Datatilsynet har udgivet en vejledning, der præciserer de databeskyttelsesretlige rammer for direkte markedsføring via e-mail, sms, sociale medier og brev. Vejledningen samler kravene til behandlingsgrundlag, gennemsigtighed over for forbrugere, profilering samt dokumentation af efterlevelse.
Behandlingsgrundlag og interesseafvejning
Virksomheder skal tidligt vælge et passende behandlingsgrundlag og sikre, at det passer til formål, datatyper og målgruppe. Valget kan ikke ændres bagudrettet for samme formål. I praksis vil legitim interesse ofte være relevant, mens samtykke kan være nødvendigt i andre situationer, særligt hvor indgrebet i privatlivet er større.
Direkte markedsføring kan som udgangspunkt baseres på legitim interesse, forudsat at en konkret interesseafvejning viser, at registreredes rettigheder ikke vejer tungere, og at modtageren med rimelighed kan forvente henvendelsen. Samtidig kan anden lovgivning kræve særskilt samtykke, fx ved elektronisk post eller brug af cookies og pixels efter markedsføringsloven og cookiebekendtgørelsen.
Ved interesseafvejningen peger vejledningen på, at følgende momenter bør indgå:
- Styrken af den forfulgte interesse og nødvendigheden af behandlingen.
- Konsekvenserne for de registrerede og deres rimelige forventninger.
- Registreredes status, herunder børn, ældre og andre sårbare.
- Oplysningernes karakter og følsomhed.
- Måden behandlingen foregår på, herunder omfang og varighed.
- Privatlivsfremmende foranstaltninger som pseudonymisering.
Profilering og sårbare grupper
Profilering opstår, når data anvendes til at forudsige adfærd, interesser eller økonomi for at målrette budskaber. Metoden kan skabe uigennemsigtighed og stereotyper og kræver klare oplysninger til den registrerede samt passende garantier.
Brug af basale kontaktdata og købshistorik kan efter omstændighederne understøtte legitim interesse, mens omfattende overvågning eller anvendelse af følsomme oplysninger typisk forudsætter gyldigt samtykke. Datatilsynet understreger et særligt hensyn til børn, ældre og andre sårbare personer, hvor samtykke kan være mindre egnet som retsgrundlag.
Dokumentation og gennemsigtighed
Vejledningen lægger vægt på, at virksomheder kan påvise overholdelse af reglerne. Skriftlige risikovurderinger, interesseafvejninger, beskrivelser af formål og dataminimering samt valg og fravalg af behandlingsaktiviteter skal være dokumenteret. Procedurer for samtykke, rettigheder og sletning bør være implementeret og kontrolleret.
Gennemsigtighed kræver klare privatlivsmeddelelser og let adgang til rettigheder som indsigt og indsigelse mod direkte markedsføring. Mangelfuld dokumentation kan føre til kritik eller bøder. Samlet set skærper vejledningen kravene til planlægning, grundlag og styring af markedsføringsaktiviteter, så de ligger inden for databeskyttelses- og markedsføringsreglerne.
