Får man skicka kalla mejl till företag? GDPR-guide 2026

Ja, i regel får ni skicka mail till företag utan samtycke, både kalla mail och mail till gamla B2B-leads. GDPR-grunden är berättigat intresse (artikel 6.1f) med en dokumenterad intresseavvägning, och marknadsföringslagen kräver inte samtycke för mail till juridiska personer. Två undantag att ha koll på: enskilda firmor räknas som privatpersoner och kräver samtycke, och varje mail måste ha en fungerande väg att tacka nej. Här är vad som faktiskt gäller.

Vilken rättslig grund gäller för B2B mail?

GDPR kräver en rättslig grund för all behandling av personuppgifter, och en jobbmailadress med namn räknas som en personuppgift. För B2B kommunikation är de två relevanta grunderna samtycke (artikel 6.1a) och berättigat intresse (artikel 6.1f).

Samtycke är sällan praktiskt för leads som legat still i ett år. Berättigat intresse är den grund de flesta B2B bolag lutar sig mot, och den är uttryckligen erkänd i GDPR:s skäl 47, där direktmarknadsföring nämns som ett exempel på vad som kan utgöra ett berättigat intresse.

Vad krävs för att berättigat intresse ska hålla?

Berättigat intresse är inte ett fribrev. Tre villkor ska vara uppfyllda, och ni bör kunna visa att ni prövat dem:

1. Ett verkligt intresse. Att sälja relevanta tjänster till företag är ett legitimt affärsintresse.
2. Nödvändighet. Behandlingen ska behövas för ändamålet. Att maila en beslutsfattare kräver att ni behandlar namn och mailadress, det räcker.
3. Intresseavvägning. Ert intresse ska väga tyngre än mottagarens intresse av att inte bli kontaktad. Här spelar sammanhanget stor roll.

Intresseavvägningen dokumenteras lämpligen i en så kallad LIA (legitimate interests assessment). För gamla leads är avvägningen ofta gynnsam: personen har tidigare visat intresse, fyllt i ett formulär eller haft en dialog med er. Det är något helt annat än en skrapad lista med okända adresser.

Vad är skillnaden mellan B2B och B2C?

Om ni alls får skicka B2B-mail utan samtycke avgörs av varje lands regler för elektronisk marknadsföring, inte av GDPR; se kalla mejl till företag land för land för 20 länder.

Skillnaden är betydande. Marknadsföring till konsumenter via mail kräver som huvudregel samtycke enligt marknadsföringslagen. För kontakt med personer i deras yrkesroll, om innehållet är relevant för rollen, är utrymmet större och berättigat intresse en etablerad grund.

Två detaljer i marknadsföringslagen (19–20 §§) avgör mycket. Till juridiska personer krävs inget samtycke, men varje mail ska innehålla en giltig adress där mottagaren kan be er sluta. Mail till en namngiven anställd på ett aktiebolag är däremot inte prövat: branschens etiska regler (SWEDMA) tillåter det utan samtycke när budskapet är relevant för personens yrkesroll, men ingen myndighet eller domstol har uttalat sig, och myndigheterna i Norge och Finland läser samma EU-regel strängare. Enskilda näringsidkare räknas däremot som fysiska personer, så en enskild firma kräver samtycke precis som en konsument (prop. 2003/04:43).

Notera att gränsen dras vid rollen, inte adressformatet. Ett mail till en säljchef om säljverktyg riktar sig till yrkesrollen. Samma mail till samma person om privatlån gör det inte.

Hur ska opt out hanteras?

Rätten att invända mot direktmarknadsföring enligt artikel 21 är absolut. Det betyder i praktiken:

• Varje utskick ska innehålla en enkel möjlighet att avböja vidare kontakt.
• En invändning ska respekteras direkt och utan motfrågor.
• Personen ska föras till en intern spärrlista så att den inte kontaktas igen, även om datan dyker upp i en ny lista senare.

Slarv här är det som oftast fäller bolag, inte själva utskicket.

Vad gäller vid outsourcing av utskicken?

Anlitar ni en extern part som behandlar era leads för er räkning, till exempel en byrå eller en AI-tjänst, blir den parten personuppgiftsbiträde och ni förblir personuppgiftsansvariga. Då kräver artikel 28 ett personuppgiftsbiträdesavtal (DPA) som reglerar vad biträdet får göra med datan, säkerhetsåtgärder och vad som händer vid avtalets slut. Seriösa leverantörer har ett standardavtal redo; be alltid om det innan någon data lämnar ert CRM. Revexa arbetar till exempel alltid under DPA när Leo bearbetar kunders leaddata.

Vem utövar tillsyn i Sverige?

Integritetsskyddsmyndigheten (IMY) är svensk tillsynsmyndighet för GDPR. IMY publicerar vägledning om berättigat intresse och direktmarknadsföring på imy.se, och det är dit klagomål från registrerade går. Att ha sin intresseavvägning och sin opt out-hantering dokumenterad är det bästa skyddet den dag en fråga kommer.

För AI-verktyg: AI-säljagent och GDPR: det här ska verktyget klara och är mötesbokning tillåtet enligt GDPR?.

Vanliga frågor

Får man maila ett lead som är två år gammalt?

Det finns ingen fast tidsgräns i GDPR. Ju äldre relationen är, desto svagare blir avvägningen, så väg in hur kontakten uppstod och hur relevant ert ärende är för personens roll idag.

Krävs samtycke för B2B mail?

Nej, inte som huvudregel. Berättigat intresse enligt artikel 6.1f är en etablerad grund för relevant B2B kommunikation till yrkesroller, förutsatt dokumenterad avvägning och fungerande opt out.

Krävs samtycke för att maila en enskild firma?

Ja. Marknadsföringslagen behandlar enskilda näringsidkare som fysiska personer, så de kräver samtycke för marknadsföring via mail, precis som konsumenter. Aktiebolag och andra juridiska personer kräver inget samtycke, men varje mail ska ha en giltig adress för att tacka nej. Filtrera därför bort enskilda firmor ur listan innan ni skickar.

Är mötesbokning tillåtet enligt GDPR?

Ja. Mötesbokning mot företag är direktmarknadsföring och kan vila på berättigat intresse, precis som mail. Samma krav gäller: ärendet ska vara relevant för personens roll, intresseavvägningen dokumenterad, personen ska få veta var ni fått uppgifterna (artikel 14) och en invändning respekteras direkt. Anlitar ni en byrå är den ert personuppgiftsbiträde och behöver ett avtal.

Vad händer om någon invänder mot utskick?

Ni måste sluta kontakta personen i marknadsföringssyfte, omedelbart och permanent. Invändningsrätten vid direktmarknadsföring är undantagslös.

Det här är en informativ genomgång, inte juridisk rådgivning. Stäm av er specifika situation med en jurist innan ni sätter processer i drift.