Adresseinformasjon fylles inn ved ekspedering. Se
mottakerliste nedenfor.
Deres referanse Vår referanse Dato
22/00049-13 01.06.2026
Vedtak om overtredelsesgebyr - Kundeklubb og de registrertes rettigheter
1. Innledning ...............................................................................................................................3
2. Vedtak .....................................................................................................................................4
3. Sammendrag og avgrensinger .................................................................................................4
3.1 Sammendrag .....................................................................................................................4
3.1.1 Samtykket til kundeklubben var ikke gyldig .............................................................4
3.1.2 Bruk av kundematch mangler rettslig grunnlag .........................................................5
3.1.3 Bruk av offline-konverteringer var ikke tilstrekkelig vurdert eller dokumentert ......5
3.1.4 Rettighetsforespørsler håndteres ikke i samsvar med personvernforordningen ........5
3.2 Ileggelse av overtredelsesgebyr ........................................................................................6
3.3 Avgrensinger .....................................................................................................................6
4. Datatilsynets kompetanse, oppgaver og myndighet................................................................7
5. Datatilsynets vurdering av overtredelsene ..............................................................................8
5.1 Samtykke til behandling av personopplysninger i Elkjøps kundeklubb ...........................8
5.1 1 Nærmere om sakens faktiske forhold ........................................................................8
5.1.2 Rettslig utgangspunkt.................................................................................................9
5.1.3 Datatilsynets vurdering ............................................................................................10
5.1.4 Elkjøps kommentarer til forhåndsvarselet ...............................................................12
5.2 Kundematch ....................................................................................................................15
5.2.1 Nærmere om sakens faktiske forhold ......................................................................15
5.2.2 Rettslig utgangspunkt...............................................................................................16
Postadresse: Besøksadresse: Telefon: Org.nr.: Hjemmeside:
Postboks 458 Sentrum Trelastgata 3 +47 22 39 69 00 974 761 467 www.datatilsynet.no
0105 OSLO 0191 OSLO
5.2.3 Datatilsynets vurdering ............................................................................................17
5.2.4 Elkjøps kommentarer til forhåndsvarselet ...............................................................18
5.3 Offline-konverteringer ........................................................................................................20
5.3.1 Nærmere om sakens faktiske forhold ......................................................................20
5.3.2 Rettslig utgangspunkt...............................................................................................20
5.3.3 Datatilsynets vurdering ............................................................................................20
5.3.4 Elkjøps kommentarer til forhåndsvarselet ...............................................................21
5.4 Tidsfristen for behandling av anmodninger fra registrerte (rettighetsforespørsler)............22
5.4.1 Nærmere om sakens faktiske forhold ......................................................................22
5.4.2 Rettslig utgangspunkt...............................................................................................23
5.4.3 Datatilsynets vurdering ............................................................................................23
5.4.4 Elkjøps kommentarer til forhåndsvarselet ...............................................................24
6. Ileggelse av et overtredelsesgebyr ........................................................................................25
6.1 Innledning .......................................................................................................................25
6.2 Vurdering av om det skal ilegges et overtredelsesgebyr ................................................27
6.2.1 Oversikt ....................................................................................................................27
6.2.2 Overtredelsenes karakter, alvorlighetsgrad og varighet...........................................28
6.2.3 Skyldkravet (hvorvidt overtredelsen ble begått forsettlig eller uaktsomt)...............29
6.2.4 Samarbeid med tilsynsmyndigheten og lang saksbehandlingstid ............................31
6.2.5 Elkjøps kommentarer til forhåndsvarselet ...............................................................32
6.3 Konklusjon om hvorvidt det skal ilegges et overtredelsesgebyr ....................................33
6.4 Utmåling av overtredelsesgebyret...................................................................................33
7. Klageadgang .........................................................................................................................35
8. Offentlighet ...........................................................................................................................35
2
1. Innledning
Datatilsynet gjennomførte 20. og 22. juni 2022 et stedlig tilsyn med hjemmel i
personvernforordningen artikkel 58 nr. 11 hos Elkjøp Nordic AS og Elkjøp Norge AS
(heretter «Elkjøp») i Elkjøps kontorlokaler i Nydalen i Oslo. Tilsynet gjaldt Elkjøps
behandling av kundeopplysninger.2 Bakgrunnen for tilsynet var flere meldinger om brudd på
personopplysningssikkerheten, klager og tips om kundeklubben.
En foreløpig tilsynsrapport (heretter «tilsynsrapporten»)3 ble oversendt til Elkjøp 1. juni 2023,
og Datatilsynet mottok Elkjøps kommentarer 22. juni 2023.4 Elkjøp har gitt ytterligere
informasjon om personverntiltakene som er iverksatt etter det stedlige tilsynet.5
Datatilsynet sendte varsel om vedtak til Elkjøp 30. oktober 2025 (heretter «varselet»). På
anmodning fra Elkjøp ble fristen for å gi kommentarer forlenget fra 10. desember 2025 til 1.
februar 2026. Elkjøp innga merknader til varselet 1. februar 2026.
Elkjøp bestrider ikke den faktiske framstillingen i varselet og tilsynsrapporten. Elkjøp
bestrider imidlertid Datatilsynets konklusjoner om at personvernforordningen er brutt, og
anfører at det ikke er grunnlag for å ilegge et overtredelsesgebyr.
I dette vedtaket tar vi hensyn til Elkjøps merknader. Etter vårt syn gir ikke Elkjøps merknader
grunn til å endre vår vurdering, noe vi vil redegjøre nærmere for i punktene nedenfor. Hver
enkelt anførsel blir ikke behandlet separat i vedtaket, men alle anførslene er blitt vurdert og
vektlagt i de endelige konklusjonene.
Flere av Elkjøps kommentarer gjelder endringer og tiltak som er iverksatt etter det stedlige
tilsynet. Datatilsynet understreker at det relevante tidspunktet for vurderingen av om Elkjøp
har brutt personvernforordningen, er tidspunktet for det stedlige tilsynet. Dette er nærmere
beskrevet i punkt 6.2.5 i vedtaket.
1 Europaparlaments- og rådsforordning (EU) 2016/679 av 27. april 2016 om vern av fysiske personer i
forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger samt om
oppheving av direktiv 95/46/EF (generell personvernforordning), EUT [2016] L 119/1.
2 Datatilsynet sendte varsel om tilsyn til Elkjøp 19. mai 2022, se dokument 22/00049-3. Datatilsynet informerte
Elkjøp om selskapets rettigheter etter forvaltningsloven §§ 14 og 15 i tilsynsvarselet. Elkjøp påklaget ikke
tilsynet eller noen av påleggene om å gi opplysninger under tilsynet.
3 Se dokument 22/00049-10.
4 Se dokument 22/00049-11.
5 Se dokument 22/00049-14.
3
2. Vedtak
Med hjemmel i personvernforordningen artikkel 58 nr. 2 bokstav i ilegges Elkjøp Nordic AS
og Elkjøp Norge AS et overtredelsesgebyr på 20 000 000 NOK for
1. å ha brutt personvernforordningen artikkel 6 nr. 1, jf. artikkel 4 nr. 11, ved å ikke
hente inn et informert, spesifikt og frivillig samtykke til behandling av
personopplysninger i sin kundeklubb (jf. punkt 5.1)
2. å ha brutt personvernforordningen artikkel 6 nr. 1, jf. artikkel 6 nr. 4, ved å
viderebehandle personopplysninger som tidligere er samlet inn i forbindelse med
kundeklubben, gjennom bruk av verktøyet kundematch, uten et gyldig rettslig
grunnlag og uten å vurdere forenligheten av formålene (jf. punkt 5.2)
3. å ha brutt personvernforordningen artikkel 5 nr. 2, jf. artikkel 5 nr. 1 bokstav a, ved å
ikke gjennomføre og dokumentere en forsvarlig vurdering av det rettslige grunnlaget
for, og dermed lovligheten av, behandlingen av personopplysninger i forbindelse med
bruken av verktøyet offline-konverteringer (jf. punkt 5.3)
4. å ha brutt personvernforordningen artikkel 12 nr. 3 ved å ikke håndtere anmodninger
om retting innen fristen på én måned i tilfeller der det ikke er grunnlag for å forlenge
fristen; ved automatisk å anse anmodninger om retting som komplekse og dermed
påberope seg en forlengelse av fristen på én måned; og ved å unnlate å behandle
anmodninger fra registrerte innen den forlengede fristen på tre måneder (jf. punkt 5.4)
Datatilsynet legger til grunn at Elkjøp retter eventuelle pågående overtredelser, herunder at
Elkjøp innhenter gyldig samtykke fra sine kundeklubbmedlemmer.
3. Sammendrag og avgrensinger
3.1 Sammendrag
3.1.1 Samtykket til kundeklubben var ikke gyldig
Elkjøp baserer behandling av personopplysninger i kundeklubben sin på samtykke.
Datatilsynet mener det samtykket Elkjøp samlet inn var ugyldig av følgende grunner:
• Samtykket var ikke spesifikt, ettersom behandlingsaktivitetene var knyttet til
forskjellige formål og formål som ikke var tilstrekkelig definert.
• Samtykket ble ikke gitt frivillig, ettersom det ikke var mulig å gi separat samtykke til
de forskjellige behandlingsaktivitetene.
4
• Samtykket var ikke informert, ettersom Elkjøp ikke ga kundene tilstrekkelig
informasjon om den planlagte behandlingen da samtykket ble innhentet, herunder
informasjon som gjorde det mulig for dem å forutse konsekvensene av å gi samtykke.
Datatilsynet konkluderer derfor med at det innhentede samtykket ikke var gyldig etter
personvernforordningen.
Behandlingen er derfor utført uten gyldig rettslig grunnlag i henhold til
personvernforordningen artikkel 6 nr. 1 bokstav a, jf. artikkel 4 nr. 11. Det trekker i
skjerpende retning at noen av de registrerte var barn. (Punkt 5.1)
3.1.2 Bruk av kundematch mangler rettslig grunnlag
Elkjøp forklarte at personopplysninger som opprinnelig ble samlet inn i kundeklubben på
grunnlag av samtykke, ville bli behandlet i kundematchverktøyet. Datatilsynet mener at dette
er behandling for et annet formål enn det personopplysningene opprinnelig ble samlet inn for,
og dermed krever en forenlighetsvurdering, jf. personvernforordningen artikkel 6 nr. 4.
Ettersom Elkjøp ikke hadde gjennomført en slik vurdering, konkluderer Datatilsynet med at
personvernforordningen artikkel 6 nr. 4 er brutt. (Punkt 5.2)
Ifølge Elkjøp er personvernforordningen artikkel 6 nr. 1 bokstav f behandlingsgrunnlaget for
kundematchverktøyet. Rettferdighetsprinsippet krever at personopplysninger ikke behandles
på en måte som er uventet eller villedende for den registrerte. Etter Datatilsynets oppfatning
var det ikke innenfor de registrertes rimelige forventninger at personopplysninger som var
samlet inn på grunnlag av samtykke, senere ville bli behandlet for et annet formål som ikke
var omfattet av samtykket. Datatilsynet konkluderer derfor med at personvernforordningen
artikkel 6 nr. 1 bokstav f ikke var gyldig behandlingsgrunnlag for behandling av
personopplysninger i kundematchverktøyet. (Punkt 5.2)
3.1.3 Bruk av offline-konverteringer var ikke tilstrekkelig vurdert eller dokumentert
Elkjøp brukte offline-konverteringsverktøyet til å måle effekten av digital markedsføring på
salg i butikk basert på personvernforordningen artikkel 6 nr. 1 bokstav f. Den
behandlingsansvarlige må kunne påvise at behandlingen av personopplysninger er lovlig etter
artikkel 5 nr. 2, jf. artikkel 5 nr. 1 bokstav a. Etter Datatilsynets oppfatning var Elkjøps
vurdering av artikkel 6 nr. 1 bokstav f utilstrekkelig. Datatilsynet konkluderer derfor med at
Elkjøp ikke kunne påvise at behandlingen var lovlig. Dette er et brudd på artikkel 5 nr. 2, jf.
artikkel 5 nr. 1 bokstav a. (Punkt 5.3)
3.1.4 Rettighetsforespørsler håndteres ikke i samsvar med personvernforordningen
Etter personvernforordningen artikkel 12 nr. 3 skal den behandlingsansvarlige informere den
registrerte om tiltak som er truffet forbindelse med en anmodning fra en registrert innen én
måned etter mottak. Denne fristen kan ved behov forlenges med ytterligere to måneder, idet
det tas hensyn til antallet anmodninger og anmodningenes kompleksitet.
5
I Elkjøps tilfelle ble forespørsler om retting av registrertes e-postadresser automatisk
kategorisert som komplekse, noe som førte til en automatisk forlengelse av fristen.
Datatilsynet mener at det ikke kan legges til grunn at slike anmodninger alltid er komplekse
og derfor tillater forlengelse av fristen. Det er kun tillatt med fristforlengelse etter en konkret
vurdering i hvert enkelt tilfelle. Elkjøp erkjente dessuten at de ikke svarte på enkelte
forespørsler fra registrerte selv innen den forlengede fristen. Dette er et brudd på
personvernforordningen artikkel 12 nr. 3. (Punkt 5.4)
3.2 Ileggelse av overtredelsesgebyr
Datatilsynet mener overtredelsene gir grunnlag for et overtredelsesgebyr etter
personvernforordningen artikkel 83 nr. 1, se vår vurdering i punkt 6. I vurderingen av om vi
skulle ilegge overtredelsesgebyr, la vi særlig vekt på at overtredelsene gjelder sentrale
bestemmelser og prinsipper i personvernforordningen og at mange registrerte er berørt av
overtredelsene, deriblant barn.
Datatilsynet mener at overtredelsene er middels alvorlige, men i nedre del av skalaen. Videre
har vi funnet flere formildende omstendigheter, blant annet en positiv utvikling hos Elkjøp de
siste årene, både i tiden før og etter det stedlige tilsynet. Vi har tatt hensyn til denne
utviklingen i vår vurdering. Gebyret er også blitt redusert på grunn av den lange
saksbehandlingstiden. (Punkt 6)
3.3 Avgrensinger
Dette vedtaket er basert på de faktiske forholdene som ble avdekket gjennom det stedlige
tilsynet, herunder intervjuer med ansatte i Elkjøp og dokumentasjon som Elkjøp fremla i
forkant av det stedlige tilsynet. De faktiske omstendighetene er nærmere beskrevet i
tilsynsrapporten.6
Datatilsynet undersøkte flere forhold under det stedlige tilsynet. Datatilsynet undersøkte
særlig: i) felles behandlingsansvar og deling av personopplysninger innad i konsernet, ii)
personopplysningssikkerheten i forbindelse med håndtering av produkter som inneholder
personopplysninger ved service og aftersales (kundestøtte), iii) lovligheten av behandlingen
av kundeopplysninger i forbindelse med kundeklubben og for markedsføringsformål og iv)
Elkjøps organisatoriske tiltak og dokumenterte retningslinjer for å sikre rettidig og rettmessig
utøvelse av de registrertes rettigheter.7
Dette vedtaket er begrenset til lovligheten av behandlingen av kundeopplysninger i
forbindelse med kundeklubben og de organisatoriske tiltakene og retningslinjene for å sikre
rettidig og rettmessig utøvelse av de registrertes rettigheter. Disse problemstillingene
behandler vi i punkt 5.
6 Se dokument 22/00049-12.
7 Se dokument 22/00049-7 «Tilsyn 20. og 22. juni 2022, Elkjøp Nordic AS og Elkjøp Norge AS – Agenda for
feltarbeidet» sendt til Elkjøp 13. juni 2022.
6
Under det stedlige tilsynet avdekket Datatilsynet også mangler knyttet til felles
behandlingsansvar, personopplysningssikkerheten i forbindelse med håndtering av produkter
som inneholder personopplysninger ved service og aftersales (kundestøtte), herunder
avvikshåndtering og kundenes rett til innsyn i egne personopplysninger. Datatilsynet mener at
disse manglene ikke gir grunnlag for en formell sanksjon i form av overtredelsesgebyr i det
foreliggende tilsynet og vedtaket her. Beslutningen om ikke å følge opp disse aspektene i
dette vedtaket skyldes også den lange saksbehandlingstiden i denne saken. Dette utelukker
ikke muligheten for å undersøke Elkjøps etterlevelse av disse aspektene i fremtiden.
4. Datatilsynets kompetanse, oppgaver og myndighet
Elkjøp er Nordens ledende forhandler innen forbrukerelektronikk og leverer produktene sine
direkte til kundene både på nett og gjennom mer enn 400 fysiske butikker. Elkjøp består av en
gruppe selskaper som driver virksomhet under merkevarene Elkjøp og Elkjøp Phonehouse i
Norge, Elgiganten og Elgiganten Phonehouse i Sverige, Elgiganten i Danmark, Gigantti i
Finland, Elko på Island, Elding på Færøyene og Pisiffik på Grønland.8 Elkjøp Nordic AS er
morselskapet i konsernet, og det er også her konsernledelsen og det overordnede ansvaret for
etterlevelse ligger. Blant de Elkjøp-butikkene som opererer under de forskjellige merkevarene
i de nordiske landene, finnes det både heleide butikker og franchisetakere. Elkjøp Nordic har
heleide butikker og franchisebutikker etablert i Norge, Sverige og Finland, heleide butikker i
Danmark og franchisevirksomhet på Grønland, Island og Færøyene.9
Elkjøp-selskapene behandler personopplysninger i forbindelse med aktivitetene til
virksomhetene sine i EØS. Personvernforordningen gjelder derfor for all behandling av
personopplysninger i konsernet, jf. personvernforordningen artikkel 3 nr. 1. Elkjøp har sin
hovedvirksomhet i Norge, jf. personvernforordningen artikkel 4 nr. 16.
Dokumentasjonen i saken viser at Elkjøp har de samme interne rutinene og retningslinjene for
personvern og behandling av personopplysninger i alle landene der Elkjøp-selskapene
opererer. Vi anser derfor behandlingen av personopplysninger i denne saken for å være
grenseoverskridende behandling etter personvernforordningen artikkel 4 nr. 23 bokstav a.
Ettersom denne saken er grenseoverskridende og Elkjøp har sin hovedvirksomhet i Norge,
kommer samarbeidsmekanismen og prosedyrene fastsatt i personvernforordningen artikkel 56
nr. 1 og 60 til anvendelse. Datatilsynet er kompetent til å opptre som ledende
tilsynsmyndighet i saken i henhold til artikkel 56 nr. 1. Datatilsynet skal samarbeide med
andre berørte tilsynsmyndigheter, jf. personvernforordningen artikkel 60. Dette innebærer
utveksling av relevant informasjon om saken og at vi oversender et utkast til vedtak til de
andre berørte tilsynsmyndighetene, slik at de kan komme med innspill eller innsigelser. Det er
tatt behørig hensyn til deres synspunkter ved avgjørelse av denne saken.
8 Se https://www.elkjopnordic.com/what-we-do - about-elkjop, sist besøkt 27. mai 2026.
9 Se https://elkjopnordic.com/about-us, sist besøkt 27. mai 2026.
7
5. Datatilsynets vurdering av overtredelsene
5.1 Samtykke til behandling av personopplysninger i Elkjøps kundeklubb
5.1 1 Nærmere om sakens faktiske forhold
Elkjøps rettslige grunnlag for behandling av personopplysninger i kundeklubben er samtykke.
Under det stedlige tilsynet opplyste Elkjøp at formålet med kundeklubben er å markedsføre
produkter og tjenester.10
På tidspunktet for det stedlige tilsynet hadde Elkjøp en landingsside for kundeklubben på sitt
nettsted, der det ble gitt en oversikt over fordelene ved å bli medlem. På nettstedet ble
kundeklubben markedsført med at den tilbyr alle medlemmene generelle rabatter på de
spesifikke produktene og tjenestene som er oppført.11
Elkjøp informerte om at samtykket til medlemskap i Elkjøps kundeklubb omfatter behandling
av personopplysninger i forbindelse med utsendelse av nyhetsbrev, utsendelse av
tekstmeldinger, profilering, personalisering og analyse.12 Under det stedlige tilsynet forklarte
Elkjøps etterlevelsesteam at disse aktivitetene utføres for samme formål og er basert på
samme behandlingsgrunnlag.13
Etter det stedlige tilsynet forklarte Elkjøp at når kundene blir spurt av en servicemedarbeider i
en Elkjøp-butikk om de ønsker å bli medlem av kundeklubben, skal den ansatte informere
kunden om vilkårene for å være medlem i kundeklubben:
«Vil du bli medlem i vår Kundeklubb?
• Kontakte deg elektronisk (f.eks. via sms og e-post), via telefon og post med personlige
tilbud og annen relevant informasjon.
• Samle inn og analysere informasjon om deg og ditt kundeforhold.
• Skape en kundeprofil, for å gi mer relevant informasjon og bedre service.
• Du må være minimum 15 år og kan når som helst melde deg ut av kundeklubben.»14
Etter å ha samtykket ved å klikke på en lenke i en SMS blir kunden henvist til en nettside som
inneholder informasjon om fordelene ved å være medlem av kundeklubben, inkludert rabatter
og eksklusive tilbud.15
10 Se den endelige tilsynsrapporten punkt 3.3.1.2.
11 Se https://web.archive.org/web/20220613175535/https:/www.elkjop.no/kundeklubb/kundeklubb/, sist besøkt
24. mars 2026.
12 Se dokument 22/00049-4 «e) CRM – svar til Datatilsynet» s. 2.
13 Se den endelige tilsynsrapporten punkt 3.3.1.2.
14 Se Elkjøps kommentarer til den foreløpige tilsynsrapporten, 22.06.2023, s. 25–26. Se også den endelige
tilsynsrapporten punkt 3.3.1.2.
15 Se den endelige tilsynsrapporten punkt 3.3.1.2 og dokument 22/00049-9 «RPReplay_Final1629892124»
(video som viser den SMS-en som sendes til kundene når de godtar å bli medlem av kundeklubben).
8
Datatilsynet har mottatt flere klager og tips om registrerte som har blitt medlem av
kundeklubben uten å ha samtykket og henvendelser om samtykkets gyldighet.16
5.1.2 Rettslig utgangspunkt
Behandling av personopplysninger må ha et rettslig grunnlag i artikkel 6 nr. 1 for å være
lovlig. Dersom behandlingen er basert på samtykke etter artikkel 6 nr. 1 bokstav a, skal den
behandlingsansvarlige kunne påvise at den registrerte har samtykket til behandling av
personopplysninger om vedkommende. Den registrerte skal ha rett til å trekke tilbake sitt
samtykke til enhver tid, jf. personvernforordningen artikkel 7. Samtykket bør gis i form av en
tydelig bekreftelse der den registrerte «på en frivillig, spesifikk, informert og utvetydig måte
gir sitt samtykke til behandling av vedkommendes personopplysninger», jf.
personvernforordningen artikkel 4 nr. 11 og fortalepunkt 32. Disse vilkårene er kumulative.17
Samtykket skal være informert. Det betyr at når samtykke brukes som behandlingsgrunnlag,
må de registrerte få informasjon om hva de samtykker til, herunder hvilke personopplysninger
som vil bli behandlet og hva formålet med behandlingen er. Formålet skal være uttrykkelig
angitt. Det må derfor formidles tydelig, og et implisitt formål vil ikke være tilstrekkelig. Den
registrerte skal kunne forutse konsekvensene av å gi samtykke basert på den informasjonen
den behandlingsansvarlige gir.18
Samtykket må være knyttet til ett eller flere spesifikke formål med behandlingen, jf. artikkel 6
nr. 1 bokstav a. At formålet med behandlingen må være spesifikt innebærer at formålet må
være tilstrekkelig konkret til at det er mulig å vurdere om det er nødvendig å behandle de
aktuelle personopplysningene og om behandlingen er i samsvar med
personvernforordningen.19 Det europeiske personvernrådet (Personvernrådet, EDPB) sin
veiledning om samtykke henviser til artikkel 29-arbeidsgruppens uttalelse 3/2013 om
formålsbegrensing.20 Der uttalte Personvernrådets forgjenger at for at et formål skal være
spesifikt, «it must be detailed enough to determine what kind of processing is and is not
included within the specified purpose, and to allow that compliance with the law can be
assessed and data protection safeguards applied». Videre heter det at «a purpose that is vague
or general, such as for instance … ‘marketing purposes’ … will – without more detail –
usually not meet the criteria of being ‘specific’. That said, the degree of detail in which a
purpose should be specified depends on the particular context in which the data are collected
and the personal data involved.» 21
16 Se Datatilsynets saker 20/02200, 21/02368, 23/00258, 22/04698, 20-653/ 20-576 og 21-1292 / 21-1308.
17 Se C-61/19 Orange Romania fotnote 17.
18 Se C-61/19 Orange Romania avs. 40 og C-673/17 Planet49 avs. 74. Se også generaladvokatens forslag til
avgjørelse i C-61/19 Orange Romania avs. 46–47.
19 Se Skullerud et al. «Personvernforordningen. Lovkommentar», under «Kapittel II. Prinsipper (§§ 5–11)» og
«Artikkel 5. Prinsipper for behandling av personopplysninger», sist besøkt 24. mars 2026 på juridika.no. Se også
artikkel 29-arbeidsgruppens uttalelse 03/2013 om formålsbegrensning s. 15.
20 Se Personvernrådets Guidelines 05/2020 on consent under Regulation 2016/679 fotnote 28 s. 13 og fotnote 30
s. 14. Artikkel 29-arbeidsgruppen ble opprettet ved direktiv 95/46/EF. Den ble erstattet av Det europeiske
personvernrådet da personvernforordningen trådte i kraft.
21 Se artikkel 29-arbeidsgruppens uttalelse 03/2013 om formålsbegrensning s. 15–16.
9
Samtykke «antas å ikke være gitt frivillig dersom det ikke er mulig å gi separat samtykke for
forskjellige behandlingsaktiviteter, selv om det er hensiktsmessig i det enkelte tilfellet», jf.
personvernforordningens fortalepunkt 43. Personvernrådet har uttalt at en tjeneste kan omfatte
flere behandlingsaktiviteter for mer enn ett formål. I slike tilfeller bør de registrerte stå fritt til
å velge hvilket formål de godtar, i stedet for å måtte samtykke til et knippe sammenslåtte
behandlingsformål (såkalt «bundling»).22 En slik granularitet er nødvendig for at samtykket
skal kunne anses som frivillig.
5.1.3 Datatilsynets vurdering
Datatilsynet mener at samtykket som Elkjøp innhentet for behandlingsaktivitetene i
kundeklubben, ikke var spesifikt, frivillig og informert, og dermed ikke i tråd med
personvernforordningen.
Ifølge Elkjøp omfatter samtykket til medlemskap i Elkjøps kundeklubb behandling av
personopplysninger i forbindelse med utsendelse av nyhetsbrev, utsendelse av tekstmeldinger,
profilering, personalisering og analyse. Elkjøp har forklart at disse aktivitetene utføres for
samme formål.23 Under det stedlige tilsynet opplyste Elkjøp at formålet med kundeklubben er
å markedsføre produkter og tjenester. Elkjøp forklarte at for å kunne drive god markedsføring
og gi kundene den informasjonen de ønsker, er det viktig å kunne utføre analyse, segmentere
kundene og tilpasse informasjonen til den enkelte.24 Datatilsynet tolker denne praksisen fra
Elkjøp som personalisert markedsføring. Dette er noe annet enn bare å tilby generelle rabatter
for å skape kundelojalitet.
Det overordnede formålet med behandlingsaktivitetene kan være å drive markedsføring
overfor medlemmene av kundeklubben. Datatilsynet mener imidlertid at samtykket ikke var
spesifikt. Som nevnt ovenfor er markedsføringsformål i seg selv ikke tilstrekkelig spesifikt, og
i dette tilfellet er behandlingsaktivitetene knyttet til forskjellige formål. Å sende ut generell
markedsføringskommunikasjon, å profilere for å legge til rette for personalisert markedsføring
og utføre analyse for å forbedre markedsføringsaktivitetene er separate formål.
Ifølge Elkjøp er det ikke snakk om såkalt «bundling» av formål ettersom det ikke skjer ulike
behandlingsaktiviteter for ulike formål.25 Elkjøps etterlevelsesteam beskrev samtykket som
«alt eller ingenting». Teamet forklarte at den samtykkeløsningen som Elkjøp brukte, ble
drøftet internt i Elkjøp i februar 2022. Elkjøp identifiserte noen risikoer med å beholde
løsningen. En av disse risikoene var at datatilsynsmyndighetene ville konkludere at samtykket
ikke var gyldig og pålegge Elkjøp å slette kundeklubbmedlemmer eller innhente et nytt
samtykke. Det ble bestemt at samtykket skulle beholdes som det var, men at det burde være
mulig å reservere seg mot de forskjellige markedsføringsaktivitetene etter at man var blitt
medlem av kundeklubben.26
22 Se Personvernrådets Guidelines 05/2020 on consent under Regulation 2016/679 avs. 42–44.
23 Se dokument 22/00049-4 «e) CRM - svar til Datatilsynet» s. 2. Se også den endelige tilsynsrapporten punkt
3.3.1.2.
24 Se den endelige tilsynsrapporten punkt 3.3.1.2.
25 Ibid.
26 Se dokument 22/00049-9 «Svar på spørsmål etter dag 1», lysbilde 5.
10
Elkjøp beskrev medlemskapet i kundeklubben som en «pakke», og forklarte at det ikke er
mulig å være medlem av kundeklubben med mindre man også aksepterer personalisering,
analyse, nyhetsbrev m.m. Elkjøps etterlevelsesteam forklarte at de mener det er greit at
kundene må motta relevant markedsføring når de aksepterer medlemskap i kundeklubben,
ettersom det er en byttehandel; kundene får noe i bytte mot at Elkjøp kan sende dem
markedsføring. 27
Datatilsynet mener at samtykket Elkjøp beskriver, er et tilfelle av såkalt «bundling», ettersom
det ville være hensiktsmessig å innhente separat samtykke i hvert fall for noen av de
beskrevne formålene. Derfor antas et slikt samtykke ikke å være gitt frivillig, jf.
personvernforordningens fortalepunkt 43.28 Det er for eksempel mulig å sende ut et
nyhetsbrev med generelle tilbud uten også å utføre profilering for personlig tilpasning – den
første behandlingsaktiviteten (generell markedsføring gjennom nyhetsbrev) kan gjøres uten
den andre (profilering).
Vår vurdering av at samtykket er «bundled» understøttes av Elkjøps egen omtale av
samtykket som «alt eller ingenting» og som en «pakke», noe som i seg selv antyder at
samtykket «bundled». Elkjøp har ikke gitt kundene mulighet til å gi samtykke til de separate
behandlingsaktivitetene i kundeklubben.
Kundene kunne ha fått et valg om å akseptere ulike markedsføringsaktiviteter. Elkjøp viste
også til at det ble bestemt at kundene skulle få mulighet til å reservere seg mot ulike
markedsføringsaktiviteter etter å ha meldt seg inn i kundeklubben. Etter Datatilsynets
oppfatning burde kundene ha fått dette valget på det tidspunktet de ble bedt om å gi sitt
samtykke til kundeklubben.
I informasjonen til kundene legges det vekt på kundenes mulighet til å motta tilbud og
rabatter. Elkjøp fortalte for eksempel at når kunder blir spurt om de ønsker å bli medlem av
kundeklubben, blir de spurt om de ønsker å motta tilbud.29 Dette er også fokus i
markedsføringsmaterialet på Elkjøps nettsted, som nevnt ovenfor.
Etter det stedlige tilsynet forklarte Elkjøp at når kundene blir spurt av en servicemedarbeider i
en Elkjøp-butikk om de ønsker å bli medlem av kundeklubben, informerer
servicemedarbeideren kundene om vilkårene for å bli medlem av kundeklubben.30 Kunden
samtykker deretter ved å klikke på en lenke i en SMS. Når kundene klikker på lenken, blir de
sendt til et nettsted som bekrefter at de er medlemmer og at samtykke er gitt. Dette nettstedet
27 Se den endelige tilsynsrapporten punkt 3.3.1.2.
28 Se også generaladvokatens uttalelse i sak C-673/17 Planet49 avs. 74–75.
29 Se tilsynsrapporten punkt 3.3.1.2. Se også personvernerklæringen på Elkjøps nettsted
https://www.elkjop.no/kundeservice/gdpr-personvernerklaring, sist besøkt 27. mai 2026.
30 Se Elkjøps kommentarer til den foreløpige tilsynsrapporten, 22.06.2023, s. 25–26. Se også den endelige
tilsynsrapporten punkt 3.3.1.2.
11
inneholder informasjon om fordelene ved medlemskap i kundeklubben, herunder rabatter og
eksklusive tilbud, og en overordnet beskrivelse av hva kunden nå har samtykket til.31
Etter Datatilsynets oppfatning har Elkjøp ikke gitt kundene tilstrekkelig informasjon om hva
de samtykker til når samtykke innhentes på denne måten, herunder informasjon som gjør at
kundene kan forutse konsekvensene av å gi samtykke. Etter vårt syn kan samtykket ikke anses
som informert, ettersom informasjonen til kundene først og fremst handlet om rabatter og
fordeler. Det ble derimot ikke tydelig formidlet på forhånd at dette skulle tilbys gjennom
personalisert markedsføring, herunder profilering og analyse, og konsekvensene av dette. I
hvilken grad kundene faktisk fikk informasjon, var dessuten i stor grad avhengig av den
enkelte butikkansatte. Dette skapte en betydelig risiko for at den informasjonen som ble gitt
var vilkårlig og enda mindre tilstrekkelig i praksis. Dette er en risiko som kunne vært unngått
ved at informasjonen ble gitt skriftlig på forhånd og denne risikoen må Elkjøp bære.
Konklusjonen er at samtykket for å bli medlem av Elkjøps kundeklubb, ikke var gyldig etter
artikkel 6 nr. 1 bokstav a, jf. artikkel 4 nr. 11, ettersom det ikke var spesifikt, frivillig og
informert. Behandlingen manglet derfor et gyldig behandlingsgrunnlag.
Alvorligheten av bruddet skjerpes av at også barns personopplysninger har blitt ulovlig
behandlet i kundeklubben. Under det stedlige tilsynet forklarte Elkjøp at de ikke registrerer
kundenes alder eller lagrer informasjon om alder. Aldersgrensen for medlemskap i
kundeklubben var 15 år,32 men Elkjøp manglet mekanismer for å sikre at kunden faktisk var
over denne alderen.33
Slik vi forstår det, var ikke Elkjøps kundeklubb spesielt rettet mot barn. Elkjøp markedsfører
og tilbyr imidlertid flere produkter som er relevante også for et yngre kundesegment. Noen
produkter er spesielt relevante for unge kunder, for eksempel produktene under kategorien
«gaming» på nettstedet.
Som det framgår av personvernforordningens fortalepunkt 38, fortjener barns
personopplysninger et særlig vern, ettersom barn kan være mindre bevisste på aktuelle
risikoer, konsekvenser og garantier, samt på de rettigheter de har når det gjelder behandling
av personopplysninger. Barn bør derfor ikke utsettes for profilering for markedsføringsformål,
uavhengig av rettslig grunnlag – og dette gjelder også barn i alderen 15–17 år.
5.1.4 Elkjøps kommentarer til forhåndsvarselet
Elkjøp anfører i sine merknader at samtykket var informert, spesifikt og frivillig.
31 Se tilsynsrapporten punkt 3.3.1.2 og dokument 22/00049-9 «RPReplay_Final1629892124» (video som viser
den SMS-en som sendes til kundene når de godtar å bli medlem av kundeklubben).
32 På tilsynstidspunktet var aldersgrensen 15 år. Datatilsynet er imidlertid kjent med at Elkjøp i etterkant av
tilsynet har endret aldersgrensen til 18 år.
33 Se den endelige tilsynsrapporten punkt 3.3.1.2.
12
Elkjøp viser til Datatilsynets uttalelser i en annen sak som gjelder Elkjøp,
«julekalendersaken».34 Elkjøp anfører at Datatilsynet i denne saken legger til grunn en
strengere forståelse av spesifisitet sammenlignet med julekalendersaken, der Datatilsynet
godtok at forskjellige behandlingsaktiviteter kan skje for ett overordnet formål.35 Datatilsynet
mener imidlertid at forståelsen vår i denne saken er konsekvent med den tidligere saken.
I julekalendersaken undersøkte Datatilsynet samtykket til behandling av personopplysninger i
Elkjøps julekalender, som også omfattet samtykke til ytterligere markedsførings- og
profileringsaktiviteter, ettersom kunden samtidig ble innmeldt i Elkjøps kundeklubb.
Datatilsynet kom til at samtykket ikke var gyldig, ettersom det verken var spesifikt eller
frivillig. Datatilsynet understreket at profilering er en inngripende behandlingsaktivitet, som i
utgangspunktet ikke er nødvendig for å oppnå det svært vidt definerte formålet å «fremme
salg av Elkjøps tjenester og produkter».36 Datatilsynet uttalte videre at når samtykke er
behandlingsgrunnlaget, kan ikke ulikeartede behandlingsaktiviteter legitimeres ved at de
defineres under ett bredt og overordnet formål. Datatilsynet bemerket dessuten at når formålet
er det samme og tilstrekkelig spesifisert, er det ikke nødvendigvis påkrevd med samtykke for
hver enkelt aktivitet. Datatilsynet påpekte for eksempel at behandling av personopplysninger
for å tilby kundeklubbfordeler ville være ett formål, mens profilering av kundene ville være et
annet formål. Datatilsynet mener derfor at vårt syn i denne saken er i tråd med begrunnelsen i
julekalendersaken. Elkjøp var dermed kjent med Datatilsynets syn på disse forholdene
allerede i mai 2022.
Datatilsynet har for øvrig i flere år gitt uttrykk for dette synspunktet og blant annet publisert
veiledning om kundeklubber og behandling av personopplysninger. I veiledningen
understrekes det at «det er strenge krav til hvordan samtykke innhentes. Et samtykke skal
være frivillig, så det må være mulig å si nei til analyse uten å bli utestengt fra tjenesten.
Videre må virksomheten gi kortfattet og forståelig informasjon om hva samtykke innebærer.
Man kan kun samtykke til ett spesifikt formål av gangen. Samtykke må avgis ved en aktiv
handling (i motsetning til å passivt fullføre en registreringsprosess), og
samtykkeforespørselen skal være adskilt fra annen informasjon og vilkår. Husk at samtykke
må dokumenteres.»37 Som nevnt ovenfor finnes det også tilsvarende veiledning i de mer
generelle retningslinjene fra Personvernrådet. Elkjøps påstand om manglende veiledning på
dette området er dermed feil.
Elkjøp anfører videre at «[behandlings]aktivitetene alltid har vært tydelig presentert for
klubbmedlemmene som en del av ett og samme verdiløfte, og at de er naturlig avhengige av
hverandre» (vår oversettelse). Som eksempel nevner Elkjøp at markedsføring og konkurranser
34 Se Datatilsynets dokument 20/02350-14, 9. mai 2022. Denne avgjørelsen ble opphevet som følge av nye
opplysninger som tilsa at saken skulle vært behandlet som en «grenseoverskridende sak» etter
personvernforordningen kapittel VII. Opphevelsen er imidlertid av prosessuell karakter og berører ikke de
materielle vurderingene i saken.
35 Ibid. s. 12. Se Elkjøps kommentarer til varselet s. 3–5.
36 Se Datatilsynets dokument 20/02350-14 s. 13.
37 Se https://www.datatilsynet.no/personvern-pa-ulike-omrader/kundehandtering-handel-og-
medlemskap/kundeklubber-og-personvern/ (fra juni 2018).
13
må være relevante og meningsfylte for klubbmedlemmene, og at dette krever profilering og
segmentering.38
Selv om Elkjøp anfører at aktivitetene i kundeklubben gjelder ett overordnet formål, er
Datatilsynet ikke enig i at samtykket ble gitt for ett eller flere spesifikke formål, slik vi har
redegjort nærmere for i vurderingen over.
Datatilsynet mener videre at markedsføring kan gjøres relevant og meningsfylt for
kundeklubbens medlemmer ved at de selv kan velge hvilke kategorier og former for
markedsføring de ønsker å motta, og hvilke personopplysninger de er villig til å dele for å
motta slik markedsføring.
Elkjøp anfører at et strengt krav til spesifisitet kan være til ulempe for de registrerte, ettersom
kundeklubbmedlemmer som ikke samtykker, for eksempel kan bli avskåret fra tidlig tilgang
til Black Friday-tilbud eller muligheten til å delta i konkurranser. Dette fremstår som en
misforståelse av problemstillingen, som egentlig er den motsatte: De registrerte melder seg
inn for å få tilgang til generelle rabatter eller konkurranser, samtidig som de tvinges til å
akseptere profilering for markedsføringsformål. Det er heller ikke gitt at samtykke må være
behandlingsgrunnlaget for tilgang til generelle rabatter eller å delta i konkurranser.
Videre uttaler Elkjøp at de «ikke er enig i Datatilsynets tilsynelatende tolkning om at
frivillighet nødvendigvis krever separat samtykke for hver enkelt behandlingsaktivitet i
enhver situasjon, herunder dersom aktivitetene er nært knyttet til hverandre …» (vår
oversettelse).39 Datatilsynet mener ikke at enkeltstående behandlingsaktiviteter alltid krever
separat samtykke. Det kan imidlertid være nødvendig å gi de registrerte muligheten til å gi
granulert samtykke i spesifikke tilfeller der det er hensiktsmessig. Det er for eksempel
nødvendig når behandlingen skjer for forskjellige formål. Datatilsynet mener at det å sende ut
generell markedsføringskommunikasjon, foreta profilering for å legge til rette for
personalisert markedsføring og utføre analyse for å forbedre markedsføringsaktivitetene
utgjør separate formål. Vi mener derfor at samtykket er «bundled».40
Vi bemerker at ikke alle behandlingsaktiviteter som skjer i en kundeklubb, nødvendigvis
krever samtykke som behandlingsgrunnlag. I noen tilfeller er det heller ikke påkrevd med et
eget behandlingsgrunnlag hvis behandlingen skjer i tråd til kommunikasjonsverndirektivet
artikkel 13 nr. 2.41 I tilfeller der samtykke er det mest hensiktsmessige behandlingsgrunnlaget,
kan imidlertid ikke samtykket være så bredt at det undergraver de registrertes valgfrihet ved at
de må godta alt eller ingenting.
Personvernrådet har uttalt at « [i]f the controller has conflated several purposes for processing
and has not attempted to seek separate consent for each purpose, there is a lack of freedom.
This granularity is closely related to the need of consent to be specific (…) When data
processing is done in pursuit of several purposes, the solution to comply with the conditions
38 Se Elkjøps kommentarer til varselet s. 4.
39 Se Elkjøps kommentarer til varselet s. 5.
40 Se Personvernrådets Guidelines 05/2020 on consent under Regulation 2016/679 avs. 42.
41 Se sak C-654/23.
14
for consent lies in granularity, i.e. the separation of these purposes and obtaining consent for
each purpose.» 42
Elkjøp hevder at de aktuelle behandlingsaktivitetene utgjør en «verdiutveksling».
Implikasjonen av dette ser ut til å være at Elkjøp kan kreve visse personopplysninger som
motytelse for rabatter og konkurranser. Selv om det generelt er opp til de
behandlingsansvarlige å definere sine verdiløfter, må slike løfter respektere lovens grenser, og
det gjelder noen særlige vilkår som må være oppfylt når samtykke er behandlingsgrunnlaget. I
disse tilfellene kan behandlingsansvarlige ikke kreve eller tvinge de registrerte til å dele de
aktuelle personopplysningene, ettersom dette i seg selv er uforenlig med frivillighet. At
Elkjøp mener dette er en rimelig byttehandel, er ikke relevant ved vurderingen av om
samtykket er gitt frivillig etter personvernforordningen artikkel 4 nr. 11.
Elkjøp skriver at «formålet med samtykke etter personvernforordningen ikke er å gi hver
enkelt person mulighet til å skreddersy tilbudet akkurat slik de ønsker» (vår oversettelse).
Dette er imidlertid en tilsløring av saken. Formålet med samtykke er at de registrerte fritt skal
kunne velge om de vil godta den aktuelle behandlingen av personopplysninger, uten å bli
utsatt for press. Når behandlingsansvarlige baserer behandlingen på samtykke, må de utforme
tilbudene sine slik at den registrerte får reell selvbestemmelse, slik samtykket skal gi uttrykk
for.
Elkjøp hevder videre at samtykket var informert. Vi fastholder våre konklusjoner om at det
ikke var det. Eventuelle forbedringer som er gjort etter det stedlige tilsynet, er ikke relevante
for vurderingen av om samtykket faktisk var informert på tidspunktet for det stedlige tilsynet.
Datatilsynet bemerker videre at henvisningen i Elkjøps kommentarer til «SMS-teksten»
gjelder den informasjonen som vises for kundene etter at de har gitt samtykke. Det er derfor
ikke relevant for vurderingen av om samtykket var «informert». Det materialet som ble lagt
fram før samtykket ble gitt, framstilte tilbudet som en måte å oppnå rabatter og
kampanjetilbud.
5.2 Kundematch
5.2.1 Nærmere om sakens faktiske forhold
Under det stedlige tilsynet informerte Elkjøp oss om at de gjennomførte en prøveperiode for
bruk av verktøyet kundematch. Bruken av dette verktøyet innebærer at kundenes e-
postadresse og/eller telefonnummer matches med annonseplattformer som har identifikatorer
for brukerne sine. Elkjøp forklarte under tilsynet at de så for seg å innføre dette verktøyet fra
juni/juli 2022. Elkjøp forklarte at de i kundematchverktøyet ville behandle
personopplysninger som opprinnelig ble samlet inn til kundeklubben.43
42 Se Personvernrådets Guidelines 05/2020 on consent under Regulation 2016/679 avs. 42–44.
43 Ibid. Se også dokument 22/00049-4 «Tilsynsdokumentasjon til 2.6.2022 (del 1)», lysbilde 35.
15
Elkjøp forklarte at hensikten med kundematchverktøyet er å oppnå mer effektiv
markedsføring, treffe spesifikke kundegrupper og utnytte medieinvesteringene bedre.44
Datatilsynet stilte spørsmål om Elkjøp hadde vurdert om formålet med behandlingen i
kundematchverktøyet er forenlig med det formålet personopplysningene opprinnelig ble
samlet inn for, jf. personvernforordningen artikkel 6 nr. 4. Elkjøps etterlevelsesteam forklarte
at formålet er det samme ved behandling av personopplysninger i kundeklubben og ved bruk
av kundeklubbens opplysninger til kundematch. Elkjøp hadde derfor ikke gjennomført en
forenelighetsvurdering etter artikkel 6 nr. 4.45
Elkjøps etterlevelsesteam opplyste imidlertid om at det er tale om ulike behandlinger med
ulike behandlingsgrunnlag. Teamet forklarte at samtykket til behandling i kundeklubben ikke
omfatter behandling av personopplysninger i kundematchverktøyet. Kundematch er en ny
behandlingsaktivitet. Behandlingsgrunnlaget er artikkel 6 nr. 1 bokstav f.
5.2.2 Rettslig utgangspunkt
Rettferdighetsprinsippet i personvernforordningen artikkel 5 nr. 1 bokstav a krever at
personopplysninger ikke behandles på en måte som er uventet eller villedende for den
registrerte. Behandlingen skal være åpen, transparent og samsvare med de registrertes
rimelige forventninger. I tillegg bør de registrerte få størst mulig grad av selvbestemmelse når
det gjelder bruken av personopplysningene deres.46
Dersom behandlingen for et annet formål enn det som personopplysningene er blitt samlet inn
for, ikke bygger på den registrertes samtykke eller på unionsretten eller medlemsstatenes
nasjonale rett, skal den behandlingsansvarlige etter artikkel 6 nr. 4 avgjøre om behandlingen
for et annet formål er forenlig med formålet som personopplysningene opprinnelig ble samlet
inn for. I denne vurderingen skal den behandlingsansvarlige ta hensyn til momentene i
artikkel 6 nr. 4 bokstav a–e. Se også personvernforordningens fortalepunkt 50.
Personvernrådet har i sin veiledning om samtykke uttalt at «[n]otwithstanding the provisions
on compatibility of purposes, consent must be specific to the purpose. Data subjects will give
their consent with the understanding that they are in control and their data will only be
processed for those specified purposes.»47 Behandlingsansvarlige må innhente et nytt og
spesifikt samtykke dersom formålet med behandlingen endres etter at samtykket ble
innhentet, eller de i tillegg ønsker å bruke opplysningene til nye formål.48 Dersom
behandlingsansvarlig ønsker å behandle opplysninger som er samlet inn med samtykke til nye
formål, må den behandlingsansvarlige som hovedregel samle inn personopplysningene på nytt
på grunnlag av samtykke eller et annet behandlingsgrunnlag etter artikkel 6 nr. 1.
44 Se dokument «Tilsynsdokumentasjon til 2.6.2022 (del 1)», lysbilde 35.
45 Se den endelige tilsynsrapporten punkt 3.3.1.2. Se også dokument 22/00049-4 «Tilsynsdokumentasjon til
2.6.2022 (del 2)», lysbilde 7.
46 Se Personvernrådets Guidelines 4/2019 on Article 25 Data Protection by Design and by Default avs. 69 og 70.
47 Se Personvernrådets Guidelines 05/2020 on consent under Regulation 2016/679 avs. 58.
48 Ibid. avs. 90.
16
For at en behandling av personopplysninger basert på personvernforordningen artikkel 6 nr. 1
bokstav f skal være lovlig, må tre kumulative vilkår være oppfylt: 1) at den
behandlingsansvarlige forfølger en berettiget interesse, 2) at behandlingen av
personopplysninger er nødvendig for å forfølge den berettigede interessen, og 3) at den
registrertes interesser eller grunnleggende friheter og rettigheter ikke går foran den
behandlingsansvarliges eller en tredjeparts berettigede interesse.49
I den siste delen av tretrinnstesten, interesseavveiningen, må den behandlingsansvarlige
vurdere de registrertes rimelige forventninger.50 Den registrertes interesser og grunnleggende
rettigheter kan særlig gå foran den behandlingsansvarliges interesser dersom
personopplysningene behandles under omstendigheter der de registrerte med rimelighet
forventer at opplysningene ikke viderebehandles.51 I tilfeller der den opprinnelige
behandlingen er basert på samtykke, vil dette normalt utelukke viderebehandling basert på
artikkel 6 nr. 1 bokstav f. Personvernrådet har ved flere anledninger uttalt seg om vilkårene
for viderebehandling av personopplysninger som er samlet inn på grunnlag av samtykke.52
5.2.3 Datatilsynets vurdering
Vi viser til vår vurdering under punkt 5.1 om samtykke til medlemskap i kundeklubben. Vi
konkluderte med at formålet med behandlingen ikke er tilstrekkelig spesifisert, jf.
personvernforordningen artikkel 6 nr. 1. Det er derfor ikke mulig for Elkjøp å fastslå at
formålene med behandling av personopplysninger i kundeklubben og kundematch er
identiske.
49 Se C-252/21 Bundeskartellamt avs. 106, C‑708/18 Asociaţia de Proprietari bloc M5A-ScaraA avs. 40.
50 Se C-252/21 Bundeskartellamt avs. 110–116.
51 Se personvernforordnignens fortalepunkt 47 og C-252/21 Bundeskartellamt avs. 112.
52 Dette er særlig drøftet i forbindelse med innsamling av personopplysninger gjennom sporingsverktøy, fordi
kommunikasjonsverndirektivet krever samtykke for slik innsamling, jf. direktiv 2002/58/EF artikkel 5 nr. 3.
Samtykkekravet er det samme etter kommunikasjonsverndirektivet og personvernforordningen, jf.
kommunikasjonsverndirektivet artikkel 2 bokstav f. Personvernrådets uttalelser er derfor også relevante for andre
tilfeller der personopplysningene er samlet inn på grunnlag av samtykke og den behandlingsansvarlige ønsker å
behandle viderebehandle personopplysningene. I Personvernrådets Guidelines 4/2020 on the use of location data
and contact tracing tools in the context of the COVID-19 outbreak, versjon 1.1, vedtatt 21. april 2020, avs. 13,
står følgende: «i)ndeed, when data have been collected in compliance with Art. 5(3) of the ePrivacy Directive,
they can only be further processed with the additional consent of the data subject or on the basis of a Union or
Member State law which constitutes a necessary and proportionate measure in a democratic society to
safeguard the objectives referred to in Art. 23 (1) GDPR.» Se også Personvernrådets Guidelines 01/2020 on
processing personal data in the context of connected vehicles and mobility related applications, versjon 2.0,
vedtatt 9. mars 2021, avs. 53: «When data is collected on the basis of consent as required by art. 5(3) of the
ePrivacy directive or on one of the exemptions of art. 5(3), and subsequently processed in accordance with art. 6
GDPR, it can only be further processed either if the controller seeks additional consent for this other purpose or
if the data controller can demonstrate that it is based on a Union or Member State law to safeguard the
objectives referred to in Art. 23 (1) GDPR. The EDPB considers that further processing on the basis of a
compatibility test according to Art. 6(4) GDPR is not possible in such cases, since it would undermine the data
protection standard of the ePrivacy directive. Indeed, consent, where required under the ePrivacy directive,
needs to be specific and informed, meaning that data subjects must be aware of each data processing purpose
and entitled to refuse specific ones. Considering that further processing on the basis of a compatibility test
according to Art. 6(4) of the GDPR is possible would circumvent the very principle of the consent requirements
set forth by the current directive .»
17
I tilfeller der kunder har samtykket til å bli medlem av kundeklubben for å få rabatter, kan
behandling av personopplysninger i kundematchverktøyet, særlig med det formål å sikre
bedre utnyttelse av medieinvesteringer, ikke anses som det samme formålet som
opplysningene opprinnelig ble samlet inn for.
Elkjøp la altså feilaktig til grunn at det ikke var nødvendig med en forenlighetsvurdering. Ved
å ikke vurdere om formålet med behandlingen av personopplysningene i
kundematchverktøyet var forenlig med formålet personopplysningene opprinnelig ble samlet
inn for, brøt Elkjøp personvernforordningen artikkel 6 nr. 4.
I vurderingen av om artikkel 6 nr. bokstav f kan være behandlingsgrunnlag, må
behandlingsansvarlig vurdere den registrertes rimelige forventninger. I lys av
rettferdighetsprinsippet, kunne ikke kunden med rimelighet forvente at personopplysningene
som ble samlet inn ved samtykke, på et senere tidspunkt ville bli behandlet for andre formål
og på en annen måte enn det kunden hadde samtykket til, jf. artikkel 6 nr. 1 bokstav f.53 Selve
målet med samtykke er at de registrerte skal kunne ta et valg og forutse konsekvensene av et
slikt valg. Behandlingen av personopplysninger i kundematch omfatter for eksempel deling av
personopplysninger med tredjeparter – noe kundene verken samtykket til eller med rimelighet
kunne forvente da de meldte seg inn i kundeklubben.54
Vi konkluderer med at Elkjøp har behandlet personopplysninger i kundematchverktøyet uten
et egnet rettslig grunnlag, ettersom artikkel 6 nr. 1 bokstav f ikke kommer til anvendelse, i lys
av artikkel 5 nr. 1 bokstav a.
5.2.4 Elkjøps kommentarer til forhåndsvarselet
Elkjøp bestrider Datatilsynets konklusjon om at Elkjøp har brutt både artikkel 6 nr. 4 og
artikkel 6 nr. 1, og hevder at «Elkjøp vurderte forenlighetsspørsmålet som en del av sin
samlede juridiske vurdering» (vår oversettelse).55 Til dette bemerker Datatilsynet at Elkjøp
under det stedlige tilsynet opplyste at de ikke hadde foretatt noen vurdering etter artikkel 6 nr.
4, fordi de anså det som unødvendig. Eventuelle vurderinger som er gjort etter det stedlige
tilsynet, påvirker ikke Datatilsynets konklusjon om hvorvidt det forelå brudd på artikkel 6 nr.
4 på tilsynstidspunktet. Ettersom Elkjøp ikke dokumenterte en slik vurdering, og under det
stedlige tilsynet uttrykkelig opplyste at en slik vurdering ikke ble gjort, har Datatilsynet ingen
grunn til å konkludere med noe annet.
Elkjøp anfører videre at «Datatilsynets nåværende vektlegging av en vurdering etter artikkel 6
nr. 4 synes å avvike fra tilnærmingen i julekalendersaken» (vår oversettelse).56 Datatilsynet
vurderte ikke artikkel 6 nr. 4 i julekalendersaken, ettersom saken ikke gjaldt en situasjon med
viderebehandling. I julekalendersaken tok Datatilsynet stilling til en situasjon der de ulike
53 Se personvernforordningens fortalepunkt 50.
54 Se den endelige tilsynsrapporten punkt 3.3.1.2. Se også informasjon i Elkjøps personvernerklæring punkt 7 på
https://www.elkjop.no/kundeservice/gdpr-personvernerklaring, sist besøkt 27. mai 2026.
55 Se Elkjøps kommentarer til varselet s. 8.
56 Ibid. s. 8.
18
formålene med behandlingen var kjent for Elkjøp på tidspunktet for innsamlingen av
personopplysningene. I denne saken har derimot Elkjøp tatt i bruk kundematch, noe som
innebar at personopplysninger som tidligere ble samlet inn i kundeklubben ble behandlet for
nye formål på et senere tidspunkt.
Datatilsynet understreker at etablering av et nytt behandlingsgrunnlag etter
lovlighetsprinsippet ikke gir anledning til å fravike det selvstendige kravet om å foreta en
forenlighetsvurdering i tråd med formålsbegrensningsprinsippet. Artikkel 29-gruppen har
uttalt at «[p]rocessing of personal data in a way incompatible with the purposes specified at
collection is against the law and therefore prohibited. The data controller cannot legitimise
incompatible processing by simply relying on a new legal ground».57
Som beskrevet ovenfor vil viderebehandling basert på artikkel 6 nr. 1 bokstav f normalt være
utelukket når personopplysninger samles inn ved samtykke, jf. artikkel 6 nr. 1 bokstav a,
ettersom det ville undergrave selve hensikten med samtykket. I lys av rettferdighetsprinsippet
kan de registrerte ikke med rimelighet forvente at personopplysninger behandles utover det de
har samtykket til. Elkjøps uttalelser om interesseavveiningen etter artikkel 6 nr. 1 bokstav f
endrer ikke dette. Personvernrådet har gjentatte ganger uttalt at når personopplysninger
samles inn på grunnlag av samtykke, er viderebehandling kun tillatt dersom den registrerte gir
ytterligere samtykke eller på grunnlag av unionsretten eller medlemsstatenes nasjonale rett.58
Det ligger utenfor denne saken å vurdere dokumentasjon som er lagt fram etter
tilsynstidspunktet, men det ser ut til at dette poenget mangler i Elkjøps vurderinger.59
Vi bemerker for ordens skyld at i tilfeller der alle behandlingsformål er identifisert og
spesifisert på forhånd, kommer ikke artikkel 6 nr. 4 til anvendelse, ettersom det ikke er snakk
om noen viderebehandling. I disse tilfellene trenger ikke Elkjøp å gjennomføre en
forenlighetsvurdering. I stedet må Elkjøp identifisere det hensiktsmessige
behandlingsgrunnlaget og sørge for åpenhet overfor de registrerte, slik at de på
innsamlingstidspunktet er informert om hvordan personopplysningene deres vil bli behandlet.
57 Se artikkel 29-arbeidsgruppens uttalelse 03/2013 om formålsbegrensning s. 3.
58 Personvernrådets Guidelines 4/2020 on the use of location data and contact tracing tools in the context of the
COVID-19 outbreak, versjon 1.1, vedtatt 21. april 2020, avs. 13. Se også Personvernrådets Guidelines 01/2020
on processing personal data in the context of connected vehicles and mobility related applications, versjon 2.0,
vedtatt 9. mars 2021, avs. 53. Vi forstår det slik at Europakommisjonen har uttrykt et lignende synspunkt, jf.
https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/principles-
gdpr/purpose-data-processing/can-we-use-data-another-purpose_en. Kommisjonen har uttalt at «If your
company/organisation has collected the data on the basis of consent or following a legal requirement, no further
processing beyond what is covered by the original consent or the provisions of the law is possible. Further
processing would require obtaining new consent or a new legal basis».
59 Vi merker oss også Elkjøps påstand om at bare navn og kontaktinformasjon vil bli delt. Ofte kan informasjon
om hvilket segment en registrert tilhører, hvilke annonser vedkommende bør se, og informasjon om nettatferd
deles i forbindelse med kundematching. Dette kan også utgjøre personopplysninger.
19
5.3 Offline-konverteringer
5.3.1 Nærmere om sakens faktiske forhold
Elkjøp bruker offline-konverteringer til å måle og estimere effekten av digital markedsføring
på salget i butikk. Etter et kjøp i en Elkjøp-butikk sender Elkjøp opplysninger til Google og
Facebook for å måle salget i butikken opp mot «klikk» på Facebook- og Google-annonser.60
Elkjøp har informert oss om at behandlingsgrunnlaget for denne behandlingen er
personvernforordningen artikkel 6 nr. 1 bokstav f.61
Under det stedlige tilsynet forklarte Elkjøp at offline-konverteringer brukes på
kundeklubbmedlemmer.62 Elkjøp har i etterkant av det stedlige tilsynet informert Datatilsynet
om at de har avviklet bruken av offline-konverteringer med Meta (Facebook), på grunn av
uklare vilkår i Metas databehandleravtale.63 Ettersom vi ikke har mottatt informasjon om det
motsatte, legger vi til grunn at Elkjøp fortsatte bruken av offline-konverteringer med Google.
Vi henviser til endelige tilsynsrapport punkt 3.3.1.2.64
5.3.2 Rettslig utgangspunkt
I tråd med ansvarlighetsprinsippet i artikkel 5 nr. 2 er den behandlingsansvarlige ansvarlig for
og skal kunne påvise at prinsippene for behandling av personopplysninger overholdes. Dette
innebærer blant annet at den behandlingsansvarlige må sørge for, og må kunne påvise, at
behandlingen er lovlig etter artikkel 5 nr. 1 bokstav a, det vil si at behandlingen har et gyldig
rettslig grunnlag.
Se redegjørelsen om artikkel 6 nr. 1 bokstav f under punkt 5.2.2.
5.3.3 Datatilsynets vurdering
Elkjøp sendte i forkant av det stedlige tilsynet en vurdering av berettiget interesse som
behandlingsgrunnlag for bruken av offline-konverteringer.65
Etter Datatilsynets oppfatning oppfyller ikke denne vurderingen kravene i
personvernforordningen artikkel 6 nr. 1 bokstav f. Generelt er vurderingene ganske korte, og
interesseavveiningen mangler sentrale elementer som antall registrerte som berøres, hvilke
kategorier av opplysninger som behandles, behandling av barns personopplysninger, de
registrertes rimelige forventninger og dessuten de mulige negative konsekvensene av å
potensielt dele de registrertes personopplysninger med Facebook og Google. Uten å ha
60 Se dokument 22/00049-4 «Tilsynsdokumentasjon til 2.6.2022 (del 1)», lysbilde 35.
61 Se dokument 22/00049-4 «f) Berettiget interesse offline conversions».
62 Se den endelige tilsynsrapporten punkt 3.3.1.2.
63 Se Elkjøps kommentarer til den foreløpige tilsynsrapporten, 22.06.2023, i e-posten datert 22.06.2023.
64 Datatilsynet har mottatt en klage på at Elkjøp deler personopplysninger med Facebook. Se Datatilsynets sak
21/01054 og Elkjøps svar på Datatilsynets spørsmål i dokument 21/01054-8.
65 Se dokument 22/00049-4 «f) Berettiget interesse offline conversions».
20
kartlagt de mulige negative konsekvensene for de registrerte er Elkjøp ikke i stand til å
gjennomføre en korrekt interesseavveining, jf. personvernforordningen artikkel 6 nr. 1
bokstav f. Elkjøp kan dermed ikke fastslå at behandlingen er lovlig etter
personvernforordningen artikkel 5 nr. 1 bokstav a.
Datatilsynet har ikke konkludert med om hvorvidt artikkel 6 nr. 1 bokstav f kan være
behandlingsgrunnlag for Elkjøps eventuelle bruk av verktøyet offline-konverteringer. Elkjøp
bør imidlertid gjøre grundige vurderinger før de eventuelt fortsetter å bruke dette verktøyet.
Konklusjonen er at den mangelfulle vurderingen og dokumentasjonen av
behandlingsgrunnlaget, og dermed lovligheten av bruken av offline-konverteringer, utgjør en
overtredelse av personvernforordningen artikkel 5 nr. 2, jf. artikkel 5 nr. 1 bokstav a.
5.3.4 Elkjøps kommentarer til forhåndsvarselet
Elkjøp anfører at Datatilsynet stiller urimelig strenge krav til vurderingen av en behandling
med lav risiko. Elkjøp oppgir at vurderingen av berettigede interesser korrekt gjenspeiler det
begrensede omfanget av behandlingen, og at de tiltakene som er iverksatt, er bransjestandard.
Etter artikkel 5 nr. 1 bokstav a og artikkel 5 nr. 2 er det den behandlingsansvarlige som må
påvise at personopplysninger behandles på en lovlig, rettferdig og åpen måte.66 Et iboende
element i artikkel 6 nr. 1 bokstav f er vurderingen av om den behandlingsansvarliges
berettigede interesser tilsidesettes av den registrertes interesser eller grunnleggende rettigheter
og friheter, noe som betyr at de registrertes interesser, rettigheter og friheter må vurderes
eksplisitt. I dette tilfellet har Elkjøp utelatt slike elementer fra sin vurdering av berettigede
interesser.
Vi understreker at detaljgraden i en interesseavveining (som er det tredje steget i
tretrinnsvurderingen av berettigede interesser) avhenger av den aktuelle behandlingen.67
Elkjøps vurdering mangler imidlertid de mest grunnleggende elementene som alltid må være
del av en interesseavveining, og den oppfyller derfor uansett ikke minstekriteriene. Uten å
kartlegge mulige konsekvenser og innvirkningen på de registrerte er det i praksis ingen
interesseavveining.
Elkjøp ber om en avklaring om hvilket detaljnivå som forventes for å oppfylle kravet. Elkjøp
må identifisere hvilke interesser, rettigheter og friheter som kan bli påvirket av den aktuelle
behandlingen, herunder hvordan og i hvilken grad, disse kan bli påvirket. I Elkjøps vurdering
av berettigede interesser finnes det ingen oversikt over de registrertes interesser som kan bli
negativt påvirket av den aktuelle behandlingen, selv om dette er et element som må vurderes
etter artikkel 6 nr. 1 bokstav f. Elkjøps påstår at den aktuelle behandlingen oppfyller
interesseavveiningen. Det mangler imidlertid en ordentlig vurdering av blant annet antallet
registrerte som berøres, hvilke kategorier av opplysninger som behandles, hvorvidt og i
66 Se C-252/21 Bundeskartellamt avs. 95.
67 Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR avs. 45–49. Se også artikkel
29-arbeidsgruppens uttalelse 06/2014 om den behandlingsansvarliges berettigede interesser etter direktiv
95/46/EF artikkel 7 (WP 217, vedtatt 9. april 2014).
21
hvilken grad opplysninger om barn sannsynligvis vil bli behandlet, de registrertes rimelige
forventninger og dessuten de mulige negative konsekvensene av å potensielt dele de
registrertes personopplysninger med tredjeparter som Facebook og Google. Disse elementene
vil hjelpe den behandlingsansvarlige med å vurdere hvordan og i hvilken grad behandlingen
påvirker de registrertes interesser, rettigheter og friheter. Personvernrådet har publisert
omfattende retningslinjer om berettiget interesse-vurderingen. Retningslinjene inneholder en
metodikk for interesseavveiningen, inkludert hvordan behandlingen av barns
personopplysninger bør gjenspeiles i vurderingen.68
Datatilsynet er bekymret for at Elkjøp ikke vil ha tilstrekkelig forståelse av behandlingen til å
kunne fastslå om den er lovlig før de nødvendige elementene er tatt med i vurderingen av
berettigede interesser. Dessverre har Elkjøps merknader til varselet underbygget denne
bekymringen. Elkjøp hevder for eksempel at Google bare mottar personopplysninger som de
allerede besitter. Samtidig opplyser Elkjøp om at de deler det forhold at en person har
gjennomført et kjøp i en Elkjøp-butikk sammen med «konverteringsdata», som er informasjon
Google kanskje ikke allerede besitter. Elkjøp hevder også at behandlingen ikke er rettet mot
barn, og at barns personopplysninger kun vil bli behandlet tilfeldig. Denne påstanden overser
imidlertid det faktum at aldersgrensen for kundeklubben var 15 år og at barns
personopplysninger derfor var en tilsiktet del av behandlingen. En oppdatert vurdering av
berettigede interesser vil hjelpe Elkjøp med å vurdere disse forholdene nærmere.
5.4 Tidsfristen for behandling av anmodninger fra registrerte (rettighetsforespørsler)
5.4.1 Nærmere om sakens faktiske forhold
Under det stedlige tilsynet informerte Elkjøp oss om at det fantes ubesvarte
rettighetsforespørsler fra registrerte tilbake til minst desember 2021.69 I dokumentasjonen som
ble lagt fram etter det stedlige tilsynet, viste Elkjøp at de hadde saker som ble opprettet i
februar 2021, og som ikke var løst på tilsynstidspunktet i juni 2022.70
Elkjøp delte også dokumentasjon som viste at det per 1. juni 2022 var 75 uløste
rettighetsforespørsler der fristen på én måned hadde utløpt. Ifølge Elkjøps rutiner vil
kundesenteret sende disse kundene en melding.
Ifølge Elkjøps etterlevelsesteam er kundesenteret instruert til å løse alle forespørsler innen 30
dager. Videre har Elkjøp forklart at dersom rutinen er overskredet i enkeltsaker, skyldes dette
avvik fra deres prosesser eller at saken er spesielt kompleks.71
Ifølge en kundesentermedarbeider Datatilsynet intervjuet under det stedlige tilsynet, finnes det
ingen rutine for hvordan den ansatte skal vurdere kompleksiteten i en forespørsel og dermed
forlenge fristen. Kundesentermedarbeideren forklarte at han ikke tidligere har vurdert
68 Ibid. avs. 44 og 91–97.
69 Se den endelige tilsynsrapporten punkt 3.4.2.2.
70 Se dokument 22/00049-9 «Report on cases older than 30 days 2022-06-22».
71 Se den endelige tilsynsrapporten punkt 3.4.2.2.
22
kompleksiteten i en forespørsel. Ifølge Elkjøps etterlevelsesteam anses forespørsler om retting
av den registrertes e-postadresse som komplekse, og Elkjøp forlenger derfor fristen på én
måned ved behandling av slike forespørsler. 72
Når fristen oversittes i nye saker om retting, får kunden en melding fra Elkjøp som forklarer at
de «for tiden har tekniske problemer», at de ikke klarer å rette feilen og jobber med å finne en
løsning. Når Elkjøp kontakter kunden om en gammel sak om retting der fristen på én måned
er oversittet, informerer de kunden om at de har problemer med å rette kundeprofiler som
følge av endringer som er gjort i systemene deres, og at de ennå ikke har lykkes med å rette
feilen.73
5.4.2 Rettslig utgangspunkt
Personvernforordningen artikkel 12 fastsetter fremgangsmåten og prosedyren for håndtering
av anmodninger (rettighetsforespørsler) fra registrerte. Formålet med artikkel 12 er å sikre at
de registrerte kan utøve sine rettigheter en effektiv måte, slik at de får kontroll over
personopplysningene sine.
Etter personvernforordningen artikkel 12 nr. 3 første og andre punktum skal den
behandlingsansvarlige informere den registrerte om tiltak som er truffet på grunnlag av en
anmodning etter artikkel 15–22, uten ugrunnet opphold og senest én måned etter mottak av
anmodningen. Denne fristen kan forlenges med ytterligere to måneder ved behov, idet det tas
hensyn til antallet anmodninger og anmodningenes kompleksitet.
Etter personvernforordningen artikkel 12 nr. 3 tredje og fjerde punktum skal den
behandlingsansvarlige informere den registrerte om enhver slik forlengelse senest én måned
etter mottak av anmodningen sammen med en begrunnelse for forsinkelsen.
5.4.3 Datatilsynets vurdering
Etter Datatilsynets oppfatning er en forespørsel om retting av en e-postadresse i seg selv ikke
kompleks. Med mindre det er snakk om unntakstilfeller, f.eks. når et stort antall registrerte ber
om retting samtidig, vil det normalt ikke være nødvendig etter personvernforordningen
artikkel 12 nr. 3 å forlenge fristen på én måned for slike forespørsler. Vi forstår at det har vært
tekniske problemer, men det er likevel Elkjøps plikt å legge til rette for at de registrerte kan
utøve sine rettigheter etter artikkel 12 nr. 2. Dersom Elkjøps systemer er utformet slik at det
ikke er mulig å rette personopplysninger, rettferdiggjør ikke det et unntak fra plikten å legge
til rette for de registrertes rettigheter. Det reiser derimot et spørsmål om Elkjøp har oppfylt
sine forpliktelser etter artikkel 12 nr. 2 på en tilfredsstillende måte. Elkjøp burde derfor ha
vært i stand til å etterkomme disse forespørslene innen fristen på én måned, og ved å unnlate å
gjøre dette har Elkjøp brutt artikkel 12 nr. 3.
72 Ibid.
73 Ibid. Datatilsynet har mottatt klager på at anmodninger om registrertes rettigheter ikke blir behandlet innen
fristen i personvernforordningen artikkel 12 nr. 3.
23
Muligheten til å forlenge fristen i personvernforordningen artikkel 12 nr. 3 er et unntak fra
fristen på én måned og skal behandles slik. Det er derfor bare mulig å påberope seg
forlengelse etter en konkret vurdering i hvert enkelt tilfelle. At Elkjøp anser alle
retteforespørsler som komplekse, og dermed automatisk forlenger fristen på én måned, er
derfor ikke i samsvar med artikkel 12 nr. 3.
Videre har Elkjøp forklart at for flere forespørsler er også forlengelsen på to måneder
oversittet, og det finnes uløste forespørsler helt tilbake til februar 2021.74 Dette er også et
brudd på artikkel 12 nr. 3.
Konklusjonen er at Elkjøp har brutt personvernforordningen artikkel 12 nr. 3 ved å unnlate å
behandle retteforespørsler som ikke var komplekse, innen fristen på én måned, ved
automatisk å anse retteforespørsler som komplekse, noe som utløste en forlengelse av fristen
på én måned, og ved ikke å behandle forespørsler fra registrerte innen den forlengede fristen
på tre måneder.
5.4.4 Elkjøps kommentarer til forhåndsvarselet
Elkjøp erkjenner at enkelte forespørsler ikke ble behandlet innen fristen i
personvernforordningen. Elkjøp gjentar imidlertid bakgrunnen for denne feilen og
understreker at flertallet av forespørslene ble håndtert riktig. På bakgrunn av dette anfører
Elkjøp at det ikke er grunnlag for et overtredelsesgebyr, ettersom det underliggende problemet
nå er løst. Vi tolker dette som et argument om hvorvidt det er nødvendig og forholdsmessig å
ilegge et gebyr. Alvorlighetsgraden av overtredelsene vil bli vurdert i punkt 6.2.
Videre hevder Elkjøp at noen av forespørslene kan falle utenfor virkeområdet til
personvernforordningen artikkel 16 om retting, og uttaler at «det ikke er åpenbart at en e-
postadresse som er angitt som eneste identifikator, er uriktig som sådan, selv om den
registrerte skulle ønske å bytte til en annen e-postadresse» (vår oversettelse).75
Fristen i artikkel 12 nr. 3 gjelder for rettighetsforespørsler, jf. artikkel 15–22. I tilfeller der
behandlingsansvarlig avslår en forespørsel etter å ha grundig vurdert om personopplysningene
er riktige, jf. artikkel 16, skal avslaget meddeles innen den fristen som er fastsatt i artikkel 12
nr. 4, som tilsvarer tidsrammen i artikkel 12 nr. 3. Avslaget skal inneholde årsakene til at det
ikke er iverksatt tiltak og muligheten for å klage til tilsynsmyndigheten. Dette har ikke skjedd
i noen av de aktuelle sakene. Dersom Elkjøp nå hevder at de anså noen av retteforespørslene
som grunnløse, er dette ensbetydende med å innrømme brudd på artikkel 12 nr. 4, noe som er
like sanksjonerbart som brudd på artikkel 12 nr. 3.
I dette tilfellet brukes e-postadressene imidlertid ikke bare som identifikatorer, men også til å
sende kvitteringer, nyhetsbrev og markedsføringsmateriale til de registrerte. Dersom Elkjøps
systemer ikke korrekt gjenspeiler de registrertes nåværende elektroniske adresse for mottak av
74 Se den endelige tilsynsrapportens punkt 3.4.2.2 og dokument 22/00049-9 «Report on cases older than 30 days
2022-06-22».
75 Se Elkjøps kommentarer til varselet s. 13.
24
slik kommunikasjon, kan det hevdes at personopplysningene er uriktige. I merknadene til
varselet trekker Elkjøp frem at medlemmene av kundeklubben forventer og ønsker å motta
slik informasjon fra Elkjøp. Hvis ikke e-postadressene er oppdatert, kan kundene gå glipp av
denne informasjonen. Meldinger som inneholder personopplysninger, kan dessuten bli delt
med utilsiktede mottakere.
Problemet med forsinket behandling av rettighetsforespørsler er dessuten ikke begrenset til
tilfeller der de registrerte bare ønsker å bytte e-postadresse. Under tilsynet informerte Elkjøp
for eksempel Datatilsynet om at et av tilfellene med forsinkelse gjaldt en kvittering som var
registrert på feil kunde.76 Et annet eksempel finner vi i vår sak med referansenr. 20/02353, der
en registrert hadde oppgitt feil e-postadresse under registreringsprosessen. Dermed sendte
Elkjøps systemer den registrertes personopplysninger, herunder kvitterings- og
betalingsinformasjon, til feil mottaker. Den registrerte kontaktet Elkjøp gjentatte ganger fra
22. april 2020 for å be om retting. E-postadressen ble imidlertid ikke rettet før 27. november
2020. Vi avsluttet saken i juni 2021 fordi Elkjøp forsikret om at de jobbet med å løse
problemet.
Elkjøp var med andre ord kjent med omfattende brudd på de registrertes rettigheter lenge før
tilsynstidspunktet, noe som er en skjerpende omstendighet.
Elkjøp opplyser om at mens det tekniske problemet ble løst, ble kundene informert om at de
kunne opprette en ny konto og be om å få slettet den gamle. Datatilsynet bemerker at dette
ikke er tilstrekkelig, ettersom det er den behandlingsansvarliges ansvar å legge til rette for at
den registrerte kan utøve sine rettigheter etter artikkel 12 nr. 2, herunder retten til retting. I
tillegg kan en slik løsning innebære at opplysninger som kunden ønsker å beholde på kontoen
sin, for eksempel kjøpshistorikk og kvitteringer, slettes.
For ordens skyld bemerker Datatilsynet at overtredelsen av artikkel 12 nr. 3 i seg selv ikke er
veldig alvorlig. Vi mener imidlertid at det er nødvendig å ilegge et overtredelsesgebyr,
ettersom Elkjøp har brutt flere bestemmelser i personvernforordningen, og sammen er disse
bruddene middels alvorlige, som forklart nedenfor. Vi vil understreke at det er tatt behørig
hensyn til overtredelsens alvorlighetsgrad ved utmålingen av overtredelsesgebyret.
6. Ileggelse av et overtredelsesgebyr
6.1 Innledning
Datatilsynet kan ilegge overtredelsesgebyrer, jf. artikkel 83 nr. 1, for brudd på bestemmelser i
personvernforordningen dersom vilkårene for overtredelsesgebyr er oppfylt. Et
overtredelsesgebyr anses som straff etter Den europeiske menneskerettskonvensjon (EMK).77
76 Se den endelige tilsynsrapporten s. 30.
77 Se forvaltningsloven § 43. Se også Rt. 2012 s. 1556.
25
For å ilegge et gebyr må det foreligge klar sannsynlighetsovervekt for overtredelsene. Et
overtredelsesgebyr kan ilegges bare dersom en behandlingsansvarlig forsettlig eller uaktsomt
har brutt personvernforordningen.78
Som utdypet ovenfor har Datatilsynet funnet fire brudd på personvernforordningen som gir
grunnlag for sanksjoner: i) personvernforordningen artikkel 6 nr. 1, jf. artikkel 4 nr. 11, ved å
ikke hente inn et gyldig samtykke for behandling av personopplysninger i Elkjøps
kundeklubb, ii) personvernforordningen artikkel 6 nr. 1 og 4 ved å viderebehandle
personopplysninger gjennom bruk av verktøyet kundematch uten et gyldig rettslig grunnlag
og uten å vurdere forenligheten av formålene , iii) personvernforordningen artikkel 5 nr. 2, jf.
personvernforordningen artikkel 5 nr. 1 bokstav a, ved ikke å kunne påvise lovligheten av
behandlingen av personopplysninger ved bruk av verktøyet offline-konverteringer og iv)
personvernforordningen artikkel 12 nr. 3 ved å ikke behandle forespørsler fra registrerte innen
de lovfestede fristene.
Overtredelsene er avdekket gjennom bevis framlagt av Elkjøp og dokumentert under det
stedlige tilsynet. Sakens fakta er dokumentert i tilsynsrapporten, som Elkjøp har kommentert.
Datatilsynet finner at det foreligger klar sannsynlighetsovervekt for at Elkjøp har begått disse
overtredelsene.
Datatilsynet konkluderer videre med at det foreligger klar sannsynlighetsovervekt for at
skyldkravet er oppfylt i denne saken.79 Etter Datatilsynets oppfatning viser overtredelsene at
Elkjøp har handlet forsettlig. Vi kommer tilbake til dette i punkt 6.4.
Avgjørelsen av om det skal ilegges et overtredelsesgebyr, samt størrelsen på gebyret, er basert
på samlet vurdering av flere momenter, jf. personvernforordningen artikkel 83. Tilsvarende
momenter finnes i forvaltningsloven § 46.
Datatilsynet mener det er grunnlag for å ilegge overtredelsesgebyr i denne saken. I det
følgende begrunner vi hvorfor vi mener det er nødvendig å ilegge gebyr, samt utmålingen av
gebyrets størrelse.
78 Se C-807/21 Deutsche Wohnen SE v Staatsanwaltschaft Berlin avs. 78 med henvisning til
personvernforordningen artikkel 83. Se også forvaltningsloven § 46.
79 Minstekravet for å ilegge et overtredelsesgebyr er at overtredelsen er begått uaktsomt. Den som handler i strid
med kravet til forsvarlig opptreden på et område, og som ut fra sine personlige forutsetninger kan bebreides, er
uaktsom, jf. straffeloven § 23. Datatilsynet bemerker at aktsomhetsnormen normalt anses å være streng for
foretak som driver økonomisk virksomhet, jf. Prop. 81 L (2021–2022) punkt 5.5. Datatilsynet mener at den
strenge aktsomhetsnormen må legges til grunn i denne saken. Elkjøp er et kommersielt multinasjonalt selskap
som behandler personopplysninger i stor skala. Etter Datatilsynets oppfatning må det derfor forventes at Elkjøp
er kjent med de sentrale personvernkravene, blant annet lovlighet og den registrertes rettigheter. I lys av den lave
terskelen for å konstatere uaktsomhet for store kommersielle aktører og det forhold at overtredelsene gjelder
noen av de mest sentrale bestemmelsene i personvernforordningen, konkluderer Datatilsynet med at det
foreligger klar sannsynlighetsovervekt for at Elkjøp i det minste har opptrådt uaktsomt da de begikk
overtredelsene.
26
6.2 Vurdering av om det skal ilegges et overtredelsesgebyr
6.2.1 Oversikt
Personvernforordningen artikkel 83 nr. 1 fastsetter at ileggelse av overtredelsesgebyrer i hvert
enkelt tilfelle skal være virkningsfull, stå i et rimelig forhold til overtredelsen og virke
avskrekkende.
Artikkel 83 nr. 2 fastsetter videre at «når det treffes avgjørelse om hvorvidt det skal ilegges
overtredelsesgebyr samt om overtredelsesgebyrets størrelse, skal det i hvert enkelt tilfelle tas
behørig hensyn til følgende»:
(a) karakteren, alvorlighetsgraden og varigheten av overtredelsen, idet det tas hensyn
til den berørte behandlingens art, omfang eller formål samt antall registrerte som er
berørt, og omfanget av den skade de har lidd,
(b) hvorvidt overtredelsen ble begått forsettlig eller uaktsomt,
(c) eventuelle tiltak truffet av den behandlingsansvarlige eller databehandleren for å
begrense skaden som de registrerte har lidd,
(d) den behandlingsansvarliges eller databehandlerens grad av ansvar, idet det tas
hensyn til de tekniske og organisatoriske tiltak de har gjennomført i henhold til
artikkel 25 og 32,
(e) eventuelle relevante tidligere overtredelser begått av den behandlingsansvarlige
eller databehandleren,
(f) graden av samarbeid med tilsynsmyndigheten for å bøte på overtredelsen og
redusere de mulige negative virkningene av den,
(g) kategoriene av personopplysninger som er berørt av overtredelsen,
(h) på hvilken måte tilsynsmyndigheten fikk kjennskap til overtredelsen, særlig om og
eventuelt i hvilken grad den behandlingsansvarlige eller databehandleren har
underrettet om overtredelsen,
(i) dersom tiltak nevnt i artikkel 58 nr. 2 tidligere er blitt truffet overfor den berørte
behandlingsansvarlige eller databehandler med hensyn til samme saksgjenstand, at
nevnte tiltak overholdes,
(j) overholdelse av godkjente atferdsnormer i henhold til artikkel 40 eller godkjente
sertifiseringsmekanismer i henhold til artikkel 42 og
(k) enhver annen skjerpende eller formildende faktor ved saken, f.eks. økonomiske
fordeler som er oppnådd, eller tap som er unngått, direkte eller indirekte, som
følge av overtredelsen.
Datatilsynet har vurdert momentene i artikkel 83 nr. 2 bokstav a–k grundig. Nedenfor tar vi
for oss de momentene vi anser som særlig relevante, og som vi har lagt stor vekt på.80 Dette
gjelder særlig bokstav a om karakteren, alvorlighetsgraden og varigheten av overtredelsene,
som vi mener tilsier at et overtredelsesgebyr er hensiktsmessig, og de formildende
80 Se PVN-2024-19 der Personvernnemnda begrenset seg til å kommentere de momentene den mente var av
størst betydning for den aktuelle saken.
27
omstendighetene under bokstav f og k. I dette tilfellet mener vi bokstav h også trekker noe i
skjerpende retning. Etter Datatilsynets oppfatning er momentene i artikkel 83 nr. 2 bokstav e,
i og j irrelevante i denne saken. Også momentene i artikkel 83 nr. 2 bokstav c, d og g er
mindre relevante. Vi mener disse momentene verken trekker i formildende eller skjerpende
retning.
6.2.2 Overtredelsenes karakter, alvorlighetsgrad og varighet
Overtredelsene i denne saken kan sanksjoneres etter det høyeste sanksjonsnivået i
personvernforordningen todelte system (dvs. artikkel 83 nr. 5). Personvernrådet har uttalt
følgende om i artikkel 83 nr. 2 bokstav a: «in setting up two different maximum amounts of
administrative fine (10/20 million EUR), [the GDPR] already indicates that a breach of some
provisions of the Regulation may be more serious than for other provisions».81
Vi merker oss dessuten at overtredelsene gjelder sentrale bestemmelser og prinsipper i
personvernforordningen og personvernlovgivningen, blant annet rettferdighetsprinsippet,
formålsbegrensning, rettslig grunnlag og den registrertes rettigheter. Mangel på
behandlingsgrunnlag i kombinasjon med manglende håndhevelse av de registrertes rettigheter
kan potensielt undergrave enkeltpersoners grunnleggende rettigheter i betydelig grad. Vi
finner derfor at overtredelsene er av en slik karakter at de berører sentrale deler av retten til
personvern.
Elkjøp er Nordens ledende forhandler innen forbrukerelektronikk og leverer produktene sine
direkte til kundene både på nett og gjennom mer enn 400 butikker. Elkjøp har rapportert om et
kundegrunnlag på 11 millioner, og at 6,7 millioner er medlem av kundeklubben.82 Det
grenseoverskridende elementet i denne saken og det store antallet kunder og
kundeklubbmedlemmer medfører at et stort antall registrerte er berørt. Datatilsynet mener at et
stort og multinasjonalt selskap som Elkjøp bør ha tilstrekkelige rutiner og prosedyrer på plass
for å kunne svare raskt og adekvat på rettighetsforespørsler fra registrerte, og rettslig grunnlag
for sin behandling av personopplysninger. I tillegg omfatter behandlingsaktivitetene
behandling av barns personopplysninger. Dette gjør overtredelsene mer alvorlige.
Når vi vurderer alvorlighetsgraden av overtredelsene, tar vi dessuten hensyn til at den aktuelle
behandlingen er knyttet til forretningsvirksomhet. Vi mener at formålet med behandlingen i
kundeklubben faller inn under Elkjøps kjernevirksomhet, ettersom dette er en måte Elkjøp kan
drive markedsføring på. Jo mer sentral behandlingen er for den behandlingsansvarliges
kjernevirksomhet, desto mer alvorlig vil eventuelle uregelmessigheter i denne behandlingen
være.83
81 Artikkel 29-arbeidsgruppens Guidelines on the application and setting of administrative fines for the purposes
of the Regulation 2016/679 (WP 253, vedtatt 3. oktober 2017) s. 9.
82 Se den endelige tilsynsrapporten punkt 3.3.1.2 og dokument 22/00049-4 «Tilsynsdokumentasjon til 2.6.2022
(del 1)», lysbilde 24.
83 Personvernrådets Guidelines 04/2022 on the calculation of administrative fines under the GDPR punkt 4.2.1
avs. 53 bokstav b punkt iii.
28
Når det gjelder varigheten av overtredelsene, opplyser Elkjøp til Datatilsynet at kundeklubben
ble etablert i Norge, Danmark og Finland i 2019 og i Sverige i 2016. Kundematch-verktøyet
ble tatt i bruk i juni/juli 2022, etter en prøveperiode.84 Etter det stedlige tilsynet delte Elkjøp
dokumentasjon som viste at det var ubesvarte anmodninger fra registrerte tilbake til februar
2021.85
På bakgrunn av det ovennevnte mener vi at overtredelsen er middels alvorlig. Overtredelsens
karakter og alvorlighetsgrad, samt varigheten av overtredelsene, er skjerpende.
I denne saken var det flere registrerte som gjorde Datatilsynet oppmerksom på noen av
overtredelsene, som følge av at Elkjøp unnlot å behandle kravene som forskjellige registrerte
gjorde Elkjøp oppmerksom på i løpet av en treårsperiode. Datatilsynet anser dette som
skjerpende, jf. artikkel 83 nr. 2 bokstav h.86
6.2.3 Skyldkravet (hvorvidt overtredelsen ble begått forsettlig eller uaktsomt)
Som nevnt i punkt 6.1 er forsett eller uaktsomhet et vilkår for ileggelse av overtredelsesgebyr
etter artikkel 83 nr. 2.
I tillegg til å være et vilkår for ileggelse av overtredelsesgebyr er overtredelsens forsettlige
eller uaktsomme karakter også et moment i vurderingen av om det skal ilegges et
overtredelsesgebyr, og ved utmålingen av beløpet, jf. artikkel 83 nr. 2 bokstav b.
Som EU-domstolen har bemerket, «it is not necessary for there to have been action by or even
knowledge on the part of the management body of that legal person» for å konstatere skyld.87
Forsett foreligger når en behandlingsansvarlig begår en handling som dekker beskrivelsen av
overtredelsen i den aktuelle bestemmelsen, med hensikt eller bevissthet om at handlingen
sikkert eller mest sannsynlig dekker gjerningsbeskrivelsen.88 Dette innebærer at den
behandlingsansvarlige må være klar over alle de relevante faktiske omstendighetene som
utgjør overtredelsen. På den annen side er det ikke nødvendig å fastslå at den
behandlingsansvarlige var klar over at handlingen var ulovlig.89
Datatilsynet mener at overtredelsene i dette tilfellet ble begått forsettlig. Elkjøp, herunder
personer i relevante ledende stillinger og ansatte hos Elkjøp, har bevisst valgt den aktuelle
84 Se den endelige tilsynsrapporten punkt 3.3.1.2.
85 Ibid. punkt 3.4.2.2.
86 Datatilsynet erkjenner at Elkjøp ikke var forpliktet til å rapportere overtredelsene til oss på eget initiativ, og at
det ikke er en skjerpende omstendighet at en behandlingsansvarlig ikke umiddelbart har rapportert en
overtredelse til Datatilsynet. Den behandlingsansvarliges uaktsomme opptreden før tilsynsmyndigheten ble
kjent med den eller de aktuelle overtredelsen(e), som til slutt utløste tilsynets involvering i saken, kan også
vektlegges av Datatilsynet som noe som tilsier en strengere straff. Se artikkel 29-arbeidsgruppens Guidelines on
the application and setting of administrative fines for the purposes of the Regulation 2016/679 (WP 253, vedtatt
3. oktober 2017) s. 15.
87 Se C-807/21 Deutsche Wohnen SE v Staatsanwaltschaft Berlin avs. 76–77.
88 Se straffeloven § 22. Det følger av Høyesteretts praksis at utgangspunktet er at skyldkravet må tolkes på
samme måte som i strafferetten, jf. Rt-2012-1556 avs. 63.
89 Rt-2015-1124 avs. 11.
29
samtykkeløsningen. Utformingen av samtykket var et bevisst kommersielt valg. Enhver
misforståelse eller feiltolkning av lovens krav kan ikke anses som unnskyldelig.90 Elkjøp
hadde drøftet løsningen internt, og erkjent at det var en risiko for at datatilsynsmyndighetene
ville komme til at samtykkeløsningen var i strid med personvernforordningen.91
På samme måte har Elkjøp aktivt valgt å bruke verktøyene kundematch og offline-
konverteringer. Elkjøps vurderinger av verktøyenes lovlighet har imidlertid ikke vært i tråd
med kravene i personvernforordningen. Uavhengig av om Elkjøp selv mente at disse
vurderingene var tilfredsstillende, er bruken av disse verktøyene og måten vurderingene ble
gjennomført på, bevisste handlinger. Vi mener derfor at disse overtredelsene ble begått med
forsett.92
Videre har Elkjøp oversittet fristen for behandling av forespørsler fra registrerte over en
betydelig tidsperiode. Retteforespørsler er automatisk blitt kategorisert som «komplekse», noe
som har ført til at fristen er blitt forlenget. Dette systematiske problemet var ikke blitt håndtert
og løst, selv om problemene hadde eksistert i hvert fall siden desember 2021. Elkjøp har
opplyst at de var kjent med dette, men at de opplevde tekniske problemer. Dette kan være en
forklaring, men det unnskylder eller fritar ikke Elkjøp fra det faktum at bruk av den tekniske
løsningen var resultatet av et bevisst valg.
Det er ikke nødvendig å vise til identifiserte personer som har opptrådt uaktsomt eller
forsettlig på vegne av selskapet, utover å påpeke at noen åpenbart har tatt valgene på vegne av
Elkjøp.93
Etter Datatilsynets oppfatning er overtredelsene derfor forsettlige. Graden av skyld tilsier at
det er grunnlag for et gebyr i denne saken, og at gebyret bør være av en viss størrelse.
Elkjøps kommentarer til forhåndsvarselet
Elkjøp erkjenner i sine skriftlige merknader at samtykkeløsningen for kundeklubben, samt
bruken av kundematch og offline-konverteringer, var bevisste forretningsvalg. Elkjøp hevder
likevel at løsningene og verktøyene ikke ble tatt i bruk med viten og vilje for å bryte
personvernforordningen, og at det derfor ikke er grunnlag for et overtredelsesgebyr. For det
første understreker vi at forsett ikke er en forutsetning for ileggelse av overtredelsesgebyr.
Uaktsomme overtredelser er også omfattet, som forklart nedenfor. For det andre er begrepet
forsett knyttet til den behandlingsansvarliges bevissthet om selve handlingen, ikke til den
behandlingsansvarliges bevissthet om at handlingen er ulovlig.
I denne forbindelse viser vi til EU-domstolens dom i Deutsche Wohnen-saken. Ved tolkning
av begrepet skyld presiserte domstolen at en behandlingsansvarlig kan sanksjoneres “whether
90 Se straffeloven § 26: «Den som på handlingstidspunktet på grunn av uvitenhet om rettsregler er ukjent med at
handlingen er ulovlig, straffes når uvitenheten er uaktsom.»
91 Se dokument 22/00049-9 «Svar på spørsmål etter dag 1», lysbilde 5.
92 Se den endelige tilsynsrapporten punkt 3.3.1.2. Se også dokument 22/00049-4 «Tilsynsdokumentasjon til
2.6.2022 (del 2)», lysbilde 7.
93 Jf. HR-2022-1271-A avs. 36–50 og C-807/21 Deutsche Wohnen SE v Staatsanwaltschaft avs. 44–46 og 51.
30
or not it is aware that it is infringing the provisions of the GDPR».94 Borgarting lagmannsretts
hadde en liknende tilnærming i LB-2024-154313 (Grindr), der retten konkluderte med at
Grindr handlet forsettlig fordi personer som handlet på vegne av Grindr, var klar over og tok
et bevist valg om å gjennomføre handlingene som utgjorde overtredelsene av
personvernforordningen.95
Overtredelsens forsettlige eller uaktsomme karakter er eksplisitt oppført som et av momentene
tilsynsmyndigheten må ta hensyn til i avgjørelsen om det skal ilegges overtredelsesgebyr, og
utmålingen av gebyrets størrelse, jf. personvernforordningen artikkel 83 nr. 2 bokstav b.
Forsettlige overtredelser – selv der den behandlingsansvarlige ikke var klar over at
handlingene var ulovlige – anses generelt som mer alvorlige enn uaktsomme overtredelser.
Elkjøps anførsel om at de ikke hadde forsett om brudd på personvernforordningen, må derfor
avvises. For det første utelukker ikke manglende forsett i seg selv ansvar, og for det andre
finner vi det bevist at atferden som utgjorde overtredelsene av personvernforordningen, var
forsettlig etter personvernforordningen artikkel 83 nr. 2 bokstav b.
6.2.4 Samarbeid med tilsynsmyndigheten og lang saksbehandlingstid
Datatilsynet mener Elkjøps samarbeid er en formildende omstendighet etter artikkel 83 nr. 2
bokstav f. Elkjøp har vært samarbeidsvillig gjennom hele tilsynet.
Videre ser det ut til å være en økende bevissthet og kunnskap om personvern i Elkjøp, og det
har vært en positiv utvikling de siste årene. Elkjøp avdekket selv noen overtredelser, og
iverksatte prosesser for å rette opp i dette umiddelbart etter det stedlige tilsynet. For eksempel
har Elkjøp informert oss om at de ferdigstilte og implementerte en teknisk løsning for
håndtering av retteforespørsler i juni 2023, og at de har fått på plass en løsning som gjør at
kunder kan melde seg av nyhetsbrev via Min side.96
Personvernnemndas praksis tilsier at lang saksbehandlingstid er et moment som skal vurderes
etter personvernforordningen artikkel 83 nr. 2 bokstav k.97 I dette tilfellet har
saksbehandlingstiden vært betydelig. Selv om dokumentasjonen er omfattende og tilsynet i
utgangspunktet hadde et bredt omfang, forsvarer ikke sakens kompleksitet
saksbehandlingstiden. En del av forsinkelsen skyldes treg fremdrift fra Datatilsynets side. Vi
mener at dette er en formildende omstendighet.
Vi har tatt hensyn til disse formildende omstendighetene i utmålingen av gebyrets størrelse, jf.
punkt 6.4 nedenfor.
94 Se C-807/21 Deutsche Wohnen SE v Staatsanwaltschaft avs. 76. Se analogisk C-681/11 Schenker & Co. and
Others, EU:C:2013:404, avs. 37 og den siterte rettspraksisen.
95 Se LB-2024-154313 Grindr under avsnittet «Skyldkravet og graden av skyld»
96 Se Elkjøps kommentarer til den foreløpige tilsynsrapporten, 22.06.2023.
97 Se avgjørelsene PVN-2021-03, PVN-2021-13, PVN-2021-16, PVN-2022-03 og PVN-2024-19.
31
6.2.5 Elkjøps kommentarer til forhåndsvarselet
Elkjøp anfører at de formildende omstendighetene ikke er tillagt tilstrekkelig vekt ved
vurderingen av om overtredelsesgebyr skal ilegges, og ved utmålingen av gebyrets størrelse.
Elkjøp anfører at det har skjedd flere forbedringer etter det stedlige tilsynet og antyder at
Datatilsynet ikke har lagt tilstrekkelig vekt på disse forbedringene.98 Til dette bemerker
Datatilsynet at det er tatt behørig hensyn til utviklingen etter tilsynet som formildende
omstendigheter, som forklart i punkt 6.4 nedenfor. Gebyret på 20 000 000 NOK er betydelig
lavere enn utgangspunktet i Personvernrådets retningslinjer, der 0,4–0,8 % av den globale
omsetningen (ca. 450 000 000–900 000 000 000 NOK) angis som utgangspunkt. Datatilsynet
har særlig tatt hensyn til den lange saksbehandlingstiden og den relevante utviklingen etter det
stedlige tilsynet.
Når det gjelder betydningen av forbedringer etter tilsynet, viser Datatilsynet også til
Borgarting lagmannsretts dom i Grindr-saken, som slår fast at endringer som er gjort for å
bringe et ulovlig forhold til opphør, ikke i seg selv kan anses som formildende.99 I lys av dette
mener Datatilsynet at det ikke er hensiktsmessig å redusere gebyret ytterligere.
Elkjøp anfører at gebyret burde ha blitt ytterligere redusert på grunn av den lange
saksbehandlingstiden. Elkjøp viser til Telenor-saken100 og hevder at Datatilsynets egen
praksis tilsier at lang saksbehandlingstid kan tilsi en større reduksjon av
overtredelsesgebyret.101 Til dette bemerker Datatilsynet at beslutningen om å redusere det
varslede gebyret i Telenor-saken hovedsakelig skyldtes at det etter varselet ble lagt fram nye
opplysninger som i vesentlig grad endret Datatilsynets konklusjoner og sakens
alvorlighetsgrad. Det er ikke situasjonen i dette tilfellet.
Datatilsynet merker seg også at Personvernnemndas vedtak av 17. november 2025
signaliserer en dreining mot en prosentvis gebyrreduksjon knyttet til hvor lenge en sak har
vært inaktiv.102 Datatilsynets vurdering og reduksjon basert på saksbehandlingstiden er
allerede mer gunstig for Elkjøp enn de prosentsatsene som ble lagt til grunn i
Personvernnemndas vedtak i etterkant av varselet.
Elkjøp viser videre til en påstått bransjepraksis, og hevder at et betydelig antall butikker
strukturerer kundeklubber og liknende markedsføringspraksis på tilsvarende måter.103
Datatilsynet mener at dette ikke kan anses formildende. Dette standpunktet er i tråd med
Borgarting lagmannsretts avgjørelse i Grindr-saken. I den saken advarte domstolen om at
dersom utbredt ulovlig bransjepraksis skulle vektlegges i formildende retning, ville det kunne
svekke overtredelsesgebyrets avskrekkende effekt. Det ville også ha undergravet formålet
98 Se Elkjøps kommentarer til varselet s. 14.
99 Se LB-2024-154313 Grindr s. 32.
100 Se Datatilsynets sak 21/03823.
101 Se Elkjøps kommentarer til varselet s. 14–15.
102 Se PVN-2025-30 s. 11.
103 Se Elkjøps kommentarer til varselet s. 17.
32
med personvernforordningens håndhevingsregime. At mange i bransjen bryter loven
underbygger snarere enn reduserer behovet for et gebyr med avskrekkende virkning.104
For ordens skyld understreker vi at vi ikke har ilagt Elkjøp noen sanksjon for manglende
aldersverifiseringstiltak, og vi anser derfor ikke Elkjøps anførsel på dette punktet som
relevant.
Ifølge Elkjøp har Datatilsynet hevdet at det fortsatt pågår overtredelser. Dette er ikke korrekt,
ettersom Datatilsynet bare har vurdert Elkjøps etterlevelse på tilsynstidspunktet.
6.3 Konklusjon om hvorvidt det skal ilegges et overtredelsesgebyr
Datatilsynet mener at de skjerpende omstendighetene veier tyngre enn de formildende i
vurderingen av om det skal ilegges overtredelsesgebyr i denne saken. Et overtredelsesgebyr er
nødvendig for å ha en reell avskrekkende virkning og hindre Elkjøp, så vel som andre
selskaper, fra å begå lignende overtredelser i framtiden, jf. personvernforordningen artikkel
83 nr. 1, som fastslår at overtredelsesgebyr skal være virkningsfulle, stå i et rimelig forhold til
overtredelsen og virke avskrekkende. Håndhevingen må skape tilstrekkelig press til at det i
praksis blir økonomisk uattraktivt ikke å overholde regelverket.105
6.4 Utmåling av overtredelsesgebyret
Utmåling av gebyr er ikke en matematisk presis øvelse.106 Tilsynsmyndighetene har en viss
skjønnsmargin i denne sammenheng.107
Ved utmålingen følger det av EU-domstolens praksis at «where the addressee of the
administrative fine is or forms part of an undertaking, within the meaning of Articles 101 and
102 TFEU, the maximum amount of the administrative fine is calculated on the basis of a
percentage of the total worldwide annual turnover in the preceding business year of the
undertaking concerned »,108 jf. også personvernforordningens fortalepunkt 150.109
104 Se LB-2024-154313 Grindr s. 31.
105 Se generaladvokatens forslag til avgjørelse i C-304/02 Commission v. France avs. 39.
106 Se blant annet T-425/18 Altice Europe NV v Commission avs. 362 og T-11/06 Romana Tabacchi v Commission
avs. 266.
107 Se blant annet T-192/06 Caffaro Srl v Commission avs. 38. Tilsynsmyndighetene bør likevel angi hvilke
omstendigheter som har påvirket skjønnsutøvelsen når de fastsetter et gebyr, jf. Personvernrådets Decision
01/2022 on the dispute arisen on the draft decision of the French Supervisory Authority regarding Accor SA under
Article 65(1)(a) GDPR, vedtatt 15. juni 2022, avs. 75.
108 Se C-807/21 Deutsche Wohnen SE v Staatsanwaltschaft Berlin avs. 57 og C-383/23 Anklagemyndigheden v.
ILVA A/S avs. 23. Se også Guidelines 4/2022 on the calculation of administrative fines under the GDPR s. 36. I
et annet tilfelle har Personvernrådet dessuten fattet et bindende vedtak med instruks til datatilsynsmyndigheten
om å ta hensyn til den samlede omsetningen til alle de selskapene som inngår i det enkelte foretak, dvs. den
samlede omsetningen til konsernet som ledes av morselskapet. Se Binding decision 3/2022 on the dispute
submitted by the Irish SA on Meta Platforms Ireland Limited and its Facebook service (Art. 65 GDPR) vedtatt 5.
desember 2022, avs. 356.
109 I personvernforordningens fortalepunkt 150 står det følgende: «Dersom et foretak ilegges overtredelsesgebyr,
bør et foretak for disse formål forstås som et foretak i henhold til artikkel 101 og 102 i TEUV.»
33
Elkjøp Nordic AS og Elkjøp Norge AS eies av Currys plc (Dixon group) (heretter «Currys»),
en ledende forhandler av teknologiprodukter og -tjenester, som opererer på nett og gjennom
708 butikker i 6 land.110 I dette tilfellet bør overtredelsesgebyret derfor beregnes på grunnlag
av en prosentandel av Currys’ årlige omsetning.111
Overtredelsene i denne saken kvalifiserer til overtredelsesgebyr etter personvernforordningen
artikkel 83 nr. 5, jf. bestemmelsens bokstav a og b. Maksimumsbeløpet etter
personvernforordningen artikkel 83 nr. 5 er 20 000 000 EUR, eller dersom det dreier seg om et
foretak, opptil 4 % av den samlede globale årsomsetningen i forutgående regnskapsår, der det
høyeste beløpet anvendes.
Ved utmåling av overtredelsesgebyret tar Datatilsynet hensyn til Currys’ omsetning i det
forutgående regnskapsår.112 Ifølge årsregnskapet i Currys’ årsrapport 2024/25 var Currys’
samlede omsetning i 2024/25 på 8 706 000 000 GBP,113 som omregnet tilsvarer ca.
108 563 800 000NOK114 og 10 052 205 000 EUR.115
I henhold til Personvernrådets veiledning 4/2022 er det første trinnet ved utmåling av
overtredelsesgebyr å fastsette startbeløpet. Ettersom vi har konkludert med at overtredelsene
er middels alvorlige og Currys har en omsetning på over 500 millioner euro, bør startbeløpet
for gebyret ligge innenfor intervallet 0,4–0,8 % av omsetningen. Etter dette vil størrelsen på
overtredelsesgebyret ligge et sted mellom 434 255 000 og 868 510 000kroner.
Basert på momentene i artikkel 83 nr. 2 bokstav a–k mener vi at overtredelsene er middels
alvorlige, men i nedre del av skalaen. Vi mener imidlertid at det ikke er nødvendig å ilegge et
overtredelsesgebyr innenfor intervallet for startbeløp i Personvernrådets veiledning på 0,4–
0,8 % av (den globale) omsetningen for at gebyret skal være virkningsfullt og virke
avskrekkende i dette tilfellet.
I lys av alle de relevante momentene i artikkel 83 nr. 2 bokstav a–k, og særlig med tanke på
formildende omstendigheter som den lange saksbehandlingstiden og utviklingen etter tilsynet,
konkluderer vi med at gebyret bør være betydelig lavere enn 0,4 % av omsetningen (noe som
ville tilsvare ca. 450 000 000 NOK). Et lavere beløp vil fortsatt være virkningsfullt og virke
avskrekkende i dette tilfellet, samtidig som det vil være forholdsmessig.
Vi mener at et overtredelsesgebyr på 20 000 000 NOK ikke er uforholdsmessig høyt og ikke
er høyere enn nødvendig i denne saken for å oppnå formålet med personvernforordningen.
110 Se den endelige tilsynsrapporten punkt 3.1.1.2 og Currys nettsted på https://www.currysplc.com/our-brands/,
besøkt 27. mai 2026.
111 Se Personvernrådets Guidelines 04/2022 on the calculation of administrative fines under the GDPR avs. 124.
Se også C-383/23 Anklagemyndigheden v. ILVA A/S avs. 23, 29 og 36.
112 Guidelines 4/2022 on the calculation of administrative fines under the GDPR s. 38.
113 Se Currys årsrapport og regnskap 2024/25, sist besøkt på Results, Reports & Presentations | Currys PLC, 24.
mars 2026.
114 Basert på dagskursen 27. mai 2026 på 12,47 for GBP mot NOK, oppgitt av Norges Bank, Valutakurser
(norges-bank.no), sist besøkt 27. mai 2026.
115 Basert på dagskursen 24. mars 2026 på 10,80 for EUR mot NOK, oppgitt av Norges Bank, Valutakurser
(norges-bank.no), sist besøkt 27. mai 2026.
34
Dette betyr ikke at et overtredelsesgebyr på 0,4–0,8 % av omsetningen ikke kan være
hensiktsmessig i andre saker med lignende overtredelser. I denne saken er det noen momenter
som taler for en betydelig reduksjon av gebyret – særlig Elkjøps innsats for å forbedre
etterlevelsen mer generelt, den lange saksbehandlingstiden hos Datatilsynet, og at det ikke er
bevist at det er behandlet sensitive personopplysninger. I andre tilfeller, i fravær av slike
omstendigheter, kan det være nødvendig med et overtredelsesgebyr innenfor ovennevnte
gebyrintervall (eller høyere).
7. Klageadgang
Dette vedtaket er fattet av Datatilsynet i samsvar med personvernforordningen artikkel 56 og
kapittel VII og kan derfor ikke påklages til Personvernnemnda jf. personopplysningsloven §
22 annet ledd. Dette vedtaket kan imidlertid prøves for norske domstoler i henhold til
personvernforordningen artikkel 78 nr. 1.
8. Offentlighet
Elkjøp AS og Elkjøp Nordic AS – som parter i denne saken – har i medhold av
forvaltningsloven §§ 18 og 19 rett til å gjøre seg kjent med sakens dokumenter.
Datatilsynet er underlagt offentlighetsloven, og utgangspunktet er at saksdokumenter er
offentlige, jf. lovens § 3. Dersom Elkjøp mener det er grunnlag for å unnta hele eller deler av
dokumentet fra offentlig innsyn ber vi om at det begrunnes.
Beste hilsen
Line Coll
direktør
Tobias Judin
seksjonssjef, internasjonal
seksjon
Dette brevet er elektronisk godkjent og har derfor ingen håndskrevne signaturer
35