Samtykke til markedsføring fra «partnere»: hva betyr Canal+-saken?

Tenk dere at markedsavdelingen kjøper 40 000 leads fra en konkurranseside. Deltakerne krysset av for «Ja, jeg vil motta tilbud fra våre partnere», og leverandøren garanterer at alt er i orden. Etter generaladvokatens forslag i Canal+-saken er det ikke nok. Ingen av dem visste at det var dere som skulle sende tilbudet.

Hva gjaldt Canal+-saken?

I 2021 bestilte Groupe Canal+ e-postkampanjer rettet mot rundt 3,9 millioner personer. Opplysningene var samlet inn av to internettleverandører, der abonnentene hadde krysset av for at «partnerne» kunne bruke dem til markedsføring. Partnerne var ikke navngitt, verken i skjemaet eller i en liste bak en lenke.

Det franske datatilsynet CNIL mente Canal+ manglet gyldig samtykke og ila 12. oktober 2023 en bot på 600 000 euro. Canal+ brakte saken inn for Conseil d’État, som i mai 2025 spurte EU-domstolen om et samtykke til en kategori av mottakere, som «partnere», gir hver av dem rett til å markedsføre uten å spørre på nytt.

Gir et samtykke til markedsføring fra «partnere» et gyldig grunnlag?

Nei, mener generaladvokat Dean Spielmann i forslaget til avgjørelse av 17. september 2026. Samtykket må være informert etter GDPR art. 4 nr. 11, og da må den registrerte kjenne identiteten til den behandlingsansvarlige som skal markedsføre. Kravet om forhåndssamtykke i ePrivacy-direktivet art. 13 nr. 1 må leses sammen med informasjonsplikten i GDPR art. 14, som blant annet krever at mottakeren oppgir hvem den er. Var identiteten ukjent da samtykket ble gitt, må mottakeren innhente nytt samtykke før markedsføringen starter.

Canal+ viste til at mottakerne kunne melde seg av allerede i første e-post. Generaladvokaten avviste argumentet. Avmeldingslenken er nødvendig for å trekke samtykket tilbake, men den retter ikke i ettertid opp at samtykket manglet før utsendelsen.

Den som sender markedsføringen, må ha vært kjent for mottakeren da samtykket ble gitt. Ellers har avsenderen ikke samtykke.

Forslaget er ikke bindende for EU-domstolen, og dommen kommer senere. Generaladvokaten la til at «partnere» uansett er for vagt til at den registrerte kan forvente å bli kontaktet av en bestemt virksomhet.

Er dette nytt?

Lite. Personvernrådet (EDPB) skriver i retningslinjer 05/2020 om samtykke avsnitt 65 at alle behandlingsansvarlige som vil bygge på det opprinnelige samtykket, skal navngis. I Planet49 (C-673/17) gjaldt samtykket informasjonskapsler for å reklamere for partneres produkter i et konkurransespill, og EU-domstolen godtok ikke forhåndsavkryssede bokser. Orange Romania (C-61/19) slo fast at det er den behandlingsansvarlige som må bevise samtykket, og at informasjonen må være gitt på forhånd. Det nye er at generaladvokaten trekker konsekvensen fullt ut for den som kjøper eller mottar opplysningene.

Hva gjelder for samtykke til markedsføring i Norge?

Markedsføring på e-post og SMS til fysiske personer krever forhåndssamtykke etter markedsføringsloven § 15. Forbrukertilsynet håndhever regelen og stiller i veiledningen om markedsføring via e-post og SMS allerede krav om en oppdatert liste med navn på samarbeidspartnerne i samtykkeerklæringen. Den som kjøper en database, må selv sannsynliggjøre at samtykkene er reelle. En garanti fra selgeren er ikke nok.

Veiledningen åpner samtidig for å kjøpe en samtykkedatabase dersom kjøperen varsler forbrukerne og forklarer hvordan de trekker samtykket. Etter vår vurdering er den løsningen vanskelig å forene med generaladvokatens syn dersom kjøperen ikke var navngitt i den opprinnelige erklæringen. Et varsel i første henvendelse er nettopp det generaladvokaten sier ikke reparerer. Følger EU-domstolen forslaget, får tolkningen av GDPR betydning også her gjennom EØS-avtalen.

Unntaket for eksisterende kundeforhold i markedsføringsloven § 15 tredje ledd hjelper ikke ved kjøpte lister, fordi det forutsetter et salg fra dere selv. Reglene for nyhetsbrev og informasjonskapsler står i artikkelen om informasjonskapsler og samtykke, og flere artikler finnes på pilarsiden om personvern.

Hva bør dere gjøre ved kjøp av leads og felles kampanjer?

Leverandøren av leads er normalt selvstendig behandlingsansvarlig, ikke databehandler. En vanlig databehandleravtale passer derfor dårlig. Dere trenger en avtale om utlevering som fordeler ansvaret.

1. Krev samtykketeksten slik den så ut, med tidspunkt, kanal og listen over navngitte partnere på det tidspunktet.
2. Avtal revisjonsrett, plikt til å levere dokumentasjon per kontakt og skadesløsholdelse dersom samtykkene ikke holder.
3. Be leverandøren navngi dere i samtykkeerklæringen før innsamlingen starter. Generaladvokaten pekte selv på den løsningen.
4. Navngi alle avsendere i felles kampanjer og konkurranser med samarbeidspartnere.
5. Stans utsendelser til kjøpte lister der dere ikke var navngitt, til dere har innhentet nytt samtykke.

Gå gjennom listene som allerede ligger i CRM-systemet. Merk hver kontakt med kilde og samtykketekst, så vet dere hvilke dere fortsatt kan sende til når dommen kommer.

Spørsmål og svar

Neste faglige kontroll: 30. juni 2027