Den 18 september 2026 inledde Integritetsskyddsmyndigheten en granskning av de massutskick av sms som två politiska partier gjorde inför valet, efter omkring 1 500 klagomål och tips. Inget är avgjort. Granskningen rör den rättsliga grunden för behandlingen och hur mottagarna valdes ut.
Regeln under granskningen handlar inte om politik. Den styr varje företag som skickar ett mejl eller ett sms till någon som ännu inte är kund, och i Sverige är den strängare än de flesta marknadsavdelningar räknar med. Samtycket ska finnas före det första meddelandet, och en inköpt lista är inget samtycke.
Vad svensk rätt faktiskt kräver
19 § marknadsföringslagen (2008:486) är den bestämmelse allt hänger på. En näringsidkare får använda e-post, telefax eller uppringningsautomater vid marknadsföring till en fysisk person bara om personen har samtyckt till det på förhand. På förhand betyder före det första meddelandet, inte efter.
20 § lägger till att ett marknadsföringsmejl alltid ska innehålla en giltig adress dit mottagaren kan skicka en begäran om att marknadsföringen ska upphöra. 21 § omfattar andra metoder för individuell kommunikation på distans — ett vanligt telefonsamtal, adresserad post — som i stället vilar på en opt out-ordning: de får användas om inte personen tydligt motsatt sig metoden.
Sms behandlas på samma sätt som e-post. Kanalen når in i samma privata utrymme, och svensk praxis har länge läst de två tillsammans.
Kundundantaget och dess fyra villkor
19 § innehåller det undantag de flesta företag lutar sig mot, och det är snävare än sitt rykte. Samtycke krävs inte när samtliga fyra villkor är uppfyllda: näringsidkaren har fått adressen i samband med försäljning till personen, personen har inte motsatt sig marknadsföring via e-post, marknadsföringen avser näringsidkarens egna likartade produkter, och personen får en enkel möjlighet att motsätta sig vid varje tillfälle.
Varje villkor gör verklig skillnad. En adress som samlats in via en tävling eller en nedladdning av ett kunskapsunderlag har inte inhämtats i samband med försäljning. En kampanj för en annan produktlinje är inte näringsidkarens egna likartade produkter. Och en enkel möjlighet att motsätta sig betyder i varje meddelande, inte en gång vid registreringen.
Samtycke enligt marknadsföringslagen är ingen rättslig grund enligt GDPR
Två regelverk gäller samtidigt och de ställer olika frågor. Marknadsföringslagen frågar om ni får använda kanalen. GDPR frågar om ni över huvud taget får behandla personuppgifterna, och kräver en rättslig grund enligt artikel 6.
Företag besvarar ofta den andra frågan med berättigat intresse. Det kan fungera för själva behandlingen, men avvägningen påverkas av kanalen: där marknadsföringsrätten kräver samtycke på förhand är en intresseavvägning som landar i att ni ändå får skicka svår att upprätthålla. Båda frågorna måste besvaras var för sig, och båda måste falla ut till er fördel.
Vad IMY sa när frågan senast prövades
Den 22 oktober 2025 avgjorde IMY ärenden mot två politiska partier om sms och e-post som skickats inför valen 2022 och 2024. Båda fick en reprimand i stället för sanktionsavgift, med hänsyn till utskickens begränsade och icke systematiska omfattning.
Motiveringen är den del som är värd att läsa. Partierna åberopade berättigat intresse. IMY fann att mottagarnas rätt till skydd för privatlivet vägde tyngre än avsändarnas intresse av att sprida information, och beskrev sms och e-post som särskilt integritetskänsliga former av obeställd marknadsföring med hänvisning till det starka skydd marknadsföringslagen ger den kanalen. Ett av partiernas meddelanden saknade dessutom information om hur man avregistrerar sig.
Varför företag har mindre utrymme än politiska partier
Det finns ett argument, som bland andra branschorganisationen SWEDMA fört fram, att politiska utskick inte är marknadsföring i marknadsföringslagens mening över huvud taget, och att det därför bara är GDPR som gäller för dem.
Om det stämmer blir konsekvensen den motsatta mot vad de flesta antar. Ett politiskt parti möter ett regelverk. Ett företag som säljer en produkt möter två: GDPR för behandlingen och marknadsföringslagen för kanalen. Hur frågan än landar för partierna har en kommersiell avsändare mindre utrymme snarare än mer, vilket är skälet till att granskningen är värd ett företags uppmärksamhet trots att inget företag granskas.
Praktiskt exempel: mjukvarubolaget i Uppsala
Ett mjukvarubolag i Uppsala har tre listor. Den första är kunder som köpt en licens och lämnat sin adress i kassan. Den andra är personer som laddat ned ett kunskapsunderlag. Den tredje är inköpt från en leverantör och innehåller namngivna personer på målbolag.
Den första listan ligger inom undantaget, förutsatt att kampanjen avser bolagets egna likartade produkter och varje meddelande bär en enkel avregistrering. Den andra gör det inte: en nedladdning är ingen försäljning, så ett separat samtycke krävs och formuläret måste ha frågat efter det tydligt. Den tredje har varken samtycke eller kundförhållande bakom sig, och inköpet skapade inget av dem. Leverantörens försäkran om att adresserna är GDPR-förenliga säger ingenting om marknadsföringslagen, och ingenting om ett samtycke bolaget självt kan visa upp.
Vanliga misstag
Att behandla en inköpt eller skrapad lista som användbar för att säljaren beskriver den som förenlig med reglerna.
Att läsa kundundantaget som att det täcker var och en som någon gång fyllt i ett formulär på er webbplats.
Att marknadsföra en annan produktlinje under ett undantag som bara når era egna likartade produkter.
Att lägga avregistreringen i välkomstmeddelandet i stället för i varje meddelande.
Att besvara GDPR-frågan med berättigat intresse och utgå från att det därmed också avgör kanalfrågan.
Rekommenderade åtgärder
Sortera era listor efter hur varje adress inhämtats, inte efter hur listan används. Ursprunget avgör vilken regel som gäller.
Kontrollera för varje adress som vilar på samtycke att ni kan visa när och hur det lämnades.
Där ni lutar er mot kundundantaget, kontrollera att kampanjen håller sig inom era egna likartade produkter.
Lägg in en enkel avregistrering i varje meddelande, och en giltig svarsadress enligt 20 §.
Fråga före ett listköp vilket samtycke säljaren inhämtat och om det kan styrkas. Kan det inte styrkas kan ni inte använda listan.
Vanliga frågor
Gäller detta även e-post mellan företag?
19 § skyddar fysiska personer. Marknadsföring till en företagsadress som inte pekar ut någon enskild hanteras normalt under opt out-ordningen i stället. En namngiven persons arbetsadress är det svårare fallet, och den försiktiga läsningen — att en namngiven person är en fysisk person — är den att utgå från.
Får vi köpa en lista med e-postadresser?
Ni får köpa den. Om ni får skicka till den är en annan fråga, och svaret är oftast nej. Samtycke enligt 19 § ska lämnas till avsändaren, och personerna ska dessutom informeras enligt GDPR. En säljares försäkran om regelefterlevnad överför inget samtycke till er.
Vilken myndighet utövar tillsyn i Sverige?
IMY utövar tillsyn över dataskyddsdelen och är den myndighet som genomför den pågående granskningen. Marknadsföringslagen hanteras av Konsumentverket och Patent- och marknadsdomstolen. Samma kampanj kan alltså granskas från två håll.
Slutsats
Sms:en inför valet blev en nyhet på grund av vem som skickade dem. Regeln de stötte emot är den vanliga, och den gäller varje kommersiell avsändare i Sverige: samtycke före det första meddelandet, om inte det snäva kundundantaget verkligen passar, med en enkel väg ut i varje meddelande som följer.
Arbetet ligger inte i utskicket. Det ligger i att kunna visa, lista för lista, var varje adress kommer ifrån. Företag som klarar det har lite att oroa sig för. Företag som inte gör det brukar upptäcka det i samma stund som någon frågar.
Vill ni ha en tydlig bild av vilka av era listor som vilar på samtycke, vilka som vilar på kundundantaget och vilka som inte vilar på något, går vi igenom det med er. Första timmen bjuder vi på.
