Nyhetsbrev och GDPR: det här gäller för e-postutskick

Ett nyhetsbrev är marknadsföring, och för e-postmarknadsföring gäller flera regelverk samtidigt: marknadsföringslagen styr när ni får skicka, och dataskyddsförordningen (GDPR) styr hur ni får behandla personuppgifterna. Det här är en genomgång av huvudreglerna, inte juridisk rådgivning. Vid osäkerhet, fråga en jurist eller läs myndigheternas vägledning.

Två frågor, två regelverk

1. Får vi skicka mejlet? Marknadsföringslagen (2008:486).
2. Hur får vi behandla adresslistan och uppgifterna? Dataskyddsförordningen (GDPR).

Båda ska uppfyllas.

Skicka till privatpersoner: samtycke i förväg

Enligt marknadsföringslagen (19 §) får en näringsidkare vid marknadsföring till en fysisk person använda e-post och liknande automatiska system för individuell kommunikation bara om personen i förväg har samtyckt. Det är det som kallas opt-in. Skyddet gäller enligt förarbetena även personer som driver enskild firma.

Det innebär att ni normalt behöver ett aktivt samtycke innan ni lägger till någon i ett nyhetsbrev. En förikryssad ruta eller att någon lämnat sin adress i ett annat sammanhang räcker normalt inte.

Undantag: befintliga kunder

Samtyckeskravet faller bort i en snäv situation. Har ni fått personens e-postadress i samband med en försäljning av en produkt till personen får ni skicka marknadsföring om ni uppfyller tre villkor:

1. personen har inte motsatt sig att adressen används i marknadsföringssyfte,
2. marknadsföringen gäller era egna, likartade produkter,
3. personen kan enkelt tacka nej till fler utskick, vid insamlingen och i varje utskick.

Undantaget gäller alltså inte alla kontakter, och inte marknadsföring av vad som helst.

Skicka till företag

För juridiska personer, till exempel ett aktiebolag eller en myndighet, krävs inte samma samtycke. Men meddelandet måste innehålla en giltig adress dit mottagaren kan skicka en begäran om att marknadsföringen upphör. Det kravet gäller även här.

Det finns dock en gräns som är lätt att missa: en personlig e-postadress på ett företag, som fornamn.efternamn@foretag.se, kan räknas som en personuppgift, och den som får brevet är en fysisk person. Hur lagen ska tillämpas i den situationen är inte alltid självklart. Om ni skickar till personliga jobbadresser, särskilt till enskilda näringsidkare, bör ni vara försiktiga och hellre ta samtycke. Fråga en jurist om ni är osäkra.

GDPR: vad ni behöver ha på plats

E-postadresser som kan kopplas till en person är personuppgifter. Det betyder att ni behöver:

En rättslig grund

För nyhetsbrev är samtycke en vanlig och ofta lämplig rättslig grund. Dataskyddsmyndigheten IMY beskriver just nyhetsbrev som ett typfall. Samtycket ska vara frivilligt, specifikt, informerat och aktivt, och ni ska kunna visa att ni har det. Det betyder att ni sparar när, hur och vad personen samtyckte till.

Information

Berätta tydligt vad ni använder uppgifterna till, hur länge ni sparar dem och hur personen kan ångra sig. Det ska stå i er integritetspolicy och vid anmälan.

Rätt att invända och att dra tillbaka samtycket

Rätten att invända mot direktmarknadsföring är enligt IMY absolut: säger någon nej måste ni sluta behandla uppgifterna för det ändamålet. Det ska vara lika lätt att avanmäla sig som att anmäla sig. Se till att varje utskick har en fungerande avanmälningslänk, och att den tas bort från listan direkt.

Ordning med leverantörer

Använder ni ett e-postverktyg behandlar leverantören uppgifter för er räkning. Då behövs ett personuppgiftsbiträdesavtal, och ni bör veta var uppgifterna lagras och om de förs ut ur EU.

Dokumentation

Skriv ned vad ni gör: vilka listor ni har, hur samtycke inhämtas, hur länge ni sparar, vem som ansvarar. Det är ert bevis om någon frågar.

Checklista

• Vi har ett aktivt samtycke från privatpersoner, eller uppfyller undantaget för befintliga kunder.
• För företagsadresser: varje utskick har en tydlig avanmälan, och vi är försiktiga med personliga adresser.
• Vi sparar samtycket: tidpunkt, källa och text.
• Anmälningsformuläret förklarar vad personen får och hur ofta.
• Det finns en fungerande avanmälan i varje brev, och den följs direkt.
• Vi har en integritetspolicy som beskriver behandlingen.
• Vi har ett biträdesavtal med vårt e-postverktyg.
• Vi har inte köpt eller hämtat adresser från andra källor utan samtycke.
• Vi städar listan regelbundet.

Vanliga misstag

• Att lägga till alla kontakter i nyhetsbrevet. Besökare på en mässa, kunder och bekanta är inte automatiskt prenumeranter.
• Förikryssade rutor.
• Att inte kunna visa samtycket.
• Att fortsätta skicka efter avanmälan.
• Att skicka marknadsföring från en lista som samlades in för något annat ändamål, till exempel kundservice.
• Att tro att B2B är fritt fram.

Läs också Nyhetsbrev för företag för hur ni bygger listan och skriver brevet, och Cookies och kakbanner för reglerna om spårning på webbplatsen.