Nyhetsbrev och GDPR: samtycke och regler

När krävs samtycke?

Direktmarknadsföring till konsumenter kräver i regel förhandssamtycke. Till befintliga kunder får man under vissa villkor marknadsföra liknande produkter, men möjligheten att avsluta ska alltid finnas.

Reglerna för nyhetsbrev

• Inhämta samtycke tydligt – inga förkryssade rutor.
• Berätta vad adressen används till.
• Erbjud enkel avregistrering i varje utskick.
• Förvara adresser säkert och bara så länge det behövs.
• Beskriv listan i integritetspolicyn.

Så samlar du in adresser rätt

1. Be om aktivt samtyckeAnvändaren kryssar själv, inte förkryssat.
2. Bekräfta prenumerationenEn bekräftelse via e-post minskar fel.
3. Håll listan aktuellTa bort avregistrerade och inaktuella.

Soft opt-in: när du får mejla befintliga kunder

Huvudregeln är samtycke, men marknadsföringslagen har ett undantag som brukar kallas soft opt-in. Det gäller bara när alla fyra villkoren är uppfyllda samtidigt:

• Du fick adressen i samband med att kunden faktiskt köpte något av dig.
• Utskicket gäller dina egna, liknande produkter eller tjänster – inte en samarbetspartners.
• Kunden fick möjlighet att tacka nej redan när adressen samlades in.
• Varje utskick innehåller ett lika enkelt sätt att tacka nej.

Saknas ett enda av villkoren är du tillbaka på samtycke. Undantaget gäller marknadsföring till fysiska personer. Rena företagsadresser som info@ eller order@ har mildare regler, men så fort adressen går att koppla till en namngiven person gäller GDPR ändå – samma sak som för resten av ditt kundregister.

Vad ska stå i samtyckestexten?

Ett giltigt samtycke ska vara frivilligt, specifikt, informerat och otvetydigt. I praktiken betyder det att texten vid rutan ska gå att förstå på tre sekunder. Ungefär så här:

Ja, skicka mig nyhetsbrevet med tips om kundkontakt och digitala verktyg, cirka en gång i månaden. Du kan avsluta när du vill. Så behandlar vi dina uppgifter: länk till integritetspolicyn.

Tre saker gör skillnad: vad du skickar, hur ofta, och hur man slutar. Lägg aldrig samtycket till nyhetsbrevet i samma ruta som köpvillkoren – då är det varken frivilligt eller specifikt.

Dokumentera samtycket

Du ska kunna visa att samtycket finns. Spara därför fyra saker för varje adress:

• tidpunkt – datum och helst klockslag,
• vilken text personen faktiskt godkände,
• var samtycket lämnades: formulär på sajten, kassan, en mässa,
• status i dag – aktivt eller återkallat.

De flesta nyhetsbrevsverktyg loggar det här automatiskt. Ligger listan i Excel behöver du minst två extra kolumner: källa och datum.

Så länge får du spara adresserna

GDPR sätter ingen fast gräns. Regeln är att du inte får spara längre än du behöver. En rutin som fungerar för ett litet företag:

• Ta bort avregistrerade ur utskickslistan direkt, men behåll adressen på en spärrlista så att personen inte råkar läggas till igen vid nästa import.
• Rensa adresser som studsar en gång per år.
• Har någon inte öppnat ett enda utskick på två år: fråga en sista gång, annars ta bort.

Fem misstag som är lätta att göra

1. Förkryssad ruta. Samtycket måste vara aktivt. En ruta som redan är ikryssad räknas inte.
2. Köpt eller skrapad adresslista. Samtycket följer inte med adressen. Du kan inte ärva någon annans lista.
3. Samtycke gömt i villkoren. Ett samtycke som är villkor för köpet är inte frivilligt.
4. Avregistrering som kräver inloggning. Det ska gå lika enkelt att sluta som det gick att börja – en länk räcker.
5. Listan saknas i integritetspolicyn. Nyhetsbrevslistan är en behandling som ska beskrivas där. Osäker på vad som ska stå? Se vad en integritetspolicy ska innehålla.

Checklista innan nästa utskick

• Alla adresser har ett dokumenterat samtycke eller uppfyller soft opt-in.
• Avsändaren går att känna igen och svarsadressen fungerar.
• Avregistreringslänken finns och är testad.
• Nyhetsbrevet finns beskrivet i integritetspolicyn.
• Verktyget du skickar med omfattas av ett personuppgiftsbiträdesavtal.
• Avregistrerade sedan förra utskicket är borttagna.

Det här är allmän information, inte juridisk rådgivning. Vid tveksamma fall – hör med Integritetsskyddsmyndigheten (IMY) eller en jurist. En bredare genomgång finns i vår GDPR-checklista för småföretag.