GDPR och marknadsföringslagen svarar på olika frågor
GDPR kräver en rättslig grund för behandlingen av personuppgifter. Välj och dokumentera den innan arbetet börjar. IMY beskriver de rättsliga grunderna. Att direktmarknadsföring kan vara ett berättigat intresse betyder inte att varje behandling klarar en intresseavvägning, eller att ni får skicka varje mail.
För elektronisk marknadsföring till en fysisk person kräver 19 § marknadsföringslagen som huvudregel samtycke i förväg. Därför är ”vi har ett berättigat intresse” inte ett komplett svar på om ett nyhetsbrev får skickas. Läs 19–20 §§ i marknadsföringslagen.
När kan undantaget för befintliga kunder användas?
Undantaget i 19 § gäller under särskilda förutsättningar: adressen ska ha samlats in i samband med en försäljning till personen, personen får inte ha motsatt sig användningen och marknadsföringen ska avse era egna likartade produkter. Personen ska också ha fått en tydlig, enkel och kostnadsfri möjlighet att tacka nej både när adressen samlades in och i varje efterföljande meddelande.
En förfrågan, en nedladdad guide eller en gammal kontakt i CRM är därför inte i sig samma sak som en sådan kundrelation. Dokumentera vilken situation ni stödjer er på. Ett ordermail och ett efterföljande erbjudande behöver inte heller ha samma rättsliga förutsättningar. Se vår guide om e-post efter köp.
Samtycke och B2B: kontrollera vem ni faktiskt kontaktar
Ett GDPR-samtycke behöver vara frivilligt, specifikt, informerat och lämnat genom en tydlig aktiv handling. Ni ska kunna visa vad personen sa ja till och göra det möjligt att återkalla samtycket. Spara därför anmälningskälla, tidpunkt, relevant formulärversion och aktuella val. IMY om samtycke.
B2B är inget generellt undantag från dataskydd. En namngiven arbetsadress kan vara en personuppgift. Bedöm även om marknadsföringen riktas till en fysisk eller juridisk person. Kravet i 20 § på en giltig adress för att begära stopp gäller också marknadsföring till juridiska personer. Köp inte en lista med förhoppningen att leverantörens allmänna löfte om ”GDPR-säker data” ersätter den egna bedömningen.
Avregistrering ska överleva nästa import
Den registrerade har rätt att invända mot behandling för direktmarknadsföring. Då ska sådan behandling upphöra. IMY förklarar rätten att invända. Testa därför avregistreringen hela vägen: länken, bekräftelsen, mottagarlistan och synkroniseringen med CRM.
Bestäm hur en minimal spärrlista ska bevara ett nej utan att ni sparar en onödig kontaktprofil. Ange ändamål, rättslig grund, åtkomst och gallringsrutin för den lösningen. Det finns ingen allmän lagringstid som passar alla nyhetsbrev; uppgifter ska inte sparas längre än de behövs för ändamålet. IMY om lagringstid.
Spårningspixlar och klick behöver en egen bedömning
Att prenumerera på ett nyhetsbrev innebär inte automatiskt ett godkännande av all mätning. Teknik som lagrar eller hämtar information i mottagarens terminalutrustning kan omfattas av reglerna om sådan åtkomst. EDPB behandlar bland annat e-postpixlar och spårningslänkar i sina riktlinjer om ePrivacy-direktivets tekniska tillämpning.
Kartlägg vad just ert verktyg gör och bedöm samtyckeskrav, information och eventuella undantag med juridiskt ansvarig. Se även PTS om lagring och åtkomst i terminalutrustning. Välj den mätning ni behöver och faktiskt kan motivera. Läs också varför öppningsgraden inte är ett säkert läskvitto.
Biträdesavtal och data utanför EU
Kontrollera rollerna och teckna personuppgiftsbiträdesavtal när leverantören behandlar uppgifter för er räkning. Avtalet behöver beskriva uppdraget och skyldigheterna; IMY sammanfattar kraven. Granska även underbiträden, supportåtkomst, säkerhetskopior och radering när avtalet upphör.
En server i EU är inte ett fullständigt svar på om en tredjelandsöverföring sker. För USA gäller beslutet om adekvat skyddsnivå för organisationer som omfattas av EU–US Data Privacy Framework. Kontrollera rätt juridisk mottagare och aktuell omfattning. Andra överföringsverktyg, exempelvis standardavtalsklausuler, kräver sin egen bedömning. IMY om överföringar till USA. Använd frågorna i vår väljarguide för nyhetsbrevsverktyg.
En kontroll före nästa utskick
- Beskriv ändamål, rättslig grund och vilka som får marknadsföringen.
- Kontrollera anmälningskälla, information och dokumenterade mottagarval.
- Prova avregistrering med en testkontakt och importera den igen för att kontrollera spärren.
- Gå igenom spårning, leverantörsavtal, underbiträden och möjliga tredjelandsöverföringar.
- Utse en ansvarig för förfrågningar, gallring och återkommande kontroll.
Källor kontrollerade den 14 september 2026. Detta är allmän vägledning för svenska verksamheter. Låt juridiskt ansvarig bedöma ert konkreta upplägg. Posty kan hjälpa er omsätta besluten i formulär, mottagarregler och utskick.
TA HJÄLP AV POSTY
Få ordning på valen i ert nyhetsbrevsarbete.
Posty hjälper er kartlägga anmälningar, mottagarregler, avregistreringar och mätning. Utifrån era juridiska beslut kan vi förbättra formulär och utskicksrutiner och testa att valen följer med mellan systemen.
Vi bestämmer omfattning och fast pris före start.
Ord i den här guiden
- Samtycke
- Samtycke enligt GDPR är ett frivilligt, specifikt, informerat och otvetydigt godkännande genom en tydlig aktiv handling. Det är en av flera möjliga rättsliga grunder.
- Berättigat intresse
- Berättigat intresse kan stödja personuppgiftsbehandling när behandlingen är nödvändig för ett berättigat ändamål och den registrerades intressen och rättigheter inte väger tyngre.
- Personuppgiftsansvarig
- Personuppgiftsansvarig är den som bestämmer ändamålen och medlen för en behandling av personuppgifter. Rollen avgörs av det faktiska inflytandet, inte bara av vad ett avtal kallar parten.
- Personuppgiftsbiträde
- Ett personuppgiftsbiträde behandlar personuppgifter för den personuppgiftsansvarigas räkning. Behandlingen ska ske enligt de instruktioner och skyldigheter som gäller för uppdraget.
- Personuppgiftsbiträdesavtal
- Ett personuppgiftsbiträdesavtal reglerar hur ett biträde får behandla personuppgifter för den ansvarigas räkning. Det ska beskriva uppdraget och parternas skyldigheter enligt GDPR.
- Tredjelandsöverföring
- En tredjelandsöverföring innebär att personuppgifter överförs till ett land utanför EU och EES. Även att göra uppgifter tillgängliga för en mottagare i ett sådant land kan omfattas.
- Avregistrering
- Avregistrering innebär att en mottagare avslutar en prenumeration eller väljer bort en viss typ av utskick. Valet behöver respekteras i systemen som skickar kommunikationen.
- Spärrlista
- En spärrlista anger vilka adresser eller kontakter som ska undantas från vissa utskick. Orsaken kan exempelvis vara avregistrering, en permanent studs eller en intern mottagarregel.