GDPR & kontaktuppgifter till skolor

Det är inte förbjudet i sig att köpa ett kontaktregister. Men både insamling, överlåtelse och användning behöver följa tillämpliga regler. Köpet ger inte ett automatiskt tillstånd att använda alla uppgifter i alla kanaler.

Yrkesuppgifter kan vara personuppgifter. En rektors namn, personliga tjänstemejl och direktnummer omfattas normalt av GDPR. En helt generell adress, som inte kan knytas till en person, är normalt inte en personuppgift i sig. Bedöm också vilka andra uppgifter du sparar tillsammans med adressen.

Leverantörens och köparens ansvar

Leverantören ansvarar för sin insamling och utlämning. När du bestämmer varför och hur ditt företag använder uppgifterna är du normalt självständig personuppgiftsansvarig för den användningen – inte bara leverantörens personuppgiftsbiträde.

• Kontrollera uppgifternas källa, aktualitet och vilka uppgifter som faktiskt behövs.
• Bestäm och dokumentera ett avgränsat ändamål innan du använder registret.
• Gör en egen bedömning av rättslig grund och kontaktkanal.
• Välj mottagare efter relevant yrkesansvar, inte bara för att deras adresser finns tillgängliga.

Artikel 6.1 f tillåter behandling som är nödvändig för ett berättigat intresse, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre. Prövningen brukar kallas intresseavvägning.

Skäl 47 anger att behandling för direktmarknadsföring kan betraktas som ett berättigat intresse. Ordet ”kan” är viktigt. Hänsyn ska bland annat tas till vad personen rimligen kan förvänta sig utifrån relationen och sammanhanget.

Dokumentera tre delar

1. Intresset. Vilket konkret, lagligt och verkligt intresse har ni? Exempelvis att nå relevanta inköpsansvariga om en tjänst som rör skolans verksamhet.
2. Nödvändigheten. Behövs personuppgifterna för ändamålet? Kan en generell funktionsadress eller en mindre mängd uppgifter räcka?
3. Avvägningen. Vad förväntar sig mottagaren? Bedöm intrånget, relevansen, kontaktfrekvensen och skyddsåtgärder som enkel avregistrering och begränsad lagring.

Ett erbjudande om skolutrustning till rätt ansvarig kan vara lättare att motivera än privat konsumtionsreklam till samma persons tjänsteadress. Men yrkesrelevans gör inte behandlingen automatiskt laglig.

Samtycke kan vara en annan rättslig grund, men måste då vara frivilligt, specifikt, informerat och otvetydigt. Myndigheter får inte använda artikel 6.1 f för behandling när de fullgör sina uppgifter; guiden ska därför inte läsas som ett generellt råd till skolor om deras egen myndighetsutövning.

Bedöm först om meddelandet är marknadsföring. Ett personligt formulerat säljerbjudande kan fortfarande vara reklam. Att kalla det information eller samarbete ändrar inte automatiskt bedömningen.

E-post och sms: vem är mottagaren?

Enligt 19 § marknadsföringslagen krävs som huvudregel samtycke i förväg för marknadsföring med elektronisk post till en fysisk person. Ett snävt undantag gäller vissa befintliga kundrelationer: adressen ska ha samlats in vid försäljning till personen, marknadsföringen ska gälla egna likartade produkter och personen ska ha fått en enkel, kostnadsfri möjlighet att säga nej både vid insamlingen och i varje meddelande.

För marknadsföring riktad till en juridisk person gäller inte samma förhandssamtycke enligt 19 §. Men en namngiven arbetsadress är inte automatiskt ett undantag. Bedöm om marknadsföringen verkligen riktas till organisationen eller till individen. Vid osäkerhet: använd en relevant funktionsadress eller inhämta ett giltigt samtycke innan utskicket.

20 § kräver att elektronisk marknadsföring alltid innehåller en giltig adress dit mottagaren kan begära att utskicken upphör – även när mottagaren är en juridisk person. Reklamen och avsändaren ska också kunna identifieras enligt 9 §.

Telefon och andra kontaktvägar

För andra metoder för individuell distanskommunikation till fysiska personer gäller enligt 21 § att metoden inte får användas om personen tydligt motsatt sig den. Automatiska uppringningssystem omfattas av samtyckesregeln i 19 §. Respektera också tillämpliga spärrregister och branschregler.

En kontakt via skolans växel eller generella inkorg kan hjälpa dig att hitta rätt funktion, men är ingen genväg runt reglerna. Håll frågan relevant för skolverksamheten och respektera ett nej.

Informera när uppgifterna kommer från någon annan

När du köper ett register behöver du normalt lämna information enligt artikel 14. Informationen ska ges inom rimlig tid, senast inom en månad – och senast vid första kontakten om uppgifterna används för kommunikation. Om uppgifterna ska lämnas ut gäller senast vid det första utlämnandet.

Informera bland annat om vem som ansvarar, ändamålet, rättslig grund och det berättigade intresset, kategorier av uppgifter, källan (och om den är allmänt tillgänglig), mottagare, eventuell överföring utanför EU/EES, lagringstid samt rättigheter och möjlighet att klaga hos IMY. Det finns undantag i artikel 14, men de är inte ett generellt undantag för köpta register.

Spara mindre – och inte för alltid

• Dataminimering: använd de yrkesuppgifter som behövs. Undvik privata kontaktuppgifter, känsliga uppgifter och elevuppgifter.
• Riktighet: rätta fel och uppdatera när en person byter roll. Utgå inte från att ett köpt register alltid är aktuellt.
• Lagringsbegränsning: bestäm en motiverad gallringsfrist och följ upp den. Det finns ingen generell ”GDPR-godkänd” lagringstid för skolkontakter.
• Säkerhet: begränsa åtkomst och undvik öppna delningslänkar. Anlitar du ett utskicksverktyg, bedöm biträdesavtal och eventuella överföringar utanför EU/EES.

Ett nej ska få effekt

Rätten att invända mot direktmarknadsföring enligt artikel 21.2–3 är absolut. Stoppa användningen för direktmarknadsföring när en person invänder. Upplys tydligt och separat om denna rätt senast vid första kontakten enligt artikel 21.4.

Gör avregistrering enkel, utan inloggning eller krav på motivering. Se till att ett nytt registerköp inte återaktiverar avregistrerade kontakter. En minimal spärrlista kan behövas för att respektera invändningar; dokumentera dess rättsliga grund, ändamål och lagringstid. Använd den inte för nya utskick.

Begäranden om till exempel tillgång, rättelse eller radering ska normalt besvaras inom en månad enligt artikel 12. Att all användning för marknadsföring upphör betyder inte alltid att varje uppgift måste raderas från exempelvis lagstadgad bokföring.

• Välj rätt roll och skola

  Avgränsa till personer vars ansvar faktiskt berör erbjudandet. Ta inte med hela registret av bekvämlighet.

• Skriv ned er bedömning

  Dokumentera ändamål, rättslig grund, intresseavvägning, källa, kontaktkanal, gallring och vem som ansvarar.

• Kontrollera att kanalen är tillåten

  Avgör om mottagaren är fysisk eller juridisk person. Kontrollera samtycke eller ett tillämpligt undantag där det krävs.

• Kontrollera spärrar och aktualitet

  Ta bort tidigare invändningar från utskicksurvalet och kontrollera att personen fortfarande har rätt roll.

• Var tydlig och relevant

  Presentera företaget och det kommersiella syftet. Undvik vilseledande ämnesrader och antyd inte att skolan redan är kund.

• Informera och gör det lätt att tacka nej

  Ge tydlig information om uppgifternas källa och behandling. Lägg till en fungerande avregistrering och en giltig svarsadress.

• Följ upp utan att pressa

  Begränsa kontaktfrekvensen. Stoppa direktmarknadsföring vid invändning och följ upp att stoppet gäller i alla era verktyg.

Exempel på transparent information: ”Vi kontaktar er om [erbjudande] som rör [yrkesansvar]. Dina yrkeskontaktuppgifter kommer från [leverantör och ursprunglig källa]. Läs om vår behandling och dina rättigheter i [länk till vår integritetsinformation]. Du kan när som helst invända mot direktmarknadsföring genom att svara på detta mejl eller använda [avregistreringslänk].” Exemplet ersätter varken fullständig information enligt artikel 14 eller samtycke när det krävs.

Utgå från lagtext och myndigheternas vägledning. Branschorganisationers råd är ett komplement, inte ett undantag från lagen.

Bedömningen kan variera med mottagare, ändamål och metod. Vid större utskick eller tveksamma gränsfall: ta hjälp av ett dataskyddsombud eller en jurist innan du börjar.