E-postmarkedsføring og GDPR – hva en norsk bedrift faktisk må gjøre

GDPR forbyr ikke e-postmarkedsføring. Den krever tre ting: at abonnenten har samtykket, at du kan dokumentere det i ettertid, og at du vet hvor listen fysisk er. De to første er praksis, den tredje er et verktøyvalg – og der slår den vanligste antakelsen feil. I Norge gjelder personvernforordningen som lov gjennom personopplysningsloven § 1, og reglene for når e-postmarkedsføring krever samtykke står i markedsføringsloven.

1. Samtykke: hva det er, og hva det ikke er

Forordningen definerer samtykke som «enhver frivillig, spesifikk, informert og utvetydig viljesytring» gitt «ved en erklæring eller en tydelig bekreftelse» (artikkel 4 nr. 11). I praksis betyr det fire ting på skjemaet:

• Si hva man melder seg på. «Abonner på nyhetsbrevet» holder hvis det står ved siden av hva brevet inneholder og hvor ofte det kommer.
• Ingen ferdig avkryssede bokser. Forbrukertilsynets veiledning: «Samtykket må avgis ved at det foretas en aktiv handling. Forbrukeren kan ikke bindes ved passivitet.»
• Ingen kobling. Påmelding til nyhetsbrevet kan ikke være et vilkår for å bestille eller laste ned en guide på en slik måte at påmeldingen ikke kan hoppes over.
• Avmelding i hver melding. Ett klikk unna, ikke bak en innlogging. Forordningens artikkel 7 nr. 3: «Det skal være like enkelt å trekke tilbake som å gi samtykke.»

Dobbel bekreftelse (abonnenten klikker på en bekreftelseslenke i e-posten) er ikke påbudt, men den er den enkleste måten å oppfylle dokumentasjonsplikten på – og den holder listen fri for skrivefeil og påmeldinger gjort med andres adresse.

Regelen kommer fra to steder, og forvirringen skyldes som regel det. Kravene til kvaliteten på samtykket står i personvernforordningen, men når e-postmarkedsføring i det hele tatt krever samtykke, står i markedsføringsloven. Lovens § 15 første ledd sier det ordrett slik:

«I næringsvirksomhet er det forbudt, uten mottakerens forutgående samtykke, å rette markedsføringshenvendelser til fysiske personer ved elektroniske kommunikasjonsmetoder som tillater individuell kommunikasjon, som for eksempel elektronisk post, telefaks eller automatisert oppringningssystem (talemaskin).»

Lovteksten er lest i Lovdatas gjeldende versjon 12.9.2026.

Samme sak i Forbrukertilsynets veiledning: «Det er den næringsdrivende som skal bevise at mottakeren har gitt samtykke, og virksomhetene må derfor oppbevare dokumentasjon for samtykket.»

Unntaket er strengere enn slik det vanligvis gjengis

Unntaket for eksisterende kundeforhold gjengis ofte som «kunder kan man markedsføre til». Lovens § 15 tredje ledd setter tre vilkår, og alle må være oppfylt:

1. Adressen er mottatt «i eksisterende kundeforhold der den næringsdrivende avtaleparten har mottatt kundens elektroniske adresse i forbindelse med salg».
2. «Markedsføringen kan bare gjelde den næringsdrivendes egne varer, tjenester eller andre ytelser tilsvarende dem som kundeforholdet bygger på.»
3. «Når den elektroniske adressen samles inn, og eventuelt ved hver enkelt senere markedsføringshenvendelse, skal kunden enkelt og gebyrfritt gis anledning til å reservere seg mot slike henvendelser.»

Sitater: markedsføringsloven § 15, lest 12.9.2026.

Forbrukertilsynet strammer inn ytterligere i veiledningens punkt 3.3.1: et kundeforhold er «løpende avtaleforhold hvor det er nødvendig for kundepleien med en viss kommunikasjon partene imellom, for eksempel abonnementer, kontoavtaler», enkeltkjøp holder som regel ikke, og «markedsføring må sendes ut innen rimelig tid etter salget». Reservasjonsretten skal altså gis to ganger: i det øyeblikket adressen samles inn, og i hver eneste melding som sendes.

Ordet alle avgjør, og to vanlige situasjoner faller på det. En adresse som er lagt igjen i en konkurranse eller ved nedlasting av en guide, oppfyller ikke det første vilkåret, fordi den ikke ble mottatt i forbindelse med salg. Markedsføring av en partners produkt eller ditt eget nye produktområde oppfyller ikke det andre. I begge tilfeller trengs samtykke, og det er lettere å be om når adressen samles inn enn å reparere i ettertid.

Markedsføring til bedrifter er en annen sak. § 15 beskytter fysiske personer, og Forbrukertilsynet sier det slik i punkt 2.4: «Det er imidlertid tillatt å sende markedsføring til e-postadresser som ikke tilhører en bestemt fysisk person, f.eks. post@firmaX.no.» Grensen er ikke alltid klar: en jobbadresse med navn tilhører en fysisk person, og da gjelder samtykkekravet uansett hva meldingen handler om. I tvilstilfeller er kilden Forbrukertilsynets egen veiledning, ikke en annen markedsførers praksis.

En tredje regel gjelder begge deler. § 15 femte ledd viser til ehandelsloven § 9: «Sendes uanmodet markedsføring ved hjelp av elektronisk post, skal det fremgå at meldingene inneholder markedsføring idet meldingene mottas.» Det treffer emnefeltet og avsendernavnet: en melding som er forkledd som et personlig svar, en faktura eller et systemvarsel, bryter denne regelen uansett om samtykket er i orden.

2. Dokumentasjonsplikt: lagre dato og kilde

Et samtykke som ikke kan bevises, er det samme som intet samtykke. Forordningens artikkel 7 nr. 1: «Dersom behandlingen bygger på samtykke, skal den behandlingsansvarlige kunne påvise at den registrerte har samtykket.» For hver kontakt må det minst finnes påmeldingsdato og opplysning om hvilket skjema påmeldingen kom fra.

Av dette følger én praktisk regel som glemmes oftest: når du bytter verktøy, ta med påmeldingsdato og påmeldingskilde i eksportfilen. Flytter du bare e-postadressene, står du etter flyttingen med en liste som finnes, men et samtykke som ikke kan dokumenteres på noen måte.

3. Hvor dataene ligger – her slår antakelsen feil

Den vanlige oppfatningen er at e-postverktøyene er amerikanske og at listen automatisk havner på andre siden av Atlanteren. Vi gikk gjennom personvernerklæringene til sju verktøy 3.9.2026, og bildet er et annet: fem av sju lagrer listedataene i EU.

← sveip →

Kilde: hver tjenestes egen personvernerklæring, lest 3.9.2026. Kontrolleres på nytt hver 90. dag – selskapsstrukturer og datasentre endrer seg.

Merk én nyanse: avtalepart og datalokasjon er to forskjellige ting. EmailOctopus er et britisk selskap, men listene ligger i Irland; hos MailerLite inngås avtalen for EØS-kunder med et irsk selskap, selv om konsernet også har et amerikansk. Ingen av delene forteller alene hvor listen er – det står i erklæringen.

Hva du bør sjekke i verktøyet før du tar det i bruk

1. Finner du påmeldingsdato og -kilde i opplysningene om en enkelt kontakt? Let etter det én gang nå, ikke i det øyeblikket noen spør.
2. Slettes kontakten helt eller bare fra listen? Retten til sletting betyr at opplysningene slettes, ikke at abonnementet avsluttes.
3. Får du listen ut, og i hvilket format? Finnes det ingen eksport, er du låst inne.
4. Finnes det en databehandleravtale? Let i kontoinnstillingene eller brukervilkårene – hos noen inngår den i vilkårene, hos andre godtas den separat.
5. Hvor dataene er – tabellen over, eller tjenestens egen erklæring hvis verktøyet ikke er med i sammenligningen vår.

Verktøy der listen blir i EU

← sveip →

Priser uten mva., ved månedlig fakturering hvis ikke annet er oppgitt.(annonselenke) = reklamelenke

• Prisen er månedsprisen for det billigste betalte nivået ved den listestørrelsen. Kolonnen Gratisnivå viser når man slipper å betale.
• EmailOctopus: prislisten oppgir bare månedsprisen ved årlig fakturering. Månedlig fakturering koster mer.
• GetResponse: minste liste som selges er 1 000 kontakter, så kolonnen for 500 kontakter viser den prisen.

Databehandleravtalen: papiret ingen husker

Når du bruker et e-postverktøy, behandler det abonnentenes personopplysninger på dine vegne. Behandlingsansvarlig er du, databehandler er tjenesten – og mellom dere må det finnes en skriftlig avtale om hva databehandleren får gjøre. På engelsk kalles den DPA (data processing agreement).

Avtalen trer ikke alltid i kraft av seg selv: hos noen tjenester inngår den i brukervilkårene, hos andre må den godtas separat i kontoinnstillingene. Vi har ikke gått gjennom avtalen til hver tjeneste i sammenligningen på kontonivå og påstår derfor ingenting om den for alle – sjekk dette samtidig som du tar verktøyet i bruk, ikke i det øyeblikket en kunde spør.

Det samme gjelder din egen protokoll over behandlingsaktiviteter. Forordningens artikkel 30 nr. 5 fritar foretak med færre enn 250 ansatte fra å føre protokoll, men unntaket faller bort av tre grunner: hvis behandlingen sannsynligvis medfører en risiko for de registrertes rettigheter, hvis behandlingen ikke skjer leilighetsvis, eller hvis det behandles særlige kategorier av personopplysninger. En markedsføringsliste som vedlikeholdes jevnlig treffer den midterste, så unntaket gjelder ikke den.

Tre ting du bør lese i avtalen:

• Underleverandører. Databehandleren bruker sine egne underleverandører (datasenter, supportverktøy, KI-tjenester). Listen ligger som regel på en egen side, og den endrer seg – tjenesten skal varsle om endringer, og du må oppdatere din egen erklæring i tråd med dem.
• Overføringer ut av EU/EØS. Avtalen forteller på hvilket grunnlag opplysninger overføres til tredjeland. Dette er punktet som er kortest hos tjenestene som lagrer i EU.
• Hva som skjer etter oppsigelse. Hvor lenge opplysningene beholdes etter at kontoen er lukket, og om du får dem ut før det.

En praktisk huskeregel: bytter du verktøy, byttes databehandleren – og databehandleren står ved navn i din egen personvernerklæring. Erklæringen oppdateres i samme jobb, ikke senere.

Avmelding med ett klikk er ikke lenger bare et lovkrav

Loven krever at markedsføringen enkelt og gebyrfritt kan sies nei til i hver melding. Fra februar 2024 er det samme også et teknisk krav fra postkassene, og det er en interessant kombinasjon: samme grep oppfyller både lovplikten og vilkåret for leveringsevne.

Google og Yahoo krever av dem som sender minst 5 000 meldinger i døgnet at markedsføringsmeldinger støtter avmelding med ett klikk etter RFC 8058. I praksis betyr det at avmeldingen skjer direkte fra knappen i e-postprogrammet, og at mottakeren ikke kan avkreves en egen bekreftelse på en landingsside. Yahoo setter i tillegg en frist: avmeldingen skal være gjennomført innen to dager. Begge krever også at andelen spamklager holdes under 0,30 prosent.

For leseren følger én sjekk av dette: se hva din egen avmeldingslenke gjør. Fører den til en side der man fortsatt må logge inn eller bekrefte valget, er det et lovproblem og et leveringsproblem på én gang. Kravene og hva de betyr for verktøyvalget er gått gjennom i sammenligningen: hva Gmail og Yahoo krever av avsenderen.

De fire vanligste feilene

• Gammel liste rett inn i nytt verktøy. Avmeldte og døde adresser som følger med, skader leveringsevnen akkurat når den nye avsenderen bygger omdømme.
• Samtykke samlet inn til ett formål, brukt til et annet. Deltakelse i en konkurranse er ikke påmelding til et nyhetsbrev, med mindre det er sagt uttrykkelig.
• Avmeldingslenke som krever innlogging. Avmeldingen skal lykkes med ett klikk.
• Verktøyet byttet, erklæringen ikke. Databehandleren står ved navn i erklæringen; når verktøyet byttes, oppdateres erklæringen i samme jobb.

Hva denne siden ikke er

Dette er en praktisk sjekkliste, ikke juridisk rådgivning. Reglene for elektronisk markedsføring kommer fra markedsføringsloven, ehandelsloven og personvernforordningen, og hvordan de anvendes avhenger av hvem du markedsfører til og hvordan adressene er samlet inn. I tvilstilfeller er kildene Forbrukertilsynet (markedsføringsloven) og Datatilsynet (personvernforordningen) – og tolkningene oppdateres.