GDPR och B2B-outbound — vad som faktiskt gäller

Hem › Artiklar › GDPR och B2B-outbound — vad som faktiskt gäller

Frågan kommer i nästan varje strategisamtal vi har: får vi verkligen mejla någon som inte bett om det? Svaret är ja — men villkoren är fler och mer specifika än de flesta tror, och två av dem missas nästan alltid.

Den här genomgången är skriven för dig som ska ta beslutet, inte för en jurist. Vi går igenom vilken rättslig grund som faktiskt gäller, var gränsen går mellan företag och privatperson, och de två kraven — informationsplikten och invändningsrätten — som är vanligast att bryta mot utan att veta om det.

Två regelverk, inte ett

Det första som brukar reda ut förvirringen: outbound i Sverige styrs av två olika lagar som svarar på två olika frågor.

• GDPR svarar på: får ni behandla personuppgifterna över huvud taget?
• Marknadsföringslagen svarar på: får ni skicka just det här utskicket till just den här mottagaren?

Ni måste klara båda. Det går utmärkt att ha giltig rättslig grund enligt GDPR och ändå bryta mot marknadsföringslagen — och tvärtom. När diskussionen spårar ur beror det oftast på att de två blandas ihop.

Rättslig grund: berättigat intresse, inte samtycke

Samtycke fungerar inte för outbound. Det är den enkla anledningen till att ingen seriös aktör bygger på det: för att kunna be om samtycke måste ni redan ha en relation, och har ni en relation är det inte outbound längre.

Grunden är istället berättigat intresse, artikel 6.1.f i GDPR. Det är inte en gråzon eller ett kryphål — skäl 47 i GDPR nämner uttryckligen direktmarknadsföring som ett exempel på vad som kan utgöra ett berättigat intresse.

Men grunden är villkorad. Ni måste göra en intresseavvägning och kunna visa att ert intresse av att bedriva affärsverksamhet väger tyngre än mottagarens integritetsintresse. IMY beskriver testet i tre steg: finns ett berättigat intresse, är behandlingen nödvändig för det, och väger intresset tyngre än den registrerades rättigheter.

Det viktiga i praktiken: avvägningen ska vara dokumenterad och gjord i förväg. En avvägning ni resonerar er fram till efter att tillsynsmyndigheten hört av sig är ingen avvägning.

Vad som stärker er avvägning

Ju mer av det här ni kan svara ja på, desto starkare står ni:

• Ni kontaktar personer i deras yrkesroll, om något som rör den rollen — inte privatpersoner
• Det finns en tydlig och rimlig koppling mellan ert erbjudande och mottagarens ansvar
• Uppgifterna kommer från publika, professionella källor
• Varje meddelande har en enkel och fungerande avregistrering
• Ni sparar inte uppgifter längre än ni behöver
• Volymen är rimlig — en person får inte fem mejl i månaden från er

Omvänt: skickar ni till privata gmail-adresser, till roller utan koppling till det ni säljer, eller i volymer som gör att samma person nås om och om igen — då faller avvägningen. Inte för att någon enskild sak är förbjuden, utan för att helhetsbilden visar att ert intresse inte längre väger tyngre.

Företag eller privatperson — här går den verkliga gränsen

Det här är den del som oftast går fel, och den har inget med GDPR att göra utan med marknadsföringslagen.

19 § marknadsföringslagen kräver att mottagaren har samtyckt i förväg till elektronisk direktmarknadsföring — men bestämmelsen gäller fysiska personer. För juridiska personer gäller istället en opt-out-ordning enligt 20 §: ni får skicka, men måste sluta när mottagaren säger ifrån.

Frågan blir alltså: är anders@företaget.se en fysisk eller juridisk person?

Det finns inget entydigt svar, och det ska man vara ärlig med. Bedömningen brukar landa i att en namngiven person på en företagsadress kontaktas i egenskap av sin yrkesroll — men adressen identifierar samtidigt en fysisk person, vilket gör att GDPR gäller fullt ut parallellt.

Praktiskt hanterar vi det så här: vi behandlar varje utskick som om det högre kravet gäller. Det kostar oss ingenting att ha tydlig avsändare, tydligt ändamål och fungerande opt-out i varje meddelande — och det gör frågan om klassificering ointressant, eftersom vi uppfyller kraven oavsett hur den besvaras.

En sak är däremot klar: renodlade privatadresser hör inte hemma i B2B-outbound. Gmail-, hotmail- och outlook-adresser är fysiska personer, och där gäller samtyckeskravet utan tvekan.

Informationsplikten — kravet som nästan alla missar

Här är det vanligaste faktiska regelbrottet vi ser, och det är inget som brukar diskuteras i outbound-sammanhang alls.

Artikel 14 i GDPR gäller när ni samlat in personuppgifter från någon annan källa än personen själv. Det är exakt vad prospektering är. Artikeln kräver att ni informerar personen om bland annat:

• vem ni är och hur ni kontaktas
• vilka kategorier av uppgifter ni behandlar
• ändamålet och att grunden är berättigat intresse
• varifrån uppgifterna kommer
• hur länge de sparas
• att de har rätt att invända, begära utdrag och radering

Tidsfristen: senast en månad efter insamlingen — och om ni kontaktar personen dessförinnan, så senast vid den första kontakten. I outbound betyder det i praktiken alltid det första mejlet.

Det innebär inte att första mejlet ska vara en juridisk text. Kravet uppfylls med en tydlig rad som säger varifrån ni fått uppgifterna och länkar till er integritetspolicy, där hela informationen finns. Ett mejl som inte antyder med ett ord hur ni hittat mottagaren uppfyller däremot inte artikel 14 — oavsett hur välskriven det är.

Invändningsrätten är absolut

Artikel 21.2 ger rätt att invända mot behandling för direktmarknadsföring. För just direktmarknadsföring är rätten ovillkorlig: det finns ingen intresseavvägning kvar att göra, ingen bedömning, ingen fördröjning. Säger någon nej ska behandlingen upphöra.

Två saker följer av det, och den andra glöms nästan alltid bort:

1. Avregistreringen måste faktiskt fungera, och den måste vara lika enkel som mejlet var att ta emot
2. Ni måste spara uppgiften om att personen sagt nej — annars dyker de upp igen nästa gång ni bygger en lista från samma källa

Det andra kallas suppression list, och det är enda gången det är rätt att spara uppgifter om någon som bett att slippa er: ni sparar minimalt, just för att kunna respektera nejet. Ett bolag som raderar allt och därför kontaktar samma person igen om sex månader har inte varit noggrant — det har brutit mot artikel 21.

Vad som gäller för era leverantörer

Använder ni datakällor, sekvensverktyg eller en outbound-partner behandlar de personuppgifter för er räkning. Då är ni personuppgiftsansvariga och de personuppgiftsbiträden, och relationen kräver ett personuppgiftsbiträdesavtal (DPA) enligt artikel 28.

Ligger leverantören utanför EU/EES — vilket många verktyg i den här kategorin gör — behöver överföringen dessutom en giltig mekanism, i praktiken standardavtalsklausuler (SCC) eller EU-US Data Privacy Framework.

Det praktiska rådet: begär biträdesförteckningen innan ni skriver på. Ett bolag som inte kan redovisa vilka underbiträden som rör er data har inte ordning på det, och ansvaret landar hos er.

Checklista innan första utskicket

• Dokumenterad intresseavvägning som täcker er ICP
• Publicerad integritetspolicy som uppfyller artikel 14
• Rad i varje mejl om varifrån uppgifterna kommer, med länk till policyn
• Fungerande avregistrering i varje utskick
• Suppression list som överlever listbyggen
• Inga privata e-postadresser i underlaget
• DPA med varje leverantör som rör datan, plus koll på tredjelandsöverföring
• Rutin för utdrags- och raderingsbegäran, med svar inom 30 dagar

Det som egentligen skyddar er

Efter alla paragrafer är det värt att säga det uppenbara: reglerna ovan är svåra att bryta mot om ni skickar få, relevanta mejl till rätt personer — och nästan omöjliga att följa om ni skickar tusentals generiska.

Volym är det som skapar den juridiska risken. Ett utskick till fem hundra bolag som verkligen har anledning att höra av er, med tydlig avsändare och enkel opt-out, är både mer effektivt och mer regelefterlevande än tio tusen mejl till en köpt lista. Det är samma sak som gör outbound effektivt som gör det lagligt: att ni faktiskt vet varför ni kontaktar just den här personen just nu.

Vill ni gå igenom hur det skulle se ut för er affär — boka ett strategisamtal, så tittar vi på er ICP och vad den innebär praktiskt. Ni kan också läsa mer om hur vi arbetar och i vår egen integritetspolicy, som är skriven enligt exakt de krav som beskrivs här.

Den här texten är en praktisk genomgång baserad på hur vi arbetar — inte juridisk rådgivning. Vid osäkerhet i ert enskilda fall, stäm av med jurist.