GDPR – E-postmarknadsföring

Nyhetsbrev och e-postmarknadsföring är en fast del av online-marknadsföringsuniversumet. I grund och botten gäller principen att behandling är förbjuden men att det finns möjlighet till godkännande även för de personuppgifter som används för att skicka e-post. Behandling är endast tillåtet enligt den allmänna dataskyddsförordningen (GDPR) om antingen den registrerade har gett sitt samtycke, eller det finns en annan rättslig grund. Detta kan till exempel vara att bibehålla den personuppgiftsansvariges berättigade intresse av att skicka e-postmarknadsföring. Skäl 47 i den allmänna dataskyddsförordningen uttalar uttryckligen att lagen även gäller för behandling av personuppgifter för direktmarknadsföring som ett berättigat intresse för den personuppgiftsansvarige.

Dessutom kan ett sådant intresse ses, till exempel om det finns en relevant och proportionell relation mellan den registrerade och personuppgiftsansvarig. Detta kan vara fallet om den registrerade är en kund hos den personuppgiftsansvarige eller är i dennes tjänst. Därför indikerar mycket att e-postmarknadsföring är tillåten utan samtycke, åtminstone för befintliga kunder. Om företaget har ett berättigat intresse av att ”kallt” kontakta genom e-postmarknadsföring, kan marknadsföringsmejl skickas till potentiella kunder utan samtycke. För att inte få ytterligare information via nyhetsbrev eller e-post behöver kunden som mottager dem bara invända mot behandling för marknadsföringsändamål. Enligt artikel 21(2), (3) GDPR har den registrerade alltid rätten att invända mot behandling av personuppgifter för direktmarknadsföringsändamål. Om den registrerade invänder, behöver den personuppgiftsansvarige bara stoppa behandlingen för marknadsföringsändamål, men kan fortfarande behandla uppgifterna för andra ändamål, t.ex. för att fullgöra ett avtal. Det berättigade intresset för den personuppgiftsansvarige att behandla data för marknadsföringsändamål kan aldrig väga tyngre än den registrerades invändning. Man måste dock notera att enligt artikel 95 i den allmänna dataskyddsförordningen, gäller detta alla ändamål som rör dataskydd, om inte särskilda regler med samma regleringsområde finns i ePrivacy-direktivet (se även skäl 173). Konsekvensen är att e-postmarknadsföring för närvarande endast är tillåten med de berörda parternas samtycke (artikel 13(1) i direktiv 2002/58/EG). Man måste invänta om den kommande ePrivacy-förordningen ger mer klarhet i denna fråga.

Oavsett om ett företag baserar sina marknadsföringsåtgärder efteråt på sitt berättigade intresse eller på samtycke, måste den personuppgiftsansvarige följa den registrerades rätt att bli informerad. Innehållet i denna information beror på vilken motiveringsgrund som används. Var medveten om att det kan finnas vissa ytterligare nationella lagar (t.ex. konkurrenslagstiftning) som kan vara något striktare eller som kan införa ytterligare begränsningar.