Commission Nationale de l’Informatique et des Libertés (CNIL) har utfärdat en sanktionsavgift om 900 000 euro mot Solocal Marketing Services för överträdelser av dataskyddsförordningen (GDPR).
Av beslutet framgår att Solocal Marketing Services är ett reklamföretag som erbjuder företag att genomföra direktmarknadsföringskampanjer för deras räkning via SMS eller e-post. Bolaget överför även personuppgifter till företag så att dessa själva ska kunna utföra direktmarknadsföringen. För detta ändamål köpte Solocal Marketing Services personuppgifter från datamäklare, som samlade in uppgifterna via webbplatsers anmälningsformulär för speltävlingar eller produkttester online.
CNIL genomförde en tillsyn på plats under 2022 och informerade Solocal Marketing Services om sina slutsatser i juli 2024. Inledningsvis konstaterade CNIL att Solocal Marketing Services agerade som personuppgiftsansvarig genom att utföra direktmarknadsföring för sina kunders räkning samt genom att överföra personuppgifter till företag för att dessa själva skulle kunna bedriva direktmarknadsföring. CNIL bedömde även att Solocal Marketing Services i vissa fall kunde vara gemensamt personuppgiftsansvarig tillsammans med sina samarbetspartner.
För det första fann CNIL att det sätt på vilket samtycke samlades in via onlineformulären inte uppfyllde kraven enligt GDPR eller nationell lagstiftning. Formulärens utformning möjliggjorde inte att användaren kunde lämna ett fritt, specifikt och otvetydigt samtycke. Knappar som tillät behandling för direktmarknadsföringsändamål gavs en betydligt mer framträdande placering än alternativen att avstå från sådan behandling. Enligt CNIL måste den registrerades viljeyttring ha ett tydligt och direkt samband med den aktuella behandlingen och kan inte härledas indirekt. Detta stöds av EU-domstolens rättspraxis, bland annat i målet Planet49. All form av otillbörlig påverkan som hindrar den registrerade från att fritt utöva sin vilja medför att samtycket är ogiltigt. Solocal Marketing Services kunde därmed inte åberopa samtycke som rättslig grund enligt artikel 6.1 (a) GDPR, eftersom kraven i artikel 4.11 och artikel 7 GDPR inte var uppfyllda.
CNIL ansåg vidare att Solocal Marketing Services avtalsåtgärder gentemot datamäklarna inte var tillräckliga. Den avtalsrättsliga ramen var allmänt hållen och lade ett betydande ansvar på de aktörer som samlade in personuppgifterna. Enligt CNIL har Solocal Marketing Services en proaktiv skyldighet att genomföra regelbundna kontroller samt att vidta nödvändiga åtgärder när insamlade uppgifter inte uppfyller kraven. Bolaget hade dessutom inte kunnat visa att de registrerade faktiskt hade lämnat sitt samtycke till behandling av deras personuppgifter för direktmarknadsföring, i strid med artikel 7.1 GDPR och nationell lagstiftning. Detta bedömdes som särskilt allvarligt i förhållande till en av datamäklarna, eftersom Solocal Marketing Services trots upprepade förfrågningar inte lyckades få tillgång till någon relevant dokumentation.
Slutligen fann CNIL att den rättsliga grunden för överföringen av personuppgifterna var ogiltig. Enligt artikel 6.1 (f) GDPR kan den registrerades intressen och grundläggande rättigheter väga tyngre än den personuppgiftsansvariges berättigade intressen, särskilt med hänsyn till den registrerades rimliga förväntningar. CNIL konstaterade att Solocal Marketing Services inte kunde stödja sig på berättigat intresse i detta fall, eftersom de registrerade inte hade informerats om behandlingen och därför inte rimligen kunde ha förväntat sig den.
Mot denna bakgrund utfärdade CNIL en sanktionsavgift om 900 000 euro mot Solocal Marketing Services och förelade bolaget att upphöra med direktmarknadsföring i avsaknad av giltigt samtycke. Överträdelsens allvar och det stora antalet berörda registrerade beaktades som försvårande omständigheter.