Er det lov å dele e-postadressen min videre til reklame?

Samtykket ditt følger avsenderen, ikke listen

Da du oppga e-postadressen din til en nettbutikk, et magasin eller en medlemsklubb, samtykket du normalt til at akkurat den aktøren kunne kontakte deg. Markedsføringsloven bygger på et prinsipp om at samtykke skal være informert og spesifikt: du skal vite hvem som får lov til å bruke opplysningene dine, og til hva. Et samtykke gitt til én nettbutikk gir ikke automatisk grunnlag for at butikken selger eller deler adressen din videre til en søsterbedrift, en samarbeidspartner eller et reklamebyrå. Skal e-postadressen din brukes av noen andre enn den du ga den til, må det foreligge et eget rettslig grunnlag for akkurat den bruken – i praksis et nytt samtykke, eller en tydelig opplysning du fikk før du meldte deg på.

Dette gjelder også innad i et konsern. At to selskaper eies av samme eierselskap eller opptrer under samme merkevareparaply, gjør dem ikke automatisk til én og samme avsender i lovens forstand. Har du gitt e-postadressen din til det ene selskapet, kan ikke søsterselskapet uten videre bruke den samme adressen til sin egen markedsføring, med mindre dette fremgikk klart da du oppga opplysningene, eller du har fått et nytt, selvstendig samtykkevalg for nettopp den avsenderen.

Se etter det du faktisk krysset av for

De fleste tilfeller av videresalg av kontaktinformasjon skjuler seg i formuleringer i kjøpsvilkår eller personvernerklæringer, ikke i selve påmeldingsskjemaet. Let etter setninger som «vi kan dele dine opplysninger med utvalgte samarbeidspartnere» eller «tredjeparter i vårt nettverk». Var denne informasjonen skjult langt nede i en lang tekst, uten at du aktivt måtte krysse av for nettopp dette punktet, er det tvilsomt om samtykket oppfyller kravet til en informert og frivillig handling. Kvitteringsmailen eller ordrebekreftelsen du fikk ved kjøpet er også verdt å sjekke – noen ganger står det der hvem opplysningene kan deles med, mens selve nettsiden aldri nevnte det.

Vær også oppmerksom på formuleringer som gir svært vid fullmakt, for eksempel «samarbeidspartnere innenfor markedsføring, analyse og teknologi». En så bred kategori sier i realiteten lite om hvem opplysningene faktisk havner hos, og gir deg liten mulighet til å forutse hvem som vil kontakte deg. Jo vagere beskrivelsen av mottakerne er, desto svakere er argumentet for at du har gitt et informert samtykke til akkurat denne bruken.

To regelsett virker sammen her

Spørsmålet om videresalg av e-postadressen din berører både markedsføringsloven og personvernregelverket (GDPR, gjennomført i personopplysningsloven). Markedsføringsloven regulerer selve reklamehenvendelsen – om noen har lov til å sende deg markedsføring i det hele tatt. Personvernregelverket regulerer hvordan opplysningene dine kan behandles og deles, uavhengig av om de brukes til reklame. I praksis henger dette sammen: mangler et gyldig samtykke til deling, mangler også grunnlaget for at mottakeren kan sende deg reklame. Får du derfor uønsket reklame fra en avsender du aldri har hatt kontakt med, er det ofte fordi opplysningene dine er delt uten tilstrekkelig grunnlag et sted i kjeden.

De to regelsettene håndheves også av ulike myndigheter, noe som er nyttig å vite når du skal klage. Forbrukertilsynet fører tilsyn med selve markedsføringen – om reklamen i seg selv er lovlig. Datatilsynet fører tilsyn med behandlingen av personopplysningene, herunder om delingen til tredjeparter hadde et gyldig grunnlag i utgangspunktet. Gjelder saken din primært at adressen din er solgt eller delt videre uten at du visste om det, er dette først og fremst en personvernsak, selv om konsekvensen – uønsket reklame – ofte er det du merker først.

Slik finner du ut om adressen din er delt videre

Får du reklame fra et selskap du aldri har vært kunde hos eller meldt deg på hos, er første steg å svare avsenderen og spørre hvor de fikk adressen din fra. Seriøse aktører plikter å kunne redegjøre for dette. Et annet grep er å bruke litt ulike varianter av e-postadressen din (for eksempel «pluss-adresser» som navn+butikknavn@epost.no, der mange e-posttjenester ruter alt etter plusstegnet til samme innboks) når du registrerer deg forskjellige steder. Dukker den spesifikke varianten opp hos en annen avsender enn den du oppga den til, har du et konkret spor som viser at opplysningene er delt videre.

Du kan også be om innsyn. Etter personvernregelverket har du rett til å få vite hvilke opplysninger en bedrift har om deg, og – i relevante tilfeller – hvor opplysningene er hentet fra. Et innsynskrav rettet til den opprinnelige mottakeren av e-postadressen din kan derfor avdekke om, og eventuelt til hvem, adressen din er videreformidlet, selv i tilfeller der du ikke har noen direkte spor selv.

Dette kan du gjøre hvis adressen er delt ulovlig

Oppdager du at e-postadressen din er delt uten holdbart grunnlag, kan du kreve at mottakeren sletter opplysningene og stopper videre bruk. Du kan også melde forholdet til Forbrukertilsynet, som fører tilsyn med markedsføring rettet mot forbrukere, eller til Datatilsynet dersom saken primært handler om selve behandlingen av personopplysningene. Ta vare på reklamehenvendelsen du mottok, samt eventuell e-postkorrespondanse der avsenderen bekrefter hvor adressen kom fra – dette er dokumentasjonen som gjør en klage konkret i stedet for en påstand. Det nøyaktige paragrafnummeret som ligger til grunn for selve samtykkekravet, er ikke fullt bekreftet; det sentrale er likevel at markedsføringsloven stiller krav om et samtykke som faktisk dekker den aktuelle bruken.

Kort oppsummert

En e-postadresse du har gitt til én aktør, kan ikke fritt videreselges eller deles med andre for reklameformål. Markedsføringsloven krever et samtykke som er spesifikt for avsenderen og bruken, og dette skal fremgå tydelig – ikke gjemmes i formuleringer du måtte lete etter. Får du reklame fra ukjente avsendere, er det verdt å spørre hvor adressen kom fra, be om innsyn hos den opprinnelige mottakeren, og klage til Forbrukertilsynet eller Datatilsynet hvis svaret avdekker at opplysningene er delt uten grunnlag.