GDPR og e-postmarkedsføring: en praktisk guide til etterlevelse

Hva GDPR faktisk krever av e-postmarkedsførere

Sagt rett ut: personvernforordningen (forordning (EU) 2016/679) inneholder ingen regel som sier «du trenger samtykke for å sende en e-post». Det den styrer, er personopplysningene bak e-postprogrammet ditt. Du trenger et rettslig grunnlag for å behandle dem, åpenhet om dem, riktighet, lagringsbegrensning, sikkerhet og dokumentasjon på alt sammen. Artikkel 5 nr. 2 sier det på én linje: behandlingsansvarlig «er ansvarlig for og skal kunne påvise at» behandlingsprinsippene etterleves.

Regelen som avgjør om du får trykke send, ligger i et annet regelverk, ePrivacy-direktivet. De fleste artikler om temaet slår de to sammen og lander på feil svar. Å holde dem fra hverandre er hele poenget med denne guiden.

Denne artikkelen er praktisk veiledning for markedsførere, ikke juridisk rådgivning. Den viser til primærkilder slik at du kan sjekke dem selv, men personvernretten håndheves av nasjonale tilsyn og domstoler, nasjonal gjennomføring varierer, og omstendighetene dine betyr noe. Før du endrer en samtykkeflyt, en lagringsregel eller en overføring til utlandet, bør du få råd fra en kvalifisert jurist i din jurisdiksjon.

GDPR og ePrivacy: to regelverk, én utsendelse

Hva ePrivacy-direktivet sier

Direktiv 2002/58/EF, ePrivacy-direktivet, som endret ved direktiv 2009/136/EF, setter regelen for utsendelse. Artikkel 13 nr. 1 tillater elektronisk post til direkte markedsføring bare overfor abonnenter som har gitt forhåndssamtykke. «Elektronisk post» er definert bredt og teknologinøytralt: uttalelse 5/2004 fra Artikkel 29-gruppen bekreftet at det dekker nyhetsbrev på e-post så vel som SMS og lignende lagrede meldinger. Artikkel 13 nr. 2 gjør unntak for eksisterende kunder, og artikkel 13 nr. 4 forbyr markedsførings-e-post som skjuler avsenderens identitet eller mangler «en gyldig adresse som mottakeren kan sende en anmodning til om at slik kommunikasjon skal opphøre».

Hvorfor dette betyr noe i praksis

Samtykke er ikke definert i ePrivacy-direktivet. Det henter betydningen sin fra den generelle personvernretten: artikkel 94 nr. 2 i GDPR fastsetter at henvisninger til det opphevede direktiv 95/46/EF skal leses som henvisninger til GDPR. ePrivacy avgjør altså når det trengs samtykke for selve utsendelsen, mens GDPR avgjør hva som teller som samtykke og hvordan du påviser det.

Du kan derfor ha et gyldig GDPR-grunnlag for å lagre og analysere en kontaktoppføring, og likevel ikke ha rett til å sende e-post til den personen. Og fordi ePrivacy er et direktiv og ikke en forordning, gjennomføres det i nasjonal rett, så detaljene varierer mellom medlemsstatene.

Å velge rettslig grunnlag for e-postmarkedsføring

Samtykke

Samtykke etter artikkel 6 nr. 1 bokstav a er det de fleste e-postprogrammer rettet mot forbrukere bygger på, med god grunn: når ePrivacy uansett krever forhåndssamtykke for utsendelsen, gir det å bruke samtykke som GDPR-grunnlag én historie i stedet for to. Prisen er at det kan trekkes tilbake når som helst etter artikkel 7 nr. 3.

Berettiget interesse

Artikkel 6 nr. 1 bokstav f tillater behandling som er nødvendig for behandlingsansvarliges berettigede interesser, unntatt der de går foran den registrertes interesser eller grunnleggende rettigheter. Fortalepunkt 47 sier uttrykkelig at «behandling av personopplysninger for direkte markedsføringsformål kan anses å skje for en berettiget interesse».

Den setningen siteres i ett sett for å argumentere for at samtykke er valgfritt. Les den nøye. Den gjelder GDPR-grunnlaget for behandlingen, den sier «kan», så du må fortsatt gjennomføre og dokumentere avveiningen, og den sier ingenting om ePrivacy-regelen for utsendelsen. Berettiget interesse er lettest å forsvare for behandlingen rundt programmet ditt, som segmentering, undertrykking og analyse, og for kontakt mellom bedrifter der nasjonale regler behandler bedriftsabonnenter annerledes. Det er et svakt fundament for kald e-post til forbrukere i EU.

Myk påmelding for eksisterende kunder

Artikkel 13 nr. 2 i ePrivacy-direktivet er det egentlige unntaket. Der noen får kunders e-postadresser «i forbindelse med salg av en vare eller tjeneste», kan den samme aktøren bruke dem til å markedsføre «sine egne lignende varer eller tjenester», forutsatt at kundene «klart og tydelig gis anledning til å protestere, gratis og på en enkel måte» både når opplysningene samles inn og i hver senere melding.

Artikkel 29-gruppen sa at dette unntaket «er begrenset på flere måter og må tolkes restriktivt». Tre grenser er verdt å huske:

• Det gjelder bare faktiske kunder. Noen som forlot en kasse, er ikke omfattet.
• Bare den samme juridiske personen som samlet inn adressen, kan sende. Datterselskaper og morselskaper er ikke samme selskap.
• Bare lignende varer eller tjenester kvalifiserer, vurdert ut fra mottakerens rimelige forventninger snarere enn avsenderens ambisjoner.

Hvordan myk påmelding varierer mellom medlemsstatene

Fordi direktivet ble gjennomført nasjonalt, er dette et punkt der de samme rådene faktisk skiller lag mellom markeder.

I Irland gjentar regulation 13(11) i S.I. No. 336/2011 unntaket og legger til en hard tidsgrense: salget må ha funnet sted «ikke mer enn 12 måneder før den direkte markedsføringen sendes», eller opplysningene må ha vært brukt til markedsførings-e-post innenfor den perioden.

I Storbritannia er den tilsvarende regelen regulation 22 i PECR, og tilsynet ICO oppgir ingen slik tidsgrense. De beskriver myk påmelding som noe som dekker en eksisterende kunde «som kjøpte (eller forhandlet om å kjøpe) en lignende vare eller tjeneste fra deg tidligere», og påpeker at det ikke gjelder for potensielle kunder, innkjøpte lister eller ikke-kommersielle formål som innsamlinger til veldedighet og politiske kampanjer.

To nabomarkeder, to vesentlig ulike regler. Gå aldri ut fra at hjemmemarkedets versjon lar seg flytte.

Hva gyldig samtykke faktisk betyr

Artikkel 4 nr. 11 definerer samtykke som «enhver frivillig, spesifikk, informert og utvetydig viljesytring fra den registrerte der vedkommende ved en erklæring eller en tydelig bekreftelse gir sitt samtykke til behandling av personopplysninger som gjelder vedkommende». EDPB utdypet hvert element i Guidelines 05/2020 om samtykke, vedtatt 4. mai 2020.

De fire elementene

• Frivillig. Artikkel 7 nr. 4 sier at det skal tas «størst mulig hensyn» til om en avtale gjøres betinget av samtykke til behandling som ikke er nødvendig for avtalen. Ikke gjør markedsføringssamtykke til en betingelse i kassen.
• Spesifikt. Der behandlingen har flere formål, bør samtykke gis for alle sammen (fortalepunkt 32). Ulike formål trenger ulike valg: en påmelding til nyhetsbrev er ikke samtykke til SMS, og heller ikke til å dele data med partnere.
• Informert. Artikkel 7 nr. 2 krever at en samtykkeforespørsel som inngår i en større erklæring, skal være «klart adskilt fra de øvrige forholdene, i en forståelig og lett tilgjengelig form og på et klart og enkelt språk».
• Utvetydig. Det må foreligge en erklæring eller en tydelig bekreftende handling.

Hva som ikke teller

Fortalepunkt 32 er nokså kontant: «Taushet, forhåndsavkryssede bokser eller passivitet bør derfor ikke utgjøre samtykke.» Det gjør heller ikke en avkryssingsboks begravd i vilkårene, eller ett hakk som dekker e-post, SMS, profilering og deling med partnere.

Tilbaketrekking

Artikkel 7 nr. 3 gir rett til å trekke tilbake samtykke når som helst, krever at personen får vite om den retten på forhånd, og fastslår at «det skal være like enkelt å trekke tilbake som å gi samtykke». Kan noen melde seg på med ett klikk, holder ikke en avmeldingsflyt som krever innlogging og en bortgjemt innstillingsside. Tilbaketrekking virker ikke bakover: behandling som skjedde før, er fortsatt lovlig.

Dokumentasjon: hva du må kunne påvise

Artikkel 7 nr. 1 er kort og bærende: «Dersom behandlingen bygger på samtykke, skal den behandlingsansvarlige kunne påvise at den registrerte har samtykket.» En kolonne med «påmeldt: ja» påviser ingenting. En oppføring som rekonstruerer selve samtykkeøyeblikket, gjør det.

Hva du bør logge ved påmelding

Fang opp og lagre, per kontakt og per formål:

• Tidsstempel for samtykkehandlingen, i en stabil tidssone.
• Kilde og metode: hvilket skjema, hvilken side-URL, hvilken kanal eller hvilket arrangement utenfor nett.
• Den nøyaktige samtykkeordlyden og versjonen av personvernerklæringen som ble vist. En versjonsidentifikator som peker til arkivert ordlyd, er mer praktisk enn å lagre full tekst på hver rad.
• De konkrete formålene det ble samtykket til, som separate flagg i stedet for én boolsk verdi.
• Bekreftelsesbevis og tidsstempel der du bruker dobbel bekreftelse.
• IP-adresse der det står i forhold til risikoen. Dette er vanlig praksis og nyttig dokumentasjon, men ikke et lovkrav, og er selv personopplysninger.

Artikkel 30 krever i tillegg at de fleste virksomheter fører protokoll over behandlingsaktiviteter: formål, kategorier av registrerte og opplysninger, mottakere, overføringer, lagringstider og sikkerhetstiltak. Unntaket for virksomheter med færre enn 250 ansatte er snevert og faller bort der behandlingen sannsynligvis medfører risiko for rettigheter og friheter, ikke er leilighetsvis, eller omfatter særlige kategorier av opplysninger. Regelmessig markedsføring til en kundedatabase er ikke leilighetsvis.

Hvor lenge du bør beholde samtykkedokumentasjonen

GDPR setter ingen fast periode. Det praktiske prinsippet er at samtykkedokumentasjonen bør overleve markedsføringen den begrunner, pluss perioden der en klage realistisk kan fremmes. Å slette en mottakeroppføring og samtidig beholde en minimert loggoppføring som viser tillatelsen, er helt normalt.

Rettigheter som treffer e-postprogrammer

Fem rettigheter dukker opp igjen og igjen i e-postdriften.

• Innsyn (artikkel 15). Bekreftelse på om du behandler opplysningene deres, en kopi av dem, og informasjon som formål, kategorier av opplysninger, mottakere, lagringstid, kilden og eventuell automatisert beslutningstaking eller profilering. For e-postprogrammer betyr det ofte engasjementshistorikk og segmenttilhørighet, ikke bare adressen.
• Retting (artikkel 16). Retting av uriktige opplysninger uten ugrunnet opphold, og utfylling av ufullstendige opplysninger.
• Sletting (artikkel 17). Herunder artikkel 17 nr. 1 bokstav b, der samtykke trekkes tilbake og ingen annen hjemmel gjelder, og bokstav c, der personen protesterer etter artikkel 21 nr. 2.
• Protest mot direkte markedsføring (artikkel 21). Den absolutte. Etter nr. 2 «skal den registrerte ha rett til når som helst å protestere» mot behandling for direkte markedsføring, inkludert tilhørende profilering. Etter nr. 3 «skal personopplysningene ikke lenger behandles for slike formål». Det er ingen avveining å foreta.
• Dataportabilitet (artikkel 20). Gjelder der behandlingen bygger på samtykke eller avtale og er automatisert, og dekker opplysninger personen selv har gitt. Utledede skårer og segmenter faller i hovedsak utenfor.

Svarfrister

Artikkel 12 nr. 3 krever at du handler uten ugrunnet opphold og uansett innen én måned etter mottak. Fristen kan forlenges med to måneder gitt kompleksitet eller antall henvendelser, og du må si fra til personen, med begrunnelse, innen den første måneden. En protest mot markedsføring fortjener bedre enn maksfristen: behandle den som umiddelbar undertrykking, og ta papirarbeidet innenfor lovens vindu.

Praktisk gjennomføring

Påmeldingsskjemaer

Én uavkrysset, tydelig merket boks per formål. Navngi avsenderen, si hva du kommer til å sende og omtrent hvor ofte, og lenk til personvernerklæringen i stedet for å gjengi den. Ikke pakk markedsføringssamtykke sammen med aksept av vilkår, og ikke gjør kjøpet betinget av det. Lagre skjemaversjonen slik at du senere kan påvise hva som sto på skjermen.

Dobbel bekreftelse og den ærlige rettslige statusen

Dobbel bekreftelse er ikke påkrevd av GDPR eller ePrivacy-direktivet. Ingen artikkel pålegger det. Det den gir, er dokumentasjon: et bekreftelsesklikk, fra den aktuelle postkassen, på et registrert tidspunkt, er nær det beste beviset som finnes på at en ekte person som kontrollerer den adressen, sa ja. Artikkel 29-gruppen bemerket at metoder der en mottaker registrerer seg og senere blir bedt om å bekrefte dette, «synes å være forenlige med direktivet».

Så det er anbefalt, iblant sterkt, og i noen markeder er det normen. Det er ikke loven. Selve mekanikken finner du i vår guide til dobbel bekreftelse.

Innstillingssider og håndtering av avmeldinger

Hver markedsføringsmelding trenger en gyldig adresse for avmeldingshenvendelser, og under unntaket for eksisterende kunder er en enkel og gratis reservasjonsmulighet i hver melding en betingelse, ikke en høflighet. En innstillingsside med valg for frekvens og temaer er god praksis, men en enkel, global avmelding i ett steg må fortsatt være tilgjengelig. Behandle avmeldinger automatisk. Manuelle køer er måten virksomheter ender opp med å sende etter en protest.

Undertrykkingslister som må overleve migreringer

En avmelding er en permanent instruksjon, ikke en innstilling per liste. Undertrykkingsstatus må være global på tvers av merkevarer, på tvers av kanalene protesten dekker, og på tvers av plattformer. Det farlige øyeblikket er en migrering eller en ny import: mottakerne flyttes til det nye systemet, og protestflaggene blir ikke med. Dette er den vanligste måten et regelrett program stille blir et ulovlig et.

Den samme risikoen bor i hver integrasjon mellom en butikk, et CRM og en e-postplattform, som er der samtykke- og undertrykkingsstatus går tapt underveis. Flytter du Shopify-data inn i Brevo, er Tajo synklaget som bærer de feltene mellom systemene. Uansett hvilke verktøy du bruker, er testen den samme: bekreft etter enhver migrering at en kjent undertrykt adresse fortsatt er undertrykt.

Lagringstid og ny samtykkeinnhenting på gamle lister

Lagringsbegrensning gjelder også markedsføringslister, så sett en dokumentert lagringsregel for inaktive kontakter og håndhev den. Har en liste stått ubrukt i årevis, foreslås det ofte en kampanje for å hente inn nytt samtykke. Vær forsiktig: en e-post av typen «bekreft at du fortsatt vil høre fra oss» er i de fleste tolkninger selv en markedsføringsmelding, så den kan bare gå til folk du lovlig kan sende e-post til i dag. Kan du ikke påvise et grunnlag nå, er det ærlige svaret sletting. Vår guide til rensing av e-postlister dekker hygienesiden.

E-postleverandøren din er databehandler

E-postleverandøren din behandler personopplysninger på dine instrukser, så artikkel 28 gjelder. Det må foreligge en avtale eller et annet bindende rettslig dokument som fastsetter formål, varighet, art og karakter av behandlingen, typer opplysninger og kategorier av registrerte. Artikkel 28 nr. 3 krever så vilkår om dokumenterte instrukser, taushetsplikt, sikkerhet etter artikkel 32, underleverandører, bistand ved henvendelser fra registrerte og ved brudd, sletting eller retur av data ved tjenestens slutt, og revisjonsrett. De fleste leverandører publiserer en standard databehandleravtale. Les listen over underleverandører.

Overføringer til utlandet

Forlater personopplysninger EØS, trenger du en overføringsmekanisme. Artikkel 45 tillater overføring til land eller rammeverk Europakommisjonen har funnet tilstrekkelige. Ellers krever artikkel 46 nødvendige garantier, oftest Kommisjonens standard personvernbestemmelser, eller bindende virksomhetsregler innenfor et konsern. Tilstrekkelighetsbeslutninger dekker en rekke jurisdiksjoner, blant annet EU-US Data Privacy Framework som ble vedtatt 10. juli 2023. Sjekk hvor e-postleverandøren din lagrer data, ikke bare hvor de har hovedkontor.

Hva forordningen kalles i ditt marked

Regelverket er det samme i hele EU. Navnet er det ikke.

Utenfor EU endres vokabularet igjen. Storbritannia har britisk GDPR ved siden av PECR. Tyrkia har Kisisel Verilerin Korunmasi Kanunu, lov nr. 6698, kjent som KVKK. Brasil har Lei Geral de Protecao de Dados Pessoais, lov nr. 13.709 av 14. august 2018, LGPD. Indonesia har Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Dette er separate regelverk med egne regler, ikke oversettelser, og å oppfylle GDPR oppfyller ikke automatisk dem.

Sanksjoner, og hva tilsynene faktisk gjør

Artikkel 83 setter to nivåer: inntil 10 millioner euro eller 2 prosent av samlet global årsomsetning etter nr. 4, og inntil 20 millioner euro eller 4 prosent etter nr. 5, alt etter hva som er høyest i hvert tilfelle. Det høyeste nivået dekker de grunnleggende prinsippene og vilkårene for samtykke i artikkel 5, 6, 7 og 9, rettighetene i artikkel 12 til 22, og overføringsreglene i artikkel 44 til 49, så samtykkesvikt og oversette protester hører hjemme der. Nasjonale ePrivacy-regler legger til egne sanksjoner: i Irland er brudd på regulation 13 en straffbar handling, og hver melding teller for seg.

For en mellomstor avsender er den daglige risikoen ikke et gebyr på forsiden av avisen. Det er én klage som utløser spørsmålet fra tilsynet: vis oss samtykket for denne adressen.

Der etterlevelse og resultater møtes

Gjort riktig gir dette også bedre resultater. Lister bygget på genuin, spesifikk tillatelse engasjerer bedre og klager mindre, og det er nettopp det leveringssystemene belønner. Vår guide til leveringsevne forklarer mekanismen, og vår guide til å bygge e-postliste dekker anskaffelse som tåler nærmere ettersyn.

Relaterte artikler

• Dobbel bekreftelse på e-post: komplett guide til bekreftede påmeldinger
• Leveringsevne for e-post: den komplette guiden
• Å bygge e-postliste: komplett guide
• Rensing av e-postlister: komplett guide
• Avmeldingssider og avmelding med ett klikk: beste praksis