Att skicka nyhetsbrev är en etablerad marknadsföringsmetod, men också ett område där många företag brister i regelefterlevnad. Ett vanligt antagande är att det räcker med en kryssruta eller att hänvisa till en integritetspolicy någonstans på webbplatsen. Så är det inte.
För att nyhetsutskick ska vara lagliga krävs att både GDPR och marknadsföringslagen följs, och att informationsplikten uppfylls på ett aktivt och tydligt sätt.
Två regelverk gäller samtidigt
Nyhetsbrev omfattas av två parallella regelverk:
-
GDPR – reglerar hur personuppgifter (t.ex. e-postadress) får behandlas
-
Marknadsföringslagen (2008:486) – reglerar elektronisk direktmarknadsföring
Ett utskick kan vara tillåtet enligt marknadsföringslagen men ändå olagligt enligt GDPR om informations- eller samtyckeskraven inte uppfylls.
Informationsplikt och transparens – en grundläggande förutsättning
Informationsplikten följer av artiklarna 12–14 GDPR och gäller alltid när personuppgifter behandlas för nyhetsbrev, oavsett om grunden är samtycke eller soft opt-in.
Vad innebär informationsplikten i praktiken?
Den registrerade ska få tydlig information om:
-
vem som är personuppgiftsansvarig
-
att e-postadressen används för nyhetsbrev/marknadsföring
-
vilken rättslig grund som används
-
rätten att återkalla samtycke eller invända
-
hur avregistrering sker
Informationen ska:
-
lämnas vid insamlingstillfället
-
vara lättillgänglig och begriplig
-
inte kräva att mottagaren själv letar upp den
Att endast ha en integritetspolicy i sidfoten är därför inte tillräckligt.
Räcker det med en kryssruta?
Nej – inte om den står ensam
Exempel som inte uppfyller kraven:
☐ Jag godkänner villkoren
☐ Jag vill ta del av erbjudanden
Här framgår varken:
-
vad samtycket avser
-
hur e-postadressen används
-
vilka rättigheter mottagaren har
Ett sådant samtycke är inte giltigt enligt GDPR, även om rutan kryssas i.
Hur ska informationen se ut för att vara korrekt?
GDPR tillåter ett så kallat lager-på-lager-upplägg, där kärninformationen visas direkt och mer detaljerad information nås via länk.
Exempel – korrekt utformad samtyckestext
☐ Jag vill få nyhetsbrev via e-post från [Företagsnamn] med information om produkter och erbjudanden.
Jag kan när som helst avregistrera mig via länk i varje utskick.
Läs mer om hur vi behandlar personuppgifter i vår [Integritetspolicy].
Denna formulering uppfyller kraven eftersom:
-
ändamålet anges tydligt
-
kommunikationskanalen anges
-
rätten att avregistrera sig framgår
-
integritetspolicyn är direkt länkad och relevant
Måste hela integritetspolicyn visas direkt?
Nej. Däremot måste kärninformationen visas direkt vid insamlingen. Policyn får komplettera, men inte ersätta, denna information.
Kärninformation som alltid ska synas direkt:
-
att det rör sig om nyhetsbrev/marknadsföring
-
vem som skickar utskicken
-
hur mottagaren kan tacka nej
Vad gäller vid soft opt-in (köp)?
Soft opt-in är ett undantag från kravet på förhandssamtycke enligt marknadsföringslagen, men inte ett undantag från GDPR.
Det innebär att kunden måste informeras redan vid köpet, exempelvis:
Vi kommer att använda din e-postadress för att skicka information om liknande produkter och erbjudanden.
Du kan när som helst avregistrera dig via länk i våra utskick.
Om denna information saknas vid köptillfället:
-
faller soft opt-in
-
framtida nyhetsutskick blir otillåtna
Avregistrering – ett absolut krav
Varje nyhetsbrev måste innehålla:
-
en tydlig och fungerande avregistreringslänk
-
avregistrering utan inloggning eller extra steg
-
snabb eller omedelbar effekt
Att försvåra avregistrering strider både mot GDPR:s proportionalitetsprincip och marknadsföringslagen.
Hur ser tillsynsmyndigheter på detta?
I tillsynsärenden bedöms ofta transparensen först. Ett korrekt samtycke kan underkännas om informationen varit:
-
otydlig
-
dold
-
ofullständig
Bevisbördan ligger alltid på företaget.
Sammanfattning
För att nyhetsbrev ska vara lagliga enligt svensk och EU-rätt krävs:
-
aktiv och tydlig information vid insamling
-
giltig rättslig grund enligt GDPR
-
efterlevnad av marknadsföringslagens krav
-
enkel avregistrering
-
korrekt dokumentation
En kryssruta i sig räcker inte. Mottagaren ska förstå, redan i stunden, vad den tackar ja till och hur den kan säga nej.
