Samtykke til nyhedsbreve: hvornår er et samtykke gyldigt?

Kort svar: Der skal styr på både GDPR og markedsføringsloven

En e-mailadresse er personhenførbar og dermed omfattet af GDPR. Sender I nyhedsbreve, tilbud eller kampagner til en e-mailadresse, skal I have et lovligt grundlag for behandlingen – det mest almindelige er samtykke. Oveni kommer markedsføringslovens § 10, hvis spamforbud forbyder virksomheder at rette henvendelse til nogen ved brug af elektronisk post med henblik på direkte markedsføring, medmindre modtageren har givet sit forudgående samtykke.

De to regelsæt skal overholdes samtidig og trækker i samme retning. Ifølge forarbejderne til markedsføringsloven svarer samtykkekravet efter markedsføringsloven til samtykkekravet efter databeskyttelsesreglerne. Der kan derfor være tale om et »dobbelt« samtykke, der både opfylder markedsføringslovens § 10 og udgør et behandlingsgrundlag efter GDPR. Kravene er, at samtykket er frivilligt, informeret og aktivt, at modtageren ved, hvad han eller hun siger ja til, at det er let at afmelde igen, og at I kan dokumentere hele processen.

Den væsentlige undtagelse er soft opt-in: Du kan sende elektronisk markedsføring for dine egne tilsvarende varer og ydelser til en eksisterende kunde, når betingelserne er opfyldt. Er ingen af de to veje – samtykke eller undtagelsen – opfyldt, kræver udsendelsen et samtykke.

Sådan ser et gyldigt samtykke ud

Efter markedsføringsloven skal et samtykke til direkte markedsføring være udtryk for en frivillig, specifik, informeret og utvetydig viljestilkendegivelse. De fire krav betyder i praksis, at tilmeldingen skal være et reelt valg (frivillig), at den skal dække det konkrete formål, fx nyhedsbrev fra jer, og ikke være et blankt ja til alle mulige afsendere (specifik), at modtageren forinden har fået de oplysninger, der skal til for at vurdere henvendelsen (informeret), og at ja'et kommer til udtryk ved en handling, der ikke kan tolkes anderledes (utvetydig).

Aktiv handling er det afgørende element: Forbrugerombudsmandens vejledninger peger på, at samtykket skal indhentes ved en aktiv handling, hvor kunden selv aktivt sætter kryds i fx et »Ja tak«-felt. Et samtykkefelt må ikke være afkrydset på forhånd. Efter Forbrugerombudsmandens vejledning om konkurrencer kan forbrugeren desuden ikke give samtykke blot ved at indtaste sine oplysninger og klikke sig videre til næste side. En passiv gennemførelse af en formular er altså ikke et samtykke, selv om personen selv har skrevet sin e-mailadresse ind.

Et samtykke kan trækkes tilbage, og det har betydning for den fremtidige behandling.

Vigtige regler fra GDPR og markedsføringsloven

Check-boks og double opt-in: krav eller anbefaling?

Der er hverken et lovkrav om en double opt-in-løsning efter GDPR eller markedsføringsloven, fordi der ikke er formkrav til samtykket. Double opt-in – hvor tilmeldingen først er aktiv, når personen har klikket på et link i en bekræftelsesmail – er altså et valg, man kan tage for at sikre adressekvalitet og dokumentation, ikke en betingelse for, at samtykket er gyldigt.

Om der skal være en check-boks, afhænger af, hvor tilmeldingen sker. Sker tilmeldingen i forbindelse med et køb, hvor kunden mødes af et tilmeldingsfelt til nyhedsbrevet, inden købet færdiggøres, skal der være en check-boks, og den må ikke være forhåndsudfyldt – der må ikke være sat hak i den på forhånd, fordi der skal være tale om et aktivt tilvalg. Ligger tilmeldingsfeltet derimod uden for købssituationen, fx på forsiden eller i sidebaren på et blogindlæg, er der ikke noget krav om et afkrydsningsfelt.

Hold begreberne adskilt: Det retlige krav er det aktive tilvalg, hvor personen selv og utvetydigt siger ja til at modtage markedsføring. En bekræftelsesmail er en teknisk bekræftelse af, at adressen fungerer og læses, og den kan bruges som dokumentation – men den erstatter ikke kravet om, at selve tilvalget er aktivt og informeret.

Double opt-in – fordele og ulemper

Undtagelsen: eksisterende kunder og tilsvarende produkter

Undtagelsen kaldes ofte soft opt-in, og betingelserne skal være opfyldt alle sammen: Kunden skal have købt noget, fx i din webshop. Kunden skal have oplyst sin e-mailadresse ved købet. Kunden skal ved afgivelsen af sin elektroniske adresse oplyses klart og tydeligt om, at du vil bruge adressen til at sende reklame for tilsvarende varer, som dem kunden har købt. Du skal samtidig give kunden mulighed for straks at frabede sig det på en let og gebyrfri måde. Og kunden skal hver gang, han eller hun modtager markedsføring fra dig, have mulighed for at frabede sig fremtidige henvendelser på en let og gebyrfri måde. Undtagelsen dækker kun egne, tilsvarende produkter eller ydelser til en eksisterende kunde.

Grænsen ligger i ordet »tilsvarende«. Et færgeselskab kan bruge undtagelsen til at sende tilbud på andre færgebilletter, mad om bord og andre tilkøbsydelser, når kunden har købt en færgebillet. Et byggemarked, der har solgt en cykel, kan sende reklame for en ringeklokke, en cykelcomputer, en cykelhjelm eller et cykeleftersyn – men ikke for en knallert eller køkkengrej. Et stormagasin kan bruge reglen til egne, tilsvarende produkter eller tilbehør til sådanne produkter, men ikke til sit nyhedsbrev, der reklamerer for mange forskellige produkter.

Ved købet er formuleringen en frabedelsesmulighed, ikke en tilmelding: Du skal ikke formulere oplysningen som en opt-in, men gøre kunden opmærksom på, at du vil sende elektronisk markedsføring, og at kunden kan frabede sig det – fx ved at fjerne et flueben i et forhåndsafkrydset felt. Fordi undtagelsen kun dækker tilsvarende produkter, har dit produktsortiment betydning for, om det er hensigtsmæssigt for dig at benytte den.

Samtykke vs. Soft opt-in – hvilket er mest passende?

Dokumentation, afmelding og tilbagekaldelse

I skal kunne dokumentere hele processen, og det betyder mere end at have e-mailadressen liggende. I skal kunne vise, hvornår og hvordan samtykket blev indhentet, hvilken formular eller hvilket felt personen mødte, hvilken tekst der stod ved feltet, om der var tale om et aktivt tilvalg eller en frabedelse, og på hvilket tidspunkt det skete. Denne dokumentation er det, der gør det muligt at påvise over for Datatilsynet, der fører tilsyn med databeskyttelsesreglerne, og over for Forbrugerombudsmanden, der fører tilsyn med den markedsføringsretlige side, at der forelå et gyldigt samtykke.

Afmelding skal være nem. I hver udsendelse skal modtageren have en let og gebyrfri mulighed for at frabede sig fremtidige henvendelser, og det skal være let at afmelde igen. Et tilbagekaldt samtykke betyder, at samtykket ikke længere kan bære den fremtidige behandling.

Faldgruber: konkurrencer, messekontakter og kontaktformularer

En adresse indsamlet til et andet formål end markedsføring er ikke automatisk en adresse, du må sende nyhedsbreve til. Det gælder, hvis du har fået e-mailadressen på en messe, fra LinkedIn eller gennem en almindelig kontaktformular uden markedsføringssamtykke. Undtagelsen for eksisterende kunder hjælper dig ikke her, fordi der ikke er tale om et køb, og uden samtykke eller soft opt-in kræver udsendelsen et samtykke.

Krydsfeltet mellem markedsføringsret og databeskyttelse er blevet prøvet i praksis. I september 2022 traf Datatilsynet en afgørelse, der blandt andet omhandlede gyldigheden af et samtykke, som virksomheden SmartResponse indhentede i forbindelse med forbrugeres deltagelse i internetkonkurrencer. Sagen hos Datatilsynet blev indledt efter en henvendelse fra Forbrugerombudsmanden, der havde modtaget en række klager over virksomheden, som ved brug af konkurrencer indhentede forbrugeres samtykke til direkte markedsføring. Det indhentede samtykke udgjorde både et markedsføringsretligt samtykke og et samtykke efter databeskyttelsesreglerne, og afgørelsen tyder på, at der er en forskel mellem Datatilsynets og Forbrugerombudsmandens praksis ved vurderingen af, om forbrugeren faktisk har afgivet et gyldigt samtykke.

Tjekliste før næste udsendelse