Et nyhedsbrev eller en sms med markedsføring kræver som hovedregel et forudgående samtykke, og det krav kommer fra markedsføringslovens § 10, som ofte kaldes spamforbuddet. GDPR gælder ved siden af og handler om jeres brug af personoplysningerne bag udsendelsen. De to blandes let sammen, fordi begge taler om samtykke. For den marketingansvarlige er det praktiske svar, at begge regelsæt skal være opfyldt, og at CRM-systemet skal kunne vise det.
To regelsæt og to tilsyn
- Spørgsmålet · Markedsføringsloven § 10: Må vi henvende os elektronisk? · GDPR: Må vi bruge oplysningerne til det?
- Gælder · Markedsføringsloven § 10: Alle modtagere, også virksomheder · GDPR: Oplysninger om fysiske personer
- Tilsyn · Markedsføringsloven § 10: Forbrugerombudsmanden · GDPR: Datatilsynet
- Grundlag · Markedsføringsloven § 10: Samtykke eller reglen om kunder · GDPR: Samtykke eller legitim interesse
Datatilsynet skriver selv, at det ikke har kompetence til at vejlede om, hvorvidt en aktivitet er omfattet af spamforbuddet. Ved tvivl om den del går I til Forbrugerombudsmanden. Bruger I cookies til at målrette markedsføring, kommer et tredje regelsæt til, se sporing på hjemmesiden.
Spamforbuddet gælder mails, sms og beskeder på sociale medier. Det gælder uanset modtageren, så en salgsmail til info@ hos en anden virksomhed eller til en navngiven direktør er også omfattet. Ordet i loven er “nogen”.
Hvad samtykket skal dække
Før modtageren giver samtykke, skal vedkommende have at vide, at det kan trækkes tilbage, og det skal være let og gebyrfrit. Forbrugerombudsmandens vejledning kræver, at det klart fremgår, hvad personen siger ja til. I praksis betyder det:
- hvilke produkter eller kategorier markedsføringen handler om,
- hvem der sender, når det er flere virksomheder, også i samme koncern,
- at feltet ikke er krydset af på forhånd, for inaktivitet er intet samtykke.
Datatilsynet siger, at et nyhedsbrev til en potentiel kunde kræver samtykke efter markedsføringsloven, og at behandlingen af adressen i så fald også bør ske på samtykke efter GDPR. De to kan med fordel indhentes samtidig. Har I bygget på samtykke, kan I ikke bagefter skifte til et andet grundlag.
Et samtykke kan også falde bort. Databeskyttelsesreglerne har ingen fast gyldighed, men Datatilsynet mener, at passivitet kan føre til bortfald efter en konkret vurdering. Forbrugerombudsmanden har i en sag fundet, at et samtykke bortfaldt ved passivitet efter et år. Sender I sjældent, bør listen derfor ses igennem, før en gammel tilmelding bruges.
Eksisterende kunder
§ 10, stk. 2, er en undtagelse, som skal tolkes snævert. Efter Forbrugerombudsmandens vejledning må I sende markedsføring uden samtykke, når alle disse er opfyldt:
- Modtageren har købt et produkt hos jer. Et tilbud, en konkurrence, en gave eller en download er intet køb.
- Kunden har selv oplyst adressen i forbindelse med salget.
- Kunden er oplyst klart om, at der kommer markedsføring til adressen.
- Kunden kan frabede sig det let og gebyrfrit, når adressen gives.
- Muligheden står også i hver henvendelse.
- Markedsføringen gælder jeres egne produkter, så partnere og datterselskaber er udelukket.
- Produkterne ligner dem, kunden har købt.
Datatilsynet vurderer, at GDPR-grundlaget da kan være legitim interesse efter art. 6, stk. 1, litra f, hvis markedsføringsloven er overholdt. Afvejningen skal stadig dokumenteres, og behandlingsgrundlaget skal stå i jeres oplysning til kunden. Selve kravene til teksten står i oplysningspligten.
Afmelding
Trækker nogen samtykket tilbage, stopper henvendelserne. Efter art. 21, stk. 2 og 3, har enhver også ret til at gøre indsigelse mod direkte markedsføring, herunder profilering, og oplysningerne må derefter ikke bruges til det formål. Datatilsynet læser en frabedelse efter § 10, stk. 2, som en sådan indsigelse.
Indsigelsesretten skal nævnes senest ved den første kommunikation, tydeligt og adskilt fra andre oplysninger, jf. art. 21, stk. 4. I hver mail skal der være en adresse, modtageren kan bruge, og det skal fremgå, hvem der sender, jf. § 10, stk. 3.
Afmeldingen skal slå igennem overalt. Har kampagneværktøj, webshop og CRM hver sin liste, skal den nå dem alle. Vores råd er at gøre ét system til det førende for samtykke og afmelding og lade de andre hente derfra.
Det CRM-opsætningen skal kunne vise
Bevisbyrden for samtykket ligger hos virksomheden. Datatilsynet kalder den dokumentation, der virker, for systemdokumentation: I viser proceduren og teksten, personen så, og at proceduren opfyldte kravene. Forbrugerombudsmanden anbefaler dobbelt opt-in, hvor personen bekræfter via et link, og siger, at dokumentationen bør gemmes i to år efter sidste brug, fordi strafansvaret forældes efter to år. Det samme gælder dokumentation for reglen om eksisterende kunder. Fristen indgår også i oversigten over, hvor længe I må gemme personoplysninger.
Vores forslag til felter for hver kontakt:
- kilde: hvor og hvornår tilmeldingen skete,
- tekst: hvilken version af samtykketeksten personen så,
- kanal: mail, sms eller begge,
- grundlag: samtykke eller reglen om kunder,
- afmelding: dato og kanal.
Leverandøren af nyhedsbrevet behandler typisk listen på jeres vegne, så der skal normalt være en databehandleraftale. Skal listen deles med en anden virksomhed, er det en ny sag, se videregivelse af personoplysninger.
Det gør I nu
Træk den liste, I sender til i morgen, og tjek ti tilfældige kontakter: kan I vise grundlaget for hver? Lykkes det ikke, så hold kontakterne ude af næste udsendelse. Overtrædelser af § 10 kan straffes med bøde, og er tvivlen bred, kan en GDPR-gennemgang tage marketing med som et selvstændigt punkt.
Det skal I lade være med
- At tro, at GDPR-samtykket dækker spamforbuddet af sig selv · teksten skal opfylde begge.
- At sende til købte lister · reglen om kunder forudsætter, at kunden selv gav adressen.
- At lade en tilbudsforespørgsel tælle som køb · det kræver samtykke.
- At gemme afmeldinger i ét system ud af flere · næste kampagne rammer personen igen.
Det skal I kræve af den eksterne
- ☐ En gennemgang af samtykketekster og tilmeldingsflow.
- ☐ Stikprøver i CRM-systemet, der viser grundlag og afmelding.
- ☐ Kontrol af, at afmelding slår igennem i alle værktøjer.
- ☐ Klar besked, når spørgsmålet hører til hos Forbrugerombudsmanden eller en advokat.
Kilder
- Markedsføringsloven, LBK nr. 1420 af 2/12 2024: § 10, stk. 1 til 3.
- Forbrugerombudsmanden: Vejledning om spamforbuddet, 2021: kapitel 7 til 9 og 11 til 12.
- Datatilsynet: Vejledning om direkte markedsføring, juni 2023: afsnit 2.4.2 og kapitel 3.
- Datatilsynet: Markedsføring og profilering.
- Forordning (EU) 2016/679, dansk tekst: art. 6, stk. 1, litra a og f, art. 7 og art. 21, stk. 2 til 4.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Behandlingsgrundlag · Sporing på hjemmesiden
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
