Nyhetsbrev og GDPR: samtykke, avmelding og dokumentasjon

Skal du sende nyhetsbrev til privatpersoner, trenger du et ja før første utsending. Kravet står i markedsføringsloven § 15. Personvernforordningen, GDPR, legger til resten: at du kan dokumentere samtykket, at avmelding er like lett som påmelding, at du svarer på innsyn og sletting innen én måned og at du har en databehandleravtale med verktøyet du sender med. Unntaket er egne kunder, som du kan skrive til uten samtykke på bestemte vilkår. Datatilsynet og Forbrukertilsynet eier svarene; her er reglene, og hva de betyr for lista di.

Samtykket kommer fra markedsføringsloven, kravene til det fra GDPR

Markedsføringsloven § 15 forbyr markedsføring til fysiske personer med e-post og andre metoder for individuell kommunikasjon uten at mottakeren har samtykket på forhånd. Hva et gyldig samtykke er, henter loven fra personvernforordningen: Datatilsynet skriver at kravene er de samme etter begge regelverkene. Terskelen for hva som er markedsføring er lav, og de fleste nyhetsbrev fra en bedrift eller en skaper som selger noe, havner over den. Bevisbyrden er din. Du må kunne vise at folk sa ja.

Et gyldig samtykke er gitt på forhånd, frivillig og uttrykkelig

Samtykket skal være gitt før første utsending, være en aktiv handling og være informert: leseren skal vite at de sier ja til nyhetsbrev fra deg, og omtrent hva som kommer. En forhåndskrysset boks er ikke et samtykke. Et ja som ligger begravd i salgsvilkårene er det heller ikke, og Forbrukertilsynet skriver at du ikke kan gjøre samtykket til et vilkår for å handle. Du kan heller ikke sende en e-post og spørre om folk vil ha nyhetsbrevet: selve spørsmålet regnes som en markedsføringshenvendelse.

Dobbel opt-in er det Forbrukertilsynet anbefaler

Med dobbel opt-in får den som melder seg på, en e-post med en lenke, og først klikket på lenken gjør påmeldingen til et abonnement. Forbrukertilsynet skriver i veilederen sin at næringsdrivende bør bruke en slik modell, for å unngå at noen melder på andre. På publikasjonen din er det slik uansett. En påmelding blir ikke et abonnement før leseren har trykket på lenken i bekreftelses-e-posten, både fra påmeldingsskjemaet og fra API-et: begge lager en ventende rad og sender bekreftelsen, og det finnes ingen parameter som hopper over den. En nøkkel på avveie kan sende noen en bekreftelse de ignorerer, men den kan ikke legge noen inn på lista.

Ta vare på når, hvor og hva leseren sa ja til

Loven sier ikke hvordan samtykket skal dokumenteres, bare at du må kunne. Fire ting svarer på det meste: når adressen meldte seg på, hvor det skjedde, hva skjemaet lovet og når påmeldingen ble bekreftet. Det siste er det vanskeligste å skaffe i ettertid, og det er det bekreftelsen gir deg. Under Abonnenter laster du ned lista som CSV, og kolonnen «Påmeldt» er datoen leseren bekreftet. Teksten på skjemaet er din egen å ta vare på: endrer du hva du lover, så lagre en kopi av den gamle med dato. Ingen norsk myndighet har satt en fast frist for hvor lenge beviset skal lagres, men det må finnes så lenge du sender til adressen.

Et kjøp er ikke et ja, med ett unntak

En adresse fra et visittkort, et arrangement eller et skjema om noe annet er ikke et samtykke til nyhetsbrev. Unntaket står i markedsføringsloven § 15 tredje ledd. Du kan sende til en eksisterende kunde uten forhåndssamtykke når du fikk adressen i forbindelse med et salg, brevet gjelder egne varer eller tjenester som ligner det kunden kjøpte, og kunden fikk anledning til å reservere seg både da adressen ble samlet inn og i hver utsending. Forbrukertilsynet tolker unntaket snevert: et engangskjøp er som hovedregel ikke nok til et kundeforhold, og markedsføringen må komme innen rimelig tid etter salget.

Når vilkårene er oppfylt, skriver Datatilsynet at du ikke trenger et eget grunnlag etter personvernforordningen i tillegg. Mange kaller det berettiget interesse, men det er unntaket i § 15 som bærer. For alle andre er grunnlaget samtykke, og trekker noen samtykket tilbake, kan du ikke fortsette å sende med berettiget interesse som ny begrunnelse. Inviter er veien inn for folk du kjenner: hver får en invitasjon fra deg, og ingen havner på lista uten å takke ja.

Lista du tar med deg, er ditt ansvar

Samtykket følger ikke med filen når du flytter en liste fra et annet verktøy. Du bærer det med deg. Under Importer abonnenter bekrefter du derfor at abonnentene har samtykket til e-post fra deg, og at du har rett til å flytte dem. Det krysset er ditt. Importen er også den eneste veien inn som ikke krever en ny bekreftelse per adresse, og det er med vilje: et menneske skal stå bak påstanden. En kjøpt eller innsamlet liste blir ikke lovlig av å bli importert.

Avmelding i hver eneste utsending

Å trekke tilbake et samtykke skal være like lett som å gi det. Hvert nyhetsbrev har en avmeldingslenke nederst, og i e-posthodet ligger både en mailto-adresse og en nettadresse for avmelding, med ett-klikks-avmelding slått på. Det siste er grunnen til at e-postklienter viser en egen avmeldingsknapp over meldingen. Du trenger ikke lage noe av det. Å gjøre avmelding vanskeligere enn påmeldingen var, er i seg selv et brudd. Ehandelsloven § 9 krever i tillegg at det går klart fram hvem brevet kommer fra.

Leverandøren din er databehandler, og det krever en avtale

For abonnentlista er du behandlingsansvarlig, og verktøyet du sender med er databehandler. Datatilsynet skriver rett ut at en virksomhet som bruker et annet selskap til å sende markedsføring, må ha databehandleravtale, og personvernforordningen artikkel 28 sier hva den skal inneholde. Hos skribb godtok du databehandleravtalen da du opprettet publikasjonen, og tillegg A om abonnentlista gjelder alltid. Funksjoner du slår på senere og som gir skribb mer å behandle, har egne tillegg: kommentarer har sitt, som du godtar første gang du åpner Kommentarer. Spørsmålene er de samme for et hvilket som helst annet verktøy. Finnes avtalen, hvem er underleverandørene, og forlater dataene EØS.

Åpningssporing krever sitt eget grunnlag

De fleste nyhetsbrevverktøy måler åpninger med et usynlig bilde i e-posten. Datatilsynet skriver at sporing av åpninger og klikk er egne behandlinger som krever eget grunnlag; de følger ikke med samtykket til å motta brevet. Publikasjonen din måler ikke åpninger i det hele tatt, så det spørsmålet oppstår ikke. Leserne møter heller ingen samtykkebanner, som ekomloven § 3-15 ellers krever for informasjonskapsler som ikke er strengt nødvendige: sidene setter bare kapsler som trengs for innlogging, visninger telles uten kapsler og uten lagret IP-adresse, og skriftene ligger hos skribb i stedet for hos en tredjepart. Hva du da kan måle i stedet, tar guiden om å se om nyhetsbrevet treffer.

Innsyn og sletting: én måned

Ber en abonnent om innsyn, retting eller sletting, har du én måned på deg å svare. For et nyhetsbrev er det overkommelig: under Abonnenter søker du opp adressen, og eksporten som CSV inneholder alt du lagrer om dem. En avmeldt leser er allerede ute av utsendingene. Betalingshistorikk er unntaket, fordi bokføringsloven krever at bilag oppbevares uansett, og det kan du si rett ut til den som spør.

Det leseren skal kunne lese seg til

Leserne skal kunne finne ut hva du lagrer og hvorfor. Personvernerklæringen dekker det skribb gjør på vegne av deg, sammen med fristene for det som slettes av seg selv: kommentarer merket som søppel forsvinner etter 30 dager, innloggingsøkter og engangskoder etter kort tid. Publikasjoner som også har et nettsted med kontaktskjema eller chat trenger sin egen erklæring i tillegg, og hva den må si står i guiden om personvern på bedriftsnettsiden.