Hva er GDPR?
GDPR (General Data Protection Regulation) er EUs personvernforordning, som gjelder i Norge gjennom personopplysningsloven siden 2018. Den regulerer hvordan virksomheter samler inn, lagrer, bruker og deler personopplysninger. For markedsførere påvirker GDPR alt fra nyhetsbrev og CRM til måling og annonsering.
En personopplysning er enhver opplysning som kan knyttes til en person, direkte eller indirekte. Det omfatter navn og e-post, men også IP-adresser, kunde-ID-er og enkelte identifikatorer i informasjonskapsler. Datatilsynet fører tilsyn med regelverket i Norge.
Prinsippene du må kjenne
Behandlingsgrunnlag: du må ha et lovlig grunnlag, for eksempel samtykke, avtale eller berettiget interesse.
Formålsbegrensning: data samlet inn til ett formål kan ikke fritt brukes til noe annet.
Dataminimering: samle bare inn det du faktisk trenger.
Lagringsbegrensning: slett data når de ikke lenger trengs.
Åpenhet: fortell tydelig hva du samler inn og hvorfor.
Rettigheter: personer har rett til innsyn, retting, sletting og å protestere.
Vanlige GDPR-feil i markedsføringen
Nyhetsbrevlister uten dokumentert samtykke eller med forhåndsavkryssede bokser.
Kundelister lastet opp til annonseplattformer uten vurdering av grunnlag.
Manglende databehandleravtaler med byråer og verktøyleverandører.
Data som lagres i årevis uten klar plan for sletting.
Personvernerklæring som ikke stemmer med verktøyene som faktisk brukes.
Mange av disse feilene er enkle å rette, men krever at noen har et tydelig ansvar for personvern i markedsarbeidet. Gå gjennom rutinene minst én gang i året.
GDPR i praktisk markedsføring
For markedsavdelingen handler GDPR mest om tre områder:
Måling og annonsering: verktøy som bruker informasjonskapsler og deler data med annonseplattformer, krever som regel samtykke. Consent Mode brukes for å koble samtykket til Googles verktøy.
E-post og nyhetsbrev: markedsføringsloven krever i utgangspunktet samtykke for e-post til privatpersoner, og GDPR stiller krav til hvordan samtykket dokumenteres.
Kundedata: førstepartsdata i CRM må ha riktig grunnlag, tilgangsstyring og databehandleravtaler med leverandørene.
Overføring av personopplysninger til land utenfor EØS, for eksempel til amerikanske skytjenester, krever et gyldig overføringsgrunnlag og bør vurderes særskilt.
GDPR er ikke et hinder for god markedsføring, men et krav om ryddighet. Virksomheter som har kontroll på data og samtykker, står også sterkere når tredjepartsdata forsvinner. Les mer om hvordan vi jobber med måling og analyse. Denne siden er ikke juridisk rådgivning.
Relaterte begreper
Informasjonskapsler: brukes ofte til å behandle personopplysninger og krever da samtykke.
Consent Mode: et teknisk verktøy for å respektere samtykkevalg i Googles løsninger.
Førstepartsdata: dine egne kundedata, som må behandles i tråd med GDPR.
CRM: systemet der personopplysninger om kunder ofte lagres og må forvaltes riktig.
Se alle begrepene i ordboken.