GDPR og e-mailmarkedsføring: en praktisk guide til compliance

Hvad GDPR faktisk kræver af dig som e-mailmarkedsfører

Sagt lige ud: databeskyttelsesforordningen (forordning (EU) 2016/679) indeholder ingen regel om, at “du skal have samtykke for at sende en e-mail”. Det, den regulerer, er de persondata, der ligger bag dit e-mailprogram. Du skal have et retsgrundlag for at behandle dem, gennemsigtighed om dem, korrekthed, opbevaringsbegrænsning, sikkerhed og dokumentation for det hele. Artikel 5, stk. 2, siger det i én linje: den dataansvarlige “er ansvarlig for og skal kunne påvise, at” behandlingsprincipperne overholdes.

Reglen, der afgør, om du må trykke på send, står i et andet instrument, e-databeskyttelsesdirektivet. De fleste artikler om emnet slår de to sammen og kommer frem til det forkerte svar. At holde dem adskilt er hele pointen med denne guide.

Denne artikel er praktisk vejledning til markedsførere, ikke juridisk rådgivning. Den henviser til primære kilder, så du selv kan tjekke dem, men databeskyttelsesret håndhæves af nationale myndigheder og domstole, den nationale gennemførelse er forskellig, og dine konkrete forhold betyder noget. Før du ændrer et samtykkeflow, en slettefrist eller en overførsel til tredjelande, bør du søge rådgivning hos en kvalificeret rådgiver i din jurisdiktion.

GDPR og e-databeskyttelse: to instrumenter, én afsendelse

Hvad e-databeskyttelsesdirektivet siger

Direktiv 2002/58/EF, e-databeskyttelsesdirektivet, som ændret ved direktiv 2009/136/EF, fastsætter reglen for afsendelse. Artikel 13, stk. 1, tillader kun elektronisk post til direkte markedsføring over for abonnenter, der har givet deres forudgående samtykke. “Elektronisk post” er defineret bredt og teknologineutralt: Artikel 29-gruppens udtalelse 5/2004 bekræftede, at det dækker e-mailnyhedsbreve såvel som SMS og lignende lagrede beskeder. Artikel 13, stk. 2, indfører undtagelsen for eksisterende kunder, og artikel 13, stk. 4, forbyder markedsføringsmails, der skjuler afsenderens identitet eller mangler “en gyldig adresse, hvortil modtageren kan sende en anmodning om, at sådanne meddelelser ophører”.

Hvorfor det betyder noget i praksis

Samtykke er ikke defineret i e-databeskyttelsesdirektivet. Det henter sin betydning fra den generelle databeskyttelsesret: artikel 94, stk. 2, i GDPR fastsætter, at henvisninger til det ophævede direktiv 95/46/EF læses som henvisninger til GDPR. E-databeskyttelsesreglerne afgør altså hvornår der kræves samtykke til selve afsendelsen, og GDPR afgør hvad der tæller som samtykke, og hvordan du beviser det.

Du kan derfor godt have et gyldigt GDPR-grundlag for at opbevare og analysere en kontaktpost og alligevel ikke have ret til at sende e-mail til den person. Og fordi e-databeskyttelsesreglerne er et direktiv og ikke en forordning, gennemføres de i national ret, så detaljerne er forskellige fra medlemsstat til medlemsstat.

Sådan vælger du retsgrundlag for e-mailmarkedsføring

Samtykke

Samtykke efter artikel 6, stk. 1, litra a, er det, de fleste e-mailprogrammer til forbrugere hviler på, og med god grund: når e-databeskyttelsesreglerne alligevel kræver forudgående samtykke til afsendelsen, holder du én historie i stedet for to ved også at bruge samtykke som dit GDPR-grundlag. Prisen er, at det kan trækkes tilbage til enhver tid efter artikel 7, stk. 3.

Legitim interesse

Artikel 6, stk. 1, litra f, tillader behandling, der er nødvendig af hensyn til den dataansvarliges legitime interesser, medmindre den registreredes interesser eller grundlæggende rettigheder går forud. Præambelbetragtning 47 siger udtrykkeligt, at “behandling af personoplysninger med henblik på direkte markedsføring kan betragtes som foretaget i en legitim interesse”.

Den sætning bliver citeret i ét væk som argument for, at samtykke er valgfrit. Læs den grundigt. Den handler om GDPR-grundlaget for behandlingen, den siger “kan”, så du skal stadig foretage og dokumentere afvejningen, og den siger intet om e-databeskyttelsesreglen for selve afsendelsen. Legitim interesse er lettest at forsvare for behandlingen omkring dit program, for eksempel segmentering, undertrykkelse og analyse, og for B2B-kontakt, hvor nationale regler behandler erhvervsabonnenter anderledes. Det er et svagt fundament for kold forbruger-e-mail i EU.

Blødt opt-in for eksisterende kunder

Artikel 13, stk. 2, i e-databeskyttelsesdirektivet er den reelle undtagelse. Når en part får kunders e-mailoplysninger “i forbindelse med salg af et produkt eller en tjenesteydelse”, må den samme part bruge dem til at markedsføre “sine egne tilsvarende produkter eller tjenesteydelser”, forudsat at kunderne “klart og tydeligt gives mulighed for gratis og på en nem måde at gøre indsigelse” både ved indsamlingen og i hver efterfølgende besked.

Artikel 29-gruppen skrev, at undtagelsen “er begrænset på flere måder og skal fortolkes indskrænkende”. Tre begrænsninger er værd at lære udenad:

• Den gælder kun for faktiske kunder. En, der forlod et checkout, er ikke omfattet.
• Kun den samme juridiske enhed, der indsamlede adressen, må sende. Datterselskaber og moderselskaber er ikke den samme virksomhed.
• Kun tilsvarende produkter eller tjenester tæller, vurderet ud fra modtagerens rimelige forventninger frem for afsenderens ambitioner.

Sådan varierer blødt opt-in mellem medlemsstater

Fordi direktivet er gennemført nationalt, er det her, den samme rådgivning reelt går i forskellige retninger fra marked til marked.

I Irland gentager regulation 13(11) i S.I. No. 336/2011 undtagelsen og tilføjer en hård tidsgrænse: salget skal være sket “højst 12 måneder før afsendelsen af den direkte markedsføringshenvendelse”, eller oplysningerne skal have været brugt til markedsføringsmail inden for den periode.

I Storbritannien er den tilsvarende regel regulation 22 i PECR, og ICO angiver ingen sådan tidsgrænse. Myndigheden beskriver blødt opt-in som noget, der dækker en eksisterende kunde, “der købte (eller forhandlede om at købe) et lignende produkt eller en lignende tjeneste hos dig tidligere”, og bemærker, at det ikke gælder for potentielle kunder, indkøbte lister eller ikke-kommercielle henvendelser som velgørende indsamling og politisk kampagne.

To nabomarkeder, to væsentligt forskellige regler. Gå aldrig ud fra, at din hjemlige version rejser med.

Hvad gyldigt samtykke faktisk betyder

Artikel 4, nr. 11, definerer samtykke som “enhver frivillig, specifik, informeret og utvetydig viljestilkendegivelse fra den registrerede, hvorved den registrerede ved erklæring eller klar bekræftelse indvilliger i, at personoplysninger, der vedrører den pågældende, gøres til genstand for behandling”. EDPB uddybede hvert element i retningslinjer 05/2020 om samtykke, vedtaget den 4. maj 2020.

De fire elementer

• Frivilligt. Artikel 7, stk. 4, siger, at der tages “størst muligt hensyn” til, om opfyldelsen af en kontrakt gøres betinget af samtykke til behandling, der ikke er nødvendig for kontrakten. Gør ikke markedsføringssamtykke til en betingelse for at gennemføre et køb.
• Specifikt. Når behandlingen har flere formål, bør der gives samtykke til dem alle (præambelbetragtning 32). Adskilte formål kræver adskilte valg: et ja til nyhedsbrevet er ikke samtykke til SMS og heller ikke til at dele data med partnere.
• Informeret. Artikel 7, stk. 2, kræver, at en anmodning om samtykke, der indgår i en bredere erklæring, er “klart adskilt fra de andre forhold i en let forståelig og lettilgængelig form i et klart og enkelt sprog”.
• Utvetydigt. Der skal være en erklæring eller en klar bekræftende handling.

Hvad der ikke tæller

Præambelbetragtning 32 er kontant: “Tavshed, forudafkrydsede felter eller inaktivitet bør derfor ikke udgøre samtykke.” Det gør et afkrydsningsfelt begravet i vilkårene heller ikke, og heller ikke ét flueben, der dækker e-mail, SMS, profilering og deling med partnere.

Tilbagetrækning

Artikel 7, stk. 3, giver ret til at trække samtykket tilbage til enhver tid, kræver at personen oplyses om den ret på forhånd, og fastslår, at “det skal være lige så let at trække sit samtykke tilbage som at give det”. Hvis nogen kan tilmelde sig med ét klik, lever et frameldingsflow med login og en begravet indstillingsside ikke op til standarden. Tilbagetrækning har ikke tilbagevirkende kraft: behandling foretaget inden da er fortsat lovlig.

Dokumentation: hvad du skal kunne påvise

Artikel 7, stk. 1, er kort og bærende: “Hvis behandling er baseret på samtykke, skal den dataansvarlige kunne påvise, at den registrerede har givet samtykke.” En kolonne med “tilmeldt: ja” påviser ingenting. En registrering, der rekonstruerer selve samtykkeøjeblikket, gør.

Hvad du skal logge ved tilmelding

Indsaml og gem, pr. kontakt og pr. formål:

• Tidsstempel for samtykkehandlingen, i en stabil tidszone.
• Kilde og metode: hvilken formular, side-URL, kanal eller offline-begivenhed.
• Den præcise samtykketekst og versionen af privatlivspolitikken, der blev vist. En versionsidentifikator, der peger på arkiveret tekst, er mere praktisk end at gemme hele teksten på hver række.
• De konkrete formål, der blev sagt ja til, som separate flag frem for én boolean.
• Bekræftelsesdokumentation og tidsstempel, hvis du bruger dobbelt opt-in.
• IP-adresse, hvor det er proportionalt med risikoen. Det er almindelig praksis og nyttig dokumentation, men ikke et lovkrav, og det er i sig selv persondata.

Artikel 30 kræver særskilt, at de fleste organisationer fører fortegnelser over behandlingsaktiviteter: formål, kategorier af registrerede og oplysninger, modtagere, overførsler, slettefrister og sikkerhedsforanstaltninger. Undtagelsen for organisationer med under 250 ansatte er snæver og bortfalder, når behandlingen sandsynligvis indebærer en risiko for rettigheder og frihedsrettigheder, ikke er lejlighedsvis eller omfatter særlige kategorier af oplysninger. Regelmæssig markedsføring til en kundedatabase er ikke lejlighedsvis.

Hvor længe du skal gemme dokumentationen

GDPR fastsætter ingen fast periode. Det brugbare princip er, at dokumentationen for samtykke bør overleve den markedsføring, den begrunder, plus den periode, hvor en klage realistisk kan rejses. Det er helt normalt at slette en modtagers post og samtidig beholde en minimeret logpost, der beviser tilladelsen.

Registreredes rettigheder, der rammer e-mailprogrammer

Fem rettigheder dukker op igen og igen i e-maildrift.

• Indsigt (artikel 15). Bekræftelse af, om du behandler personens oplysninger, en kopi af dem og oplysninger om blandt andet formål, kategorier af oplysninger, modtagere, slettefrister, kilden og eventuelle automatiske afgørelser eller profilering. For e-mailprogrammer betyder det ofte engagementshistorik og segmenttilhørsforhold, ikke bare adressen.
• Berigtigelse (artikel 16). Rettelse af urigtige oplysninger uden unødig forsinkelse og fuldstændiggørelse af ufuldstændige oplysninger.
• Sletning (artikel 17). Herunder artikel 17, stk. 1, litra b, hvor samtykket trækkes tilbage og der ikke er et andet grundlag, og litra c, hvor personen gør indsigelse efter artikel 21, stk. 2.
• Indsigelse mod direkte markedsføring (artikel 21). Den absolutte. Efter stk. 2 har den registrerede “til enhver tid ret til at gøre indsigelse” mod behandling til direkte markedsføring, herunder tilhørende profilering. Efter stk. 3 “må personoplysningerne ikke længere behandles til sådanne formål”. Der er ingen afvejning at foretage.
• Dataportabilitet (artikel 20). Gælder, hvor behandlingen bygger på samtykke eller kontrakt og er automatiseret, og dækker de oplysninger, personen selv har afgivet. Afledte scorer og segmenter falder som regel udenfor.

Svarfrister

Artikel 12, stk. 3, kræver, at du handler uden unødig forsinkelse og under alle omstændigheder inden for en måned fra modtagelsen. Det kan forlænges med yderligere to måneder på grund af kompleksitet eller antallet af anmodninger, og du skal underrette personen med en begrundelse inden for den første måned. En indsigelse mod markedsføring fortjener bedre end maksimum: behandl den som øjeblikkelig undertrykkelse, og klar papirarbejdet inden for den lovbestemte frist bagefter.

Praktisk implementering

Tilmeldingsformularer

Ét ikke-afkrydset, tydeligt mærket felt pr. formål. Nævn afsenderen, skriv hvad du vil sende og cirka hvor ofte, og link til privatlivspolitikken frem for at gengive den. Bundt ikke markedsføringssamtykke sammen med accept af vilkår, og gør ikke købet betinget af det. Gem formularversionen, så du senere kan bevise, hvad der stod på skærmen.

Dobbelt opt-in og dets ærlige juridiske status

Dobbelt opt-in er ikke et krav i GDPR eller e-databeskyttelsesdirektivet. Ingen artikel påbyder det. Det, det producerer, er dokumentation: et bekræftelsesklik fra den pågældende postkasse på et registreret tidspunkt er tæt på det bedste bevis, der findes, for at et rigtigt menneske med kontrol over adressen sagde ja. Artikel 29-gruppen bemærkede, at metoder, hvor en modtager tilmelder sig og senere bliver bedt om at bekræfte, “synes at være forenelige med direktivet”.

Så det er anbefalet, undertiden stærkt, og i nogle markeder er det normen. Det er ikke loven. Mekanikken finder du i vores guide til dobbelt opt-in.

Præferencecentre og håndtering af frameldinger

Hver markedsføringsbesked skal have en gyldig adresse til frameldinger, og under undtagelsen for eksisterende kunder er en nem og gratis vej til indsigelse i hver besked en betingelse, ikke en høflighed. Et præferencecenter med valg af frekvens og emner er god praksis, men en helt enkel global framelding i ét trin skal fortsat være tilgængelig. Behandl frameldinger automatisk, for manuelle køer er, hvordan organisationer ender med at sende efter en indsigelse.

Undertrykkelseslister, der skal overleve migreringer

En framelding er en permanent instruks, ikke en indstilling på den enkelte liste. Undertrykkelsen skal gælde globalt på tværs af brands, på tværs af de kanaler, indsigelsen dækker, og på tværs af platforme. Det farlige øjeblik er en migrering eller en genimport: modtagerne flytter til det nye system, og indsigelsesmarkeringerne følger ikke med. Det er den mest almindelige måde, hvorpå et program, der overholdt reglerne, stille og roligt holder op med det.

Den samme risiko lever i enhver integration mellem en butik, et CRM og en e-mailplatform, hvor samtykke- og undertrykkelsestilstand går tabt undervejs. Hvis du flytter Shopify-data ind i Brevo, er Tajo det synkroniseringslag, der bærer de felter mellem systemerne. Uanset hvilket værktøj du bruger, er testen den samme: efter enhver migrering skal du bekræfte, at en kendt undertrykt adresse stadig er undertrykt.

Opbevaring og ny tilladelse på gamle lister

Opbevaringsbegrænsning gælder også markedsføringslister, så fastsæt en dokumenteret regel for inaktive kontakter, og håndhæv den. Hvis en liste ikke har været brugt i årevis, foreslås en kampagne for at indhente tilladelse på ny ofte. Vær forsigtig: en mail med “bekræft at du stadig vil høre fra os” er i de fleste fortolkninger selv en markedsføringshenvendelse, så den må kun sendes til folk, du lovligt må skrive til i dag. Kan du ikke påvise et grundlag nu, er det ærlige svar sletning. Vores guide til rensning af e-maillister dækker hygiejnesiden.

Din e-mailudbyder er databehandler

Din e-mailudbyder behandler persondata efter din instruks, så artikel 28 gælder. Der skal være en kontrakt eller et andet bindende retsgrundlag, der beskriver genstand, varighed, karakter og formål med behandlingen, typer af oplysninger og kategorier af registrerede. Artikel 28, stk. 3, kræver derefter vilkår om dokumenterede instrukser, fortrolighed, sikkerhed efter artikel 32, underdatabehandlere, bistand med anmodninger fra registrerede og pligter ved brud, sletning eller tilbagelevering af data ved ophør samt revisionsrettigheder. De fleste udbydere offentliggør en standarddatabehandleraftale. Læs listen over underdatabehandlere.

Overførsler til tredjelande

Forlader persondata EØS, skal du have et overførselsgrundlag. Artikel 45 tillader overførsler til lande eller ordninger, som Europa-Kommissionen har fundet tilstrækkelige. Ellers kræver artikel 46 fornødne garantier, oftest Kommissionens standardkontraktbestemmelser eller bindende virksomhedsregler inden for en koncern. Tilstrækkelighedsafgørelser dækker en række jurisdiktioner, herunder EU-US Data Privacy Framework, der blev vedtaget den 10. juli 2023. Tjek hvor din e-mailudbyder opbevarer data, ikke bare hvor den har hovedkontor.

Hvad forordningen hedder på dit marked

Instrumentet er det samme i hele EU. Navnet er det ikke.

Uden for EU skifter ordforrådet igen. Storbritannien har UK GDPR ved siden af PECR. Tyrkiet har Kisisel Verilerin Korunmasi Kanunu, lov nr. 6698, kendt som KVKK. Brasilien har Lei Geral de Protecao de Dados Pessoais, lov nr. 13.709 af 14. august 2018, kaldet LGPD. Indonesien har Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Det er selvstændige regelsæt med deres egne regler, ikke oversættelser, og opfylder du GDPR, opfylder du ikke automatisk dem.

Sanktioner, og hvad tilsynsmyndighederne rent faktisk gør

Artikel 83 fastsætter to niveauer: op til 10 mio. euro eller 2 procent af den samlede globale årlige omsætning efter stk. 4, og op til 20 mio. euro eller 4 procent efter stk. 5, alt efter hvad der er højest i det enkelte tilfælde. Det høje niveau dækker de grundlæggende principper og betingelserne for samtykke i artikel 5, 6, 7 og 9, registreredes rettigheder i artikel 12 til 22 og reglerne om overførsel i artikel 44 til 49, så svigt omkring samtykke og ignorerede indsigelser ligger der. Nationale e-databeskyttelsesregler tilføjer deres egne sanktioner: i Irland er en overtrædelse af regulation 13 en strafbar handling, og hver besked tæller for sig.

For en mellemstor afsender er den daglige risiko ikke en bøde i overskrifterne. Det er én klage, der udløser et spørgsmål fra en myndighed: vis os samtykket for denne adresse.

Hvor compliance og resultater mødes

Gjort ordentligt forbedrer det her også resultaterne. Lister bygget på ægte, specifik tilladelse engagerer bedre og klager mindre, og det er præcis det, systemerne for leveringsevne belønner. Vores guide til leveringsevne forklarer den mekanik, og vores guide til opbygning af e-maillister dækker indsamling, der kan holde til et kritisk blik.

Relaterede artikler

• Dobbelt opt-in: komplet guide til bekræftede tilmeldinger
• Leveringsevne i e-mail: den komplette guide
• Opbygning af e-maillister: komplet guide
• Rensning af e-maillister: komplet guide
• Frameldingssider og framelding med ét klik: best practice