Oktobers uppdateringar från FEDMA
Publicerad: 13 oktober 2026
Skriven av: Minna Torstensson
Digital Omnibus, GDPR och nya regler för digital marknadsföring
Här sammanfattar vi några av de viktigaste oktoberuppdateringarna från FEDMAs arbete och utvecklingen i omvärlden, med fokus på Digital Omnibus, samtycke vid direktmarknadsföring, GDPR, digital annonsering och nya europeiska initiativ för dataskydd och konsumentskydd.
Digital Omnibus: fortsatt oenighet om GDPR och cookies
Arbetet med Digital Omnibus fortsätter inom EU, men medlemsländerna har ännu inte enats om en gemensam förhandlingsposition. Den planerade behandlingen i rådet den 11 oktober sköts upp efter fortsatta diskussioner om bland annat skyddet för företagshemligheter.
Två frågor med särskild betydelse för marknadsföringsbranschen är möjliga undantag från samtyckeskrav för vissa behandlingar med låg integritetsrisk och hur ofta användare ska behöva ta ställning till cookies.
Även i Europaparlamentet fortsätter förhandlingarna. De politiska grupperna har olika syn på hur långt förenklingarna bör gå, och en omröstning i ansvarigt utskott före årsskiftet bedöms som osannolik.
FEDMA följer utvecklingen med fokus på hur regelverket kan förenklas, skapa större rättssäkerhet och underlätta ansvarsfull datadriven marknadsföring utan att försvaga skyddet för personuppgifter.
Digital Fairness Act: nytt EU-förslag kan presenteras i november
EU-kommissionen förbereder nästa steg i arbetet med Digital Fairness Act (DFA), ett initiativ som ska stärka konsumentskyddet i digitala miljöer.
Enligt FEDMA finns indikationer på att kommissionen kan behandla ett lagförslag den 11 november, men tidpunkten är ännu inte officiellt bekräftad.
Initiativet väntas bland annat beröra manipulerande design, så kallade dark patterns, personanpassning och digitala affärsmetoder som riskerar att påverka konsumenters beslut på ett otillbörligt sätt.
För marknadsföringsbranschen blir det viktigt att följa hur nya bestämmelser förhåller sig till redan befintliga regelverk, bland annat GDPR och Digital Services Act (DSA), och hur överlappande krav kan undvikas.
EU-domstolen: samtycke kräver att marknadsföringspartnern är identifierad
Ett nytt yttrande från EU-domstolens generaladvokat Dean Spielmann kan få betydelse för företag som arbetar med direktmarknadsföring och tredjepartsdata.
I målet Groupe Canal+ (C-317/25) behandlas frågan om ett samtycke är giltigt när personuppgifter delas med marknadsföringspartner som inte har identifierats vid insamlingstillfället.
Generaladvokaten anser att samtycket inte är tillräckligt informerat om mottagaren endast beskrivs som en partner. Om företaget som ska använda uppgifterna inte var identifierat när samtycket lämnades behöver ett nytt samtycke inhämtas innan marknadsföringen genomförs.
Enligt yttrandet räcker det inte heller att erbjuda en möjlighet till avregistrering i det första marknadsföringsmeddelandet.
Yttrandet är inte bindande, men ger en indikation om hur EU-domstolen kan komma att bedöma frågan. För företag som arbetar med leads, externa dataleverantörer och partnerbaserad marknadsföring blir den kommande domen särskilt relevant.
Läs mer om generaladvokatens yttrande.
Nya riktlinjer om GDPR, böter och digital annonsering
Europeiska dataskyddsstyrelsen, EDPB, har publicerat två nya vägledningar som berör tillämpningen av GDPR och samspelet med andra digitala regelverk.
Den första handlar om när dataskyddsmyndigheter bör besluta om administrativa sanktionsavgifter i stället för andra åtgärder, exempelvis varningar eller förelägganden. Syftet är att skapa en mer enhetlig tillämpning inom EU.
Den andra vägledningen förtydligar samspelet mellan GDPR och Digital Services Act. Här behandlas bland annat profilering, rekommendationssystem och digital annonsering.
EDPB klargör exempelvis att användare som väljer rekommendationer utan profilering inte ska fortsätta att profileras för detta ändamål. Vägledningen behandlar också förbudet mot profilbaserad annonsering med känsliga personuppgifter enligt DSA.
För företag som arbetar med personalisering och digital annonsering blir samspelet mellan regelverken allt viktigare.
EU Kids Act: skärpta krav för att skydda minderåriga online
Den 17 september presenterade EU-kommissionen förslaget EU Kids Act, med syftet att stärka skyddet för barn och unga på digitala plattformar.
Förslaget omfattar bland annat begränsningar av profilbaserade rekommendationssystem, särskilda regler för minderårigas tillgång till sociala medier och nya krav på ålderskontroll.
En central del är att åldersverifiering inte ska få användas för att identifiera, spåra eller rikta annonser mot användare.
För digitala plattformar, annonsörer och teknikleverantörer väcker förslaget frågor om hur åldersanpassade tjänster kan utvecklas samtidigt som personlig integritet och dataminimering säkerställs.
Kommissionens samråd är öppet till den 26 november 2026.
AI och annonsering: nya integritetsfrågor kring konversationsdata
Den tyska dataskyddsmyndigheten i Hamburg har uppmärksammat riskerna med så kallad conversational profiling, där information från användares samtal med AI-tjänster används för att skapa profiler för personanpassad annonsering.
Myndigheten har särskilt lyft frågor kring planerad användning av konversationshistorik och annan användarinformation för annonsanpassning i ChatGPT.
Till skillnad från traditionell digital annonsering kan AI-konversationer innehålla mycket detaljerad och personlig information. Det ställer nya krav på transparens, samtycke och kontroll över hur uppgifterna används.
Frågan blir allt viktigare i takt med att AI-tjänster utvecklas till nya kanaler för sökning, kunddialog och kommersiell kommunikation.
Nationella beslut visar betydelsen av transparens och kontroll
Även på nationell nivå har flera beslut med direkt koppling till datadriven marknadsföring uppmärksammats.
I Frankrike har dataskyddsmyndigheten CNIL avslutat ett tillsynsärende mot Solocal Marketing Services efter att företaget infört nya rutiner för att kontrollera giltigheten i samtycken som samlas in av externa samarbetspartner. Företaget hade tidigare fått böter på 900 000 euro.
Beslutet visar att både automatiserade kontroller och mänsklig granskning kan bidra till bättre efterlevnad. Samtidigt kvarstår företagets ansvar för att samtyckena är giltiga.
I Irland har dataskyddsmyndigheten DPC beslutat om en sanktionsavgift på 403 miljoner euro mot Google efter en granskning av hur företaget behandlat platsdata.
Bristerna gäller bland annat laglig grund, transparens och lagring av personuppgifter. Beslutet understryker vikten av att användare förstår hur platsinformation kan användas för exempelvis annonsering och personalisering.
Nya plattformar och teknik för regelefterlevnad
FEDMA har också deltagit i en studie på uppdrag av EU-kommissionen om framväxten av alternativa sociala medier, där bland annat Bluesky, Mastodon och BeReal ingår.
Studien undersöker hur annonsörer och marknadsförare ser på möjligheten att fördela sina investeringar mellan fler plattformar och vilka faktorer som påverkar deras beslut.
Samtidigt visar en internationell undersökning från IAPP, med över 600 deltagare från 50 länder, ett växande intresse för Regulatory Technology, RegTech. Det handlar om tekniska lösningar som hjälper organisationer att hantera och följa komplexa regelverk.
Utvecklingen illustrerar hur både nya marknadsföringskanaler och teknik för regelefterlevnad kan påverka branschens arbetssätt framöver.
SWEDMA fortsätter att följa utvecklingen genom FEDMA och återkommer med nya uppdateringar om de frågor som påverkar förutsättningarna för ansvarsfull och konkurrenskraftig datadriven marknadsföring.
