GDPR: rättslig grund för B2B-prospektering

Det här är en översikt, inte juridisk rådgivning. Men den bygger på lagtexten, på Europeiska dataskyddsstyrelsens riktlinjer om berättigat intresse från oktober 2024 och på IMY:s egna vägledningssidor, så den räcker för att du ska kunna ställa rätt frågor till er jurist i stället för att låta prospekteringen stå still i väntan på ett besked som aldrig kommer.

B2B-data är inte undantagen från GDPR

Den vanligaste missuppfattningen i säljteam är att GDPR handlar om konsumenter. Det stämmer inte. Skäl 14 säger att förordningen inte omfattar uppgifter om juridiska personer, alltså bolagets namn, organisationsnummer och växelnummer. Men Anna Lindqvist, inköpschef, med direktnummer och mejladress är en fysisk person, och hennes uppgifter i ert CRM är personuppgifter i lagens mening, oavsett att adressen slutar på företagets domän. Det betyder inte att du inte får ringa henne. Det betyder att du behöver en rättslig grund för att ha henne i listan, och att hon har rättigheter du måste kunna hantera.

Av de sex grunderna i artikel 6 är det i praktiken bara två som är aktuella för prospektering: samtycke och berättigat intresse. Samtycke är ofta sämre än det låter. Det måste vara frivilligt, specifikt och lika lätt att ta tillbaka som att ge, och ett prospekt som aldrig hört talas om er har inte gett något. Berättigat intresse är den grund som bär nästan all B2B-prospektering, och GDPR själv pekar ut den: sista meningen i skäl 47 säger att behandling av personuppgifter för direktmarknadsföring kan betraktas som ett berättigat intresse. IMY skriver samma sak, med tillägget att ni alltid måste upphöra med direktmarknadsföring om den registrerade invänder.

Intresseavvägningen i tre steg

Berättigat intresse är ingen fribiljett. Europeiska dataskyddsstyrelsen, EDPB, antog den 8 oktober 2024 riktlinjer 1/2024 om artikel 6.1 f, i en version som gick ut på samråd, och de slår fast tre kumulativa villkor: ett legitimt intresse hos den personuppgiftsansvarige, att behandlingen är nödvändig för det intresset, och att den registrerades intressen och rättigheter inte väger tyngre. Riktlinjerna säger också att bedömningen ska göras och dokumenteras innan behandlingen börjar. EU-domstolen bekräftade i oktober 2024, i målet om det nederländska tennisförbundet KNLTB, att ett rent kommersiellt intresse kan vara ett berättigat intresse så länge det inte strider mot lag.

För ett säljteam ser de tre stegen ut så här. Intresset: att sälja era tjänster till företag som rimligen kan ha nytta av dem. Det är legitimt, men formulera det precist, EDPB godtar bara intressen som är lagliga, tydligt uttryckta och verkliga, inte 'tillväxt'. Nödvändigheten: IMY:s tumregel är att behandlingen inte är nödvändig om samma sak går att uppnå med mindre ingripande metoder. Att lagra namn, titel, bolag och arbetsnummer på en beslutsfattare är nödvändigt för att ringa. Att lagra privat mobilnummer, födelsedatum eller anteckningar om familjen är det inte. Avvägningen: vad kan personen rimligen förvänta sig? En inköpschef på ett tillverkande bolag förväntar sig att leverantörer hör av sig i tjänsten. En sjuksköterska förväntar sig inte att bli uppringd på jobbet om ett CRM-system.

Informationen: senast vid första kontakten

Här missar de flesta. När uppgifterna inte kommer från personen själv, vilket är normalfallet i prospektering (köpta listor, LinkedIn, branschregister), gäller artikel 14. Den kräver att ni informerar personen inom en månad efter att ni fått uppgifterna, eller senast vid första kontakten om uppgifterna ska användas för att kommunicera med personen, beroende på vad som inträffar först. Informationen ska bland annat innehålla vilka ni är, ändamålet, den rättsliga grunden, vilket berättigat intresse ni åberopar, varifrån uppgifterna kommer och hur länge ni tänker spara dem. Undantaget för oproportionerlig ansträngning i artikel 14.5 b är smalt och inget att bygga en löpande prospekteringsprocess på.

I praktiken löser ni det med två saker. Ett kort stycke i första mejlet: var ni hittade uppgifterna, varför ni skriver, en länk till er integritetspolicy och ett tydligt sätt att säga nej. Och en mening i första samtalet om personen frågar, med hänvisning till samma policy. Det som inte fungerar är att vänta med informationen tills prospektet svarar, eller att gömma den i en policy som ingen kan hitta. Datainspektionen, numera IMY, slog redan 2016 i ett beslut mot Tele2 fast att kunderna inte fått tillräcklig information om hur deras uppgifter behandlades, och krävde att informationen ges i samband med att uppgifterna samlas in. Principen är densamma i prospektering.

Invändningen är absolut

Artikel 21.2 ger var och en rätt att när som helst invända mot att uppgifterna används för direktmarknadsföring. Artikel 21.3 säger vad som händer då: uppgifterna får inte längre behandlas för det ändamålet. Ingen ny avvägning, inget 'men vårt intresse är starkt'. Artikel 21.4 kräver dessutom att rätten att invända uttryckligen ska påpekas för personen senast vid första kontakten, klart och tydligt och skilt från annan information. Ett 'svara STOPP så tar vi bort dig' i mejlet uppfyller det. Ett stycke på sida fyra i policyn gör det inte.

Det praktiska problemet är inte juridiken utan CRM:et. Om en invändning betyder att kontakten raderas, försvinner också minnet av att hon sa nej, och nästa lista lägger till henne igen. Rätt hantering är att markera kontakten som 'ingen marknadsföring' och behålla det minimum som behövs för att respektera invändningen. Bygg den flaggan innan första utskicket, inte efter första klagomålet.

Varifrån får uppgifterna komma?

GDPR reglerar inte källan i sig, men källan påverkar avvägningen. Uppgifter personen själv gjort tillgängliga i yrkesrollen, som en titel och ett bolag på LinkedIn eller ett direktnummer på företagets webbplats, ligger inom det personen rimligen kan förvänta sig. Massinsamlade eller köpta listor är svårare: ni måste veta att säljaren av listan hade rätt att lämna ut uppgifterna, ni ansvarar för informationen enligt artikel 14 och ni ska ange källan. IMY har inte publicerat någon särskild vägledning om B2B-listor eller LinkedIn, och tillsynsmyndigheter i andra EU-länder har varit strängare mot skrapade data än mot uppgifter från öppna yrkesprofiler. Så: knyt varje kontakt till en dokumenterad källa, håll er till uppgifter som behövs för att nå personen i tjänsten, och behandla plattformarnas egna användarvillkor som en separat avtalsfråga.

Två dokument ni behöver ha innan ni ringer

1. En intresseavvägning på papper: intresse, nödvändighet, avvägning och åtgärder (opt-out, gallring, begränsning till arbetsuppgifter), daterad och undertecknad av den som ansvarar. EDPB:s riktlinjer kräver att den finns innan behandlingen börjar, och artikel 5.2 kräver att ni kan visa att ni följer principerna.
2. Ett register över behandlingar enligt artikel 30. Undantaget för företag med färre än 250 anställda gäller inte när behandlingen inte är tillfällig, och ett CRM som används varje dag är inte tillfälligt. Registret ska ange ändamål, kategorier av uppgifter, mottagare och, där det är möjligt, tidsfrister för radering.

Lägg till en tredje sak som inte är ett dokument: en gallringsregel. Artikel 5.1 e säger att uppgifter inte får sparas längre än nödvändigt för ändamålet. Ett prospekt som inte svarat på arton månader och inte längre matchar er målgrupp har ingen kvarvarande nödvändighet, oavsett hur bra listan kändes när ni köpte den.

Vad juridiken inte löser

Att grunden är på plats betyder inte att samtalet blir bra. Prospektet som får ett mejl där ni öppet skriver var ni hittat uppgifterna och varför ni hör av er reagerar oftare positivt än på ett anonymt 'jag hoppas mejlet finner dig väl'. Transparensen som lagen kräver är samma sak som ett bra samtal kräver: ett tydligt skäl att höra av sig, formulerat i mottagarens värld. Det går att öva. I Salesprep-modulen Cold call möter du en AI-kund som frågar 'var har du fått mitt nummer ifrån?' och 'varför ringer du just mig?', och betyget på öppningen visar om ditt svar låter som en förklaring eller som en ursäkt. Tre samtal är gratis, utan kort.