E-postmarknadsföring bygger på förtroende, och förtroende bygger på att du hanterar personuppgifter och samtycke på rätt sätt. Reglerna är inte krångliga när man förstår grunden: du får bygga din lista och skicka utskick, så länge mottagarna själva valt det och du är öppen med hur du hanterar deras uppgifter. Här är det viktigaste att ha koll på. Den här texten är en allmän vägledning och inte juridisk rådgivning.
Två regelverk som samverkar
Två saker styr e-postmarknadsföring i Sverige. Dels dataskyddsförordningen (GDPR), som reglerar hur du får samla in och behandla personuppgifter, där en e-postadress räknas som en personuppgift. Dels marknadsföringslagen, som reglerar när du får skicka marknadsföring. Enligt marknadsföringslagen 19 § får en näringsidkare skicka marknadsföring via e-post till en fysisk person bara om personen i förväg har samtyckt till det. Tillsynsmyndighet för dataskydd är Integritetsskyddsmyndigheten (IMY). En tredje fråga som ofta blandas in är om tillgänglighetslagen gäller e-post och nyhetsbrev, och det regelverket har en helt egen avgränsning.
Samtycke i praktiken
Vad som krävs står i dataskyddsförordningens artikel 4.11, som definierar samtycke som varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, lämnad genom ett uttalande eller genom en entydig bekräftande handling. Det är fyra krav som ska vara uppfyllda samtidigt, och de betyder olika saker i praktiken:
- Frivillig: personen har ett genuint fritt val. Samtycket får inte vara villkorat av något orelaterat, och Integritetsskyddsmyndigheten framhåller att det ska vara lika lätt att ta tillbaka ett samtycke som att lämna det.
- Specifik: det framgår vilken behandling personen säger ja till, och olika ändamål kräver som regel varsitt samtycke.
- Informerad: det framgår vem avsändaren är och vad uppgifterna ska användas till, och den informationen ligger inte begravd i ett längre villkorsdokument.
- Otvetydig: personen gör en aktiv handling, till exempel kryssar i en ruta. Förkryssade rutor duger inte, och att någon scrollat förbi ett stycke är inte ett samtycke.
Ett vanligt och robust upplägg är dubbel opt-in, där prenumeranten bekräftar sin anmälan genom att klicka i ett första mejl. Det ger dig ett tydligt bevis på samtycke och håller listan renare från felstavade eller falska adresser. Fler konkreta sätt att växa listan utan att tumma på samtycket, som opt-in-formulär och lead magnets, finns i guiden om att bygga en e-postlista.
Undantaget gäller den som har köpt något av dig
Det finns ett undantag från samtyckeskravet, men det är smalare än ordet kundrelation antyder. Undantaget i marknadsföringslagen 19 § andra stycket utlöses av att näringsidkaren fått den fysiska personens e-postadress i samband med försäljning av en produkt till personen. Det är alltså köpet som öppnar dörren, inte relationen i sig. En gratismedlem, en registrerad användare eller någon som bara skickat en förfrågan faller utanför, och för dem gäller huvudregeln om samtycke i förväg.
Har adressen kommit in vid en försäljning krävs dessutom tre saker samtidigt: att personen inte motsatt sig att adressen används i marknadsföringssyfte, att marknadsföringen avser näringsidkarens egna, likartade produkter, och att personen klart och tydligt ges möjlighet att kostnadsfritt och enkelt motsätta sig användningen både när adressen samlas in och vid varje följande marknadsföringsmeddelande. Brister ett av villkoren är du tillbaka på samtycke.
Lägg också märke till var undantaget hör hemma. Det står i marknadsföringslagen, och den lagen är det Konsumentverket som har tillsynsansvar för, med Konsumentombudsmannen som den som väcker talan. Integritetsskyddsmyndigheten svarar för dataskyddsdelen, alltså hur uppgifterna behandlas, men frågan om du över huvud taget får skicka utskicket avgörs på den marknadsrättsliga sidan.
Gäller samma regler för e-post till företag?
Nej, inte samma regler. Men det är heller inte fritt fram, och den vanligaste missuppfattningen är att B2B skulle ligga utanför regelverket helt.
Kravet på förhandssamtycke i marknadsföringslagen 19 § är skrivet så att det gäller marknadsföring till en fysisk person. Ett aktiebolag, en förening eller en myndighet är en juridisk person, och för utskick till en sådan mottagare ställer paragrafen alltså inget krav på att du hämtat in ett samtycke i förväg.
Nästa paragraf drar dock in företagen igen. Marknadsföringslagen 20 § säger att ett marknadsföringsmeddelande via e-post alltid ska innehålla en giltig adress dit mottagaren kan skicka en begäran om att marknadsföringen ska upphöra, och slår uttryckligen fast att detta gäller även vid marknadsföring till en juridisk person. Möjligheten att tacka nej är alltså inte förhandlingsbar bara för att mottagaren är ett företag.
Sedan finns GDPR, som lever sitt eget liv vid sidan av marknadsföringslagen. Förordningen bryr sig inte om bolagsformen utan om huruvida uppgiften kan knytas till en människa. Integritetsskyddsmyndigheten räknar i sina exempel upp e-postadress som en personuppgift, och pekar samtidigt ut adresser av typen info@företag.se som exempel på något som inte räknas som en personuppgift. Skiljelinjen går alltså inte mellan privat och företag, utan mellan namngiven mottagare och funktionsbrevlåda.
Det får praktiska följder för hur du bör se på din B2B-lista. Ett utskick till en generell funktionsadress rör i normalfallet inga personuppgifter alls. Skriver du i stället till en namngiven kontaktperson behandlar du en personuppgift, och då gäller GDPR fullt ut: du behöver en rättslig grund, du ska informera om behandlingen, och mottagaren har rätt att när som helst invända mot att uppgifterna används för direkt marknadsföring.
En sista fallgrop är att etiketten företag i ditt register inte säger något säkert om vem mottagaren är i lagens mening. En enskild firma drivs av en fysisk person, och i IMY:s uppräkning av vad som inte är en personuppgift står organisationsnummer med enskild firma som uttryckligt undantag: där anses numret vara en personuppgift. En lista som ser ut att bestå av rena företagskontakter kan alltså innehålla fysiska personer. Kan du inte avgöra vilket som gäller för en viss rad är samtycke den väg som fungerar oavsett svar.
Var öppen och gör det enkelt att avsluta
Berätta i en integritetspolicy vilka uppgifter du samlar in, varför och hur länge du sparar dem. Varje utskick ska ha en tydlig avanmälningslänk, och en avanmälan ska respekteras direkt. Det är både ett krav och något som skyddar din leveransbarhet, eftersom mottagare annars markerar mejlet som skräppost. Mer om det i guiden om leveransbarhet.
Vad händer om reglerna inte följs?
Konsumentverket har tillsynsansvar över marknadsföringslagen och kan inleda ett ärende mot marknadsföring som inte följer reglerna. Myndigheten beskriver själv följderna som att företaget kan behöva sluta med den aktuella marknadsföringen eller ändra den, eller betala en marknadsstörningsavgift. Hur ofta respektive utgång väljs säger den däremot inget om. Ett förbud eller åläggande ska enligt 26 § förenas med vite, om det inte av särskilda skäl är obehövligt.
Den skarpare sanktionen heter marknadsstörningsavgift. Enligt 29 § kan en näringsidkare åläggas att betala den som uppsåtligen eller av oaktsamhet brutit mot en bestämmelse i lagen, vilket alltså omfattar både samtyckesregeln i 19 § och kravet på avanmälningsadress i 20 §. Talan väcks av Konsumentombudsmannen enligt 48 §.
Beloppet är värt att känna till, eftersom taket ändrades 2022 och äldre sammanfattningar på nätet fortfarande anger den gamla nivån. 31 § i sin nuvarande lydelse sätter avgiften till lägst 10 000 kronor och högst fyra procent av näringsidkarens omsättning räkenskapsåret innan överträdelsen upphörde. Saknas uppgifter om årsomsättningen, eller inträffade överträdelsen under företagets första verksamhetsår, får omsättningen uppskattas, och avgiften får då bestämmas till högst ett belopp motsvarande två miljoner euro.
Utöver det finns en möjlighet som sällan nämns i sammanhanget. Enligt 37 § ska den som uppsåtligen eller av oaktsamhet bryter mot bland annat 19 och 20 §§ ersätta den skada som uppstår för en konsument eller för en annan näringsidkare. Ett slarvigt utskick kan alltså få en motpart utöver myndigheten.
Handlar överträdelsen om hur personuppgifterna behandlats, och inte bara om utskicket i sig, ligger tillsynen i stället hos Integritetsskyddsmyndigheten, som har ett eget sanktionssystem enligt dataskyddsförordningen. De två spåren utesluter inte varandra.
Hantera uppgifterna varsamt
Samla bara in de uppgifter du faktiskt behöver, förvara dem säkert och radera adresser som avanmält sig eller varit inaktiva länge. Använder du en e-postplattform som lagrar uppgifter åt dig är den ett personuppgiftsbiträde, och då är biträdesavtalet inget att ta ställning till. Enligt dataskyddsförordningens artikel 28.3 ska hanteringen regleras genom ett avtal eller en annan rättsakt som är bindande för personuppgiftsbiträdet, med behandlingens föremål, varaktighet, art och ändamål angivna. Integritetsskyddsmyndigheten går igenom vad ett sådant avtal ska täcka. En genomtänkt hantering minskar risken och stärker samtidigt förtroendet hos dina prenumeranter. För helheten, läs vår kompletta guide till e-postmarknadsföring.
Senast faktagranskad: 1 augusti 2026