GDPR & brevutskick – checklista för företag 2026

Många tror att GDPR bara gäller digital data. Fel — så snart ni behandlar personuppgifter (namn + adress är personuppgifter) gäller GDPR, oavsett om databäraren är en excelfil eller ett tryckt papper.

Skillnaden är att fysisk post inte omfattas av Nix-registret (det gäller telefonmarknadsföring), men postens 'Ingen reklam'-skylt på brevlådan ska respekteras för direktreklam.

GDPR kräver att ni har en tydlig rättslig grund för att behandla personuppgifter. För brevutskick är de tre vanliga:

• Avtal — kunden har handlat/tecknat avtal och ni skickar fakturor, kontoutdrag, orderbekräftelser.
• Berättigat intresse — marknadsföring till befintliga kunder inom er egen produkt/tjänst kan ofta motiveras.
• Samtycke — krävs för adresserad direktreklam till nya prospekt eller vid känsliga kategorier.

Dokumentera valet skriftligt i er GDPR-registerhållning innan utskicket går ut.

När ni använder en tryckeri- eller print & mail-tjänst blir den leverantören personuppgiftsbiträde — de behandlar era personuppgifter för er räkning. Ett PuBA reglerar hur.

PuBA:t ska minst innehålla:

• Vilka personuppgifter som behandlas (namn, adress, ev. personnummer)
• För vilket syfte (tryck och postning av definierat utskick)
• Hur länge datan lagras hos biträdet (bör vara: max till leverans + kort revisionstid)
• Tekniska säkerhetsåtgärder (kryptering, åtkomstkontroll)
• Vad som händer vid personuppgiftsincident

Seriösa tjänster för brevutskick har standard-PuBA klart för underskrift.

GDPR kräver att ni bara behandlar de personuppgifter som är nödvändiga för syftet. För brevutskick betyder det:

• Skicka bara namn + adress + postnummer + ort + land — inget personnummer, ingen e-post om det inte behövs för tryck.
• Inkludera inte extra kolumner 'ifall det behövs senare'.
• Använd separata CSV-filer per utskick — samla inte allt i en masterfil hos biträdet.

När brevet är levererat ska adressdatan raderas hos biträdet (utöver kort revisionsloggning för att kunna svara på GDPR-förfrågningar).

I ert eget system behåller ni datan så länge er rättsliga grund gäller — kundavtal så länge kundrelationen finns, samtycken så länge samtycket är giltigt.

Se till att era rutiner för radering är dokumenterade och att biträdet kan visa att radering skett — det efterfrågas vid GDPR-inspektioner.

Oadresserad reklam som samhällsinformation eller reklamblad ska inte delas ut på brevlådor märkta 'Ingen reklam' — PostNord respekterar det automatiskt.

Adresserad direktreklam (ADR) — där mottagarens namn står på brevet — påverkas inte av 'Ingen reklam'-skylten. Den delas ut. Men om mottagaren aktivt tackat nej till just er marknadsföring (opt-out) ska ni respektera det via era interna register.

Innan ni klickar på 'skicka' — bocka av:

1. Vi har dokumenterad rättslig grund för det här utskicket.
2. Vi har PuBA på plats med tryckerileverantören.
3. CSV:n innehåller bara namn + postadress — inget mer.
4. Vi har rutin för att radera adressdatan hos biträdet efter leverans.
5. Opt-out-mottagare är exkluderade ur listan.
6. Kontaktväg för mottagare att invända mot behandlingen står i brevet eller är lätt att hitta på vår sajt.

Redo att komma igång med GDPR-säkra utskick? Företagsportalen har standard-PuBA klart och en CSV-mall som håller uppgiftsminimering.

Läs vidare:

• Brevutskick för företag – komplett guide 2026
• Massutskick vs enskilda brev
• Adresserad direktreklam