Exportera medlemsuppgifter till Meta - samtycke samt anpassning integritetspolicy

Question

Vi överväger att exportera medlemskontakter som accepterat marknadsföringsutskick från vårt CRM-system till Meta i syfte att annonsera till dessa medlemskontakter på Metas plattformar.

Vi tänker redogöra för ovan databehandling i vår integritetspolicy och denna integritetspolicy tar medlem del av i samband med att medlemmen går med i vår kundklubb utöver att medlemmen aktivt accepterar att ta del av marknadsföringsutskick (kryssar i en tick-box).

Är det tillräckligt enligt GDPR att medlemmen aktivt accepterat marknandsföringsutskick för att också kunna annonsera till medlemmen på andra plattformar (dvs täcker detta samtycke in även samtycke till marknadsföringsannonsering på andra sociala plattformar)? 
Eller krävs det att det framgår av tick-boxen att medlemmen även accepterar annonsering på andra sociala plattformar? 
Eller räcker det att man säger generellt marknadsföring och hänvisar till detaljerad information i integritetspolicyn? 
Hur detaljerad måste informationen i tick-boxen vara helt enkelt?

Är det något mer som man måste tänka på i utformningen av integritetspolicyn för att kunna dela kontaktuppgifter till Meta i syfte att annonsera på Metas plattformar utöver att redogöra för själva databehandlingen, information om att Meta är mottagare (även ange sub-biträden till Meta?) samt vilka skyddsåtgärder som har vidtagits (SCC, följt Edpbs guidelines osv)?

Accepted Answer

Hej, tack för att du vänder dig till oss med din fråga!

Jag tänkte svara på dina frågor i ett par steg.

1. Det krävs inte samtycke för marknadsföring via e-post till existerande kunder

Enligt §19.2 marknadsföringslagen så krävs det inte att aktivt samtycke för att få skicka e-post (eller SMS) till kunder så länge man har fått uppgifterna rörande den elektroniska adressen i samband med en försäljning och att:

- kunden har möjlighet att tacka nej,

- marknadsföringen rör företagets egna liknande produkter som den som kunden köpt, och

- kunden framöver enkelt och kostnadsfritt kan tacka nej till framtida marknadsföringsutskick.

Därför behövs det inte en box som kunden måste kryssa i för att ni ska kunna få marknadsföra er gentemot denne.

2. Skriv tydligt i integritetspolicyn vad ni tänker göra

Enligt GDPR är det viktigt att ni tydligt anger till vad ni tänker använda personuppgifterna som ni samlar in. Alltså att ni avser att använda personuppgifterna i marknadsföringssyfte, samt att ni ger exempel på kanaler som ni tänker använda.

Det krävs alltså inte att ni skriver exakt vad kanalen heter, utan det går bra att nämna att ni kommer att använda er av sociala medier/plattformar.

Ge även exempel på vilka personuppgifter ni kommer att använda, t.ex. "Vi kommer att använda dina personuppgifter, t.ex. namn, telefonnummer, e-postadress etc, för att skicka marknadsföring till dig, antingen direkt via e-post till dig eller via sociala plattformar”.

Genom att inkludera en skrivning likt ovan så har ni dels angett att ni kommer att använda e-postadressen i marknadsföringssyfte, dels att ni kommer att använda er av sociala medier/plattformar. Detta när det möjligt för er att dela e-postadresserna till de sociala plattformarna.

I era interna riktlinjer ska ni dock skriva in att ni aldrig delar med oss av e-postadresserna i klartext utan endast i en krypterad (helst envägskrypterad) form.

3. Övrig utformning av integritetspolicyn

Vid utformningen av integritetsspolicyn så måste ni ange att ni kommer att föra över uppgifter till samarbetspartners så som personuppgiftsbiträden. Vid dessa tillfällen så kommer biträdet endast att agera på ert uppdrag i enlighet med era instruktioner. Om ni för ut uppgifterna utanför den inre marknaden/EU så kommer detta endast ske i enlighet med kapital V GDPR, exempelvis adekvat skyddsnivåbeslut från EU eller standard contractual clauses (EU SCC).

Ni behöver inte ange vilka biträdena är då de kan ändras under tid, men ni ska ha PuB-avtal på plats i enlighet med ni anger i policyn. Det är i PuB-avtalet ni anger vilka underbiträden som era biträden använder sig av. När det gäller Meta så får ni använda er av deras PuB-avtal då de anger sina underbiträden. Ni måste dock se till att skriva in i avtalen med underbiträden att överföringen sker i enlighet med GDPR och dess krav på säkra överföringar.

Hoppas detta besvarade din fråga! Om du önskar vidare vägledning under ett kostnadsfritt coachingmöte så kan du boka det här.

Redo att ta kontroll över din juridik?