Det er snart ét år siden, at databeskyttelsesforordningen trådte i kraft, den 25. maj 2018. Forordningen medførte en skærpelse og tydeliggørelse af de hidtidige regler om erhvervsdrivendes indhentelse og anvendelse af fysiske personers samtykke med henblik på udsendelse af markedsføring. Nyligt afgivne bøder og påtaler viser, at erhvervsdrivende skal tage reglerne alvorligt og sikre sig, at et samtykke er lovligt indhentet.
To sager, offentliggjort af Forbrugerombudsmanden i februar 2019, har illustreret, at erhvervsdrivende bør have fokus på at et samtykke er lovligt indhentet. Den første og mest markante sag medførte en bøde på kr. 800.000 til en kursusvirksomhed som følge af, at virksomheden i en periode fra 2014 til 2015 havde udsendt en stor mængde e-mails uden at have indhentet forudgående samtykke hertil. Idet virksomheden ikke havde gyldige samtykker til markedsføringen fandt retten, at der var tale om ulovlige spammails.
Den anden sag angik en bank, der havde udsendt e-mails med markedsføringsmateriale. Banken kunne ikke dokumentere at have gyldige samtykker fra modtagerne, og Forbrugerombudsmanden fandt derfor, at markedsføringslovens regler var overtrådt. Sagen endte med, at Forbrugerombudsmanden indskærpede spamreglerne overfor banken. Særligt relevant var det, at markedsføringen blev udsendt via en samarbejdspartner, som skulle markedsføre banken. Dette til trods fandt Forbrugerombudsmanden, at det var banken, der havde overtrådt reglerne.
5 punkter at have for øje ved samtykke
Samtykker der indhentes efter forordningens ikrafttræden
Forordningens artikel 4, pkt. 11 definerer, at et samtykke skal være afgivet frivilligt, specifikt til formålet, på en informeret baggrund og skal være udtryk for en utvetydig viljestilkendegivelse fra den registrerede. Samtykker, der ikke er givet under disse forudsætninger, er ugyldige.
Frivilligt
Samtykket skal være udtryk for et reelt valg foretaget af den registrerede, hvorved den registrerede frit disponerer over sine oplysninger. Afgivelse af samtykke må således ikke være en (unødig) betingelse i medfør af en kontrakt eller aftale, eller i øvrigt kræves afgivet under pres. Samtykke til udsendelse af markedsføring vil aldrig være en nødvendig betingelse, hvorfor et krav i en aftale om, at et samtykke til modtagelse af markedsføring skal afgives vil medføre, at samtykket vil være ugyldigt.
Specifikt
Det er et krav, at det specifikt fremgår af samtykket, at det er afgivet til modtagelse af markedsføring fra den dataansvarlige. De oplysninger som den registrerede har afgivet til modtagelse af markedsføring må ikke anvendes til andre formål, ligesom at oplysninger den dataansvarlige har indhentet til andre formål eller af øvrige årsager er i besiddelse af ikke må anvendes til udsendelse af markedsføring.
Det skal specifikt være oplyst, hvilke produktkategorier den registrerede giver samtykke til at modtage markedsføring om samt på hvilke medier den registrerede vil modtage markedsføringen.
Informeret
Informationskravet medfører, at den, hvis samtykke indhentes skal være informeret om til hvem og hvad samtykket afgives. Minimumskravene til et informeret samtykke er, at den dataansvarlige oplyser om:
Informationerne kan afgives i hvilken som helst form, herunder skriftligt, mundtligt, elektronisk etc., men bevisbyrden for, at den registrerede har modtaget informationerne påhviler den dataansvarlige.
Utvetydig viljestilkendegivelse
Afgivelse af samtykke skal ske ved en aktiv handling (opt-in). Der gælder ingen formkrav til afgivelsen af samtykket. Bevisbyrden påhviler den dataansvarlige, der må bevise, at den registrerede har samtykket til modtagelse af markedsføring. Dokumentation for samtykket skal gemmes så længe det kan have relevans. Forbrugerombudsmanden anbefaler, at dokumentation for samtykket gemmes i op til to år efter, at samtykket senest blev anvendt til udsendelse af markedsføring.
Idet samtykke forudsætter en aktiv handling kan et samtykke ikke indhentes ved allerede afkrydsede felter (opt-out) eller ved, at den, hvis samtykke ønskes forholder sig passivt.
Markedsføringslovens regler om samtykke
Markedsføringslovens § 10, stk. 1 fastslår, at en erhvervsdrivende ikke må udsende markedsføring til hverken en fysisk eller juridisk person, medmindre den pågældende forudgående har afgivet samtykke hertil. Det er endvidere et krav, at samtykket let og gebyrfrit kan tilbagekaldes.
Markedsføringslovens § 10, stk. 2 indeholder en undtagelse hertil, idet en erhvervsdrivende, der i forbindelse med et tidligere salg har modtaget kundens elektroniske adresse (e-mail, sms etc.), må markedsføre egne tilsvarende produkter til kunden via kundens elektroniske adresse. Det er dog en forudsætning for anvendelse af undtagelsen, at kunden, da denne oplyste sin elektroniske adresse, blev oplyst om, at kunden ville modtage markedsføring fra den erhvervsdrivende. Tilsvarende er det en forudsætning, at kunden, såvel ved afgivelse af adressen som ved enhver efterfølgende udsendelse af markedsføring oplyses om muligheden for at frabede sig markedsføringen.
Samtykker, der er indhentet forud for forordningens ikrafttræden
Gyldigheden af et samtykke indhentet forud for databeskyttelsesforordningens ikrafttræden afhænger af, hvorvidt samtykket blev indhentet i overensstemmelse med de på tidspunktet for indhentelsen af samtykket gældende regler. Sanktionerne i medfør af forordningen finder ligeledes anvendelse på samtykker indhentet forud for forordningens ikrafttræden.
Lovligt indhentede samtykker
Hvis et samtykke, der er indhentet forud for forordningens ikrafttræden overholdt de regler, der var gældende på tidspunktet for indhentelse af samtykket, er samtykket fortsat gyldigt efter forordningens ikrafttræden. Den erhvervsdrivende kan derfor fortsat lovligt anvende samtykket til udsendelse af markedsføring. Det er dog et krav, at den erhvervsdrivende ved enhver fremadrettet markedsføring tydeligt gør opmærksom på muligheden for let og gebyrfrit at tilbagekalde samtykket.
Ikke-lovligt indhentede samtykker
Såfremt det indhentede samtykke ikke overholdt de regler, der var gældende på tidspunktet for indhentelse af samtykket, er samtykket ugyldigt. Den erhvervsdrivende må derfor (heller) ikke efter forordningens ikrafttræden anvende samtykket eller de afgivne oplysninger til at sende markedsføring ud. Den erhvervsdrivende skal derfor indhente et nyt samtykke førend der igen må sendes markedsføring ud til kunden.
Det er særligt vigtigt, at den erhvervsdrivende er opmærksom på, at de oplysninger som den erhvervsdrivende er i besiddelse af som følge af det ugyldige samtykke eller af andre årsager ikke må anvendes til at indhente et nyt samtykke til udsendelse af markedsføring. Kunden skal selv af egen drift afgive et nyt samtykke til på ny at modtage markedsføring. Idet der herved vil være tale om indhentelse af et nyt samtykke skal samtykket indhentes i overensstemmelse med reglerne i databeskyttelsesforordningen.
Retten til at tilbagekalde sit samtykke
Af databeskyttelsesforordningens artikel 7, stk. 3 følger en ret for den registrerede til, til enhver tid at kunne trække sit samtykke tilbage. Den dataansvarlige er forpligtet til at sikre, at tilbagetrækningen kan ske så enkelt som muligt, og mindst lige så let som det var for den registrerede at afgive sit samtykke. Det følger tilsvarende af markedsføringslovens § 10, stk. 1, at samtykket skal kunne tilbagekaldes let og gebyrfrit.
Den registrerede skal endvidere have ret til at trække sit samtykke tilbage uden, at det kommer den registrerede til skade. Herved forstås, at det hverken må være underlagt gebyrer, medføre forringende service eller have øvrige konsekvenser for den registrerede at trække samtykket tilbage.
Fra det tidspunkt den registrerede tilbagekalder sit samtykke skal den erhvervsdrivende straks ophøre med at udsende markedsføring. Hertil bemærkes, at markedsføringslovens § 10, stk. 2 ikke kan udgøre en undtagelse hertil.
Hvis du eller din virksomhed har brug for rådgivning i forbindelse med indhentelse eller brug af samtykker, er du velkommen til at kontakte os.