Direkte markedsføring GDPR: find dit behandlingsgrundlag

Du har en kundeliste med 14.000 e-mails i din e-mailplatform, en Customer Match-liste i Google Ads, tre Custom Audiences i Meta, en 1 %-lookalike der performer bedre end alt andet — og et CRM, hvor nogle segmenter er bygget på købshistorik, andre på adfærd på sitet. Så spørger din nye webshopchef, din revisor eller en kunde: Hvad er egentlig jeres behandlingsgrundlag for det her? Og så bliver det stille.

Det er den situation, de fleste danske SMV’er og webshops står i. Setuppet er bygget op i sprint over flere år, ofte af forskellige bureauer og freelancere, og dokumentationen har aldrig fulgt med. Når man taler om direkte markedsføring GDPR, handler det derfor sjældent om, at nogen har gjort noget ondsindet — det handler om, at valget af behandlingsgrundlag aldrig blev truffet bevidst, skrevet ned og afstemt med samtykketekster og privatlivspolitik.

Datatilsynet udgav 30. juni 2023 en vejledning, der netop går tæt på de GDPR-regler, som er relevante for markedsføring. Den er ikke en ny lov, men den er tilsynets udmelding om, hvordan reglerne skal forstås i praksis — og den er skarp på tre ting: du skal vælge grundlaget før du starter, du kan ikke ændre det bagudrettet for samme formål, og du skal kunne dokumentere valget. Denne artikel oversætter det til de værktøjer, du faktisk arbejder i: kundelister, Customer Match, Meta Custom Audiences, lookalikes og CRM-segmentering.

Bemærk: artiklen er generel information og markedsføringsfaglig sparring — ikke juridisk rådgivning. Ved tvivl om konkrete forhold bør du inddrage en databeskyttelsesrådgiver eller advokat.

Hvad Datatilsynets vejledning om direkte markedsføring egentlig ændrer

Vejledningen blev offentliggjort af Datatilsynet den 30. juni 2023 og handler om de regler i GDPR, der er særligt relevante i forbindelse med direkte markedsføring. Den er målrettet rådgivere og andre med erfaring med databeskyttelse, og den giver tilsynets vurdering af en række gængse markedsføringsaktiviteter — se Datatilsynets nyhed om vejledningen og selve vejledningen som PDF.

Kort fortalt er direkte markedsføring i databeskyttelsesretlig forstand den situation, hvor du som dataansvarlig henvender dig til en eller flere bestemte personer i kommercielt øjemed. Det dækker e-mail, SMS, breve, telefonopkald, direkte beskeder på sociale medier og konkret, målrettet annoncering — og også de bagvedliggende behandlinger, der gør det muligt at kontakte bestemte personer. Det er væsentligt bredere end spamforbuddet i markedsføringsloven: eksempelvis er bannerannoncer omfattet af Datatilsynets vejledning, mens de ifølge Forbrugerombudsmanden ikke udgør direkte markedsføring i markedsføringslovens forstand. Se advokatfirmaernes gennemgange hos Kromann Reumert og Jurainfo.

Vigtig arbejdsdeling: Datatilsynet fører tilsyn med GDPR-siden, men har ikke kompetence til at vejlede om spamforbuddet i markedsføringslovens § 10 — det er Forbrugerombudsmandens område, som Dansk Industri også fremhæver. Du skal altså holde to regelsæt i luften samtidig — og de peger ikke altid på samme svar.

De fem skærpelser, du skal kunne mærke i dit setup

• Grundlaget vælges på forkant. Du skal tidligt vælge et passende behandlingsgrundlag, der passer til formål, datatyper og målgruppe — og valget kan ikke ændres bagudrettet for samme formål.
• “Markedsføring” er ikke et formål. Formålene skal granuleres i delformål og beskrives konkret i både samtykketekster og privatlivspolitik.
• Profilering trækker mod samtykke. Jo mere omfangsrige profiler, jo mere sandsynligt at samtykke er det rigtige grundlag.
• Legitim interesse kræver skriftlig afvejning. Bruger du interesseafvejningsreglen, skal du kunne fremvise en LIA (Legitimate Interest Assessment).
• Sletning skal være besluttet og implementeret. Slettefrister og implementeringen af dem skal dokumenteres — også for annoncelister og segmenter.

Samtykke eller legitim interesse: sådan finder du behandlingsgrundlaget for direkte markedsføring (GDPR)

Behandling af personoplysninger i markedsføringsøjemed kræver et retligt grundlag. I praksis er to grundlag relevante: den registreredes samtykke (GDPR artikel 6, stk. 1, litra a) og den dataansvarliges legitime interesser, også kaldet interesseafvejningsreglen (artikel 6, stk. 1, litra f). GDPR’s præambelbetragtning nr. 47 fastslår, at behandling til direkte markedsføring kan anses for at være foretaget i en legitim interesse — men som Datatilsynet påpeger i vejledningen, siger betragtningen ikke meget om, hvor grænserne så går.

Interesseafvejningsreglen: tre betingelser og en skriftlig LIA

Vil du bruge legitim interesse, skal tre betingelser være opfyldt: der skal være en legitim interesse, behandlingen skal være nødvendig for at forfølge den, og afvejningen mod den registreredes interesser og rettigheder skal falde ud til din fordel. Det er en helhedsvurdering, hvor et centralt element er, om modtageren med rimelighed kan forvente henvendelsen — se opsummeringen hos Jura360.

Praktisk betyder det, at du skal skrive en LIA, der dokumenterer, at din interesse i markedsføringen overstiger den registreredes ret til privatliv, jf. Kromann Reumerts gennemgang. En brugbar LIA for et webshop-setup fylder 1-3 sider pr. aktivitet og indeholder: beskrivelse af aktiviteten, hvilke felter der bruges, hvorfor færre felter ikke er nok, relationen til kunden, hvor længe siden købet er, hvordan der informeres, hvordan man gør indsigelse, hvilke sikkerhedsforanstaltninger der er, og konklusionen. Uden den har du reelt ikke et grundlag — du har en holdning.

Kræver anden lovgivning samtykke, kræver GDPR det typisk også

Det er her mange bliver overraskede. Datatilsynet mener, at hvis der er krav om samtykke efter markedsføringsloven og cookiebekendtgørelsen, vil der ofte også være krav om samtykke efter GDPR. Konkret: tilmelder en modtager sig e-mailmarkedsføring på baggrund af permission efter markedsføringslovens § 10, stk. 1, skal der også gives samtykke efter GDPR artikel 6, stk. 1, litra a (vejledningens eksempel 4). Omvendt kan de legitime interesser anvendes, når udsendelsen sker efter opt-out-reglen i markedsføringslovens § 10, stk. 2 (eksempel 5 og 8). Det fremgår af Kromann Reumerts opsummering, og DI beskriver det som fastlagt, at legitim interesse ikke kan bruges i de situationer, hvor man i forvejen skal indhente samtykke efter anden lovgivning.

Det gode ved den logik: du behøver ikke fem samtykkedialoger. Det er tilladt at indhente ét samlet samtykke efter både GDPR og den anden relevante lovgivning — for eksempel samtykke til både profilering og udsendelse via e-mail — så længe hvert formål er klart beskrevet, jf. Jurainfo. Og hvor anden lovgivning ikke kræver samtykke, kan interesseafvejningsreglen som udgangspunkt bruges; Datatilsynet nævner blandt andet et forsikringsselskab, der må ringe til forbrugere uden samtykke efter forbrugeraftaleloven, og som derfor kan bruge interesseafvejningsreglen for den behandling.

Du kan ikke skifte grundlag bagudrettet — og det er den dyreste fejl

Behandler du oplysninger på baggrund af et samtykke, kan du ikke efterfølgende skifte til et andet retsgrundlag, fordi det vil være urimeligt over for den registrerede (rimelighedsprincippet i GDPR artikel 5, stk. 1, litra a). Trækker personen sit samtykke tilbage, kan du derfor ikke fortsætte behandlingen på grundlag af en legitim interesse. Det står direkte i Datatilsynets vejledning.

Oversat til dit annoncesetup: hvis en kunde afmelder nyhedsbrevet, kan du ikke lade e-mailadressen blive liggende i en Customer Match-liste eller Custom Audience til samme formål med henvisning til, at “det er legitim interesse i annoncekanalen”. Derfor skal afmelding/tilbagekaldelse teknisk kunne forplante sig hele vejen ud til annonceplatformene — ikke kun til e-mailværktøjet. Det er i praksis den mest oversete integration i danske marketing-stacks.

Beslutningstræ i fem trin

1. Beskriv delformålet præcist. “Genkøbsmail om tilsvarende produkter til kunder, der har handlet inden for 12 måneder” — ikke “markedsføring”.
2. Tjek kanalens særlovgivning. Kræver markedsføringsloven eller cookiereglerne samtykke for netop denne handling? Så peger GDPR-grundlaget typisk også på samtykke.
3. Vurdér datamængden. Bruger du kun egne transaktionsdata og få felter — eller sammenstiller du data fra flere kilder til en profil?
4. Vælg grundlaget og skriv det ned. Samtykke: granuleret tekst, log, tilbagekaldelsesflow. Legitim interesse: LIA, information og reel indsigelsesmulighed.
5. Byg teknikken efter grundlaget. Felter i eksporten, opdateringsfrekvens, slettefrist, suppression-lister og kanaler, der modtager afmeldinger.

Aktivitet i dit setup	Typisk grundlag ifølge vejledningens logik	Det skal du kunne fremvise
Nyhedsbrev med tilmelding (permission efter § 10, stk. 1)	Samtykke	Granuleret samtykketekst, samtykkelog med tidspunkt og formulering, tilbagekaldelsesflow
Genkøbsmail til tidligere kunde om egne tilsvarende produkter (§ 10, stk. 2)	Legitim interesse kan anvendes	LIA, dokumentation for salg og indsamlet adresse, klar frabedelsesmulighed i hver besked
Telefonopkald, hvor forbrugeraftaleloven tillader kontakt uden samtykke	Legitim interesse kan anvendes	LIA, information til kunden, Robinson-/spærretjek
Upload af kunde-e-mails til socialt medie for at annoncere tilsvarende produkter (vejledningens eksempel 11)	Legitim interesse kan anvendes — hvis kunden er informeret om formålet og har haft mulighed for indsigelse	LIA, konkret formålsbeskrivelse i privatlivspolitik, indsigelsesflow, aftalegrundlag med platformen
Profilering, hvor købshistorik sammenstilles med browsingdata fra flere kilder	Samtykke	Granuleret samtykke pr. delformål, beskrivelse af logikken, slettefrister
Omfangsrige kundeprofiler til målretning	Samtykke	Samtykke pr. delformål — og kun behandling af egne data
Pixel, tags og tracking-cookies til retargeting	Samtykke (cookieregler) — og dermed typisk samtykke efter GDPR	Cookiebanner med reelt valg, consent-log, dokumentation for at tags først fyrer efter samtykke

Formålsgranulering: “markedsføring” holder ikke som formål

Markedsføring indebærer ofte en lang række behandlingsaktiviteter, og derfor vil det ofte ikke være tilstrækkeligt blot at angive formålet som “markedsføring”. De enkelte aktiviteter skal beskrives i både samtykketekster og privatlivspolitikker — der er for eksempel forskel på en e-mailkampagne baseret alene på en e-mailadresse og profilering på baggrund af købshistorik, som Kromann Reumert fremhæver.

DI giver eksempler på delformål: tilbud og særlige kampagner via e-mail og SMS, profilering på baggrund af søge- og købshistorik, eller behandling af browsinghistorik med henblik på markedsføring af lignende produkter via sociale medier. Er samtykke det rigtige grundlag, skal brugeren frit kunne vælge til og fra på hvert delformål — i praksis flere afkrydsningsbokse. Og der kan godt afgives flere samtykker på tværs af markedsføringsloven, GDPR og cookiebekendtgørelsen samtidigt, så længe de hver for sig er klart beskrevet.

Sådan ser en brugbar granulering ud for en typisk webshop:

• Nyhedsbrev og tilbud via e-mail
• Tilbud via SMS
• Personalisering af indhold og anbefalinger ud fra din købshistorik
• Målrettede annoncer på sociale medier og i søgeresultater
• Sammenstilling af adfærd på sitet med købshistorik for at forudsige interesser

Et lille, men vigtigt teknisk krav: samtykke kan ikke indhentes via et forhåndsafkrydset felt. Det slog Forbrugerombudsmanden fast i en forhåndsbesked om markedsføring af skønhedsprodukter.

Profilering og segmentering: hvor grænsen ligger

Profilering er automatisk behandling af personoplysninger med det formål at vurdere personlige forhold — typisk at forudsige adfærd eller præferencer. Datatilsynet peger på, at profilering indebærer væsentlige risici for at fastlåse personer i bestemte kategorier og dermed begrænse deres muligheder, jf. gennemgangen på Jurainfo.

Det gennemgående synspunkt i vejledningen er, at de meget omfangsrige profiler, virksomheder i dag kan danne af kunder og bruge i markedsføringen, kræver samtykke. DI sammenfatter det som, at det korrekte behandlingsgrundlag ved profilering næsten altid vil være samtykke, og at man kun må profilere på virksomhedens egne data. Legitim interesse får derfor et snævrere anvendelsesområde og rammer især den markedsføring, hvor du kun kender lidt om modtageren.

Datatilsynet giver desuden eksempler på, hvornår profilering er så indgribende, at samtykke er nødvendigt — eller at profileringen slet ikke må foretages. Det vil eksempelvis ofte kræve samtykke at sammenstille oplysninger fra flere kilder, blandt andet oplysninger om indkøb på en hjemmeside og browserdata, for at foretage profileringen (kilde).

CRM-segmentering du normalt kan holde på egne data

• Transaktionsbaserede segmenter: “har købt kategori X”, “antal ordrer”, “seneste ordredato”, “gennemsnitlig ordreværdi” — bygget på dine egne ordredata.
• Livscyklus-segmenter: ny kunde, aktiv kunde, sovende kunde. Simpelt, forklarligt og let at beskrive i privatlivspolitikken.
• Servicebaserede triggere: genkøbspåmindelser på forbrugsvarer med et kendt interval.

Segmentering der typisk kræver samtykke

• Sammenstilling af købsdata med browsingadfærd, sessionsoptagelser eller data fra tredjeparter.
• Scoringsmodeller, der forudsiger betalingsvillighed, prisfølsomhed, livsstil eller helbredsrelaterede interesser.
• Berigelse med eksterne datakilder — vær særligt varsom, når vejledningen lægger op til, at profilering sker på egne data.

Bonus fra virkeligheden: den ekstra performance fra hyper-granulær profilering er ofte mindre end den performance, du får fra bedre budskaber og kreativer. Vi ser gang på gang, at stærk storytelling og skarpe tilbud slår endnu et datalag — og det er markant nemmere at forsvare over for både kunder og myndigheder.

Customer Match, Meta Custom Audiences og lookalikes i praksis

Her bliver det konkret. Datatilsynet beskriver i vejledningens eksempel 11 situationen, hvor en organisation overlader en kundes e-mailadresse til et socialt medie for at matche organisationens liste af e-mailadresser med platformens, så der kan målrettes annoncer om tilsvarende produkter til kunderne. Tilsynet vurderer, at behandlingen kan ske efter interesseafvejningsreglen — forudsat at kunden er informeret om, at e-mailadressen vil blive brugt til dette formål, og forudsat at kunden har haft mulighed for at gøre indsigelse. Fremgangsmåden minder meget om custom audience og lookalike audience via for eksempel Facebook og Google, og Datatilsynet åbner dermed i en vis grad op for, at det kan ske uden samtykke, som Jurainfo beskriver.

Det er en åbning — ikke et frikort. Her er den praktiske checkliste, der gør åbningen brugbar:

1. Skriv formålet ind, hvor kunden ser det. Privatlivspolitikken skal nævne, at e-mail/telefonnummer overlades til annonceplatforme for at målrette annoncer om tilsvarende produkter. “Vi bruger dine data til markedsføring” er for bredt.
2. Giv en reel indsigelsesmulighed. Et link, en checkbox i kontoen eller en tydelig sætning i ordrebekræftelsen — og en proces, der faktisk fjerner personen fra listerne.
3. Hold dig til tilsvarende produkter. Formålsbegrænsning: listen må ikke genbruges til et helt andet formål (nyt brand, nyt forretningsområde, salg af data).
4. Minimér felterne. Upload kun det, matchet kræver. Undgå at sende ordreværdier, produktnavne eller frie tekstfelter med, hvis de ikke er nødvendige.
5. Husk at hashing ikke er anonymisering. Hashede e-mails er pseudonymiserede oplysninger — det er stadig personoplysninger, og reglerne gælder fuldt ud.
6. Sæt en slettefrist på listerne. Slettefrister og implementeringen af dem skal dokumenteres; det gælder også annoncelister, der ellers lever evigt i en platform.
7. Kobl afmeldinger sammen. Tilbagekaldelse af samtykke eller indsigelse skal ramme både e-mailværktøj, CRM og annonceplatforme.
8. Få rollerne og aftalerne på plads. Du bestemmer formålet med målretningen og er dataansvarlig for din del. Sørg for, at platformens databehandler- eller dataansvarlig-vilkår er accepteret og gemt sammen med din dokumentation.

Lookalikes: kvaliteten af seed-listen afgør, hvor du lander

En lookalike er kun så lovlig som den liste, den er bygget på. Er seed-listen en simpel kundeliste med e-mails fra gennemførte køb, ligger du tæt på eksempel 11’s logik: information plus indsigelsesmulighed plus LIA. Er seed-listen derimod et adfærdssegment bygget på sammenstillede data — for eksempel “besøgte kategori A, læste tre guides og har høj forudsagt værdi” — er du i profileringsterritorium, hvor samtykke ifølge vejledningen næsten altid er det rigtige grundlag. Vores anbefaling til de fleste webshops: byg value-based og lookalike-strategier på transaktionsdata og samtykkede segmenter, og hold de eksperimentelle profilmodeller ude af annonceplatformene, indtil grundlaget er beskrevet.

Pixel, tags og server-side: samtykke først

Retargeting via pixels og tags forudsætter, at du må sætte og læse cookies/lignende teknologier. Når samtykke kræves efter cookiereglerne, er samtykke også typisk det rigtige grundlag efter GDPR — det er hele pointen i Datatilsynets kobling mellem regelsæt. Praktisk betyder det: ingen marketing-tags før samtykke, consent mode/consent-styring konfigureret og testet, og server-side tracking (Conversions API, GA4-server-side) ændrer ikke samtykkekravet — det flytter kun, hvor kaldet sker fra. Sæt derfor jeres måling op, så du kan dokumentere, at data først flyder efter accept. Vi har samlet det bredere billede af kanaler, måling og prioritering i vores guide til digital marketing.

Og en pointe, der bliver mere værd for hvert samtykke, du mister: organisk synlighed, e-mail til samtykkede modtagere og stærkt indhold er de mest robuste kanaler, når targeting-mulighederne indsnævres. Hvis du vil polstre dig mod stigende annoncepriser og faldende signalkvalitet, er SEO den mest oplagte modvægt.

E-mail og SMS: samspillet med spamforbuddet

Selv med et perfekt GDPR-grundlag kan udsendelsen være ulovlig efter markedsføringsloven. Efter markedsføringslovens § 10, stk. 1, må en erhvervsdrivende ikke kontakte nogen ved brug af elektronisk post — fx mail eller SMS — medmindre den pågældende har givet forudgående samtykke. Sanktionerne er reelle: Forbrugerombudsmanden har oplyst om en sag, hvor en kursusvirksomhed blev idømt en bøde på 800.000 kr., hvor retten tog udgangspunkt i 100 kr. for hver udsendt mail.

Undtagelsen i § 10, stk. 2, giver mulighed for at markedsføre egne tilsvarende produkter til en tidligere kunde, hvis du har modtaget kundens elektroniske adresse i forbindelse med salg af produkter — men en lang række betingelser skal alle være opfyldt. To afgørelser viser, hvor stramt det tolkes:

• En kundeaftale er ikke i sig selv nok. Forbrugerombudsmanden vurderede, at undtagelsen ikke kunne anvendes, når virksomheden fik mailadressen ved indgåelse af en kundeaftale, uden at der nødvendigvis skete et salg — se afgørelsen.
• “Tilsvarende produkter” tolkes snævert. Skønhedsprodukter kan efter omstændighederne deles i flere kategorier som hårprodukter, parfume og makeup, og de adskiller sig for meget fra hinanden; har kunden købt shampoo, er markedsføring af parfume eller makeup ikke tilsvarende produkter — se forhåndsbeskeden. Betingelserne uddybes i kapitel 9 i Forbrugerombudsmandens spamvejledning.
• Begrebet skal dog ikke tolkes så snævert som før 2017-loven; forarbejderne lægger op til en bredere fortolkning end tidligere, men det er stadig en konkret vurdering, som en sag om en rejseformidler illustrerer.

Husk også, at annoncerne og mailene selv skal overholde markedsføringsretten. Bruger du “spar”-udsagn, førpriser eller tidsbegrænsede tilbud i dine retargeting-annoncer, gælder Forbrugerombudsmandens retningslinjer for prismarkedsføring — som er blevet revideret som følge af nye EU-regler og en bestemmelse i prismærkningsbekendtgørelsen, jf. Bech-Bruun. Tjek derfor altid den nyeste version på forbrugerombudsmanden.dk, før du sætter et prisbudskab i luften.

Gennemsigtighed, indsigelse og dokumentation

Vejledningen samler kravene til behandlingsgrundlag, gennemsigtighed over for forbrugere, profilering samt dokumentation af efterlevelse, som Jura360 opsummerer. I praksis betyder det tre arbejdsopgaver.

1) Privatlivspolitik og samtykketekster der matcher virkeligheden

• Beskriv hvert delformål — også “målretning af annoncer via kundelister på sociale medier og søgemaskiner”.
• Angiv grundlaget pr. formål (samtykke eller legitim interesse) og hvilke interesser afvejningen bygger på.
• Nævn kategorier af modtagere, herunder annonceplatforme, og hvordan man gør indsigelse eller trækker samtykke tilbage.
• Giv informationen dér, hvor data indsamles — ikke kun begravet i footeren.

2) Sletning og opbevaring

Du skal tage konkret stilling til, hvor længe oplysningerne opbevares, og både slettefrister og implementeringen skal dokumenteres. Sæt frister pr. formål: fx inaktive nyhedsbrevsmodtagere, kunder uden køb i X måneder, annoncelister der genopbygges automatisk, og logs. Det bedste tegn på et sundt setup er, at listerne bliver mindre, når man rydder op — og at performance oftest ikke falder.

3) Dokumentationspakken

• Formålsoversigt: alle delformål med grundlag, datatyper, kilder, modtagere og slettefrist.
• LIA for hver aktivitet baseret på legitim interesse.
• Samtykkelog: hvad blev der samtykket til, hvornår, med hvilken ordlyd og hvilken version af teksten.
• Screendumps af tilmeldingsflow og cookiebanner (versionsstyret).
• Aftaler med bureauer, e-mailplatform, CDP og annonceplatforme.
• Proces for indsigelser og sletteanmodninger — med ejer og svarfrist.

Som Kromann Reumert konkluderer, vil vejledningen for langt de fleste dataansvarlige nødvendiggøre et genbesøg af samtykker og privatlivspolitikker samt eventuelt en opdatering af dokumentationen for behandlinger baseret på interesseafvejninger i en LIA.

Sådan rydder du op i praksis — fire uger

1. Uge 1 — datakortlægning: Lav en liste over alle steder personoplysninger bruges til markedsføring: e-mailplatform, CRM, Google Ads (Customer Match), Meta (Custom Audiences/lookalikes), GA4, CDP, SMS-værktøj, chat og formularer. Notér hvor data kommer fra.
2. Uge 2 — grundlag pr. delformål: Sæt samtykke eller legitim interesse på hvert delformål. Marker konflikter, fx lister indsamlet på samtykke, der bruges til formål, samtykket ikke dækker.
3. Uge 3 — tekst og teknik: Opdater samtykketekster (granuleret), privatlivspolitik og cookiebanner. Byg suppression-flow, så afmeldinger rammer alle kanaler. Fjern felter i eksporter, der ikke er nødvendige.
4. Uge 4 — dokumentation og drift: Skriv LIA’er, fastsæt slettefrister, indfør et kvartalsvist review og udpeg en ejer. Test at afmelding faktisk fjerner personen fra annoncelisterne.

Fem fejl vi oftest finder i danske marketing-setups

• “Markedsføring” som ét formål i privatlivspolitikken — uden delformål og uden nævnt annoncemålretning.
• Afmelding stopper kun mails, men personen bliver i Customer Match- og Custom Audience-lister.
• Legitim interesse påstået, men ikke skrevet — ingen LIA, ingen afvejning, ingen dato.
• Lookalikes bygget på sammenstillede adfærdsdata uden samtykke til profileringen.
• Ingen slettefrist på annoncelister, så lister fra 2019 stadig ligger aktive i platformen.

FAQ om direkte markedsføring og GDPR

Skal jeg have samtykke for at bruge Customer Match og Meta Custom Audiences?

Ikke nødvendigvis. Datatilsynet vurderer i vejledningens eksempel 11, at matchning af din e-mailliste hos et socialt medie for at målrette annoncer om tilsvarende produkter kan ske efter interesseafvejningsreglen — forudsat kunden er informeret om formålet og har haft mulighed for at gøre indsigelse. Men er listen bygget på profilering af sammenstillede data, eller er dine tags samtykkebelagte, ender du typisk med samtykke som grundlag.

Er hashede e-mailadresser ikke anonyme?

Nej. Hashing er pseudonymisering, ikke anonymisering — oplysningerne kan stadig knyttes til en person via matchning, og GDPR gælder derfor fortsat. Hashing er en god sikkerhedsforanstaltning, du bør nævne i din LIA, men den fjerner ikke kravet om et behandlingsgrundlag.

Kan jeg bruge min nyhedsbrevsliste til annoncemålretning?

Kun hvis formålet er dækket. Har du indsamlet adresserne på samtykke til nyhedsbrev, kan du ikke bagefter skifte til legitim interesse for samme formål — det følger direkte af vejledningen. Løsningen er at få annoncemålretning med som et beskrevet delformål fra starten, eller at indhente samtykke til det.

Hvad skal en LIA indeholde?

En LIA skal dokumentere, at din legitime interesse i den direkte markedsføring overstiger den registreredes ret til privatliv. Beskriv aktiviteten, nødvendigheden, hvilke data der bruges, kundens rimelige forventninger, information og indsigelsesmulighed, sikkerhedsforanstaltninger, opbevaringstid og konklusion — med dato og ansvarlig.

Må vi profilere på data, vi køber eller får fra tredjeparter?

Vær meget varsom. Datatilsynets linje er, at profilering skal ske på virksomhedens egne data, og at omfangsrige profiler kræver samtykke. Sammenstilling af flere kilder — fx køb på sitet plus browserdata — vil ofte kræve samtykke.

Hvem kan sanktionere hvad?

Datatilsynet fører tilsyn med GDPR-delen, mens spamforbuddet i markedsføringslovens § 10 hører under Forbrugerombudsmanden — Datatilsynet vejleder ikke om § 10. Bødeniveauet for spam er reelt: i en sag tog retten udgangspunkt i 100 kr. pr. udsendt mail og landede på 800.000 kr.

Kilder

• Datatilsynet: Ny vejledning om direkte markedsføring (30. juni 2023)
• Datatilsynet: Vejledning om direkte markedsføring (PDF, juni 2023)
• Kromann Reumert: Direkte markedsføring — ny vejledning fra Datatilsynet
• Jurainfo: Datatilsynets vejledning om direkte markedsføring — hvad er nyt?
• Dansk Industri: Datatilsynets vejledning om direkte markedsføring
• Dansk Erhverv: Datatilsynet udgiver længe ventet vejledning om direkte markedsføring
• Forbrugerombudsmanden: Kursusvirksomhed idømt bøde på 800.000 kr. for spam
• Forbrugerombudsmanden: Markedsføring af skønhedsprodukter og undtagelsen til spamforbuddet
• Forbrugerombudsmanden: En kundeaftale var ikke i sig selv nok
• Forbrugerombudsmanden: Retningslinjer for prismarkedsføring (PDF)
• Jura360: Datatilsynet opstiller retningslinjer for direkte markedsføring

Kort opsummering

• Vælg grundlaget først. Samtykke eller legitim interesse skal besluttes pr. delformål, før aktiviteten går i luften — og det kan ikke ændres bagudrettet for samme formål.
• Kræver anden lovgivning samtykke, gør GDPR typisk også. Permission efter § 10, stk. 1, og samtykkepligtige cookies trækker grundlaget mod samtykke; opt-out-situationer efter § 10, stk. 2, åbner for interesseafvejning.
• “Markedsføring” er ikke et formål. Granulér i delformål og spejl dem i samtykketekster og privatlivspolitik.
• Profilering trækker mod samtykke — især når data fra flere kilder sammenstilles, og profilering bør ske på egne data.
• Customer Match og Custom Audiences kan bygges på legitim interesse, hvis kunden er informeret om netop det formål og reelt kan gøre indsigelse — med LIA, dataminimering og slettefrister.
• Dokumentation er kravet, der afgør sagen: formålsoversigt, LIA’er, samtykkelog, slettefrister og et flow, hvor afmeldinger rammer alle kanaler.

Er du i tvivl om, hvad dit nuværende setup egentlig hviler på, så lad os kigge på det sammen. Vi gennemgår dine kundelister, dine Customer Match- og Meta-audiences, dit samtykkeflow og din segmentering — og giver dig en konkret prioriteret liste over, hvad du bør rette, og hvad du roligt kan beholde. Uforpligtende og på almindeligt dansk.

Skriv til hej@modopartners.dk eller ring på +45 20 22 04 40 — så tager vi en snak om, hvordan du kan vækste målbart med et setup, der kan holde til at blive set efter.