Integritetspolicy för nyhetsbrevslistan – vad den måste berätta
När du samlar in prenumeranter till ett nyhetsbrev räknar dataskyddsförordningens artikel 13 upp den information som prenumeranten ska få redan vid formuläret. E-postverktyget är mottagare i policyn, och om det överför listan utanför EU ska överföringen redovisas särskilt. Här är punkterna artikel för artikel, direkt ur förordningens svenska text.
E-postlistan för ett nyhetsbrev är behandling av personuppgifter på samma sätt som vilket kundregister som helst: varje adress identifierar en människa. Därför ska prenumeranten få veta vem som för listan, vad den används till och var den finns. Här går vi igenom vad dataskyddsförordningen kräver att du berättar och när, och hur det e-postverktyg du väljer påverkar texten. Samtycket och när det behövs går vi igenom i guiden om e-postmarknadsföring och GDPR.
Kort svar
Prenumeranten ska i samband med formuläret få veta åtminstone vem som är personuppgiftsansvarig, ändamålet med behandlingen och den rättsliga grunden, mottagarna (e-postverktyget inräknat), eventuell överföring utanför EU, lagringstiden, de registrerades rättigheter, rätten att återkalla samtycket och rätten att klaga hos en tillsynsmyndighet – i Sverige IMY. Kravet finns i artikel 13 i dataskyddsförordningen. Dessutom behövs ett biträdesavtal med verktyget (artikel 28), och listan förs in i ditt eget register över behandling (artikel 30).
När informationen lämnas: när adressen samlas in
Enligt artikel 13.1 ska informationen lämnas ”när personuppgifterna erhålls”. För ett nyhetsbrev är det ögonblicket anmälningsformuläret. I praktiken placeras en kort upplysning och en länk till policyn, där alla punkter finns, bredvid formuläret. Om återkallelse av samtycke är förordningen ännu mer precis: enligt artikel 7.3 gäller att ”innan samtycke lämnas ska den registrerade informeras om detta”, och ”det ska vara lika lätt att återkalla som att ge sitt samtycke”.
Om formen säger artikel 12 att informationen ska lämnas ”i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk”. IMY säger samma sak i sin vägledning: informationen ska ges ”kostnadsfritt i en lättillgänglig, skriftlig form (vilket kan vara i elektronisk form) och med ett klart och tydligt språk”. Om du senare använder listan till något annat än det ändamål du angav, kräver artikel 13.3 att du informerar om det nya ändamålet före behandlingen.
Integritetspolicyns punkter artikel för artikel
Tabellens vänstra kolumn är förordningens krav, den högra säger vad det betyder för en nyhetsbrevslista. Artikelhänvisningarna är från förordningens svenska text, läst 26.9.2026.
| Punkt | Artikel | För nyhetsbrevslistan |
|---|---|---|
| Personuppgiftsansvarig och kontaktuppgifter | 13.1 a | Företagets namn och en adress dit dataskyddsfrågor skickas |
| Dataskyddsombud | 13.1 b | Bara ”i tillämpliga fall”, alltså om ett sådant har utsetts |
| Ändamål och rättslig grund | 13.1 c | Att skicka nyhetsbrevet; grunden är oftast samtycke (6.1 a) |
| Berättigat intresse | 13.1 d | Bara om behandlingen grundar sig på berättigat intresse (6.1 f) |
| Mottagare | 13.1 e | E-postverktyget och andra tjänster som listan hamnar i |
| Överföringar utanför EU | 13.1 f | Mottagarland, beslut om adekvat skyddsnivå eller skyddsåtgärder och var de finns |
| Lagringstid | 13.2 a | Tiden, eller kriteriet som bestämmer den |
| De registrerades rättigheter | 13.2 b | Tillgång, rättelse, radering, begränsning, invändning, dataportabilitet |
| Återkallelse av samtycke | 13.2 c, 7.3 | När som helst, till exempel via en länk i varje meddelande |
| Rätt att klaga | 13.2 d | Tillsynsmyndighet; i Sverige IMY |
| Är det obligatoriskt att lämna uppgifterna | 13.2 e | Prenumerationen är frivillig; berätta vad som händer utan adress |
| Automatiserat beslutsfattande | 13.2 f | Bara om du använder automatiserat beslutsfattande enligt artikel 22, profilering inräknad |
← svep →
Källa: förordning (EU) 2016/679, artikel 13, EUR-Lex, läst 26.9.2026. Tabellen är ingen juridisk rådgivning; den högra kolumnen är vår sammanfattning av artikelns ordalydelse.
Tre punkter behöver förtydligas. En mottagare är enligt artikel 4.9 den som personuppgifterna lämnas ut till, ”vare sig det är en tredje part eller inte” – e-postverktyget hör alltså hit, även om det bara arbetar för din räkning. Lagringstiden lämnar förordningen åt dig: den kräver att du anger tiden eller, om det inte är möjligt, ”de kriterier som används för att fastställa denna period”. Klagomål lämnas i Sverige till Integritetsskyddsmyndigheten, som enligt 3 § i förordningen (2018:219) ”är tillsynsmyndighet enligt EU:s dataskyddsförordning”, och IMY:s egen lista över vad den registrerade har rätt att få veta tar upp ”att hen kan lämna in klagomål till IMY”. Skickar du till företag med stöd av berättigat intresse lägger artikel 21.4 till ytterligare en skyldighet: rätten att invända ska meddelas senast vid den första kommunikationen, ”tydligt, klart och åtskilt från eventuell annan information”.
Hur e-postverktyget påverkar policyn
Verktyget påverkar policyn på två punkter: mottagarna och överföringarna. Stannar listan i EU blir överföringspunkten kort. Överför verktyget uppgifter till ett tredjeland kräver artikel 13.1 f att du berättar om överföringen och om ”huruvida ett beslut av kommissionen om adekvat skyddsnivå föreligger eller saknas”, eller om skyddsåtgärderna och ”hur en kopia av dem kan erhållas eller var dessa har gjorts tillgängliga”.
Ett exempel: Mailchimps biträdesavtal (punkt 6.1) tillåter överföring av uppgifter ”to and in the United States and anywhere else in the world”, så den som använder Mailchimp behöver en överföringspunkt i policyn. I MailerLites biträdesavtal är underbiträdena Google Cloud i Tyskland och Nederländerna samt polska Vercom. Hos ActiveCampaign går det att välja EU-regionen för EMEA-konton som skapats efter 14.3.2024. Var de sju verktygen lagrar datan, läst i deras integritetspolicyer, finns på sidan datalagring hos e-postverktyg.
Biträdesavtalet: automatiskt eller godkänns separat
Enligt artikel 28.3 ska behandling som utförs av ett personuppgiftsbiträde ”regleras genom ett avtal eller en annan rättsakt”. IMY skriver: ”Enligt dataskyddsförordningen ska personuppgiftsansvariga och personuppgiftsbiträden reglera sina relationer genom ett skriftligt avtal (eller annan rättsakt).” I verktygen uppstår avtalet på två sätt, läst i deras egna villkor 25.9.2026:
- En del av användarvillkoren: Mailchimp (”incorporated into … the Agreement”), Brevo (bilaga till användarvillkoren) och MailerLite.
- Undertecknas separat: ActiveCampaign (”You must execute a DPA”) och EmailOctopus.
- Hittades inte: på Systeme.ios webbplats hittade vi varken ett offentligt biträdesavtal eller en lista över underbiträden.
I avtalet lönar det sig att läsa två punkter som förordningen pekar ut: underbiträdena, där biträdet enligt artikel 28.2 vid ett allmänt tillstånd ska informera om ”eventuella planer på att anlita nya personuppgiftsbiträden eller ersätta personuppgiftsbiträden”, och radering eller återlämnande av uppgifterna när tjänsten upphör (punkt 3 g).
Registret över behandling är ett annat dokument
Integritetspolicyn till prenumeranten och registret över behandling enligt artikel 30 blandas lätt ihop. Registret förs av dig och ska enligt artikel 30.4 på begäran göras tillgängligt för tillsynsmyndigheten – IMY skriver: ”På begäran ska registret göras tillgängligt för IMY.” Det är alltså inte informationen till prenumeranten. Enligt artikel 30.1 ska registret bland annat innehålla ändamålen, kategorierna av registrerade och personuppgifter, mottagarna, överföringar till tredjeland och tidsfristerna för radering. IMY har en nedladdningsbar checklista för vad registret ska innehålla.
Ett företag med färre än 250 anställda är enligt artikel 30.5 undantaget, utom när behandlingen ”inte är tillfällig”. IMY anser att varje behandling ska bedömas för sig, och myndighetens eget exempel gäller löneadministration: den måste föras in i registret ”eftersom den inte är tillfällig”. En nyhetsbrevslista som skickas ut regelbundet är enligt vår tolkning av samma slag, och därför hör den hemma i registret.
Vad du gör nu
- Gå igenom tabellens tolv punkter mot din egen policy och lägg till det som saknas.
- Lägg till en länk till policyn i anmälningsformuläret och en upplysning om rätten att återkalla samtycket före anmälningsknappen.
- Kontrollera verktygets biträdesavtal: ingår det i villkoren eller måste det undertecknas i kontoinställningarna?
- Redovisa överföringarna om verktygets avtal tillåter behandling utanför EU, och uppdatera punkten när du byter verktyg. Om du ännu inte har valt verktyg visar jämförelsen av e-postverktyg också var datan lagras.
- För in listan i registret över behandling, till exempel med IMY:s checklista som stöd.