GDPR och kall e-post: regler för kalla mejl till företag

Två regelverk som gäller samtidigt

Det vanligaste missförståndet om kalla mejl är att det bara finns en fråga: krävs samtycke eller inte? I praktiken finns två frågor som besvaras av två olika regelverk, och ett mejl måste klara båda.

Marknadsföringslagen (2008:486), MFL, avgör om ni får använda e-post för marknadsföring till mottagaren över huvud taget, och vad meddelandet alltid måste innehålla. Reglerna står under rubriken "Obeställd reklam" i 19–21 §§. Enligt Konsumentverket gäller lagen oavsett om ett företag vänder sig till andra företag eller till konsumenter, och det är Konsumentverket som kontrollerar att företag följer den.

Dataskyddsförordningen, GDPR, avgör hur ni får samla in, spara och använda personuppgifter, till exempel en säljares namn och arbetsadress. Integritetsskyddsmyndigheten, IMY, är tillsynsmyndighet för GDPR i Sverige.

Ett mejl kan alltså vara tillåtet enligt MFL men ändå bryta mot GDPR, till exempel om ni aldrig berättar varifrån ni har adressen. Och tvärtom: en väl dokumenterad intresseavvägning enligt GDPR hjälper inte om mottagaren är en fysisk person som MFL kräver förhandssamtycke från.

Juridisk person eller fysisk person: enskilda firmor räknas som privatpersoner

MFL 19 § säger att en näringsidkare vid marknadsföring till en fysisk person bara får använda elektronisk post om den fysiska personen har samtyckt till det på förhand. Lagen skiljer alltså inte mellan privatpersoner och företag, utan mellan fysiska och juridiska personer.

Ett aktiebolag, ett handelsbolag, en ekonomisk förening eller en ideell förening är en juridisk person. Till dem får ni skicka marknadsföring per e-post utan förhandssamtycke, men 20 § gäller fortfarande: varje mejl ska innehålla en giltig adress dit mottagaren kan begära att marknadsföringen upphör.

En enskild firma är däremot inte en egen juridisk person. Det är ägaren själv som driver verksamheten, och ägaren är en fysisk person. Redan när reglerna om e-postreklam infördes skrev regeringen att konsumenter och fysiska personer som är näringsidkare ska skyddas mot obeställd reklam via e-post (prop. 2003/04:43). Den försiktiga slutsatsen är att ni behöver förhandssamtycke för att skicka kalla säljmejl till en enskild firma, även om mottagaren uppenbart är en företagare.

Undantaget i 19 § andra stycket gäller befintliga kunder: om ni har fått e-postadressen i samband med att ni sålde en produkt till personen får ni marknadsföra egna, likartade produkter, förutsatt att personen inte har sagt nej och att det i varje mejl går att tacka nej kostnadsfritt och enkelt. Undantaget gäller alltså inte kalla mejl till nya kontakter.

• Kolla bolagsformen innan adressen läggs till. Bolagsformen framgår av organisationsnumret i Bolagsverkets register, och ofta av bolagsnamnet (AB, HB).
• Märk enskilda firmor i listan och skicka inte kalla mejl till dem utan samtycke.
• Var extra uppmärksam på små verksamheter: frilansare, konsulter, hantverkare och många butiker drivs som enskild firma.
• Handelsbolag är juridiska personer, även om de ofta är små.

Namngivna anställda på ett aktiebolag är en gråzon i MFL. Lagtexten säger inte uttryckligen om ett mejl till fornamn.efternamn@bolaget.se räknas som marknadsföring till bolaget eller till personen. En vanlig tolkning är att ett mejl om verksamheten till en arbetsadress räknas som marknadsföring till bolaget, men vi har inte hittat stöd för det i lagtext, förarbeten eller myndighetsvägledning. GDPR gäller i vilket fall som helst, eftersom adressen är en personuppgift.

Kall e-post och GDPR: namngivna adresser är personuppgifter

GDPR definierar personuppgifter som varje upplysning som avser en identifierad eller identifierbar fysisk person (art. 4.1). En adress som anna.svensson@bolaget.se pekar ut en person, och det gör också namnet, titeln och telefonnumret ni sparar bredvid. Att uppgiften gäller jobbet och att den är publicerad på bolagets webbplats ändrar inte saken.

En funktionsadress som info@, kontakt@ eller order@ pekar normalt inte ut en enskild person. Men så fort ni lägger till ett namn i er lista, eller adressen bara läses av en person som ni pekar ut, behandlar ni personuppgifter. Det enklaste är att utgå från att hela utskickslistan omfattas av GDPR och bygga processen därefter.

Det betyder att ni som avsändare är personuppgiftsansvarig för listan. Ni ska ha en rättslig grund, informera mottagarna, inte spara mer än ni behöver och inte spara uppgifterna längre än ändamålet kräver.

• Spara bara det som behövs för utskicket: namn, roll, företag, adress, källa och datum.
• Anteckna alltid varifrån adressen kommer. Det behövs för informationsplikten och om någon frågar.
• Bestäm hur länge en kontakt som inte svarar ligger kvar, och rensa enligt det.

Berättigat intresse och intresseavvägningen

För kall e-post till företag är den rättsliga grunden nästan alltid berättigat intresse (art. 6.1 f). IMY skriver att behandling av personuppgifter för direktmarknadsföring kan betraktas som ett berättigat intresse. Det är dock inte automatiskt tillåtet: behandlingen måste vara nödvändig för ändamålet, och den registrerades intresse av skydd för sina personuppgifter får inte väga tyngre.

IMY betonar två saker som är avgörande för kalla mejl. Den första är att ni ska väga in vad den registrerade rimligen kan förvänta sig. En inköpschef kan rimligen räkna med att få relevanta erbjudanden om sitt ansvarsområde till jobbadressen, men knappast mejl om något som inte har med rollen att göra. Den andra är att det är viktigt att dokumentera hur bedömningen har gått till, så att ni kan visa att ni följer reglerna.

En intresseavvägning behöver inte vara lång. En sida per typ av utskick räcker ofta, så länge den besvarar frågorna nedan och stämmer med hur ni faktiskt arbetar.

1. Ändamål: vad vill ni uppnå? Till exempel att erbjuda en redovisningstjänst till ekonomiansvariga på bolag med anställda.
2. Nödvändighet: behöver ni personuppgifterna för det? Räcker det att mejla en funktionsadress, eller behövs rätt person för att mejlet ska vara relevant?
3. Urval: vilka mottagare och vilka uppgifter? Bara roller där erbjudandet hör till arbetet, och bara de uppgifter som behövs.
4. Förväntningar: kan mottagaren rimligen räkna med ett sådant mejl, med tanke på rollen, branschen och var adressen var publicerad?
5. Skyddsåtgärder: tydlig information i första mejlet, enkel avregistrering, få påminnelser, kort lagringstid och en spärrlista som respekteras.
6. Slutsats: väger ert intresse tyngre? Skriv ner varför, datera dokumentet och se över det när utskicken ändras.

Informationsplikten när adressen inte kommer från mottagaren

När ni hittar en adress på en webbplats, i ett register eller i en köpt lista har ni inte fått den från personen själv. Då gäller artikel 14. Om uppgifterna ska användas för att kommunicera med personen ska informationen lämnas senast vid den första kommunikationen, alltså i praktiken i det första kalla mejlet (art. 14.3 b).

Det som ska framgå är bland annat vem som är personuppgiftsansvarig och hur man kontaktar er, ändamålet och den rättsliga grunden, vilket berättigat intresse ni stöder er på, vilka kategorier av uppgifter ni behandlar, hur länge de sparas, rätten att begära tillgång, rättelse och radering, rätten att invända, rätten att klaga till en tillsynsmyndighet och varifrån uppgifterna kommer, inklusive om de kommer från allmänt tillgängliga källor (art. 14.1–14.2).

Allt detta behöver inte stå i själva mejlet. Ett vanligt upplägg är två eller tre meningar i mejlet och en länk till en integritetspolicy som täcker resten. Undantaget för oproportionell ansträngning i art. 14.5 är svårt att åberopa när ni ändå skickar ett mejl till personen.

• Varför ni hör av er och vilket företag som skickar.
• Varifrån ni har adressen, till exempel "från kontaktsidan på er webbplats".
• Att ni stöder er på berättigat intresse.
• Att mottagaren kan säga nej till fler mejl, och hur.
• En länk till integritetspolicyn med resten av informationen.

Exempel på en avslutning i första mejlet: "Jag hittade din adress på kontaktsidan på er webbplats och hör av mig eftersom jag tror att erbjudandet är relevant för din roll. Vill du inte få fler mejl från oss räcker det att svara "avregistrera", så hör vi inte av oss igen. Hur vi hanterar personuppgifter står i vår integritetspolicy: [länk]."

Invändning och avregistrering i varje mejl

Här möts de två regelverken. MFL 20 § kräver att varje marknadsföringsmejl alltid innehåller en giltig adress dit mottagaren kan skicka en begäran om att marknadsföringen ska upphöra, även när mottagaren är en juridisk person. GDPR art. 21.2 ger den registrerade rätt att när som helst invända mot behandling för direktmarknadsföring, och enligt art. 21.3 får uppgifterna då inte längre behandlas för det ändamålet. Ingen avvägning görs: IMY skriver att ni alltid måste upphöra med direktmarknadsföring om den registrerade invänder.

Enligt art. 21.4 ska rätten att invända uttryckligen meddelas senast vid den första kommunikationen, och redovisas tydligt och åtskilt från annan information. En rad sist i mejlet, separat från säljtexten, uppfyller det bättre än en mening som gömmer sig i texten.

Ett kallt mejl från en vanlig mailkorg kan uppfylla kravet genom att mottagaren uppmanas svara om hen vill slippa fler mejl, förutsatt att adressen faktiskt läses och att svaren hanteras. En avregistreringslänk fungerar också, men den är inget krav enligt lagtexten.

• Ha en avregistreringsrad i varje mejl, även i påminnelserna.
• Behandla "nej tack", "ta bort mig" och liknande som en avregistrering, även om formuleringen är otydlig.
• Stoppa alla planerade påminnelser direkt, inte bara nästa utskick.
• Lägg adressen på en spärrlista som gäller alla kampanjer och alla som skickar från företaget, så att den inte läggs till igen från en ny lista.
• Svara gärna kort och bekräfta att ni har tagit bort personen. Försök inte övertala.

Skrapade och köpta listor

Att en adress är publicerad på internet betyder inte att ni fritt får använda den. Allt som sagts ovan gäller även för adresser ni samlar in med verktyg: ni behöver en rättslig grund och en intresseavvägning, ni ska informera enligt artikel 14 och ni ska kunna säga varifrån varje adress kommer.

Det som oftast går fel med skrapade listor är urvalet. Ett verktyg som samlar in allt det hittar ger adresser till enskilda firmor, till privatpersoner och till personer vars roll inte har med erbjudandet att göra. Då faller både MFL 19 § och intresseavvägningen. Hämta hellre färre adresser från bolagens egna kontaktsidor, där det framgår vilken roll personen har.

Med köpta listor är problemet ett annat: ni vet sällan hur adresserna samlades in, om mottagarna har fått information eller om listan innehåller enskilda firmor. Ni blir själva ansvariga för er behandling från det att ni tar emot listan, och leverantörens försäkran om att listan är "GDPR-godkänd" flyttar inte över det ansvaret. Använder ni ändå en köpt lista behöver ni kunna visa var adresserna kommer från och sortera bort enskilda firmor innan första utskicket.

Kontrollera dessutom adresserna innan ni skickar. Gamla listor innehåller många adresser som inte längre finns, och många studsar skadar avsändarens rykte. Läs mer i guiden om varför mejl hamnar i skräppost.

Checklista före första utskicket

• Mottagarna är juridiska personer. Enskilda firmor är bortsorterade eller har samtyckt.
• Varje adress har en anteckning om källa och datum.
• Mottagarnas roller hör ihop med erbjudandet.
• Det finns en daterad intresseavvägning för den här typen av utskick.
• Första mejlet säger vem ni är, varför ni hör av er och varifrån ni har adressen.
• Integritetspolicyn täcker kall e-post: ändamål, berättigat intresse, källa, lagringstid och rättigheter. Se vår egen integritetspolicy som exempel på struktur.
• Varje mejl, även påminnelserna, har en avregistreringsrad som är skild från säljtexten.
• Svaren läses, och en begäran om att slippa fler mejl stoppar alla utskick till adressen.
• Det finns en spärrlista som gäller alla kampanjer.
• Ni har bestämt hur länge kontakter utan svar sparas.
• Antalet påminnelser är rimligt. Se guiden om uppföljningsmejl.
• Säljtexten håller sig till det ni faktiskt erbjuder och påstår inget ni inte kan belägga.

Det här är allmän information om reglerna, inte juridisk rådgivning för er situation. Lagar och myndigheters tolkningar ändras, och flera frågor, till exempel hur MFL ska tillämpas på namngivna anställda, är inte slutligt avgjorda. Är ni osäkra, fråga en jurist med inriktning på marknadsrätt eller dataskydd.

Vad händer om man bryter mot reglerna?

Enligt MFL 29 § kan en näringsidkare som uppsåtligen eller av oaktsamhet bryter mot en bestämmelse i lagen få betala marknadsstörningsavgift. Avgiften är enligt 31 § lägst tio tusen kronor och högst fyra procent av näringsidkarens omsättning. Brott mot GDPR prövas av IMY, som kan besluta om sanktionsavgifter.

Den vanligaste konsekvensen är ändå mer vardaglig: mottagare som inte vill ha mejlen markerar dem som skräppost, och det skadar domänens leveransbarhet för alla mejl ni skickar. Att följa reglerna och att skicka färre men mer relevanta mejl hänger ihop. Mer om helheten finns i guiden om kalla mejl, och om själva texten i guiden om säljmejl och mallar.

Så stöder Länksmedjan arbetet

Länksmedjan skickar från era egna mailkorgar, och varje utskick och påminnelse slutar med en rad om att mottagaren kan svara "avregistrera" för att slippa fler mejl. Inkorgen känner igen sådana svar och avregistrerar adressen i hela kontot, så att den inte får fler mejl från något av era projekt. Vi säljer inga kontaktlistor, och en egen lista får bara innehålla adresser ni har rätt att kontakta enligt reglerna för utskick.

Verktyget gör ingen bedömning åt er av om en mottagare är en enskild firma, och det ersätter inte er intresseavvägning eller integritetspolicy. Ansvaret för vem ni kontaktar ligger hos er.

Vanliga frågor