Samtykkekravet efter henholdsvis markedsføringsloven og GDPR – og de mulige forskelle i praksis

Sagen hos Datatilsynet blev indledt efter en henvendelse fra Forbrugerombudsmanden, der havde modtaget en række klager over virksomheden SmartResponse, der ved brug af konkurrencer indhentede forbrugeres samtykke til direkte markedsføring. Det indhentede samtykke udgjorde både et markedsføringsretligt samtykke, som Forbrugerombudsmandens normalt fører tilsyn med, og et samtykke efter de databeskyttelsesreglerne, som Datatilsynet fører tilsyn med.

Den nylige afgørelse fra Datatilsynet tyder på, at der er en forskel mellem Datatilsynets og Forbrugerombudsmandens praksis ved vurderingen af, om forbrugeren faktisk har afgivet et gyldigt samtykke.

Direkte markedsføring – krydsfelt mellem databeskyttelses- og markedsføringsregler

Direkte markedsføring er markedsføring, der er rettet mod en bestemt person. Det omfatter eksempelvis salgsfremmende indhold som nyhedsbreve og sms’er. Markedsføringslovens § 10 indeholder et forbud (ofte kaldet spamforbuddet) mod, at virksomheder retter henvendelse til nogen ved brug af elektronisk post, et automatisk opkaldssystem eller telefax med henblik på direkte markedsføring, medmindre modtageren har givet sit forudgående samtykke. Der gælder altså et samtykkekrav.

Direkte markedsføring over for forbrugere indebærer også behandling af forbrugernes personoplysninger (f.eks. navn og e-mail). Denne behandling af personoplysninger reguleres af databeskyttelsesreglerne og kan for eksempel baseres på forbrugerens samtykke.

Der kan derfor være tale om et "dobbelt" samtykke, der både sikrer overholdelse af markedsføringslovens § 10 og samtidig sikrer et behandlingsgrundlag efter databeskyttelsesreglerne. I SmartResponse-sagen var der tale om et sådant "dobbelt" samtykke, der blev indhentet i forbindelse med deltagelse i en internetkonkurrence.

Forbrugerombudsmandens praksis

Efter markedsføringsloven skal et samtykke til direkte markedsføring være udtryk for en frivillig, specifik, informeret og utvetydig viljestilkendegivelse. Forbrugerombudsmanden har opstillet retningslinjer for, hvordan et gyldigt samtykke indhentes i forbindelse med internetkonkurrencer, ligesom der også fremgår nogle generelle retningslinjer i Forbrugerombudsmandens spamvejledning.

Forbrugerombudsmandens vejledninger tyder på, at et samtykke skal indhentes ved en aktiv handling, der består i, at kunden aktivt sætter kryds i for eksempel et ”Ja tak”-felt. Det betyder, at et samtykkefelt ikke må være afkrydset på forhånd, men det betyder også, at forbrugeren (ifølge Forbrugerombudsmandens vejledning om konkurrencer) ikke kan give samtykke blot ved at indtaste sine oplysninger og klikke sig videre til næste side i en konkurrence. Dette må fortolkes sådan, at man ikke – i hvert fald som udgangspunkt – kan indhente et gyldigt samtykke, hvis samtykket for eksempel gives ved, at der klikkes "Deltag i konkurrencen".

Datatilsynets praksis – SmartResponse-sagen

SmartResponse behandlede personoplysninger om konkurrencedeltagerne med henvisning til, at de havde givet samtykke til behandlingen. I forbindelse med tilmelding til konkurrencen blev deltageren på første side bedt om at udfylde navn, e-mail, telefonnummer og køn. Samtidig fremgik det, at deltageren gav samtykke til at modtage direkte markedsføring, samt hvordan og fra hvem markedsføringen ville blive sendt. Trykkede deltageren herefter videre til næste side, blev vedkommende bedt om at udfylde adresse- og fødselsdagsoplysninger. Deltageren havde herefter mulighed for at deltage i konkurrencen ved at trykke ”Deltag nu”, hvorved samtykket samtidig blev afgivet.

Et gyldigt samtykke efter databeskyttelsesreglerne forudsætter (ligesom efter markedsføringsloven), at det er udtryk for en frivillig, specifik, informeret og utvetydig viljestilkendegivelse. Datatilsynet vurderede, at det samtykke, som SmartResponse indhentede i forbindelse med deltagelsen i internetkonkurrencen, var indhentet i overensstemmelse med databeskyttelsesreglerne.

Datatilsynet fandt, at samtykket var udtryk for en utvetydig viljestilkendegivelse, da forbrugerne skulle foretage en aktiv handling for at deltage i konkurrencen – og dermed samtykke til behandling af deres oplysninger med henblik på direkte markedsføring.

Forskelle i praksis

Hvis den databeskyttelsesretlige behandling af personoplysninger med henblik på direkte markedsføring omfattet af markedsføringslovens § 10 baseres på samtykke, står virksomhederne i en situation, hvor samtykket både skal leve op til markedsføringsloven, som Forbrugerombudsmanden fører tilsyn med, og de databeskyttelsesretlige regler, som Datatilsynet fører tilsyn med.

Af forarbejderne til markedsføringsloven fremgår det, at samtykkekravet efter markedsføringsloven svarer til samtykkekravet efter databeskyttelsesreglerne. Kravene til, hvornår et samtykke er gyldigt, bør derfor være de samme.

Meget tyder dog på, at Datatilsynet og Forbrugerombudsmanden anlægger en forskellig fortolkning af, hvornår forbrugeren har foretaget en aktiv handling og derved har givet et samtykke, der er udtryk for en utvetydig viljestilkendegivelse. Datatilsynet vurderer, at kravet kan være opfyldt, når forbrugeren aktivt vælger at deltage i en konkurrence efter at være informeret om, at det indebærer et samtykke til behandling af personoplysninger. Forbrugerombudsmandens vejledninger tyder omvendt på, at dette ikke vil være tilstrækkeligt, da forbrugeren aktivt og særskilt skal afkrydse for eksempel et ”Ja tak”- felt og derfor ikke kan afgive samtykke ved for eksempel at trykke på "Deltag".

For de virksomheder, der anvender sådanne samtykker, er det derfor værd at være opmærksom på, at Forbrugerombudsmanden tilsyneladende anlægger en strengere vurdering end Datatilsynet. Hverken Datatilsynet eller Forbrugerombudsmanden har endnu udtalt sig om, at der tilsyneladende er en forskel i deres praksis.