Influencer marketing og GDPR: Det skal brands vide

Dette er praktisk vejledning fra Make Influence, ikke juridisk rådgivning. Brug den som en tjekliste over, hvad I skal forholde jer til — få den konkrete juridiske vurdering af jeres egen behandling hos en advokat, særligt hvis I behandler følsomme oplysninger eller data om børn.

GDPR er noget andet end reklamemærkning

Reklamemærkningsreglerne — dækket i sin egen artikel — handler om, hvorvidt et opslag skal mærkes som reklame. GDPR (databeskyttelsesforordningen) handler om noget helt andet: hvordan personoplysninger indsamles, opbevares, bruges og videregives. De to regelsæt gælder samtidigt og uafhængigt af hinanden. Et opslag kan være korrekt mærket som reklame og stadig indebære en GDPR-overtrædelse — for eksempel hvis leveringsadresser fra en konkurrence bliver liggende ubeskyttet i et regneark uden hjemmel til det.

Hvilke personoplysninger er faktisk i spil?

Et influencer-samarbejde involverer typisk flere forskellige slags personoplysninger, ofte behandlet af forskellige parter:

Det sidste punkt i tabellen — klik-ID'er og IP-adresser — overraskede mange, da GDPR trådte i kraft: forordningens egen definition i artikel 4, stk. 1, nævner udtrykkeligt en „onlineidentifikator“ som eksempel på en personoplysning, og en IP-adresse er netop det. Det gælder også de cookies og klik-ID'er, som selve trackingen af et influencer-samarbejde bygger på — se hvordan influencer-tracking faktisk fungerer for mekanikken bag cookien og IP-adressen, som Make Influence selv opbevarer i op til henholdsvis 30 dage og 3 måneder efter et klik.

Hvem er dataansvarlig, og hvem er databehandler?

Datatilsynet definerer det sådan: den dataansvarlige bestæmmer, hvorfor (til hvilket formål) og hvordan (med hvilke midler) personoplysninger behandles. En databehandler behandler personoplysninger på den dataansvarliges vegne — altså efter instruks fra den dataansvarlige, og må ikke selv bruge oplysningerne til egne formål. Det afgørende er ifølge Datatilsynet altid, hvad der reelt aftales og sker — ikke hvad parterne kalder hinanden.

Er I i tvivl, peger Datatilsynet på tre ting: om aftalen reelt handler om behandling af personoplysninger (ikke bare en almindelig leverandøraftale), om modparten udelukkende handler efter instruks, og om begge parter selvstændigt kan bruge dataene til egne formål — i så fald er I næppe i et databehandlerforhold, men snarere fælles dataansvarlige.

Find det rette retsgrundlag (artikel 6)

GDPR kræver et lovligt grundlag for enhver behandling af personoplysninger. I praksis er det særligt tre af de seks grundlag i artikel 6, stk. 1, der er relevante for et influencer-samarbejde:

Værd at bemærke: selve tracking-linket — cookien eller klik-ID'et, der ligger til grund for provisionsberegningen — er ikke automatisk dækket af, at I har et retsgrundlag efter artikel 6. Cookies og lignende teknologier er underlagt en separat samtykkeregel, som i Danmark ligger uden for Datatilsynets eget område og hører under reglerne om markedsføring og cookies, som Digitaliseringsstyrelsen fører tilsyn med. I skal altså typisk forholde jer til to separate regelsæt, når et tracking-link involverer en cookie: selve GDPR-grundlaget for at behandle klikdataene, og cookiesamtykket for at sætte cookien i browseren i første omgang.

Databehandleraftalen (artikel 28)

Bruger brandet en platform eller et værktøj, der behandler personoplysninger på brandets vegne — for eksempel til tracking, honorarudbetaling eller kampagnestyring — kræver artikel 28 en skriftlig databehandleraftale, ikke bare en almindelig leverandørkontrakt. Aftalen skal blandt andet fastlægge:

• Genstand, varighed, art og formål med behandlingen, samt hvilke typer personoplysninger og registrerede den omfatter
• At databehandleren udelukkende må behandle data efter dokumenteret instruks fra brandet
• Fortrolighed blandt de medarbejdere, der har adgang til dataene
• Passende sikkerhedsforanstaltninger, jf. artikel 32
• At databehandleren skal bistå brandet med at efterkomme henvendelser fra registrerede (fx en influencer, der beder om indsigt i egne data)
• Sletning eller tilbagelevering af data, når samarbejdet ophører
• At en eventuel underdatabehandler skal påtage sig de samme forpligtelser skriftligt

Databehandleraftalen er et selvstændigt juridisk dokument — den erstatter ikke selve samarbejdskontrakten med influenceren; se hvad en influencer-kontrakt bør indeholde for de 12 punkter, den kontrakt selv skal dække.

Overførsel af data til USA og andre lande uden for EU/EØS

Mange af de værktøjer, en influencer-kampagne læner sig op ad — trackingplatforme, analyseværktøjer, kommunikationsværktøjer — er amerikanske selskaber. Siden EU-Kommissionen den 10. juli 2023 vedtog sin tilstrækkelighedsafgørelse for EU-U.S. Data Privacy Framework, kan persondata overføres til amerikanske virksomheder, der er certificeret under rammen, uden yderligere sikkerhedsforanstaltninger som standardkontraktbestemmelser (SCC'er). Er leverandøren ikke certificeret under rammen, skal overførslen i stedet hvile på SCC'er eller et andet gyldigt overførselsgrundlag. Tjek derfor altid, om en amerikansk platform eller et amerikansk værktøj reelt er certificeret, før I lægger persondata ind i det.

Kampagner rettet mod børn og unge

GDPR's artikel 8 sætter som udgangspunkt 16 år som alderen, hvor en ung selv kan give samtykke til informationssamfundstjenester — men medlemslandene må sænke den, dog ikke under 13 år. Ifølge sammenlignende oversigter over medlemslandenes gennemførelse har Danmark sænket alderen til 13 år. Lovgivning ændres løbende, så tjek den aktuelle danske databeskyttelseslov, hvis dette er afgørende for jeres kampagne. Retter et samarbejde sig mod en yngre målgruppe — eller har influencerens egen følgerskare en stor andel under 13 år — bør I særligt undgå direkte at indsamle data fra børn (fx via en konkurrence) uden forældresamtykke.

Praktisk tjekliste, før en influencer-kampagne går i luften

• Kortlæg, hvilke personoplysninger kampagnen rent faktisk indsamler — adresser, betalingsoplysninger, tracking-data, konkurrencedeltagere
• Fastlås et retsgrundlag for hver enkelt brug, ikke ét generelt grundlag for hele kampagnen
• Afklær, om en platform eller et værktøj i kampagnen er databehandler — og om der ligger en gyldig databehandleraftale klar
• Tjek, om et amerikansk værktøj er certificeret under EU-U.S. Data Privacy Framework, eller om der er brug for SCC'er
• Sæt en opbevaringsperiode for hver datatype, og undgå at gemme længere end formålet kræver
• Vurdér særligt, om kampagnen rammer en målgruppe under 13 år

Regneeksempel: hvad en overtrædelse teoretisk kan koste (hypotetisk)

Tallene nedenfor er et opdigtet regneeksempel til at illustrere, hvordan bødesystemet er skruet sammen — ikke en reel sag og ikke en forudsigelse af, hvad en konkret overtrædelse ville koste.

GDPR's artikel 83 opererer med to niveauer af bøder. Den laveste kategori (artikel 83, stk. 4) går op til 10 mio. EUR eller 2% af årlig global omsætning, alt efter hvad der er højest. Den højeste kategori (artikel 83, stk. 5) — for overtrædelser af de grundlæggende principper og de registreredes rettigheder — går op til 20 mio. EUR eller 4% af årlig global omsætning, alt efter hvad der er højest.

Antag et hypotetisk dansk brand med en årlig global omsætning på 750 mio. kr. (ca. 100 mio. EUR), der begår en overtrædelse i den højeste kategori. 4% af omsætningen er 30 mio. kr. Men fordi det faste loft på 20 mio. EUR (ca. 149 mio. kr.) er højere end de 30 mio. kr., er det teoretisk set de 149 mio. kr. — ikke de 30 mio. kr. — der er den lovbestemte øvre grænse, fordi loven bruger det højeste af de to tal. I praksis når Datatilsynet aldrig det lovbestemte loft for en første, hurtigt rettet fejl: artikel 83, stk. 2 pålægger tilsynet at vægte elleve konkrete faktorer — blandt andet overtrædelsens grovhed og varighed, om den var forsætlig eller uagtsom, hvilke skridt brandet tog for at afbøde skaden, og om brandet selv anmeldte fejlen.

Almindelige fejl

• At tro, korrekt reklamemærkning også dækker GDPR. Det er to helt forskellige regelsæt med forskellige krav og forskellige tilsynsmyndigheder.
• At antage, influenceren automatisk er databehandler. I langt de fleste samarbejder er influenceren en selvstændig aktør for sit eget indhold — ikke en databehandler for brandet.
• At glemme, at en IP-adresse er en personoplysning. Tracking-data bliver ofte behandlet, som var det anonymt, selvom det ikke er.
• At bruge et amerikansk værktøj uden at tjekke overførselsgrundlaget. Et abonnement løser ikke automatisk spørgsmålet om lovlig dataoverførsel.

Make Influence's operationelle perspektiv

I vores erfaring bliver GDPR i influencer-sammenhæng oftest overset, fordi det ikke føles som „rigtig“ databehandling — det er jo „bare“ en adresse til et gaveprodukt eller et tracking-link. Men det er præcis den type behandling, loven dækker. Vores egen tilgang til tracking — en cookie i op til 30 dage og en IP-adresse i op til 3 måneder — er et bevidst valg om at opbevare så lidt som muligt, så længe det er nødvendigt for at kunne henføre et salg til den rigtige creator, og ikke længere.

FAQ

Skal vi have en databehandleraftale med den influencer, vi samarbejder med?

Normalt nej. Influenceren skaber typisk sit eget indhold og styrer selv sin egen konto — de handler ikke efter brandets instruks i GDPR's forstand. En databehandleraftale er som regel relevant med platforme og værktøjer, ikke med influenceren selv. Undtagelsen er, hvis influenceren indsamler data på brandets vegne, fx en deltagerliste til en konkurrence, som de videresender — så bør rollefordelingen vurderes konkret.

Må vi bruge en influencers følgertal og demografital uden samtykke?

Aggregerede, ikke-personhenførbare tal — som en platforms egne demografiske indsigter — er som udgangspunkt ikke personoplysninger og falder uden for GDPR. Se hvordan I tjekker en influencers følgerskare, før I betaler for, hvilke data der reelt er tilgængelige.

Hvor længe må vi opbevare tracking-data om et klik?

Der er ingen fast lovbestemt grænse — opbevaringen skal stå i et rimeligt forhold til formålet (dataminimering og opbevaringsbegrænsning). Make Influences egen model opbevarer cookien i op til 30 dage og IP-adressen i op til 3 måneder efter et klik — se hvordan influencer-tracking faktisk fungerer.

Skal vi bruge samtykkebannere på grund af et influencer-tracking-link?

Ja, hvis linket sætter en cookie eller lignende teknologi til andet end det strengt nødvendige. Det er en separat regel om cookies — ikke selve GDPR-artikel 6 — og hører i Danmark under reglerne, som Digitaliseringsstyrelsen fører tilsyn med. Se Consent Mode og influencer tracking i EU for, hvad det samtykke faktisk skal leve op til, og hvad der sker med jeres tracking-data, når det afvises.

Gælder GDPR også, når vi betaler en influencer i udlandet?

Ja — GDPR gælder for personoplysninger om enhver, uanset nationalitet, så længe behandlingen sker inden for EU/EØS eller er rettet mod EU/EØS-borgere. Se hvordan I betaler internationale influencers for valuta, fakturering og skat — et separat spørgsmål fra selve databeskyttelsen af betalingsoplysningerne.