E-postautomatisering för svenska kunder: samtycke, innehåll och mätning

Så hänger samtycke, innehåll och uppföljning ihop

En e-postadress är en personuppgift enligt dataskyddsförordningen, i samma kategori som namn, adress och IP-adress. Det gäller all information om en identifierad eller identifierbar person.

E-postautomatisering innebär att utskick startar och upprepas enligt bestämda regler. Varje automatiskt utskick är fortfarande en behandling av en e-postadress och kräver rättslig grund.

Varje utskick är en personuppgiftsbehandling. Den måste ha rättslig grund, följa de grundläggande principerna och åtföljas av information till de registrerade.

IMY lyfter bland annat fram principerna, den rättsliga grunden, informationen till de registrerade och deras rättigheter. Marknadsföringslagen avgör dessutom när du får skicka marknadsföring till en person.

De tre delarna låser varandra. Ändamålet du har samtycke till styr vad du får skicka.

Automatiken får inte kringgå ändamålet. Bekräftelse, välkomstmejl och återkommande utskick måste rymmas inom samtycket eller annan rättslig grund.

Skickar du något utanför ändamålet är utskicket inte täckt, även om mottagaren en gång klickade ja till ditt nyhetsbrev.

Innehållet påverkar hur många som stannar kvar. Ett välkomstmejl som bekräftar anmälan och löpande innehåll som motsvarar förväntningen minskar avregistreringar. Det är i praktiken samtycken som återkallas och måste verkställas.

Uppföljningen saknas oftast. Du behöver kunna visa vilken text mottagaren såg, när och hur samtycket lämnades, och hålla listan fri från adresser som aldrig bekräftat sig.

Brister får ekonomiska följder. IMY beslutade om en sanktionsavgift på 1,8 miljoner kronor mot Miljödata i Karlskrona AB efter en granskning som visade bristande säkerhet för de personuppgifter företaget hanterade.

Två regelverk att hålla isär: GDPR och marknadsföringslagen

Två regelverk samverkar i svensk e-postmarknadsföring. Dataskyddsförordningen reglerar hur du får samla in och behandla personuppgifter, och en e-postadress räknas som en personuppgift. Marknadsföringslagen reglerar när du får skicka marknadsföring.

Tillsynsmyndighet för dataskyddet är Integritetsskyddsmyndigheten (IMY). Förordningens centrala del är 99 artiklar med 173 beaktandesatser, enligt IMY:s fulltextversion. Den officiella versionen finns hos EUR-Lex som förordning (EU) 2016/679.

GDPR kräver att du stödjer behandlingen på någon av de sex rättsliga grunder som finns i förordningen. Samtycke är en av dem.

De sex rättsliga grunderna finns i artikel 6 i dataskyddsförordningen. Informationsskyldigheten till de registrerade finns i artiklarna 13 och 14.

IMY är tydlig med att samtycke ofta varken är lämpligt eller ens möjligt – det måste vara frivilligt. Till exempel för myndigheter är maktförhållandet i praktiken ojämlikt.

Att företag samlar in adresser för att skicka nyhetsbrev är däremot ett exempel IMY själv lyfter fram som en typisk situation där samtycke fungerar som rättslig grund. Samtycke är ett aktivt val du måste kunna styrka, inte en standardinställning.

Rollerna styr vem som ansvarar för behandlingen. Den personuppgiftsansvarige bestämmer för vilka ändamål och på vilka sätt personuppgifterna behandlas. Databehandlaren hanterar uppgifterna på den ansvariges vägnar.

Använder du en e-postplattform är du normalt personuppgiftsansvarig och plattformen personuppgiftsbiträde.

Undvik att segmentera på särskilda kategorier av uppgifter. Uppgifter om hälsa, sexuell läggning, politiska åsikter, religiös övertygelse, fackmedlemskap samt genetisk och biometrisk status får inte behandlas annat än i specifika fall.

Plattformar kan ställa egna krav utöver lagen. Lokala lagar kan ha ytterligare krav.

HubSpot är en plattform för marknadsföringsmeddelanden via e-post. HubSpots policy för acceptabel användning kräver verifierbart tillstånd innan ett marknadsföringsmeddelande skickas via plattformen.

Mailer är en svensk e-postplattform.

B2C, B2B och undantaget efter köp

För privatpersoner (B2C) måste du ha uttryckligt samtycke innan du skickar marknadsföring via e-post. Marknadsföringslagen 19 § uttrycker samtyckeskravet för e-post till fysiska personer.

För utskick till juridiska personer som aktiebolag, förening eller myndighet kräver marknadsföringslagen 19 § inget förhandssamtycke. Kravet på förhandssamtycke gäller marknadsföring till en fysisk person.

B2B-undantaget befriar dig inte från dataskyddsreglerna. E-postadressen är fortfarande en personuppgift och behandlingen behöver en rättslig grund, till exempel berättigat intresse, samt information till mottagaren.

Undantaget i marknadsföringslagen 19 § andra stycket är smalare än ordet kundrelation antyder. Det utlöses av att näringsidkaren har fått den fysiska personens e-postadress i samband med försäljning av en produkt till personen – köpet öppnar dörren, inte relationen i sig.

En gratismedlem, en registrerad användare eller någon som bara skickat en förfrågan faller utanför och behöver samtycke.

Automatisering ändrar inte bedömningen. Undantaget gäller bara när adressen kom från köp av en produkt.

Vid köptillfället bör du dokumentera att köpet gjordes, vilken information som gavs om e-postutskick och hur mottagaren kunde invända mot dem.

Oavsett kategori måste alla mottagare enkelt kunna avprenumerera (opt-out) i varje utskick. En person som omfattas av undantaget ska fortfarande kunna lämna listan med ett klick eller en tydlig länk i mailet.

Fyra krav för giltigt samtycke

Dataskyddsförordningens artikel 4.11 definierar samtycke som varje slag av frivillig, specifik, informerad och otvetydig viljeyttring. Den lämnas genom ett uttalande eller en entydig bekräftande handling. Fyra krav ska vara uppfyllda samtidigt och betyder olika saker i praktiken.

Frivillig: personen ska ha ett genuint fritt val och kontroll över sina personuppgifter. Enligt IMY blir samtycket ogiltigt om någon utsatts för påverkan. Den registrerade får inte drabbas av negativa konsekvenser om hen inte lämnar sitt samtycke.

Samtycket får inte vara en obligatorisk del av avtalsvillkor. Maktförhållandet måste vara jämlikt – IMY nämner relationen mellan myndighet och medborgare samt mellan arbetsgivare och arbetstagare som typiskt ojämlika.

Specifik: det ska framgå vilken behandling personen säger ja till. Olika ändamål kräver som regel varsitt samtycke.

Informerad: det ska framgå vem avsändaren är och vad uppgifterna ska användas till. Informationen ska inte ligga begravd i ett längre villkorsdokument.

Otvetydig: personen ska göra en aktiv handling, till exempel kryssa i en ruta. Förkryssade rutor duger inte, och att någon scrollat förbi ett stycke räknas inte som samtycke.

HubSpot skiljer på underförstått och uttryckligt opt-in-samtycke. Uttryckligt samtycke ges genom skriftligt samtycke, kryssruta i formulär eller dubbel opt-in.

IMY har en checklista som stöd när du inhämtar samtycke, med hänvisningar till hur kraven formuleras i förordningen.

Dubbel opt-in och dokumentation

Ett vanligt och robust upplägg är dubbel opt-in, där prenumeranten bekräftar sin anmälan genom att klicka i ett första mejl. Det ger ett tydligt bevis på samtycke och håller listan renare från felstavade eller falska adresser.

Det första mejlet är en bekräftelse. Klicket i mejlet är den verifierbara handlingen.

Bekräftelsemejlet och klicket är flödets startpunkt. Först därefter fortsätter automationen med välkomstserie och återkommande utskick.

Plattformspolicyer kan ställa krav i linje med detta. HubSpot kräver verifierbart opt-in-samtycke.

HubSpot listar godtagbara samtycken: formulär på webbplats, köp under de senaste två åren, skriftligt avtal under de senaste två åren, donation eller volontärarbete under de senaste två åren.

Uttryckligt samtycke ges när du ber en person om tillstånd och personen samtycker – manuellt genom skriftligt samtycke, genom att klicka i en kryssruta i formuläret eller genom att bekräfta via dubbel opt-in. Samtycket måste alltid uttryckas genom en åtgärd som kunden vidtog med en verifierbar metod. Avsaknad av en opt-out uppfyller inte kraven på verifierbart opt-in.

För att bevisningen ska hålla i en tillsynssituation behöver du spara vilken text mottagaren faktiskt såg, när samtycket lämnades, via vilken kanal (webbformulär, kassa, landningssida) och vilken typ av samtycke det var. Skilj på underförstått och uttryckligt samtycke när du importerar historiska listor.

Enligt HubSpot hjälper båda formerna av samtycke från en kontakt dig att följa en tillståndsbaserad sändningsmodell. Uttryckligt samtycke är mer sannolikt att bidra till ett gott rykte för e-postutskick.

Avprenumeration och rättigheter i varje utskick

Alla mottagare måste enkelt kunna avprenumerera i varje utskick. Kontaktuppgifter till avsändaren ska finnas med i mailet.

IMY kopplar kraven direkt till samtyckets giltighet: det ska vara lika lätt att återkalla ett samtycke som att lämna det. Om det är svårt att återkalla samtycket är det inte giltigt.

Om den registrerade inte kan eller får återkalla sitt samtycke utan att drabbas av negativa konsekvenser är samtycket inte frivilligt. Rätten att ångra sig ska förklaras klart och tydligt redan när samtycket lämnas.

I en automatiserad miljö måste en avregistrering slå igenom överallt, inte bara i det enskilda nyhetsbrevet. En mottagare som lämnar ett flöde ska inte fortsätta få välkomstserier, påminnelser eller kampanjer från andra listor.

Spärrlistan ska vara gemensam för alla automatiserade flöden. En avregistrering i ett flöde ska stoppa alla andra.

Bygg en spärrlista på adressnivå som alla flöden kontrollerar mot. Hantera avregistreringen som en återkallelse av samtycket även i din dokumentation.

Lägg in kontaktuppgifter och en tydlig avsändaridentitet i varje mall. Se till att avregistreringslänken fungerar utan inloggning eller andra hinder.

Innehåll och flöden som bygger förtroende i automationen

Skriv ett välkomstmejl som bygger förtroende och skapa innehåll som mottagaren vill läsa. I välkomstmailet kan du bekräfta vad personen anmält sig till, vad den kommer att få och hur ofta, samt hur den avregistrerar sig. Det ger information om vad samtycket omfattar och hur avregistrering går till.

Bygg automationen på fyra grepp: dubbel opt-in med bekräftelse via e-post, ett välkomstmail som bygger förtroende, innehåll mottagaren faktiskt vill läsa och en plattform med inbyggd GDPR-efterlevnad.

Innehållet måste hålla sig inom det ändamål som samtycket täcker. En nyhetsbrevsprenumeration kan inte bära orelaterade utskick, till exempel marknadsföring för partner eller helt andra produktkategorier.

Vill du lägga till ett nytt ändamål behöver du hämta in ett nytt samtycke för just det. Det är rimligt att göra det när mottagaren redan är aktiv i flödet.

Planera automationen kring ett fåtal serier med tydlig koppling till anmälan: ett välkomstmejl som bekräftar och sätter förväntningar, därefter återkommande utskick med innehållet personen bad om.

Bland de vanligaste automatiserade flödena finns välkomstserier, onboarding-sekvenser och datumbaserade sekvenser. Den som inte engagerat sig på 6 till 12 månader kan tas bort eller återaktiveras i en egen serie.

Ett automatiskt flöde kan byggas kring en välkomstserie. Den börjar med ett bekräftelsemejl och fortsätter med innehåll som motsvarar anmälan.

Tumregeln för innehållet är att 80 till 90 procent ska vara informativt eller inspirerande och 10 till 20 procent säljande. Ämnesraden ska locka till öppning.

HubSpot skiljer på marknadsföringsmeddelanden och personliga e-postmeddelanden. En ny kontakt som ännu inte gett verifierbart tillstånd kan ändå få ett personligt e-postmeddelande, till exempel ett introduktionsmeddelande. Plattformens krav ersätter inte marknadsföringslagen.

Håll varje utskick självständigt begripligt med avsändare, syfte och avregistreringsmöjlighet. Mottagaren ska kunna fatta beslut om sitt samtycke utan att leta i tidigare mejl.

Välj en e-postplattform med inbyggd GDPR-efterlevnad.

Verktyg som ligger mellan enkla inkorgstillägg och fullständiga automatiseringssviter passar ofta små och medelstora företag som vill samla nyhetsbrev, grundläggande automatisering och listhantering på ett ställe.

Mätning: samtycke, listhälsa och automationsresultat

Följ upp det som går att koppla till din rättsliga grund och dokumentation: hur många samtycken som inhämtats, via vilka kanaler, av vilken typ, hur många som återkallats och hur listan förändras över tid.

Följ upp automationsresultatet med öppningsfrekvens, klickfrekvens och konverteringar. Klickfrekvens, konverteringar och listtillväxt är viktiga mätpunkter, och automatiserade flöden ger ofta högre öppnings- och klickfrekvens än vanliga utskick.

Mätningen kan följa vilken form av uttryckligt samtycke som använts. HubSpot anger tre: skriftligt samtycke, kryssruta i formulär och dubbel opt-in.

Varje adress i listan ska kunna kopplas till en rättslig grund – antingen ett dokumenterat samtycke eller ett köp som faller inom marknadsföringslagens undantag – samt till informationen som gavs vid insamlingen.

Dubbel opt-in håller listan renare från felstavade eller falska adresser. Det gör att utskick inte går till mottagare som aldrig bett om dem.

Uttryckligt samtycke är mer sannolikt att bidra till ett gott rykte för e-postutskick.

Leveransbarheten är grunden: ligger den under 98 procent är det den siffran du ska börja med, inte innehållet. Sammanställda benchmarks anger att automatiserade utskick kan driva 320 procent mer intäkter än icke-automatiserade, med en ROI på 544 procent under de första tre åren.

Avprenumerationer ska verkställas omedelbart och i samtliga system. Andelen som lämnar listan är ett mått du kan följa över tid för att se om innehåll och frekvens matchar förväntningarna.

Köp, skriftligt avtal och donation eller volontärarbete godtas som samtycke i två år. Bevakningen bör därför omfatta när ett underlag passerar tvåårsgränsen.

Håll tillsynsbilden aktuell. IMY publicerar tillsyner, beslut, praxisbeslut och publikationer, och kan besluta om sanktionsavgifter.

Testa med jämna mellanrum om du kan svara på tre frågor: vilken text mottagaren såg, när och hur samtycket lämnades, och vilken rättslig grund utskicket vilar på.

Plattformsleverantörer kan ställa egna krav. Mätningen behöver därför även omfatta att dina samtycken är verifierbara för den plattform du skickar ifrån.

Mätningar och benchmark för e-postautomatisering i Sverige

Praktisk checklista för svenska utsändningar