GDPR og samtykke ved SMS-utsendelser – hva er lov?

Denne artikkelen er en praktisk innføring, ikke juridisk rådgivning, og gir ikke et fullstendig bilde av regelverket. Hvordan reglene slår ut, avhenger av den konkrete situasjonen. Sjekk Datatilsynets og Forbrukertilsynets veiledere, og spør en jurist når noe er viktig eller uklart.

Den gode nyheten først: vanlige beskjeder til egne medlemmer, ansatte og foresatte er som hovedregel helt greit – uten eget samtykke for hver melding. GDPR forbyr ikke kommunikasjon; den krever at dere har en god grunn og behandler opplysningene ryddig.

Det juridiske på 60 sekunder

Å sende SMS innebærer å behandle personopplysninger (navn og telefonnummer). Da trenger dere et behandlingsgrunnlag. For de vanligste situasjonene finnes det allerede:

Den siste raden er det store skillet: informasjon («treningen er avlyst») kan sendes på grunnlag av forholdet dere allerede har. Reklame («kjøp klubbgenser nå!») krever som hovedregel forhåndssamtykke etter markedsføringsloven. Reglene for markedsføring på SMS har egen artikkel →

Pliktene som følger med

Selv når utsendelsen er lovlig, stiller GDPR krav til hvordan dere håndterer opplysningene:

1. Bruk numrene kun til formålet. Medlemslisten er til medlemskommunikasjon – ikke til andre formål, og aldri til videresalg.
2. Informer om behandlingen. Det bør fremgå (f.eks. i personvernerklæring eller ved innmelding) at dere sender beskjeder på SMS.
3. Slett når forholdet opphører. Utmeldte medlemmer og sluttede ansatte skal ut av listene. Rutinen kan være så enkel som en årlig opprydding i kontaktlisten.
4. Respekter innsigelser. Ber noen om å slippe SMS, bør dere ha en måte å håndtere det på. Slik løser dere avmelding →
5. Ha kontroll på verktøyet. Bruk en seriøs tjeneste med databehandleravtale – i Meldio godtas databehandleravtalen som en del av avtaleinngåelsen.

De vanligste misforståelsene

• «Vi må ha samtykke for hver SMS.» Som hovedregel ikke, når det gjelder informasjon knyttet til et forhold dere allerede har.
• «Vi fikk numrene, da kan vi bruke dem til alt.» Formålet numrene ble samlet inn for, setter normalt grensen.
• «GDPR gjelder ikke små lag og foreninger.» Regelverket gjelder også små lag og foreninger, men pliktene er fullt håndterbare: gyldig grunnlag, ryddige lister, sletting og en åpen dør for dem som vil reservere seg.

Gjør det enkelt for dere selv

Hele regelverket koker ned til fire kontrollspørsmål før utsendelse – vi har samlet dem i en praktisk GDPR-sjekkliste dere kan henge på veggen.