팅 이메일 수신에 조건화함으로써 '강제 동의'를 구현한 데 대한 처벌입니다.

제목: 엘키옵 그룹, 강제 동의 및 GDPR 위반으로 180만 유로 벌금 부과