Höga böter för Carrefour och Mercadona

Matjättarna Carrefour och Mercadona åkte fast och fick skyhöga böter för allvarliga brott mot dataskyddslagen.

Att vi blir observerade när vi handlar är väl idag ingen överraskning för någon. Men nu avslöjas det att det inte bara är övervakningskameror som ser dig när du handlar. Du använder ditt kundkort för att spara några cent och samtidigt ger du värdefull information om vad du handlar, när du gör det och hur du betalar. Alla dessa uppgifter samlas in, med syfte att göra din upplevelse bättre, sägs det.

Idag använder dessa jättar även ansiktsigenkänning, de raderar övervakningsfilmer, har bristande datasäkerhet, mm.

Carrefour:

Carrefour blev fällda på flera punkter och man kan inte påstå att de gjorde något enkelt misstag. AEPD (La Agencia Española de Protección de Datos y el Consejo General de la Psicología) Spaniens dataskyddsmyndighet bötfällde Carrefour med 3,2 miljoner euro nu i år. Det ger en fingervisning om en rad överträdelser som drabbade mer än 120.000 kunder.

Så, rent konkret vad blev de fällda för?

Dålig datasäkerhet, där kundinformation inte skyddades tillräckligt.
Otillräckligt svar på förfrågningar, när folk ber om att deras uppgifter ska raderas eller korrigeras, blir de ignorerade.
Samtyckesdata behandlades utan att användarna helt förstod eller samtyckte till vad som hände.

Detta är ett systematiskt mönster av försummelse som gjorde kunderna sårbara och exponerade dem för regelbundna hot. Allt från biometrisk spårning till att ignorera begäran om dataåtkomst är inte isolerade incidenter. Helt tydligt finns det en växande övervakningskultur inom detaljhandeln. Dina vanor, ditt ansikte och till och med hur du rör dig i butiken loggas i kundupplevelsens namn.

Mercadona:

Mercadona, den mest omtyckta butikskedjan, är inte bättre. Deras integritetsproblem var snarare värre och betydligt mer invasiv för kunderna. Bara under 2021 lanserade Mercadona ett ansiktsigenkänningssystem i 48 av sina butiker. Målet var att upptäcka personer med besöksförbud eller med kända brottsregister.

Men verkligheten var en helt annan.

Varje enskild kund som gick genom dörrarna skannades utan informerat samtycke.
Systemet behandlar biometriska uppgifter, som enligt dataskyddslagen GDPR, hör till de känsligaste typer av uppgifter.

Spaniens dataskyddsmyndighet AEPD ogillade detta starkt. De bötfällde Mercadona med 2,52 miljoner euro. De sa att programmet var olagligt, oproportionerligt och helt onödigt. Samtidigt hänvisade de till brott mot flera artiklar i dataskyddslagen GDPR, bland annat att tekniken inte hade rättfärdigats och att konsumenternas rättigheter inte skyddades.

Här är det också värt att notera att Mercadona vägrade att ge ut ett klipp från övervakningsfilmerna när en kund hade skadats i en av deras butiker. Det blev böter för det också och nu är de uppe i 2,7 miljoner euro. Man behöver inte vara någon ekonomisk expert för att förstå att den notan i sista änden hamnar hos kunderna.

Dessa böter skickar en signal om att inte ens de stora handelsjättarna kan behandla dina data som papperslappar som kan slängas hur som helt.

Vad samlar stormarknaderna egentligen in från oss kunder?

De skannar inte bara varor, de skannar framför allt sina kunder. Utan att vi ens inser det, samlar de rutinmässigt in stordata som dessa:

Kundkortsaktivitet. Det inkluderar vad du köper, hur ofta du gör inköp, var och när du gör det.
Betalningsuppgifter som är kopplade till din identitet och dina shoppingvanor.
Onlinebeteende, som sökningar, klick,tangenttryckningar och oavslutade köp.
Ansiktsigenkänning, visserligen ovanligt, men Mercadona gjorde det.
CCTV-bilder används i säkerhetssyfte, men är inte alltid tillgängliga ens när myndigheter begär det.

Sammantaget används all denna stordata för att bygga en detaljerad bild av en typisk kund, främst i marknadsföringssyfte. Det kan också användas för beteendespårning, prediktiv modellering och i vissa fall, omfattande säkerhetsövervakning. En del av detta är olagligt, men även om det görs helt transparent faller mycket av detta inom en gråzon. Det gäller specifikt när kunderna inte är fullt ut informerade eller inte kan avstå eller välja bort.

Vad man som kund kan göra.

Varför ska man ens bry sig om att butikerna övervakar en? Jo, för att det handlar inte bara om dina inköp. Det handlar också om din integritet, dina rättigheter och ditt förtroende. När väl informationen om dina inköp, dina vanor och ditt ansikte är ute i cyberrymden kan du inte ta tillbaka uppgifterna. Fallen med Carrefour och Mercadona visar detta tydligt. Lagar finns, men åtlydnad och eventuella straff kommer först när skadan redan har skett.

Som kund kan du vidta följande åtgärder:

Be om dina uppgifter, stormarknader (gäller alla företag) är enligt lag skyldiga att tillhandahålla dem.
Granska kundkortsbehörigheterna i appinställningarna om ditt kundkort är webbaserat.
Klaga till AEPD om du anser att dina rättigheter har kränkts.

Tills dessa stormarknader tar dataskyddslagen på lika stort ansvar som livsmedelssäkerheten är det vi kunder som förlorar. De har makten i sin övervakning och datainsamling och vi hålls ovetande.