GDPR og markedsføring: slik samler og bruker du kundedata lovlig

Nesten all moderne markedsføring bygger på data: e-postlister, besøksstatistikk, målrettede annonser og segmenterte kundegrupper. Samtidig setter personvernregelverket klare grenser for hva du har lov til å samle inn og hvordan du kan bruke det. Denne guiden forklarer hva GDPR betyr for markedsføring i Norge, hvilke regler som gjelder for de ulike kanalene, og hvordan du i praksis samler inn og bruker kundedata på en lovlig måte – forklart enkelt for deg som ikke er jurist.

Hva er GDPR, og hvorfor gjelder det i Norge?

GDPR står for «General Data Protection Regulation» – på norsk personvernforordningen. Det er EUs felles regelverk for behandling av personopplysninger, altså all informasjon som kan knyttes til en identifiserbar person: navn, e-postadresse, telefonnummer, IP-adresse, kjøpshistorikk og liknende.

Selv om Norge ikke er EU-medlem, gjelder GDPR fullt ut her gjennom EØS-avtalen. Reglene ble en del av norsk rett med personopplysningsloven, som trådte i kraft 20. juli 2018. Tilsynsmyndigheten er Datatilsynet, som veileder, fører tilsyn og kan ilegge gebyrer ved brudd.

«Behandling» betyr nesten alt du gjør med opplysningene: å samle dem inn, lagre, sortere, analysere, bruke til annonsering eller dele dem med en leverandør. Så snart markedsføringen din involverer personopplysninger, er du omfattet av regelverket.

Behandlingsgrunnlag: du trenger en lovlig grunn

Hovedregelen i GDPR er at du må ha et gyldig behandlingsgrunnlag for hver eneste behandling av personopplysninger. Forordningens artikkel 6 lister opp seks slike grunnlag. I markedsføring er det særlig to som er aktuelle: samtykke og berettiget interesse. I tillegg kan «oppfyllelse av en avtale» være relevant når du håndterer eksisterende kunder.

Samtykke

Et samtykke er en aktiv og frivillig godkjenning fra personen. For å være gyldig må samtykket være frivillig, spesifikt, informert og utvetydig – og gitt gjennom en aktiv handling. Forhåndsavkryssede bokser, stilltiende aksept eller skjult «aksept» i lange vilkår er ikke gyldig samtykke.

Du må dessuten kunne dokumentere når og hvordan samtykket ble gitt, og personen skal kunne trekke det tilbake like enkelt som det ble gitt. Samtykke er grunnlaget du trenger for blant annet nyhetsbrev og for ikke-nødvendige informasjonskapsler.

Berettiget interesse

Berettiget interesse kan brukes når virksomheten har et saklig behov for å behandle data, og dette behovet veier tyngre enn personvernhensynet til den enkelte. Da må du gjøre en konkret interesseavveining og kunne begrunne den. Berettiget interesse kan for eksempel være aktuelt for enkelte former for analyse eller for markedsføring til eksisterende kunder – men det gir deg aldri fritt leide, og det erstatter ikke de særskilte kravene i markedsføringsloven og ekomloven som omtales under.

Avtale

Når behandlingen er nødvendig for å oppfylle en avtale med kunden – for eksempel for å levere en vare eller tjeneste kunden har bestilt – kan selve avtalen være behandlingsgrunnlaget. Dette dekker leveransen, men ikke uten videre at du bruker de samme opplysningene til ny markedsføring.

Regler for de ulike markedsføringskanalene

GDPR er det overordnede regelverket, men i praksis er det ofte markedsføringsloven og ekomloven som avgjør hva du konkret har lov til i hver kanal. Oversikten under oppsummerer hovedreglene.

E-post og SMS

Markedsføringsloven § 15 krever som hovedregel forhåndssamtykke før du sender reklame på e-post, SMS eller andre elektroniske meldinger til forbrukere. Samtykket må være en aktiv handling – det holder ikke med en ferdig avkrysset boks.

Det finnes ett viktig unntak: et eksisterende kundeforhold. Har du fått e-postadressen i forbindelse med et salg, kan du sende markedsføring for dine egne, tilsvarende varer eller tjenester – forutsatt at kunden ved innsamlingen og i hver senere melding får en enkel og gratis mulighet til å reservere seg. Vil du bygge nyhetsbrev riktig fra start, bør du lese vår guide til e-postmarkedsføring.

Telefon og post

Telefon- og postmarkedsføring er regulert av markedsføringsloven § 12. Du kan ikke ringe eller sende adressert reklame til forbrukere som har reservert seg i Reservasjonsregisteret i Brønnøysund. Også her gjelder et unntak for eksisterende kundeforhold, der du kan kontakte kunden om egne, tilsvarende ytelser selv om vedkommende står i registeret.

Informasjonskapsler og sporing

Informasjonskapsler («cookies») er små filer som nettsteder lagrer i nettleseren din, og som brukes til blant annet statistikk, personalisering og annonsering. Fra 1. januar 2025 gjelder en ny ekomlov, der § 3-15 krever at samtykke til lagring av og tilgang til opplysninger i brukerutstyr må oppfylle GDPRs krav for å være gyldig.

I praksis betyr det slutt på den gamle, svake løsningen der nettleserinnstillinger ble regnet som samtykke. Nå kreves aktivt, informert samtykke før ikke-nødvendige informasjonskapsler settes. Datatilsynet publiserte 3. april 2025 veiledning om kravene, sammen med Nkom som deler tilsynsansvaret. Sentrale krav er at «godta»- og «avvis»-valgene skal være likestilte og like lett tilgjengelige, at ingen bokser er forhåndsavkrysset, og at samtykket kan trekkes tilbake like enkelt som det ble gitt. Dette påvirker hvordan du setter opp webanalyse – les mer om personvernvennlig oppsett i guiden til Google Analytics 4.

Slik samler du inn kundedata lovlig

Lovlig datainnsamling handler om å være åpen, ta bare det du trenger, og ha kontroll på grunnlaget. En praktisk fremgangsmåte:

• Bestem formålet først. Vit hvorfor du samler inn dataene før du ber om dem, og bruk dem ikke senere til noe helt annet uten nytt grunnlag.
• Minimer. Be bare om opplysningene du faktisk trenger. Trenger du ikke fødselsdato for å sende et nyhetsbrev, skal du ikke spørre om det.
• Velg riktig grunnlag. Avklar om du baserer deg på samtykke, avtale eller berettiget interesse – og dokumenter valget.
• Innhent samtykke korrekt. Bruk tydelig tekst, aktiv avkrysning og lagre tidspunkt og innhold for samtykket.
• Informer. Ha en lett tilgjengelig personvernerklæring som forklarer hva du samler inn, hvorfor, hvor lenge du lagrer det og hvilke rettigheter folk har.
• Sikre dataene. Bruk tilgangsstyring og trygge systemer, og inngå databehandleravtale med leverandører som behandler data på dine vegne.

Slik bruker du kundedataene lovlig

Når dataene er samlet inn på riktig måte, gjelder fortsatt noen prinsipper for selve bruken. Du kan bare bruke opplysningene til formålet de ble samlet inn for – vil du gjøre noe nytt, kan du trenge et nytt grunnlag. Lagre data bare så lenge det er nødvendig, og slett eller anonymiser når behovet er borte.

Segmentering og personalisering er lov så lenge du har grunnlag for behandlingen og er åpen om den. Automatiserte avgjørelser og profilering med vesentlig betydning for den enkelte har egne regler. Bruker du kunstig intelligens i arbeidsflyten, gjelder de samme personvernkravene – se oversikten over AI i markedsføring. En gjennomtenkt markedsføringsstrategi bør ha personvern innebygd fra start, ikke som noe du lapper på til slutt.

De registrertes rettigheter

GDPR gir personer en rekke rettigheter som du må kunne håndtere. Kort oppsummert har den enkelte rett til å:

• få innsyn i hvilke opplysninger du har om dem,
• få rettet feilaktige opplysninger,
• få slettet opplysninger («retten til å bli glemt»),
• få begrenset behandlingen,
• få dataene utlevert i et vanlig format (dataportabilitet), og
• protestere mot behandling, inkludert direkte markedsføring.

Protesterer noen mot direkte markedsføring, skal du stanse den uten videre. Avmelding fra nyhetsbrev skal alltid være enkelt og gratis.

Vanlige feil i markedsføring

Flere av bruddene Datatilsynet ser, går igjen. Blant de vanligste feilene er:

• å bruke ferdig avkryssede bokser eller tolke taushet som samtykke,
• å kjøpe eller leie e-postlister og sende reklame uten eget grunnlag,
• cookie-bannere der «godta alt» er lett synlig mens «avvis» er gjemt bort,
• å bruke data innsamlet til ett formål til et helt annet senere,
• å mangle databehandleravtale med leverandører og annonseplattformer, og
• å ikke gjøre det enkelt å melde seg av eller trekke samtykke.

Reglene for merking og åpenhet gjelder også i samarbeid med andre – se for eksempel kravene i vår guide til influensermarkedsføring.

Hva skjer ved brudd?

Brudd på GDPR kan straffes med overtredelsesgebyr på inntil 20 millioner euro eller 4 prosent av virksomhetens globale årsomsetning – det høyeste beløpet gjelder. Det tyngste norske eksemplet er dating-appen Grindr, som i et vedtak fra Datatilsynet ble ilagt et gebyr på 65 millioner kroner for å ha delt sensitive personopplysninger med annonsepartnere uten gyldig samtykke. Gebyret ble opprettholdt av Personvernnemnda i 2023 og er det høyeste Datatilsynet har ilagt.

I tillegg til gebyret kommer omdømmetapet. For de aller fleste virksomheter er likevel poenget ikke frykten for bøter, men at ryddig personvern bygger tillit hos kundene – noe som i seg selv er god markedsføring.

Hvem gjelder reglene for?

Regelverket gjelder uavhengig av størrelse. Både enkeltpersonforetak, frivillige organisasjoner og store konsern må følge GDPR når de behandler personopplysninger. Størrelsen påvirker enkelte plikter – for eksempel kravet om personvernombud – men selve grunnprinsippene er de samme for alle. Retter du markedsføring mot personer i Norge eller EU/EØS, gjelder reglene selv om virksomheten din holder til i et annet land.

Ansvarsfraskrivelse

Denne artikkelen er generell informasjon om personvern og markedsføring, og er ikke juridisk rådgivning. Regelverket endres over tid, og hvordan reglene slår ut avhenger av den konkrete situasjonen. For bindende svar bør du konsultere Datatilsynets veiledning eller juridisk kompetanse før du gjør vurderinger for egen virksomhet. Du finner oppdatert og offisiell informasjon hos Datatilsynet og Forbrukertilsynet.

Vanlige spørsmål (FAQ)

Gjelder GDPR for små bedrifter?

Ja. GDPR gjelder uavhengig av størrelse, også for enkeltpersonforetak og små selskaper. Enkelte plikter, som krav om personvernombud, avhenger av type og omfang av behandlingen, men grunnprinsippene om lovlig grunnlag, åpenhet og dataminimering gjelder alle.

Trenger jeg alltid samtykke for å sende nyhetsbrev?

Som hovedregel ja, etter markedsføringsloven § 15. Unntaket er eksisterende kundeforhold: har du fått e-postadressen ved et salg, kan du markedsføre egne tilsvarende varer eller tjenester, så lenge kunden hver gang får en enkel og gratis mulighet til å reservere seg.

Er det lov å bruke Google Analytics i Norge?

Webanalyse er i utgangspunktet lov, men etter den nye ekomloven må du ha gyldig samtykke før du setter ikke-nødvendige informasjonskapsler, og du må ha kontroll på hvor dataene behandles. Riktig oppsett av samtykke og konfigurasjon er avgjørende for at bruken skal være lovlig.

Hvor lenge kan jeg lagre kundedata?

Bare så lenge det er nødvendig for formålet dataene ble samlet inn for. Når behovet faller bort, skal opplysningene slettes eller anonymiseres. Det finnes ingen fast frist som passer for alt – du må selv fastsette og dokumentere en saklig lagringstid.

Hva er forskjellen på GDPR og markedsføringsloven?

GDPR er det overordnede personvernregelverket for all behandling av personopplysninger. Markedsføringsloven (og ekomloven) gir i tillegg særskilte regler for selve markedsføringen – for eksempel krav om forhåndssamtykke for e-post og SMS og reglene om Reservasjonsregisteret. I praksis må du forholde deg til begge.