Datatilsynet har udgivet en vejledning, der præciserer rammerne for direkte markedsføring efter databeskyttelsesreglerne. Hovedpointen er, at virksomheder skal vælge et passende behandlingsgrundlag fra start, sikre gennemsigtighed og kunne dokumentere efterlevelse – ellers risikeres kritik eller bøde.
Behandlingsgrundlag og gennemsigtighed
Direkte markedsføring indebærer typisk brug af kontaktoplysninger, købshistorik, digitale spor og interaktioner på sociale medier. Datatilsynet understreger dataminimering: indsamling og brug må ikke overstige, hvad der er nødvendigt til det konkrete formål. Forbrugere skal informeres klart om alle formål, også hvis de rækker ud over markedsføring.
Valget står ofte mellem samtykke og legitim interesse. Samtykke er ikke altid bedst egnet, bl.a. fordi visse grupper kan have svært ved at forstå konsekvenserne, og fordi gyldigt samtykke kræver klare betingelser. Dertil kan anden regulering udløse særskilt samtykke, fx ved e-mailreklamer efter markedsføringsloven eller ved brug af cookies og pixels.
Legitim interesse og afvejning
Direkte markedsføring kan som udgangspunkt baseres på legitim interesse, forudsat at en konkret interesseafvejning viser, at den registreredes rettigheder ikke vejer tungere. Vejledningen indfører en række momenter, som bør indgå i vurderingen.
Når virksomheden foretager interesseafvejningen, bør den som minimum forholde sig til følgende forhold:
- Styrken af den legitime interesse og nødvendigheden af behandlingen.
- Konsekvenser for den registrerede og rimelige forventninger i situationen.
- Oplysningernes karakter, behandlingsmåden og eventuelle privatlivsfremmende foranstaltninger, herunder pseudonymisering.
Profilering
Profilering anvendes til at forudsige interesser eller adfærd og kan være indgribende, bl.a. fordi den registrerede ikke altid er opmærksom herpå. Datatilsynet afgrænser derfor anvendelsen gennem eksempler.
Brug af grundlæggende oplysninger som navn, kontaktdata og købshistorik kan typisk ske på legitim interesse, hvis den registrerede informeres om profileringen og de relevante rettigheder. Anvendes mere indgribende eller følsomme data, vil samtykke ofte være påkrævet.
Dokumentation og governance
Ansvarlighedsprincippet kræver, at virksomheder skriftligt kan påvise lovlighed i alle led. Det omfatter risikovurderinger, valg og fravalg af behandlingsaktiviteter, fastlæggelse af behandlingsgrundlag samt opdaterede behandlingsprotokoller.
Det skal desuden kunne bevises, at procedurer for samtykke, indsigtsret og øvrige rettigheder fungerer i praksis. Mangelfuld dokumentation kan medføre kritik eller bøde fra Datatilsynet.
