Vad gäller vid direktmarknadsföring i och med den nya dataskyddsförordningen?

Vi har förstått att den nya dataskyddsförordningen ska börja tillämpas i Sverige i slutet av maj nästa år och därmed kommer att ersätta den nu gällande personuppgiftslagen. Vad ska vi som företag tänka på med anledning av de nya reglerna vid hanteringen av personuppgifter i förhållande till direktmarknadsföring?

Personuppgifter har verkligen blivit ett hett ämne i och med dataskyddsförordningen som den 25 maj 2018 ersätter personuppgiftslagen. Varje gång ni som företag hanterar kundinformation, t.ex. namn, adresser, telefonnummer eller bankkortsuppgifter, behandlar ni personuppgifter. Det är därför viktigt att behandlingen av personuppgifter i samband med direktmarknadsföring sker på ett korrekt sätt – även i fortsättningen.

Behandling av personuppgifter i samband med direktmarknadsföring är generellt sett tillåten – även utan samtycke från den vars personuppgifter behandlas – eftersom det kommersiella intresset av att marknadsföra produkter och tjänster normalt sett väger tyngre än den enskildes intresse av att skydda sin personliga integritet. Detsamma kommer att gälla enligt dataskyddsförordningen
– direktmarknadsföring kan utgöra ett sådant berättigat intresse som utgör laglig grund för behandling av personuppgifter. Dock ska en enskild bedömning göras från fall till fall, varför det kan finnas situationer då behandling av personuppgifter i samband med direktmarknadsföring inte utgör ett berättigat intresse enligt förordningen. Det är ofta lättare att motivera en behandling av personuppgifter vid direktmarknadsföring då marknadsföringen är riktad till en person i en yrkesroll jämfört med då marknadsföringen är riktad till en konsument.

Viktigt att poängtera är också att individen, både enligt personuppgiftslagen och enligt dataskyddsförordningen, alltid har rätt att motsätta sig direktmarknadsföring – innebärande att personuppgifterna inte får behandlas för detta ändamål efter att sådant besked lämnats. I dataskyddsförordningen understryks att senast vid det första utskicket ska personen klart och tydligt meddelas om att han eller hon har rätt att motsätta sig direktmarknadsföringen.

Ett område där dataskyddsförordningen stärker enskildas rättigheter, och därmed skärper kraven på företagen, är vilken information som ska lämnas till den enskilde vid hantering av dennes personuppgifter. Både i fall där personuppgifter har samlats in direkt från personen och fall där personuppgifter inte har samlats in från personen i fråga, utan t.ex. från ett adressregister, anger dataskyddsförordningen långa listor på information som ska lämnas. Exempel på sådan information är för vilket ändamål personuppgifterna används och vilken rättslig grund behandlingen baseras på. Beroende på om uppgifterna har samlats in direkt från personen eller inte, anges det i förordningen också när informationen ska lämnas. Lämpligen lämnas denna information genom en tydlig hänvisning till ert företags personuppgiftspolicy. Då informationskraven är strängare enligt dataskyddsförordningen än enligt personuppgiftslagen kommer de allra flesta företag att behöva uppdatera sina personuppgiftspolicys.

Utrymmet för denna artikel tillåter inte ett heltäckande svar på er fråga. Vi hoppas dock att detta hjälper er en bit på vägen i er översyn av hanteringen av personuppgifter i samband med direktmarknadsföring inför ikraftträdandet av dataskyddsförordningen. Som ett sista medskick vill vi påminna om att utöver att direktmarknadsföring ska ske i enlighet med personuppgiftslagen/dataskyddsförordningen har företag dessutom branschorganisationen Swedmas etiska regler att följa. De etiska reglerna bör anses utgöra god sed vid behandling av personuppgifter och därmed utgöra tolkningsunderlag för marknadsföringslagens tillämpning. Kom ihåg att god sed vid direktmarknadsföring kan gå utöver det lagen kräver!

Även publicerad i Marknadscheferna 14 september 2017.