Svar
Innan en kontaktlista eller en databas med kontaktuppgifter för enskilda personer förvärvas från en annan organisation, måste den organisationen kunna visa att uppgifterna har erhållits i enlighet med den allmänna dataskyddsförordningen och att de får användas i annonseringssyfte. Om organisationen till exempel skaffade sig uppgifterna grundat på samtycke, så ska samtycket ha innefattat möjligheten att överföra dem till andra mottagare för dessa mottagares egen direkta marknadsföring.
Ert företag/er organisation måste också säkerställa att listan eller databasen är uppdaterad och att annonser inte skickas till enskilda personer som motsatt sig att deras personuppgifter behandlas i direkt marknadsföringssyfte. Ert företag/er organisation måste även, om kommunikationsmedel såsom e-post används i direkt marknadsföringssyfte, säkerställa att reglerna i direktivet om integritet och elektronisk kommunikation (direktiv 2002/58/EG 1) följs.
Sådana listor behandlas på grundval av berättigade intressen, och enskilda personer har rätt att göra invändningar mot sådan behandling. Ert företag/er organisation måste också, senast vid det första kommunikationstillfället, informera enskilda personer om att deras personuppgifter har samlats in och kommer att behandlas i syfte att skicka reklam till dem.
Exempel
Två vänner, A och B, driver ett gym respektive en bokhandel. Båda samlar in uppgifter från sina respektive kunder. B:s bokhandel går inte så bra. Det är inte många poster i hans kunddatabas och det är inte många som kommer in i hans affär. Han säger till A att han har fått in en ny biografi över en berömd idrottsman, och frågar om A:s kunder skulle vara intresserade av att få reklam om boken. I villkoren i A:s integritetsmeddelande informeras hennes kunder om att hon skulle kunna dela uppgifterna med partners som erbjuder produkter på hälso- och fitnessområdet. I den omfattning ett specifikt samtycke har lämnats med avseende på överföring av uppgifterna till andra mottagare för deras egen direkta marknadsföring, så kan A skicka kundlistan till B. Inga uppgifter får skickas om en person som har invänt mot behandlingen av sina personuppgifter.
Referenser
- Artikel 4.10, 5, 6, 14, 21
- Europeiska dataskyddsstyrelsens riktlinjer om öppenhet enligt förordning 2016/679
- Regler om direkt marknadsföring i direktivet om integritet och elektronisk kommunikation 2002/58/EG, i synnerhet artikel 13
Example
Two friends, Mrs. A and Mr. B, run, respectively, a gym and a book shop. Each collects data from their respective customers. Mr. B’s book shop isn’t doing well. His client database has few entries and not many people walk into his shop. He tells Mrs. A that he has a new biography of a famous athlete and asks whether Mrs. A’s clients would be interested in receiving advertising about the book. The terms of Mrs. A’s privacy notice informed her clients that she could share the data with partners offering products in the health and fitness area. As far as specific consent was given for the purpose of transmitting the data to other recipients for their own direct marketing, Mrs. A can send the client list to Mr. B. No data can be sent about an individual who objected to the processing of their personal data.
References
- Article 4(10) and Articles 5, 6, 14 and 21 of the GDPR
- EDPB guidelines on Transparency under Regulation 2016/679
- ePrivacy Directive 2002/58/EC rules on direct marketing, in particular Article 13
1 Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications) (OJ L 201, 31.07.2002 p.37).