Opt-in eller opt-out eller begge dele? - Regler for markedsføring og persondatabeskyttelse; online som offline

Opt-in eller opt-out eller begge dele? - Regler for markedsføring og persondatabeskyttelse; online som offline Artiklen præsenterer de relevante lovbestemmelser, der findes i forbindelse med markedsføring ved brug af personoplysninger. Der præsenteres en række væsentlige sondringer og pivotale elementer, der ligger til grund for en overbliksskabende taxonomi, som præsenteres afslutningsvist. Artiklen giver ikke svar på konkrete problemstillinger, men skaber et overblik, der letter virksomheders navigation i lovgivningen i forbindelse med markedsføring online som offline. Artikelen har følgende indhold: 1 INTRODUKTION... 2 2 LOVGIVNINGEN... 2 3 OPT-IN OG OPT-OUT... 2 3.1 (A) til markedsføring - opt-in...3 3.2 (B) til videregivelse - opt-in...3 3.3 sret (C) mod markedsføring - opt-out...3 3.4 sret (D) mod videregivelse - opt-out...4 4 GRUNDLÆGGENDE SONDRINGER... 4 4.1 Typer af oplysninger...5 4.2 Anvendelse af oplysninger...5 4.3 Kommunikationsmidler...5 5 TAXONOMIEN... 6 5.1 Opt-in til reklame via epost...6 5.2 Opt-out til reklame via fysisk post...6 5.3 Opt-in til vidergivelse og opt-in til reklame via epost...7 5.4 Opt-in til videregivelse og opt-out til reklame via fysisk post 7 5.5 Opt-in til reklame via epost...7 5.6 Opt-out til reklame via fysisk post...7 5.7 Opt-out til videregivelse og opt-in til markedsføring via epost 7 5.8 Opt-out til videregivelse og opt-out til markedsføring via fysisk post 8 5.9 Yderligere kommentarer til taxanomien...8 6 AFRUNDING... 9 7 RELEVANTE LOVE... 9 8 OM FORFATTEREN... 9 1

1 Introduktion I forbindelse med driften af en virksomhed kommer man uundgåeligt til at skulle registrere oplysninger om sine kunder. De fleste virksomheder benytter også markedsføring og reklame i deres drift. Sammensættes disse to forhold opstår store markedsføringsmæssige potentialer - særligt på Internet. Det er her man stifter bekendskab med begreber som permission marketing, one2one, ecrm, datamining personaliseret interaktion med kunden osv. Artiklens fokus er således dels på direkte markedsføring og ikke masseudsendelser til en ubestemt og ukendt personkreds, såsom tryksager, tv-reklamer etc., dels på de oplysninger der registreres og lægges til grund for markedsføring. Når der registreres oplysninger til brug for markedsføring skal særligt reglerne i markedsføringsloven og persondataloven iagttages. Artiklen giver et overblik over reglerne, og der præsenteres en taxonomi, der sætter læseren i stand til at forstå reglerne og deres kompleksitet. 2 Lovgivningen De væsentlige regler findes i Persondataloven(PDL) og i Markedsføringsloven(MFL). Bestemmelserne af interesse for denne artikel trådte alle i kraft d. 1. juli 2000. Administrationen af lovene er delt mellem henholdsvis Datatilsynet, der påser overholdelsen af PDL og Forbrugerombudsmanden, der påser overholdelsen af MFL. Det er væsentligt at være bekendt med opdelingen af det administrative arbejde, idet fortolkningen af disse nye love vil være af væsentlig betydning for deres anvendelse. Særligt de overlappende områder i lovene kan gøres til genstand for divergerende fortolkninger, der kan medfører uklarheder og uvisheder om forståelsen af lovene. Reglerne efter markedsføringsloven beskytter både forbrugere og erhvervsdrivende, mens reglerne i persondataloven kun beskytter forbrugere. 3 Opt-in og opt-out Opt-in er situationen, hvor kunden selv anmoder om henvendelser i form af markedsføringsmateriale. Det kan være per e-mail eller andet medie og opt-in kan foretages ved et klik på musen i en checkbox på et website. Mange websites anvender denne metode. Opt-out er situationen, hvor kunden frabeder sig henvendelser. Kunden gør i princippet indsigelse mod henvendelser. Dette er situationen med "nej tak til reklamer" skilte, som mange hustande har på døren. Både i markedsføringsloven og i persondataloven findes opt-in og optout. I det følgende præsenteres de to opt-in situationer under 3.1 og 3.2 efterfulgt af de to opt-out situationer under 3.3 og 3.4. Bogstaverne i overskrifterne under 3.1 til 3.4 refererer til den taxonomiske fremstilling under 5. 2

3.1 (A) til markedsføring - opt-in Før en virksomhed kan udsende markedsføringsmateriale til en forbruger eller erhvervsdrivende via elektronisk post eller fax kræves modtagerens udtrykkelige samtykke hertil, jf. MFL 6a, stk. 1. t skal være indhentet inden markedsføringsmaterialet udsendes. Det er Forbrugerombudsmandens opfattelse, at samtykket kan være formuleret bredt, men det skal være klart og tydeligt, hvad der gives samtykke til. Opfattelsen er i tråd med kravene i PDL som bekrevet under 3.2. t bør ikke indhentes som modtagerens "betaling" for deltagelse i konkurrencer eller lignende. På et website bør et samtykke således kræve en aktiv handling og "samtykkeknappen" bør placeres centralt, synligt og forståeligt. 3.2 (B) til videregivelse - opt-in Før en virksomhed kan videregive specifikke kundeoplysninger eller anvende sådanne på vegne af en anden virksomhed kræves forbrugerens samtykke, jf. PDL 6, stk. 2. t skal være givet i henhold til PDL 3, stk. 8 og derfor være frivilligt afgivet af forbrugeren. Det vil sige, at der ikke må tilbydes en modydelse eller "lokkes" med konkurrencer etc. fra virksomhedens side for at få forbrugeren til at afgive sit samtykke. Dernæst skal samtykket være informeret, hvilket betyder, at forbrugeren skal være bekendt med den dataansvarlige (altså virksomhedens) identitet med mere. Endelig kræves at samtykket skal være specifikt, da der ikke må gives samtykke med cart blanche. Det skal således oplyses forbrugeren til hvilke formål behandling legitimeres af samtykket. 3.3 sret (C) mod markedsføring - opt-out sretten gives forbrugeren i det tilfælde, hvor der anvendes ikke-elektronisk fjern til markedsføringen, jf. MFL 6a, stk. 2. Det kunne være direct mail med fysisk post. I en sådan situation er virksomheden forpligtet til kvartalsvis at kontrollere CPR for anmærkninger ved forbrugere, der har frabedt sig at modtage reklamer. Har en forbruger frabedt sig dette, må virksomheden ikke sende markedsføringsmaterialet. Sender virksomheden reklamer til forbrugere, der ikke har frabedt sig dette via CPR, skal virksomheden ved første henvendelse orientere om mulighederne for opt-out. Her menes opt-out overfor den pågældende virksomhed og ikke muligheden for generel opt-out i CPR. Dette er indsigelsesretten, som forbrugeren gives i henhold til MFL 6a, stk. 4. Kvartalslisten kaldes den liste over forbrugere, der har foretaget generel opt out vedrørende markedsføring. Listen kan erhverves hos CPR via email og koster kr. 62,50. Proceduren i forbindelse med direkte markedsføring ved brug af ikkedigital fjern ser således ud: 1. Kontrol af liste i virksomheden over frabedelser fra forbrugere foretaget direkte til virksomheden. 2. Kontrol af CPR-listen hvert kvartal (Kvartalslisten) 3

3. Give mulighed for indsigelse, jf. MFL 6a, stk. 4. sretten skal gives senest sammen med den første henvendelse, der gerne må være kommerciel. Der synes ikke at være pligt til at orientere om den generelle opt-out mulighed, der findes i CPR. Det skal som et minimum være let og omkostningsfrit for forbrugeren at foretage opt-out overfor den pågældende virksomhed 3.4 sret (D) mod videregivelse - opt-out sretten gives forbrugeren i den situation, hvor en virksomhed ønsker at videregive generelle personoplysninger om forbrugeren til en anden virksomhed, eller anvende disse oplysninger til at markedsføre en anden virksomheds produkter. Har forbrugeren frabedt sig videregivelsen, må virksomheden ikke videregive oplysningerne, jf. PDL 36, stk. 1. Har forbrugeren ikke frabedt sig dette, skal virksomheden kontrollere CPR, om forbrugeren har frabedt sig videregivelse, jf. PDL 36, stk. 2. Denne kontrol skal foretages hver gang, der videregives oplysninger og ikke kvartalsvis som under 3.3. Dette gøres ved et såkaldt listeudtræk, der koster 1,58 kr. pr. påbegyndt 10 personer op til 50.000 personer og 1,05 kr. pr. påbegyndt 10 personer udover 50.000 personer. Herudover betales et startgebyr. Første gang kr. 1.260 kr. Startgebyret de efterfølgende gange udgør kr. 630,00. Når der foretages listeudtræk er det ikke nødvendigt samtidig at rekvirere kvartalslisten, jf. MFL 6, stk. 2, såfremt virksomheden selvsagt bruger listeudtrækket til kontrol af opt-out i forbindelse med markedsføring. Forbrugerens anmærkning i CPR gælder begge opt-out situationer - både overfor videregivelse og markedsføring. Såfremt virksomheden ved listeudtræk konstaterer, at forbrugeren ikke har en anmærkning om opt-out, skal virksomheden give forbrugeren mulighed for at sige nej tak (opt out) til videregivelsen. Forbrugeren har 14 dage til at gøre indsigelse. Det bemærkes her, at denne indsigelsesret ikke må gives via elektronisk post etc., da dette forbydes i henhold til MFL 6a, jf. PDL 36, stk. 3. Desuden må det anses for lidet sandsynligt, at indsigelsesretten kan gives via kommercielt materiale. Endelig skal det være omkostningsfrit for forbrugeren at udnytte indsigelsesretten, jf. PDL 36, stk. 4. Proceduren i forbindelse med videregivelse af oplysninger eller brug af sådanne oplysninger til markedsføring af en anden virksomheds produkter forudsætter kontrol af en række lister og mulighed for indsigelse og ser således ud: 1. Kontrol af liste i virksomheden over frabedelser mod videregivelse fra forbrugere 2. Kontrol af udtræk fra CPR hver gang der sker ekstern anvendelse 3. Give mulighed for indsigelse, jf. PDL 36, stk. 2. Personer med anmærkning udgør den såkaldte "robinsonliste", der per 1. januar 2001 indeholdt 4452 personer. 4 Grundlæggende sondringer 4

De ovenstående typer af opt-in og opt-out under 3 skal anvendes enkeltvis eller i en kombination. Anvendelsen afhænger af svaret på følgende spørgsmål: 1. Hvilken type oplysning er der tale om (specifikke eller generelle)? 2. Anvendes oplysningerne internt eller eksternt af virksomheden? 3. Hvilket smiddel bruges til markedsføringen? 4.1 Typer af oplysninger Oplysninger til brug for markedsføring kan antage to former. De kan enten være specifikke eller generelle. Denne sondring er relevant i forhold til PDL, hvor reglernes anvendelse bestemmes af oplysningernes type. Specifikke oplysninger Specifikke oplysninger, jf. PDL 6 angår oplysninger om købsmængder, priser, købsadfærd, købsfrekvens etc i relation til bestemte forbrugere, som virksomheden kender navn, adresse etc. på. Mængden og slagsen af den vin en kunde køber eller om en bil er købt på kredit er eksempler herpå. Oplysninger der sætter virksomheden i stand til at vurdere kundetypen og dermed bedre at kunne personalisere sin markedsføring. Generelle oplysninger Generelle oplysninger er oplysninger om navn, adresse, alder, køn etc. Information om varegrupper som kunden har præferencer for. Generelle oplysninger er ikke oplysninger om konkret købsadfærd. Oplysninger om brede interessefelter som "hus & have" "bil & båd" er generelle oplysninger. 4.2 Anvendelse af oplysninger I den udstrækning oplysningerne anvendes internt gælder kun MFL og ikke PDL's regler om markedsføring i 6 og 36. Anvendes oplysningerne eksternt gælder både reglerne i PDL og MFL. Derfor har denne sondring stor betydning. Intern anvendelse Virksomheden anvender egne oplysninger for at markedsføre egne produkter. Det vil sige oplysninger virksomheden er i besiddelse af om eksisterende, tidligere og potentielle kunder. Ekstern anvendelse Virksomheden anvender egne oplysninger for at markedsføre en anden virksomheds produkter eller videregiver sine egne oplysninger til en anden virksomhed, så den kan markedsføre sine produkter. 4.3 Kommunikationsmidler Kommunikationsmidlets karakter har også en betydning for de regler der anvendes. I denne artikel behandles udelukkende fjern, men den kan opdeles i digital og anden 5

fjern. Denne sondring er relevant i forhold til markedsføringsbestemmelserne, da reglerne for digital er mere restriktive end ved brug af anden fjern Digital Digital omfatter elektronisk post, telefax eller automatisk opkaldssystem. Ved automatisk opkaldssystem forstås automatisk opringning til telefonabonnenter. Ved opringningen meddeles der automatisk et indtalt reklamebudskab. SMS betragtes ligeledes som digital. Anden Anden omfatter personligt adresserede breve, adresserede reklamer, tryksager mm. 5 Taxonomien Kombineres ovenstående sondringer under 4 fås 8 forskellige scenarier, hvor de fire beskrevne situationer under 3 for henholdsvis opt-in og opt-out finder anvendelse enkeltvis eller i kombination. I det følgende vil de 8 scenarier blive gennemgået. Almindelige oplysninger, jf. PDL 6 Specifikke oplysning Generelle oplysninger Intern anvendelse Ekstern anvendelse Intern anvendelse Ekstern anvendelse Digital Alm. Fjern - Digital Alm. Fjern - Digital Alm. Fjern - Digital Alm. Fjern - (A) (C) (B) (B) (A) (C) (D) (D) (A) (C) (A) (C) 1 2 3 4 5 6 7 8 5.1 Opt-in til reklame via epost Situationen omfatter det forhold, at en virksomhed ønsker at markedsføre sin egne produkter overfor sin egne kunder ved hjælp af elektronisk post eller fax. Dette kræver som beskrevet under 3.1 forbrugerens samtykke. Denne regel gælder også markedsføring overfor erhvervsdrivende og benævnes i daglig tale som SPAM-forbudet. 5.2 Opt-out til reklame via fysisk post Situationen angår det man normalt kalder direct mail. Det vil sige fysiske udsendelser med navn og adresse til potentielle og 6

eksisterende kunder. Reklamematerialet skal angå egen virksomhed og produkter for at være omfattet af situation 2. Der skal tydeligt på markedsføringsmaterialet være angivet, at forbrugeren kan foretage "opt-out" og således ikke længere modtage materiale fra virksomheden, jf. 3.3. Forbrugeren har desuden mulighed efter reglerne i CPR for at sige generelt nej tak til direct mail ved at lade sig påføre den såkaldte "Robinsonliste". sreglen gælder ikke erhvervsdrivende, der heller ikke har mulighed for CPR-registrering. 5.3 Opt-in til vidergivelse og opt-in til reklame via epost Situationen er nu den, hvor en virksomhed enten anvender sine egne oplysninger til markedsføring af en anden virksomheds produkter eller videregiver disse oplysninger til en anden virksomhed med henblik på dennes markedsføring af sine egne produkter. Der er tale om oplysninger der er specifikke og med navn og adresse. I forbindelse med videregivelsen skal virksomheden indhente samtykke, jf. 3.2. Dernæst skal den modtagende virksomhed have samtykke til udsendelse via elektronisk post, jf. 3.1. Situationen bygger på 2 samtykker, hvilket kan betragtes som et dobbelt opt-in princip, der kan forekomme praktisk umuligt at gennemføre. Dette diskuteres yderligere under 5.9. 5.4 Opt-in til videregivelse og opt-out til reklame via fysisk post Situation ligner den under 5.3 men angår ekstern anvendelse til markedsføring via ikke-digital fjernkommunkation som eksempelvis direct mail med fysisk post. Der skal indhentes samtykke, jf. 3.2 til videregivelsen. Der ud over skal den modtagende virksomheden give mulighed for indsigelse, jf. 3.3. Igen kan det diskuteres om et samtykke til videregivelse implicit indeholder samtykke til markedsføring fra den modtagende virksomhed. Det uddybes under 5.9. 5.5 Opt-in til reklame via epost Situationen ligner den under 5.1, idet en emailadresse både er en generel og en specifik oplysning afhængig af konteksten. Uanset om virksomheden markedsfører sig elektronisk over for en forbruger på baggrund af generelle eller specifikke oplysninger kræves forbrugerens samtykke til markedsføring, altså opt-in, jf. 3.1. 5.6 Opt-out til reklame via fysisk post Situationen er magen til den beskrevne under 5.2. Uanset om virksomheden markedsføre sig på baggrund af specifikke eller generelle oplysninger og via fysisk post, skal der gives mulighed for indsigelse, jf. 3.3. 5.7 Opt-out til videregivelse og opt-in til markedsføring via epost Situationen angår videregivelse af generelle oplysninger til digital markedsføring. Selve videregivelsen kræver, at forbrugeren har fået lejlighed til at gøre indsigelse, jf. 3.4. Desuden skal den virksomhed, der modtager oplysninger indhente samtykke, såfremt der markedsføres via email eller fax, jf. 3.1. Det er værd at bemærke, at både indsigelsesretten og samtykke skal gives/indhentes i 7

overensstemmelse med MFL 6a, stk. 1, hvorfor dette ikke kan ske via email. Telefonopkald er ikke en lovlig løsning i denne sammenhæng, jf. dels de strenge krav til samtykkets indsamling jf. PDL, dels forbrugeraftalelovens hovedregel om uanmodet henvendelse til forbrugere i Forbrugeraftaleloven 2. 5.8 Opt-out til videregivelse og opt-out til markedsføring via fysisk post Denne situation angår ekstern anvendelse af generelle oplysninger til markedsføring via fysisk post. Her skal virksomheden i første omgang give indsigelsesret til videregivelsen, jf. 3.4. Herefter skal den oplysningsmodtagende virksomhed give indsigelsesret for at kunne markedsføre sig overfor forbrugeren, jf. 3.3. Situationen kan forekommer besynderlig. 5.9 Yderligere kommentarer til taxanomien Under punkt 3,4,7 og 8 i taxonomien figurerer to bogstaver. Dette skyldes, at begge love i disse situationer stiller krav om enten samtykke eller indsigelsesret. Det kan give nogle bemærkelsesværdige og upraktiske situationer, at der sondres som det gøres. Det kan synes besynderligt, at et samtykke givet til videregivelse ikke automatisk gælder for markedsføring. En objektiv lovfortolkning understøtter sondringen, men en pragmatisk tilgang forkaster den. Disse dobbeltbehandlingssituationer synes særlig godt illustreret af en aktuel case. Interessebank Danmark er en virksomhed, der via samtykke fra forbrugere markedsfører andre virksomheders produkter via fysisk post overfor forbrugerne. Vi befinder os således indenfor to af de situationer, der er beskrevet i taxonomien - nemlig 4 og 8. Konceptet bygger på eet samtykke, der tillader at udsendelsen af markedsføringsmateriale til forbrugeren på vegne af andre virksomheder ved hjælp af fysisk post. I princippet optræder tre behandlingssituationer. Den første er indsamlingen af oplysningerne om kunderne. Dette kræver samtykke hvilket gives, men det kan også betragtes som en nødvendighed for at Interessebank Danmark kan imødekomme den aftale, der indgås med forbrugeren. Aftalen angår leverancer af reklamer indenfor forbrugerens interessesfære. Nødvendighed af hensyn til aftale legitimerer behandling, jf. PDL 6, stk. 1, nr. 2. Det samtykke, der indhentes via tilmelding til Interessebank Danmark, kan, såfremt ovenstående betragtes som behandling grundet en aftale, danne grundlag for videregivelsen. Denne situationer passer på nummer 4 i taxonomien. Efter Forbrugerombudsmandens opfattelse er samtykket til den eksterne anvendelse ikke tilstrækkeligt til at legitimere markedsføringen. Det løser ikke dobbelbehandlingsproblematikken men illustrerer problemstillingens kompleksitet. Til yderligere illustration henvises til korrespondancen mellem Forbrugerombudsmanden og Interessebank Danmark, der findes på Forbrugerstyrelsens hjemmeside: http://www.fs.dk 8

Punkt 5 og 6 i taxonomien kan synes overflødige, da deres budskab er lig situationerne under punkt 1 og 2. De er dog medtaget for helhedens og forståelsens skyld. 6 Afrunding Det fremstår efter gennemgangen, at reglerne om markedsføring og persondatabehandling er omfangsrige, komplekse og forbrugerbeskyttende. Desuden er deres administration delt mellem to organer, der ikke kan antages altid at være enige. Det kan give problemer for de virksomheder, der skal overholde bestemmelserne i deres daglige virke. Desuden synes reglerne at begrænse både offline og online markedsføringsmuligheder - under påstand af at beskytte forbrugeren. Det bør man bemærke, at fortolkningen i denne artikel af reglerne beror på et spinkelt retskildegrundlag, da det er umuligt at danne sig et fuldtændigt billede af praksis og fortolkningen af bestemmelserne på nuværende tidspunkt. I taxonomien er det muligt at placere enhver markedsføringsaktivitet, hvor der anvendes fjern. Den kan således betragtes som et værktøj, der hjælper virksomheder gennem junglen af komplicerede regler på dette felt. 7 Relevante love PDL, Lov om behandling af personoplysninger, Lov nr. 429 af 31. maj 2000 http://www.retsinfo.dk/_getdoci_/accn/a20000042930-regl MFL, Lov om Markedsføring, Lovbekendtgørelse nr. 699 af 17. juli 2000 http://www.retsinfo.dk/_getdoci_/accn/a20000069929-regl 8 Om forfatteren Martin Borgen er indskrevet på IT-Højskolen i København, hvor han er ved at færdiggøre sin kandidatgrad i elektronisk handel med fokus på internetjura. Han har arbejdet med e-juridiske projekter og opgaver over en årrække. Desuden tilknyttet Forening for Dansk Internet Handel (FDIH) som ekstern konsulent via firmaet ehandelsjura.dk, der er i opstartsfasen. Han er initiativtager til og formand for FDIHs netforum om ejura. 9