一个人，一封邮件，五年，180 万欧元——GDPR 的「强制同意」被一个消费者一拳打穿了

目录

• 2021 年夏天，一个人没做错任何事
• 「不加入会员就不能取消营销」——他们把违法写在了官网上
• GDPR 的机器开始运转：从瑞典到挪威，投诉信走了两年
• 180 万欧元的罚单，和他从 Wiki 上发现的真相
• 「我都不知道我赢了」——比罚款更让我震惊的是这个细节
• 这件事和中国有什么关系
• 所以——隐私法在纸面上，和隐私法在工作中

---

2021 年夏天，一个人没做错任何事

2021 年 7 月，一个住在瑞典的人打开邮箱，发现自己的收件箱被一家北欧零售商的营销邮件淹没了。

名字叫 Elkjop（挪威）/ Elgiganten（瑞典），北欧最大的消费电子连锁，类似中国的苏宁或国美。他办了他们的会员卡——Elgiganten Kundklubb——然后开始收到大量营销邮件。

他想关掉它们。这很合理对不对？GDPR 第 21(2) 条写得明明白白：每个人都有绝对的权利反对直接营销。ePrivacy Directive 也说得很清楚：营销邮件要么经过你的同意，要么给你一个简单的方式在每封邮件底部取消订阅。

于是他找到了会员设置页面，想关掉营销通知。

按钮在哪？

找了半天发现——没有。关掉营销的唯一方式，是取消整个会员资格。

这里的关键细节不是「关不掉营销」——而是这家公司把「接受营销」写进了会员的准入条件里。你要么接受所有的营销邮件，要么别当会员。中间没有选项。

他发了一封邮件给公司的数据保护官。态度很平静，逻辑很清晰——把 GDPR 的法条一条条列出来，告诉他们这违法。

然后他收到了一封把违法事实白纸黑字确认下来的回信。

「不加入会员就不能取消营销」——他们把违法写在了官网上

回复里写的那句话，后来成了整个案子的核心证据：

「为了接收营销/优惠，成为会员俱乐部的成员是必要条件。」

翻译成人话：想要不被打扰？先别做会员。想做会员？就得接受所有营销。

他们把「强制」写在了回复里。 这就是教科书式的非自由同意——你放弃的是一个你本来就拥有的权利（不被打扰的权利），换取的是一个本来就不应该绑定在一起的东西（会员资格）。

GDPR 第 4(11) 条说得很清楚：同意必须是自由给出的。如果你说「不」就必须放弃你理应保有的东西，你的同意就是被迫的。

他没有停在那里。他做了任何一个认真维护自己权利的人会做的事——升级投诉。

他提交了正式的处理限制请求（GDPR 第 18 条），发了完整的主体访问请求（第 15 条），向瑞典监管机构 IMY 提交了投诉。他在邮件里问清楚了一切：法律依据、合法利益平衡测试、数据处理者名单、子处理者、国际传输——全都是 GDPR 赋予他的权利。

公司的回应是什么？指向一份含糊的隐私政策，然后把数据访问请求的截止日期延长到 90 天，理由是「复杂性」和「有限内部资源」。

GDPR 的机器开始运转：从瑞典到挪威，投诉信走了两年

这里有一个 GDPR 的机制问题。

Elkjop 这个会员俱乐部虽然在你瑞典的店里注册，但它是挪威母公司 Elkjop Nordic AS 运营的。根据 GDPR 的一站式服务机制，对企业的监管权归它的主要机构所在地——也就是挪威。

于是瑞典的 IMY 在 2022 年 9 月做出了决定：这个案子应该由挪威的 Datatilsynet 处理。他们把投诉转了过去。

然后——安静了很长时间。

不是那种「我们在调查」的安静，是彻底的静默。没有更新邮件，没有电话，没有任何通知。

两年多。一个人提交了一个合法的投诉，案子被转到了正确的国家，然后就像扔进了深海。

180 万欧元的罚单，和他从 Wiki 上发现的真相

2026 年 6 月 1 日，安静被打破了。

挪威 Datatilsynet 对 Elkjop 集团开出了 NOK 2000 万（约 180 万欧元） 的罚单，认定他们用于会员俱乐部的同意无效——同意是被迫的、缺乏特异性、会员未被充分告知。同时，公司还在未经兼容性评估（GDPR 第 6(4) 条）的情况下，把从会员收集的数据用于广告和转化追踪。

罚款的数字很漂亮，但这还不是最让我觉得荒诞的部分。

这件事的本人——那个 2021 年夏天坐在电脑前写邮件的人——是怎么知道的？

不是 IMY 通知他的。不是 Datatilsynet 通知他的。

他在一个志愿者运营的 Wiki 上看到了自己的案子。

对，GDPRhub——一个个人维基网站，由志愿者维护的 GDPR 案例数据库——他在一个普通周四的早上浏览时，发现自己的投诉编号和自己努力了五年的结果，挂在一个社区编辑的页面上。

GDPR 第 77(2) 条写得明明白白：监管机构有法定义务向投诉人告知案件的进展和结果。这不是礼貌，是法律写死的义务。他 2021 年提交给 IMY，IMY 转给了 Datatilsynet，案子最终开出了七位数的罚单——然后没有一个监管机构想到要通知那个启动一切的人。

「我都不知道我赢了」——比罚款更让我震惊的是这个细节

这位投诉人在文章里写了一段让我很安静的话。他说他给 IMY 写了信，要求他们在五个工作日内解释为什么没有通知他。如果答案不如预期，他准备启动欧盟的侵权程序——因为一个连最基本的告知义务都无法履行的监管机构，正是欧盟委员会应该审查的对象。

他不是第一次走这条路。之前 Phorm 案（英国非法拦截通信，未正确实施欧盟通信保密规则），他已经走过一次欧盟侵权程序。

「我多年来一直在说，隐私是个人化的，我是最字面意义上的那种——这是我的会员卡、我的收件箱、我的数据和我的投诉。」

这句话的力量在于它完全不是口号。

在 GDPR 的制度框架下，一个人的坚持是真的可以让一家北欧连锁巨头吐回 180 万的。不是靠集体诉讼、不是靠媒体曝光、不是靠政府施压——就靠一封邮件、一条正确的法律条文引用和五年的不放弃。

这件事和中国有什么关系

看到这里你可能在想——关我什么事？我又不在欧盟。

但中国的《个人信息保护法》（PIPL）在很多关键条款上和 GDPR 是结构对等的：

• PIPL 第 14 条：个人同意必须是在充分知情的前提下自愿、明确作出——和 GDPR 第 4(11) 条的「自由给予同意」几乎一字不差
• PIPL 第 16 条：不得以个人不同意处理其个人信息为由拒绝提供产品或者服务——和 Elkjop 案的核心（把同意绑进会员条件）直接对应
• PIPL 第 44-47 条：个人有权查阅、复制、更正、删除、撤回同意——覆盖 GDPR 第 15-18 条的访问和删除权

纸面上，中国的法律制度并不比欧盟差。

但现实是——你在中国的 App 上关不掉个性化推荐的时候，你知道去哪里投诉吗？你知道有哪个 App 因为把「同意个性化推荐」绑进「使用服务」而被罚过 180 万吗？

我试过。关闭某个主流国产应用的个性化推荐，你需要在 3 层菜单中找到「隐私设置」→「广告设置」→「兴趣推送」，然后看到一个灰色的小字开关。但这不算是「把同意绑进会员条件」——它只是藏得深。更深的问题是：没有人因为把选项藏起来而被罚过。

中国《个保法》2021 年 11 月生效，到现在快五年了。个人投诉的成功案例、监管机构的处罚案例，数量级和欧盟完全不在一个水平线上。

不是法律不行，是法律到执行的路径上，缺了一个「一个人可以启动的机制」。

GDPR 的伟大之处不在于它的条文比别的法律好——而在于它给了一个普通的、没有律师的、只想关掉营销邮件的人一套可操作的工具：投诉、访问请求、一站式转移、侵权赔偿。这些工具不需要你找媒体、不需要你搞舆论、不需要你认识谁。

你只需要一封信和一个五年的耐心。

所以——隐私法在纸面上，和隐私法在工作中

这个案子给我最大的触动不是 180 万欧元这个数字——虽然这个数字本身也让人很舒适。

而是那个细节：他是在一个 Wiki 上发现自己的胜利的。

这个细节同时说了两件事。一个是 GDPR 的监管机构在告知义务上的失职——这是值得批评的。但另一个更不动声色的事实是：GDPR 的案例数据被志愿者整理到了一个 Wiki 上，所有人都可以看、可以查、可以引用。

在中国，你试试找一个平台因为强制同意而被罚的公开案例。

你会找到什么？可能是一份新闻稿里提到「某 App 因违规收集信息被约谈」，三分之一的「被罚」其实是「被约谈」，罚款金额是不公开的。更关键的是——你不会知道是哪个人去投诉了，不会知道这个人投诉了什么法条，不会知道监管机构和平台的沟通逻辑是什么。

法律的透明度不只是「法条公开」，而是「执行公开」。

Elkjop 这个案子教会我的不是 GDPR 有多好——是一个人坚持五年是真的可以改变一家公司的行为的。公司收到的不仅是 180 万的罚单——他们收到了一份写在纸面上的判例，证明「把同意绑定在会员条件里」是违法的。下一个人不需要再花五年去证明这件事。

中国的《个保法》生效五年了。下一个五年，我希望能在某个 Wiki 上，看到有人引用中国的判例。

---

这篇文章的素材来自 HN 首页 343 分的一篇文章（thatprivacyguy.com），以及 GDPR 的公开案例数据。配图是原文的 OG 封面——一张北欧零售商的会员卡贴纸，画面里没有愤怒的抗议者，没有法庭，只有一张卡片和它背后的无数小字。这正是隐私问题的日常样貌。