Den samme markedsføringsmeldingen, sendt i samme øyeblikk av det samme selskapet, kan være lovlig når den når en leser i Ohio og ulovlig når den når en leser i Berlin eller Toronto. Ingenting i selve meldingen trenger å endres. Det som er forskjellig, er hvor mottakeren befinner seg, og om vedkommende har samtykket på forhånd. En amerikansk butikk kan som regel sende e-post til en fremmed uten å spørre først, så lenge den er ærlig og lar personen melde seg av, mens den samme meldingen i EU og Canada vanligvis ville krevd samtykke før den ble sendt.
Dette skillet er kjernen i personvernlover for e-post. Europas GDPR og ePrivacy-regler og Canadas CASL bygger på opt-in, mens den amerikanske CAN-SPAM Act bygger på opt-out. Ved siden av disse finnes generelle personvernlover, som GDPR og Californias CCPA, som gir deg rettigheter over dataene selskaper har om deg. Denne artikkelen er generell informasjon og ikke juridisk rådgivning. Lover endres og varierer fra land til land, og hvordan de gjelder, avhenger av omstendighetene, så sjekk veiledningen fra den aktuelle tilsynsmyndigheten eller snakk med en kvalifisert advokat om en konkret situasjon.
Én reklame-e-post, fire utfall
Ta et eksempel. En liten nettbutikk i Texas kjøper en liste med adresser og sender alle på den en e-post med «20 % avslag i helgen». Meldingen har en ærlig emnelinje, en postadresse og en avmeldingslenke. Slik går det omtrent for enkeltmottakere på ulike steder, forutsatt at hver lov gjelder for butikkens virksomhet der.
| Mottaker i | Hovedregel | Sannsynlig stilling i dette eksempelet |
|---|---|---|
| USA | CAN-SPAM Act | Samtykke på forhånd kreves ikke. Meldingen kan være i orden hvis den oppfyller kravene til innhold og avmelding, selv om adresser innhentet ved høsting skaper egne problemer |
| Tyskland (EU) | GDPR pluss nasjonale ePrivacy-regler, i Tyskland § 7 i loven mot illojal konkurranse (UWG) | Krever som regel samtykke på forhånd. Kjøpte adresser uten kundeforhold oppfyller ikke unntaket for «soft opt-in» |
| Storbritannia | UK GDPR og PECR regulation 22 | Krever som regel samtykke på forhånd for individuelle abonnenter, eller en «soft opt-in» som butikken ikke kan påberope seg her |
| Canada | CASL | Krever uttrykkelig eller underforstått samtykke. En kjøpt liste gir normalt ingen av delene, og butikken må kunne bevise samtykket |
Dette viser også hvorfor avsenderens hjemland avgjør lite. Et selskap i Texas som retter seg mot kunder i EU, kan falle under EU-retten, og CASL gjelder for meldinger som åpnes på datamaskiner i Canada. Hvor et selskap selger, og hvor mottakerne er, har gjerne mer å si enn hvor det har kontoret.
Lovene i oversikt
| Lov | Hvor | Markedsføringsmodell | Håndheves av | Høyeste bot |
|---|---|---|---|---|
| GDPR | EU og EØS; også organisasjoner andre steder som retter seg mot eller overvåker folk der | Krever et rettslig grunnlag; leses sammen med ePrivacy-reglene | Nasjonale datatilsyn og domstoler | Opptil 20 millioner euro eller 4 % av global årsomsetning, det som er høyest |
| ePrivacy-direktivet | EU, gjennom hvert medlemslands nasjonale lov | Opt-in for privatpersoner, med en «soft opt-in» for eksisterende kunder | Nasjonale tilsyn, som varierer fra land til land | Fastsettes av nasjonal lov |
| UK GDPR og PECR | Storbritannia | Opt-in med en «soft opt-in», nær EU-modellen | Det britiske datatilsynet | 17,5 millioner pund eller 4 % av global omsetning, det som er høyest |
| CAN-SPAM Act | USA | Opt-out | FTC, andre føderale etater, delstatenes riksadvokater, internettleverandører | Over 50 000 dollar per e-post som bryter loven, justert for inflasjon hvert år |
| CCPA, slik den er endret av CPRA | Innbyggere i California og omfattede virksomheter med fortjeneste som formål | Ingen regel om samtykke til e-post; regulerer innsamling, salg og deling | California Privacy Protection Agency og riksadvokaten | Bøter per overtredelse, høyere for forsettlige overtredelser og de som gjelder mindreårige |
| CASL | Canada, inkludert meldinger sendt fra utlandet og åpnet der | Uttrykkelig eller underforstått samtykke før sending | CRTC, Competition Bureau, Office of the Privacy Commissioner | Opptil 10 millioner kanadiske dollar per overtredelse for organisasjoner, 1 million for enkeltpersoner |
Er en e-postadresse en personopplysning?
Etter artikkel 4(1) i GDPR betyr personopplysninger enhver opplysning som gjelder en identifisert eller identifiserbar fysisk person. En adresse som maria.lopez@example.com er åpenbart omfattet. En mindre tydelig adresse som ml1987@example.com er det som regel også, fordi den tilhører én person og kan kobles med annen informasjon for å identifisere vedkommende. En delt adresse som info@company.example er kanskje ikke en personopplysning i det hele tatt, med mindre den kan knyttes til en enkeltperson.
E-post bærer langt flere personopplysninger enn selve adressen. Det er innholdet i meldingen og vedleggene. Det er metadata, det vil si avsender, mottakere, tidspunkter, emnelinjer og IP-adresser i hodene. Det er engasjementsdata, som når du åpnet en melding og hvilke lenker du klikket på. Og det er avledede profiler, som interessesegmenter og spådommer om hva du kan kjøpe neste gang.
Begrepene i USA er annerledes. CCPA snakker om «personal information», definert bredt slik at det omfatter identifikatorer som e-postadresser og slutninger trukket for å bygge en profil. CAN-SPAM bruker ikke noe slikt begrep, siden den ikke er noen generell personvernlov i det hele tatt. Den regulerer hvordan kommersiell e-post sendes, og gir deg ingen rett til å se eller slette noe et selskap har lagret.
Europa: to lover som virker sammen
Mange artikler beskriver opt-in-markedsføring som en GDPR-regel. Kravet om samtykke til markedsføring på e-post kommer egentlig fra en annen lov, ePrivacy-direktivet (direktiv 2002/58/EF), mens GDPR definerer hva gyldig samtykke er og regulerer hva som skjer med dataene. Siden et direktiv gjennomføres separat i hvert medlemsland, varierer detaljene i EU. Frankrike og Tyskland har for eksempel egne nasjonale bestemmelser og sine egne tilsynsmyndigheters syn.
Artikkel 13 i ePrivacy-direktivet
Artikkel 13 setter det grunnleggende rammeverket. Direkte markedsføring på e-post til privatpersoner krever samtykke på forhånd. Et snevert unntak, vanligvis kalt «soft opt-in», lar et selskap som fikk adressen din i forbindelse med salg av et produkt eller en tjeneste, markedsføre sine egne lignende produkter eller tjenester, forutsatt at du hadde en tydelig og enkel mulighet til å reservere deg da opplysningene ble samlet inn og i hver melding etterpå. Avsendere kan ikke skjule identiteten sin, og de må oppgi en gyldig adresse for avmelding.
Reglene for e-post til selskaper varierer. Artikkel 13(5) gir medlemslandene rom til å behandle juridiske personer annerledes, så noen utvider opt-in til selskapsadresser og andre gjør det ikke. Personlige jobbadresser som firstname.lastname@company.example er fortsatt personopplysninger etter GDPR selv der markedsføringsregelen er løsere.
Sporingspiksler
Artikkel 5(3) i samme direktiv krever samtykke for å lagre eller få tilgang til informasjon på brukerens enhet, med mindre det er strengt nødvendig for en tjeneste brukeren har bedt om. Den er best kjent fra banneret for informasjonskapsler. Det europeiske personvernrådets retningslinjer 2/2023 om det tekniske virkeområdet til artikkel 5(3) mener at sporingspiksler i e-post kan falle inn under den. Frankrikes tilsyn, CNIL, gikk lenger og publiserte i april 2026 en anbefaling som gjør samtykke til hovedregelen for sporingspiksler i e-post, med begrensede unntak for formål som sikkerhet. Forvent forskjeller mellom landene, og sjekk hva ditt eget tilsyn mener. Hvordan selve teknologien fungerer, står i artikkelen vår om sporingspiksler i e-post.
Hva GDPR tilfører
Personvernforordningen (GDPR) har gjeldt siden 25. mai 2018. Den omfatter organisasjoner etablert i EU, og etter artikkel 3(2) omfatter den også organisasjoner andre steder som tilbyr varer eller tjenester til folk i EU eller overvåker atferden deres der. Fortalepunkt 23 gir hint om hva som regnes som å rette seg mot: det er ikke nok å ha et nettsted som kan nås fra Europa, mens det å bruke et medlemslands språk eller valuta for å tilby varer der, kan være det. Island, Liechtenstein og Norge anvender GDPR gjennom EØS.
Prinsipper og rettslig grunnlag
Artikkel 5 setter prinsippene. En adresse som er samlet inn for å sende en ordrebekreftelse, kan ikke bare gjenbrukes til urelaterte formål (formålsbegrensning). Bare data som er nødvendige, skal samles inn (dataminimering), lagres ikke lenger enn nødvendig (lagringsbegrensning) og oppbevares sikkert. Organisasjonen må også kunne vise at den har fulgt reglene (ansvarlighet).
Artikkel 6 krever et rettslig grunnlag for all bruk. For e-post er dette de vanlige:
- Avtale: å sende ordrebekreftelsen din eller kontovarsler.
- Rettslig forpliktelse: å oppbevare fakturaer av skattehensyn.
- Samtykke: å abonnere på et nyhetsbrev.
- Berettiget interesse: noe sikkerhet og svindelforebygging, og i begrensede tilfeller direkte markedsføring, men bare der ePrivacy-reglene tillater selve meldingen.
Hva som gjør samtykke gyldig
Artikkel 4(11) definerer samtykke som frivillig, spesifikt, informert og utvetydig, vist ved en tydelig bekreftende handling. Fortalepunkt 32 sier at taushet, forhåndsavkryssede bokser og passivitet ikke teller, og EU-domstolen bekreftet poenget om forhåndsavkryssede bokser i Planet49-saken fra 2019 (C-673/17). Artikkel 7(3) sier at det skal være like enkelt å trekke samtykket tilbake som å gi det, så et abonnement med ett klikk bør ikke kreve innlogging og fem sider for å angre. Artikkel 7(1) krever at organisasjonen kan dokumentere samtykket, noe som er én grunn til at seriøse avsendere bruker bekreftelses-e-poster med dobbel opt-in, selv om GDPR ikke nevner den metoden.
Samkjøring er et vanlig svakt punkt. Artikkel 7(4) spør om en tjeneste ble gjort avhengig av et samtykke den ikke trenger. «Gi oss samtykke til markedsføring, ellers får du ikke lese denne siden» er den typen ordning tilsynsmyndigheter ser nøye på, og svaret kan variere med sammenhengen.
Rettighetene dine
| Rettighet | Artikkel | Hva den gir deg | Eksempel med e-post |
|---|---|---|---|
| Informasjon | 13, 14 | Hvem som behandler dataene dine, hvorfor, hvor lenge og hvem som mottar dem | En personvernerklæring det lenkes til ved nyhetsbrevregistrering |
| Innsyn | 15 | En kopi av dataene dine og opplysninger om bruken, normalt gratis | Å spørre en butikk hva den har knyttet til adressen din, inkludert segmenter |
| Retting | 16 | Retting av uriktige data | Å rette et feilstavet navn |
| Sletting | 17 | Sletting i angitte tilfeller, for eksempel når dataene ikke lenger trengs eller samtykket er trukket tilbake | Å fjerne profilen din fra en tjeneste du har forlatt |
| Begrensning | 18 | Et opphold i bruken under en tvist | Å stanse behandlingen mens riktigheten sjekkes |
| Dataportabilitet | 20 | Data du har gitt, i et maskinlesbart format, der behandlingen bygger på samtykke eller avtale | Å eksportere kontakter fra en e-postleverandør |
| Innsigelse | 21 | Å stanse behandling som bygger på berettiget interesse; absolutt for direkte markedsføring | Å si til et selskap at det skal slutte med all markedsføring |
| Klage og erstatning | 77, 82 | Å klage til et tilsyn og kreve erstatning for skade | Å melde fra om en avsender som ignorerer innsigelsen din |
Artikkel 12(3) gir organisasjoner én måned til å svare, som kan forlenges med to måneder til for komplekse eller mange forespørsler, og da må de si fra til deg innen den første måneden. De kan be om rimelig bevis på identitet. Etter artikkel 12(5) kan de ta et rimelig gebyr eller nekte bare når en forespørsel er åpenbart grunnløs eller uforholdsmessig.
Retten til å protestere mot markedsføring er den sterkeste av disse, og den er lett å overse. Artikkel 21(2) og (3) sier at når du har protestert mot direkte markedsføring, skal dataene dine ikke lenger behandles til det formålet. I motsetning til andre innsigelser gjelder ingen avveining. Et selskap kan beholde adressen din på en undertrykkelsesliste slik at det ikke sender deg e-post igjen, men det kan ikke fortsette å markedsføre til deg.
Sletting har derimot grenser. Artikkel 17(3) lister unntak, blant annet rettslige forpliktelser. En butikk kan beholde fakturaene dine etter å ha slettet profilen din, og den bør si fra om det når du spør.
Varsling om brudd
Artikkel 33 krever at en organisasjon varsler tilsynsmyndigheten om et brudd på personopplysningssikkerheten innen 72 timer etter at den ble kjent med det, med mindre bruddet neppe medfører risiko for personer. Artikkel 34 krever at den uten ugrunnet opphold sier fra til de berørte der risikoen er høy. Derfor hører du av og til fra tjenester du forlot for år siden. Hvis du får et varsel, forklarer veiledningen vår om hva du gjør etter en datalekkasje på e-post de praktiske trinnene.
En endring kan være på vei. Europakommisjonens forslag Digital Omnibus, publisert i november 2025, ville blant annet utvide de 72 timene til 96 og begrense varsling til tilsynet til brudd med høy risiko. Per slutten av 2026 er det fortsatt et forslag i lovgivningsprosessen, så gjeldende regler gjelder fortsatt. Sjekk den endelige teksten hvis du må bygge på dette.
Storbritannia: likt, med egne oppdateringer
Etter Brexit beholdt Storbritannia GDPR i nasjonal lovgivning som UK GDPR, ved siden av Data Protection Act 2018. Privacy and Electronic Communications Regulations 2003 (PECR) bærer ePrivacy-reglene, og regulation 22 speiler EUs modell med opt-in og «soft opt-in» for individuelle abonnenter.
Data (Use and Access) Act 2025 endret deler av dette bildet. Den hevet maksimalbøten under PECR fra 500 000 pund til UK GDPR-nivået, det høyeste av 17,5 millioner pund eller 4 % av global omsetning, og endringen skal ifølge rapporter ha trådt i kraft tidlig i 2026. Den innførte også en variant av «soft opt-in» for veldedige organisasjoner, som lar dem sende e-post til folk som har støttet eller spurt om arbeidet deres, på vilkår som blant annet omfatter en mulighet til å reservere seg ved innsamlingen. Selve tilsynet er under omforming, ved at Information Commissioner's Office skal erstattes av en Information Commission, så du kan se begge navnene. Nettstedet er stedet å sjekke gjeldende veiledning, og det har et verktøy for å melde fra om uønsket markedsføring.
CAN-SPAM: hva amerikansk føderal lov faktisk krever
CAN-SPAM Act fra 2003 er den viktigste føderale amerikanske loven om kommersiell e-post. Til tross for navnet forbyr den ikke uoppfordret markedsføring. Den setter regler for hvordan slik e-post må sendes, og gir mottakere rett til å stoppe den. FTCs gjennomføringsregel står i 16 CFR Part 316, og etaten publiserer en veiledning for virksomheter som er verdt å lese i sin helhet hvis du sender markedsføringspost.
Hvilke meldinger som teller
Det som betyr noe, er meldingens hovedformål. Kommersielle meldinger reklamerer for eller fremmer et produkt eller en tjeneste og er fullt omfattet. Transaksjons- eller relasjonsmeldinger bekrefter en transaksjon, gir garanti- eller sikkerhetsinformasjon, melder om endringer i en konto eller et abonnement, gir informasjon om ansettelse eller leverer varer som allerede er kjøpt. Disse er unntatt fra de fleste kravene, men må ikke inneholde falsk eller villedende rutingsinformasjon. Rent personlig post faller utenfor loven.
Det er ikke noe unntak for e-post mellom virksomheter. En reklamemelding til en bedriftsadresse må også følge reglene, noe som overrasker folk som er vant til den mykere behandlingen B2B får i noen land.
Kravene
- Hodeinformasjonen må være nøyaktig. Fra, Til, Svar-til og rutingdata må identifisere riktig hvem som startet meldingen.
- Emnelinjer må ikke villede om innholdet.
- Meldingen må tydelig identifiseres som en annonse, med mindre mottakeren på forhånd har gitt uttrykkelig samtykke.
- Den må inneholde en gyldig fysisk postadresse, som kan være en gateadresse, en registrert postboks eller en registrert privat postboks.
- Den må forklare tydelig hvordan man melder seg av og tilby en fungerende måte å gjøre det på, som en svaradresse eller en lenke.
- Avmeldinger må respekteres innen 10 virkedager, og mekanismen må fortsette å virke i minst 30 dager etter sending. En avsender kan ikke ta gebyr, be om personopplysninger utover en e-postadresse og avmeldingsvalg, eller kreve noe mer enn et svar eller et besøk på én enkelt nettside.
- Avmeldte adresser kan ikke selges eller overføres, unntatt til et selskap som er leid inn for å hjelpe med etterlevelse.
- Et selskap er fortsatt ansvarlig for alle som sender på dets vegne, så å leie inn et byrå flytter ikke plikten.
Seksuelt eksplisitt kommersiell e-post må ha advarselsmerkingen «SEXUALLY-EXPLICIT:» i emnelinjen etter en egen FTC-regel.
Skjerpende forhold og håndheving
Loven behandler visse praksiser som skjerpende forhold, blant annet høsting av adresser fra nettsteder, generering av adresser med «ordbokangrep» som kombinerer navn og bokstaver, og bruk av skript for å registrere kontoer i bulk for å sende spam. Noen villedende praksiser er straffbare.
Enkeltmottakere har ingen privat søksmålsrett, som er ett av de mest misforståtte punktene ved denne loven. Håndhevingen ligger hos FTC, andre føderale etater for regulerte bransjer, delstatenes riksadvokater og internettleverandører. Du kan melde fra om brudd på ReportFraud.ftc.gov. FTC fører saker: i 2024 kunngjorde den en bot på 2,95 millioner dollar mot overvåkingskameraselskapet Verkada, i en sak som inkluderte CAN-SPAM-anklager. Loven går også foran de fleste delstatslover som spesielt regulerer kommersiell e-post, unntatt der de forbyr falskhet eller villedning.
Tekstmeldinger er noe annet
Markedsføring på tekstmelding i USA reguleres hovedsakelig av Telephone Consumer Protection Act, som som regel krever uttrykkelig samtykke på forhånd for automatiserte markedsføringsmeldinger. Så opt-out-logikken for e-post overføres ikke til telefonnummeret ditt, og et kasseskjema som ber om nummeret ditt, ber om et eget samtykke.
California og de andre amerikanske delstatene
California Consumer Privacy Act trådte i kraft i 2020 og ble vesentlig endret av California Privacy Rights Act fra 2023. Det er en generell personvernlov, relevant for e-post fordi adressen din er personal information og selskaper ofte deler den for annonsering.
Den gjelder for virksomheter med fortjeneste som formål som driver forretning i California og oppfyller minst ett av tre vilkår: årlig bruttoinntekt over en inflasjonsjustert grense (den startet på 25 millioner dollar, og tilsynets justering for 2025 satte den til 26 625 000 dollar); kjøp, salg eller deling av personopplysninger om 100 000 eller flere californiske forbrukere eller husholdninger i året; eller at minst halvparten av årsinntektene kommer fra salg eller deling av personopplysninger.
Omfattede virksomheter må respektere disse rettighetene:
- Å få vite hva som samles inn, fra hvor, hvorfor og med hvilke kategorier tredjeparter det deles.
- Å slette personopplysninger som er samlet inn om deg, med unntak som å fullføre en transaksjon eller oppfylle rettslige plikter.
- Å rette uriktige personopplysninger.
- Å reservere seg mot salg eller deling. «Deling» omfatter særlig utlevering for atferdsbasert annonsering på tvers av kontekster, som kan inkludere opplasting av kundelister med e-post til annonseplattformer.
- Å begrense bruken av sensitive personopplysninger, en kategori som omfatter innholdet i post, e-post og tekstmeldinger med mindre virksomheten er den tiltenkte mottakeren.
- Å ikke bli diskriminert for å bruke disse rettighetene, selv om virksomheter kan tilby opplyste økonomiske fordeler som lojalitetsprogrammer.
Forespørsler om å få vite, slette og rette må besvares innen 45 kalenderdager, som kan forlenges med 45 til med varsel. Reservasjoner har en kortere frist etter forskriftene, høyst 15 virkedager. Virksomheter må også behandle et signal om reservasjonsvalg, som Global Privacy Control, sendt av nettleseren eller en utvidelse, som en gyldig reservasjon mot salg og deling.
California Privacy Protection Agency, som også kalles CalPrivacy, og riksadvokaten håndhever loven. Enkeltpersoner kan bare gå til søksmål over visse datalekkasjer forårsaket av manglende rimelig sikkerhet, med lovbestemt erstatning per forbruker per hendelse. Californiere har også et eget verktøy under Delete Act: Delete Request and Opt-out Platform (DROP) lar dem sende én slettingsforespørsel til registrerte datameglere, og meglerne skulle begynne å behandle slike forespørsler i august 2026.
Mange andre delstater, blant dem Virginia, Colorado, Connecticut, Texas og Oregon, har vedtatt omfattende personvernlover med nokså like rettigheter. Detaljer og terskler varierer, og de fleste gir ingen privat søksmålsrett, så sjekk riksadvokatens side i din egen delstat.
CASL: Canadas strenge regime
Canadas Anti-Spam Legislation har stort sett vært i kraft siden 1. juli 2014 og er blant de strengeste lovene om e-postmarkedsføring noe sted. Den omfatter kommersielle elektroniske meldinger, inkludert e-post og tekstmeldinger, sendt til eller åpnet på datamaskiner i Canada.
En avsender trenger uttrykkelig samtykke eller, i bestemte situasjoner, underforstått samtykke. Det best kjente eksempelet på underforstått samtykke er et eksisterende forretningsforhold, som et kjøp de siste to årene eller en henvendelse de siste seks månedene. Hver melding må identifisere avsenderen og oppgi kontaktinformasjon. Hver melding trenger også en avmeldingsmekanisme som er gyldig i minst 60 dager etter sending, og forespørsler må behandles innen 10 virkedager.
Bøtene kan nå 10 millioner kanadiske dollar per overtredelse for organisasjoner og 1 million for enkeltpersoner. Lovens private søksmålsrett, som ville latt enkeltpersoner gå til sak, ble suspendert av regjeringen i 2017 før den trådte i kraft. Kanadiere kan melde fra om spam gjennom Spam Reporting Centre, en del av det føderale programmet mot spam.
Andre steder, kort fortalt
Australias Spam Act 2003 krever samtykke, identifisering av avsenderen og en fungerende avmeldingsfunksjon, og forespørsler må respekteres innen fem arbeidsdager. Australian Communications and Media Authority håndhever den. Brasils LGPD er en generell lov i GDPR-stil, håndhevet av den nasjonale myndigheten ANPD, med rett til innsyn, retting, sletting og informasjon om deling. Indias Digital Personal Data Protection Act 2023 innfører samtykkebasert behandling, og forskriftene, kunngjort i november 2025, innføres gradvis over 18 måneder, så de fleste av de gjeldende pliktene er ennå ikke i kraft. Sveits' reviderte føderale personvernlov har gjeldt siden september 2023 og er nært tilpasset GDPR-prinsippene.
Hvis landet ditt ikke er nevnt her, kan det likevel ha en relevant lov. Ditt nasjonale datatilsyn eller forbrukermyndighet er stedet å sjekke.
Hvorfor avmelding ikke stopper kvitteringene dine
Folk spør ofte hvorfor ordre-e-post fortsetter å komme etter at de har meldt seg av en butikks markedsføring. Lovene skiller bevisst de to, og det er også grunnen til at en avsender ikke kan unngå markedsføringsreglene bare ved å kalle noe en tjenestemelding.
| Type | Eksempler | GDPR og ePrivacy | CAN-SPAM | CASL |
|---|---|---|---|---|
| Transaksjon | Kvitteringer, fraktoppdateringer, tilbakestilling av passord, sikkerhetsvarsler | Krever et rettslig grunnlag, vanligvis avtale eller berettiget interesse, og ikke samtykke til markedsføring | Unntatt fra de fleste reglene; ingen falsk rutinginformasjon | Angitte kategorier er unntatt fra samtykke, men trenger fortsatt identifisering av avsenderen og avmeldingsinnhold |
| Markedsføring | Salg, reklamenyhetsbrev, produktanbefalinger | Samtykke eller «soft opt-in»; absolutt rett til å protestere | Tillatt uten samtykke; alle krav gjelder | Uttrykkelig eller underforstått samtykke kreves |
| Blandet | En ordrebekreftelse med et stort reklamebanner | Reklamedelen kan kreve samtykke til markedsføring | Vurderes etter hovedformål, ved å se på emnelinjen og hvordan innholdet er plassert | Kan regnes som kommersiell hvis den fremmer produkter |
Heller ikke alle regler du møter, kommer fra et lovgivende organ. Siden 2024 har Google og Yahoo krevd at store avsendere støtter avmelding med ett klikk gjennom mekanismen i RFC 8058, og at de behandler forespørsler innen to dager. Det er et vilkår for god levering satt av postleverandørene, uten rettslig kraft, men i praksis stopper det noen avsendere raskere enn lovens 10 virkedager.
Slik bruker du rettighetene dine, trinn for trinn
1. Stopp markedsføringen
Bruk avmeldingsknappen e-postappen viser ved siden av avsenderen, som bygger på List-Unsubscribe-hodet. Hvis det ikke finnes noen, bruk lenken i bunnen av en legitim melding. Gjør dette bare med avsendere du kjenner igjen, fordi en lenke i åpenbar spam kan føre hvor som helst, og det beste svaret der er å rapportere. Noter datoen. Etter CAN-SPAM og CASL bør e-posten stoppe innen 10 virkedager. I EU og Storbritannia bør en innsigelse få virkning uten opphold, selv om tilsynsmyndigheter som regel godtar en kort behandlingstid.
2. Finn ut hva et selskap har om deg
Send en innsynsforespørsel etter GDPR, eller en forespørsel om å få vite etter CCPA. Mange selskaper tilbyr et personvernskjema eller en portal, og å bruke den kan gå raskere. Ellers holder en kort melding som denne malen:
Emne: Forespørsel om innsyn i personopplysninger
Jeg ber om innsyn i personopplysningene dere har om meg etter artikkel 15 i GDPR [eller: etter California Consumer Privacy Act]. E-postadressen min i registrene deres er [adresse]. Send meg en kopi av dataene, formålene med behandlingen, kategoriene av mottakere dere har delt dem med, hvor lenge dere vil beholde dem, og kilden til dataene hvis dere ikke samlet dem inn fra meg. Jeg ser frem til svaret deres innen den lovbestemte fristen.
Send den fra adressen selskapet har registrert, til personvernkontakten i personvernerklæringen, og ta vare på en kopi med dato. Regn med en identitetskontroll. Den er legitim, selv om den bør stå i forhold til saken. En butikk som ber om en passkanning for å svare på en forespørsel om en nyhetsbrevadresse, er verdt å stille spørsmål ved.
3. Be om sletting
Hvis du har sluttet å bruke en tjeneste, be om sletting etter artikkel 17 i GDPR eller sletting etter CCPA. Selskapet kan beholde opplysninger det må oppbevare, som fakturaer, og en adresse på en undertrykkelsesliste slik at det ikke sender deg e-post ved en feil. Det er rimelig å spørre hva det beholder og hvorfor.
4. Reserver deg mot salg og deling i amerikanske delstater
Se etter en lenke som «Do Not Sell or Share My Personal Information» eller «Your Privacy Choices», eller slå på Global Privacy Control i en nettleser eller utvidelse som støtter det. Californiere kan bruke DROP for registrerte datameglere.
5. Eskalér hvis du ikke kommer noen vei
- EU og EØS: klag til ditt nasjonale datatilsyn. Det europeiske personvernrådet lister dem alle.
- Storbritannia: klag til det britiske datatilsynet etter først å ha tatt det opp med organisasjonen, eller meld fra om uønsket markedsføring via verktøyet på nettet.
- USA: meld fra om villedende eller regelstridig kommersiell e-post på ReportFraud.ftc.gov. For CCPA-problemer, send en klage til California Privacy Protection Agency eller riksadvokaten.
- Canada: meld fra til Spam Reporting Centre.
Hold bevisene enkle: datoen for forespørselen din, en kopi av den, en kopi av svaret hvis det kom noe, og eksempler på meldinger som fortsatte å komme, med full hodeinformasjon. Tilsynsmyndigheter kan ikke følge opp alle klager, så en enkeltklage gir kanskje ikke raskt resultat, men den legger til i saksmappen mot en gjengangersynder.
Hva disse lovene ikke dekker
Kriminell spam er det tydeligste hullet. Den som selger falsk medisin fra en kapret server, ignorerer alle reglene over, og derfor gjør et spamfilter og leverandørens rapporteringsknapp mer mot den e-posten enn noen lov. Å oppdage og rapportere slik svindel er en praktisk ferdighet, og ingen tilsynsmyndighet kan gjøre det for deg.
Din egen korrespondanse ligger også stort sett utenfor disse reglene. Et personlig brev til venner er ikke kommersiell e-post, og GDPR har et unntak for rent personlig eller familiemessig virksomhet i artikkel 2(2)(c). Politiets tilgang til postkasser faller under egne lover, som den amerikanske Stored Communications Act og nasjonale overvåkingslover, og de fortjener sin egen forklaring.
Til slutt binder de fleste av disse lovene organisasjoner av en viss type, eller over en viss størrelse. En liten butikk i California under CCPA-terskelene må fortsatt følge CAN-SPAM, men har ingen CCPA-plikter. En ideell organisasjon kan unngå CCPA og likevel være underlagt GDPR når den sender e-post til folk i Europa. Se alltid på hvem avsenderen er før du antar hvilke regler som gjelder.
Hvor passer en engangsadresse inn?
En engangs-e-postadresse er en midlertidig innboks som ikke krever registrering og sletter meldingene sine etter kort tid. Vi kjenner ikke til noen lov i regimene over som forbyr folk å bruke en for sitt eget personvern, og å gjøre det følger samme tankegang som plikten til dataminimering som GDPR pålegger organisasjoner. Hvis et nettsted ikke trenger et varig forhold til deg, kan du bestemme deg for ikke å tilby ett, så lenge vilkårene dets tillater det. Regler og vilkår varierer, så dette er en generell observasjon og ingen garanti i et bestemt tilfelle.
Vanlig bruk er å motta en engangsnedlasting eller å teste registrerings- og bekreftelses-e-postene til ditt eget nettsted. VookMail er en slik tjeneste. En adresse er klar når siden lastes, du kan trykke Ny for å skrive et brukernavn på ett av mer enn 30 domener eller bruke den gule Tilfeldig-knappen for en tilfeldig adresse, og meldinger, vedlegg og adresser slettes etter omtrent ett døgn. Hvordan tjenesten behandler data, står i personvernerklæringen, og metodesiden forklarer hvordan e-post til domenene når en leveringsleverandør gjennom MX-poster og videresendes over HTTPS.
Flere begrensninger gjelder:
- Tjenester kan avvise engangsadresser, og mange har gode grunner til det. Artikkelen vår om hvorfor nettsteder blokkerer engangs-e-post forklarer dem. Når et nettsted avviser en, respekter det og bruk en permanent adresse eller et alias.
- Alle som kjenner eller gjetter en midlertidig adresse, kan åpne den innboksen, så den gir personvern overfor et selskaps adresseliste og ingen fortrolighet for meldingene. En tilfeldig adresse er det tryggeste valget.
- Bank, offentlige tjenester, helsetjenester og hovedkontoer på sosiale medier trenger en adresse du alltid kontrollerer, fordi de sender juridisk viktige varsler og gjenopprettingsmeldinger.
- Misbruk har ingen beskyttelse. Svindel, trakassering, etterlignelse eller omgåelse av en utestengelse kan få rettslige konsekvenser uansett hvilken adresse som brukes, og vilkårene og betingelsene våre forbyr dem.
- Forespørsler om rettigheter trenger en stabil adresse. Et selskap verifiserer deg som regel gjennom adressen det har registrert, så hvis du kan komme til å ville bruke GDPR- eller CCPA-rettighetene dine senere, tjener en permanent adresse deg bedre.
Hvis du sender e-post selv
Et nyhetsbrev eller en liten nettbutikk setter deg på den andre siden av alt dette. Hvis leserne dine er internasjonale, er den praktiske tilnærmingen å bygge etter den strengeste regelen som gjelder for publikummet ditt. Listen under er et utgangspunkt, og en ekte etterlevelsesgjennomgang avhenger av landet ditt og kundene dine.
- Innhent samtykke med en ukrysset avkrysningsboks eller en uttrykkelig registreringshandling, og registrer når og hvordan det ble gitt.
- Vurder dobbel opt-in, som gir deg bevis for samtykket og holder skrivefeil og falske registreringer ute.
- Lenk til en tydelig personvernerklæring overalt der du samler inn adresser.
- Hold transaksjons- og markedsføringsstrømmer adskilt, og ikke smugle inn reklame i kvitteringer.
- Ha organisasjonens identitet og en gyldig postadresse i hver markedsføringsmelding.
- Støtt avmelding med ett klikk med hodene
List-UnsubscribeogList-Unsubscribe-Post, og følg opp avmeldinger raskt. - Før en undertrykkelsesliste slik at avmeldte adresser aldri importeres på nytt.
- Ikke kjøp lister. En kjøpt liste feiler samtykketestene i opt-in-land, og den gir gjerne klager og avvisninger som skader leveringen din overalt.
- Opplys om sporing av åpninger og klikk, og sjekk om leserne dine land krever samtykke til det. Frankrike har nå egen veiledning om dette.
- Fastsett oppbevaringstider og slett data om inaktive abonnenter du ikke lenger trenger.
- Ha en prosess for å svare på forespørsler om innsyn, sletting og retting innen én måned (GDPR) eller 45 dager (CCPA).
- Test registrerings- og avmeldingsflyten med en ny innboks før lansering, slik at du ser det en abonnent ser.
Oppfatninger som skaper trøbbel
«Hvis en adresse er offentlig, kan jeg markedsføre til den.» I opt-in-systemer gir en offentlig synlig adresse ikke samtykke i seg selv. Under CAN-SPAM er høsting av adresser fra nettsteder et skjerpende forhold. At noe er publisert, avgjør rett og slett ikke saken.
«Å melde seg av bekrefter bare adressen min for spammere.» Dette stemmer for åpenbar spam fra ukjente avsendere, der det er bedre å rapportere. Med en legitim avsender er avmelding riktig trinn, og loven krever at avsenderen respekterer den.
«GDPR gjelder bare for EU-selskaper.» Artikkel 3(2) når organisasjoner andre steder som retter seg mot eller overvåker folk i EU eller EØS. Hvordan tilsynsmyndigheter håndhever dette mot et selskap uten tilstedeværelse i Europa, er et annet spørsmål, og i praksis kan det være vanskelig.
«CAN-SPAM lar meg saksøke spammere.» Den gir enkeltpersoner ingen slik rett. Andre lover kan hjelpe i bestemte situasjoner, og delstatslover mot villedning kan overleve fortrengingen, så en advokat kan si deg om noe gjelder i saken din.
«Å slette kontoen min sletter alle dataene mine.» Selskaper kan lovlig beholde noen opplysninger, som transaksjonshistorikk av skattehensyn. De bør forklare det når du spør.
«Transaksjons-e-post er uregulert.» De slipper mange markedsføringsregler, men trenger likevel et rettslig grunnlag etter GDPR og må ikke være villedende.
Korte svar på vanlige spørsmål
Kan et selskap sende meg e-post hvis jeg aldri har registrert meg?
Det kommer an på hvor du er. I USA som regel ja, forutsatt at det følger CAN-SPAM og stopper når du melder deg av. I EU, Storbritannia og Canada trenger en markedsføringsmelding som regel samtykke fra deg, eller den passer inn i et snevert unntak for eksisterende kunder.
Må et selskap utenfor Europa svare på GDPR-forespørselen min?
Hvis det tilbyr varer eller tjenester til folk i EU eller EØS, eller overvåker atferden deres der, kan GDPR gjelde for det. Artikkel 27 krever også som regel at et slikt selskap utpeker en representant i EU, hvis kontaktopplysninger bør stå i personvernerklæringen. Om du faktisk kan håndheve forespørselen, er et eget spørsmål.
Har jeg CCPA-rettigheter hvis jeg bor utenfor California?
CCPA beskytter innbyggere i California. Noen selskaper gir lignende valg til alle, og mange andre delstater har egne lover, så det er fortsatt verdt å spørre.
Hvor raskt bør en avmelding virke?
Høyst ti virkedager etter CAN-SPAM og CASL, fem arbeidsdager i Australia, og uten ugrunnet opphold i EU og Storbritannia i praksis. Store avsendere som bruker Gmail og Yahoo forventes også å handle innen to dager etter disse leverandørenes regler.
Er sporing av åpninger lovlig?
I USA tar ikke CAN-SPAM direkte opp dette. I EU behandler tilsynsmyndigheter i økende grad sporingspiksler i e-post som omfattet av artikkel 5(3) i ePrivacy-direktivet, og Frankrikes CNIL behandler nå samtykke som hovedregelen. Andre steder avhenger det av nasjonal lov.
Hvor kan jeg lese selve lovene?
GDPR og ePrivacy-direktivet finnes på EUR-Lex. FTC publiserer veiledningen om etterlevelse av CAN-SPAM, Californias tilsyn og riksadvokat publiserer veiledning om CCPA, og Canadas regjering driver et nettsted om CASL. Disse offisielle kildene er de du bør stole på, fordi denne oversikten bare kan gjenspeile loven slik vi forsto den da den ble skrevet.