For behandlere · Regelverk

Nyhetsbrev til pasienter: reglene du må kjenne

Et nyhetsbrev virker som den mest uskyldige formen for markedsføring som finnes. For behandlere er det motsatt: kombinasjonen av markedsføringsloven, personvernregelverket og taushetsplikten gjør at et nyhetsbrev sendt til pasientlisten din kan være tre regelbrudd i én utsendelse. Denne gjennomgangen forklarer hvorfor, og hva du kan gjøre i stedet.

Oppdatert august 2026 13 min lesetid 6 kilder

Markedsføringsloven § 15: samtykke først

Utgangspunktet er klart. Markedsføringsloven § 15 forbyr i næringsvirksomhet å rette markedsføringshenvendelser til fysiske personer med elektroniske kommunikasjonsmetoder som tillater individuell kommunikasjon – e-post, SMS og lignende – uten at mottakeren har samtykket på forhånd.

Fire ting utløser kravet, ifølge Datatilsynets gjennomgang: utsendelsen skjer i næringsvirksomhet og har et markedsføringsformål, den skjer med en elektronisk metode som tillater individuell kommunikasjon, den er rettet mot en bestemt fysisk person, og det foreligger ikke et eksisterende kundeforhold.

Merk hvor bredt «markedsføring» er. Et nyhetsbrev som forteller om ledige timer, nye behandlingstilbud, kurs eller «husk å bestille kontroll» er markedsføring, selv om det er nyttig informasjon og selv om det er skrevet i vennlig tone. Et brev som utelukkende gjelder en konkret avtale du allerede har med pasienten – en timepåminnelse – er noe annet.

Unntaket for eksisterende kundeforhold

Loven har et begrenset unntak. Har du fått mottakerens elektroniske adresse i forbindelse med et salg, kan du bruke den til markedsføring av egne, tilsvarende varer eller tjenester, forutsatt at kunden gis anledning til enkelt og gebyrfritt å reservere seg både ved innsamlingen og i hver enkelt melding.

Det er dette unntaket de fleste bygger nyhetsbrevet sitt på. For helsetjenester er det svært tvilsomt, av tre grunner:

Unntaket er snevert. Det gjelder tilsvarende ytelser, ikke alt du måtte finne på å tilby. Forbrukertilsynet har lagt en streng linje til grunn i sin veiledning.
Kundeforholdet er ikke evigvarende. En pasient du behandlet i 2021 er ikke en løpende kunde i 2026.
Og viktigst: selv om markedsføringsloven skulle tillate utsendelsen, må du fortsatt ha et gyldig grunnlag etter personvernregelverket for å behandle opplysningene til markedsføringsformål. De to regelsettene gjelder parallelt, og for helseopplysninger er det siste betydelig strengere.

To lover, to vurderinger

Å ha lov etter markedsføringsloven betyr ikke å ha lov etter personvernforordningen. Markedsføringsloven regulerer henvendelsen. Personvernregelverket regulerer behandlingen av opplysningene. Og for behandlere kommer taushetsplikten etter helsepersonelloven § 21 på toppen – den er strengere enn begge, og den er grunnen til at du ikke engang kan bekrefte at en navngitt person er pasient hos deg. Tre regelsett må være oppfylt samtidig, ikke ett av dem.

De fleste stopper på spørsmål to uten å vite det, fordi listen ble bygget ved å eksportere e-postadresser fra bookingsystemet. Da er utsendelsen et personvernspørsmål før den i det hele tatt er et markedsføringsspørsmål.

Det største problemet: pasientlisten er helseopplysninger

Dette er poenget som får hele diskusjonen til å snu, og som er nesten fraværende i vanlig markedsføringsråd til behandlere.

En pasientliste er ikke en kundeliste. Den er en liste over personer som har vært hos en behandler – altså en samling helseopplysninger, i personvernforordningens forstand særlige kategorier av personopplysninger. Det gjelder selv om listen bare inneholder navn og e-postadresse, fordi selve tilknytningen til deg er opplysningen. Er du psykolog, er listen en liste over personer som har gått til psykolog. Er du gynekolog eller rusbehandler, er den enda mer sensitiv.

Konsekvensene:

Å bruke listen til markedsføring er å bruke helseopplysninger til et formål som ikke er helsehjelp. Det krever et selvstendig grunnlag, og det grunnlaget vil normalt måtte være et uttrykkelig samtykke – gitt til nettopp dette.
Formålsbegrensningen gjelder. Opplysninger samlet inn for å yte helsehjelp kan ikke uten videre gjenbrukes til markedsføring.
En lekkasje av mottakerlisten røper behandlingsforhold. Det er ikke en e-postliste på avveie – det er taushetsbelagte opplysninger på avveie.

Se GDPR og Normen i praksis for hvorfor helseopplysninger står i en egen kategori, og hvorfor samtykke er riktig grunnlag akkurat her selv om det er feil grunnlag for journalføring.

Feilsendt nyhetsbrev er et personvernbrudd

Den klassiske ulykken: nyhetsbrevet sendes med alle adressene i «Til»- eller «Kopi»-feltet i stedet for blindkopi. Alle mottakerne ser hverandre. For en vanlig bedrift er det pinlig. For en behandler er det et brudd på taushetsplikten overfor hver enkelt på listen, samtidig.

Slike hendelser skal håndteres som brudd på personopplysningssikkerheten:

Stopp spredningen først. Be mottakerne slette og bekrefte sletting. Trekk tilbake meldingen der systemet tillater det.
Dokumenter hva som ble sendt, til hvem, når, og hvor mange som var eksponert.
Vurder risikoen for de registrerte – ikke for deg. Hvilken opplysning ble avslørt, og for hvem?
Meld til Datatilsynet innen 72 timer med mindre det er lite sannsynlig at bruddet medfører risiko. Ved en liste med behandlingsforhold vil terskelen normalt være overskredet.
Varsle de berørte ved høy risiko, i klart språk.
Dokumenter internt uansett utfall, også når du konkluderer med at bruddet ikke skal meldes.

§ 15i markedsføringsloven krever forhåndssamtykke

72 ter fristen for å melde brudd til Datatilsynet

2atskilte lister er hele løsningen

Hva som da faktisk er lov

Løsningen er ikke komplisert, men den krever at du gir opp ideen om å bruke pasientlisten. Bygg i stedet en helt separat nyhetsbrevliste, med åpen påmelding på nettsiden, der hvem som helst kan melde seg – interesserte, kolleger, tidligere pasienter som selv velger det, folk som fant en fagartikkel du skrev.

Poenget med skillet er ikke bare formelt. Er listene atskilte, blir en feilsending pinlig framfor alvorlig, fordi mottakerlisten da ikke røper noe behandlingsforhold.

Praktisk oppsett:

Påmeldingsskjema på nettsiden, åpent for alle, med tydelig beskrivelse av hva du sender og hvor ofte.
Bekreftelseslenke på e-post før adressen legges til. Det dokumenterer samtykket og hindrer at noen melder på andre.
Ingen felt om helse. Navn og e-post holder. Ikke spør om diagnose, ikke gi valg av «tema» som i praksis røper en helsetilstand.
Aldri manuell import fra journalsystem, bookingsystem eller regnskap.
Du kan gjerne nevne nyhetsbrevet i praksisen – en QR-kode i venterommet eller en setning på nettsiden – men påmeldingen må pasienten gjøre selv.

Utsendelse	Lov?	Merknad
Timepåminnelse med tidspunkt, sted og virksomhetsnavn	Ja	Del av helsehjelpen. Ingen diagnose eller fagområde i avsendernavnet.
Praktisk beskjed om endret åpningstid til pasienter med avtale	Ja	Knyttet til en konkret avtale, ikke markedsføring.
Nyhetsbrev til alle som har vært pasient	Nei	Bruk av helseopplysninger til markedsføring uten gyldig grunnlag.
«Vi har ledige timer»-kampanje til tidligere pasienter	Nei	Markedsføring etter § 15, og gjenbruk av pasientdata.
Nyhetsbrev til åpen påmeldingsliste	Ja	Krever dokumentert samtykke, avmelding i hver utsendelse og databehandleravtale.
Innkalling til kontroll der det følger av behandlingsopplegget	Vurderes konkret	Kan være del av helsehjelpen. Skriv ned begrunnelsen, og hold innholdet nøytralt.
Fagartikkel publisert åpent på nettsiden	Ja	Ingen personopplysninger involvert i det hele tatt.

Har du allerede en blandet liste?

Da er det ryddigste å starte på nytt. Send én siste utsendelse – med blindkopi – der du forklarer at du legger om, og be folk melde seg på den nye listen via en lenke. Regn med at du mister de fleste. Det er poenget: de som melder seg på igjen, har gitt et samtykke du faktisk kan dokumentere. Slett deretter den gamle listen, og skriv i avviksoversikten hva som var situasjonen og hva du gjorde med den.

Innholdet: nøkternhetskravet gjelder her også

Et nyhetsbrev er markedsføring av helsetjenester, og da gjelder de samme kravene som ellers: markedsføringen skal være forsvarlig, nøktern og saklig, og påstander skal kunne dokumenteres. Driver du alternativ behandling, er kravene strengere igjen. Se markedsføringsreglene for helsepersonell og markedsføring for alternative behandlere.

To ting til om innholdet:

Ingen helseopplysninger i e-post. Ikke om mottakeren, og ikke om andre. Ingen pasienthistorier, heller ikke «anonymiserte» – i et lite lokalmiljø er de sjelden anonyme. Se sosiale medier og taushetsplikt, der problemet er det samme.
Ingen pasientutsagn eller omtaler uten at du har kontroll på grunnlaget. Reglene om dette er sammensatte, og strengere for alternativ behandling. Se pasientomtaler og anmeldelser.

Samtykke som holder, og avmelding

Et samtykke som skal fungere som grunnlag, må være frivillig, spesifikt, informert og utvetydig – og like lett å trekke tilbake som å gi. Det betyr i praksis:

Aktiv handling. Ingen forhåndsavkryssede bokser, og ingen «ved å bestille time samtykker du til …».
Spesifikt. Samtykke til nyhetsbrev, ikke til «markedsføring» generelt.
Informert. Hva du sender, hvor ofte, hvem som er behandlingsansvarlig, hvor lenge du lagrer adressen og hvordan man melder seg av.
Dokumenterbart. Logg tidspunkt, hvilket skjema og hvilken tekst som ble vist. Dette er ditt bevis hvis Forbrukertilsynet spør.
Avmelding i hver eneste utsendelse, med én lenke som virker, uten innlogging og uten gebyr. Avmeldinger skal effektueres umiddelbart.
Ikke koble avmelding til behandlingen. Å melde seg av nyhetsbrevet skal ikke ha noen konsekvens for pasientforholdet, og det skal ikke registreres i journalen.

E-postverktøyet og databehandleravtalen

E-postverktøyet du bruker, er en databehandler. Det utløser krav om skriftlig databehandleravtale, og du bør vite:

Hvor dataene lagres, og om de overføres ut av EØS. Mange populære verktøy har amerikanske leverandører.
Hvilke underleverandører som brukes.
Hva som logges. Åpningssporing og klikksporing lager en atferdsprofil. På en liste med helserelatert innhold bør du vurdere å skru det av – og uansett informere om det.
Hvor lenge data oppbevares, og hva som skjer ved oppsigelse.
Hvordan de varsler ved brudd, og innen hvilken frist.

Gjennomgangen av leverandørkrav generelt står i GDPR og Normen i praksis, og valg av e-postløsning og avsenderidentitet i domene, e-post og digital identitet.

Alternativet som ofte er bedre

Her er den praktiske konklusjonen mange lander på når de har regnet på det: publiser fagstoffet åpent i stedet.

En artikkel på din egen nettside om det pasientene faktisk lurer på, har flere fordeler enn et nyhetsbrev. Den finnes når folk søker, ikke bare den dagen du sender. Den krever ingen liste, ingen samtykkeadministrasjon og ingen databehandleravtale. Den kan deles av andre. Og den bygger den faglige synligheten som gjør at nye pasienter finner deg – som er det nyhetsbrevet egentlig skulle løse.

Se fagblogg som synlighetskanal for hvordan du gjør det, og lokal SEO for behandlere for hvordan innholdet kobles til søk i din by. Behandlingsnett er én av flere kanaler i det bildet, ved siden av egen nettside og bedriftsprofil.

Vil du likevel ha nyhetsbrev, er det fullt mulig – bare bygg listen riktig fra dag én. Å rydde opp i en liste som er blandet med pasientdata, er langt mer arbeid enn å starte på nytt.

Spørsmålet er ikke om du har lov til å sende e-post. Det er om listen du sender til, i seg selv forteller noe om folks helse. Gjør den det, er du i feil regelverk.

Synlighet uten juridisk risiko

Åpent publisert fagstoff, en oppdatert bedriftsprofil og en oppføring der folk leter, gir varig synlighet uten å bruke pasientopplysninger til noe de ikke er samlet inn for. Behandlingsnett er en uavhengig katalog med over 12 000 behandlere i 14 fagområder. Prøveperioden er 14 dager uten kostnad.

Se hvordan oppføring fungerer

Fagblogg Markedsføringsregler Personvern Nettside

Spørsmål og svar

Kan jeg sende nyhetsbrev til alle som har vært pasient hos meg?

Nei, som hovedregel ikke. Markedsføringsloven § 15 krever forhåndssamtykke for elektronisk markedsføring til fysiske personer, og unntaket for eksisterende kundeforhold er snevert og tvilsomt for helsetjenester. I tillegg er pasientlisten i seg selv helseopplysninger, og å bruke den til markedsføring krever et selvstendig grunnlag etter personvernregelverket. Bygg heller en separat påmeldingsliste.

Er en timepåminnelse på SMS også markedsføring?

Nei. En påminnelse om en avtale pasienten allerede har, er del av helsehjelpen og ikke en markedsføringshenvendelse. Den kan inneholde tidspunkt, sted, virksomhetsnavn og avbestillingsfrist – ingenting mer. Pass på at avsendernavnet ikke røper fagområde, og legg ikke inn tilbud eller kampanjer i samme melding, da endrer den karakter.

Hva gjør jeg hvis jeg har sendt nyhetsbrevet med alle adressene synlige?

Behandle det som et brudd på personopplysningssikkerheten. Be mottakerne slette og bekrefte, dokumenter hva som ble sendt og til hvem, og vurder risikoen for de registrerte. Var listen bygget på pasientforhold, er behandlingsforhold avslørt, og bruddet skal normalt meldes til Datatilsynet innen 72 timer. Varsle de berørte ved høy risiko, og dokumenter internt uansett utfall.

Kan jeg legge til folk på listen hvis de har krysset av på et skjema i resepsjonen?

Bare hvis avkrysningen er en reell, aktiv og spesifikk handling for nettopp nyhetsbrevet, og du kan dokumentere den. Problemet med papirskjema i resepsjonen er at samtykket lett blir del av en generell pasientavtale, og at listen dermed igjen bindes til pasientforholdet. Et åpent påmeldingsskjema på nettsiden med bekreftelse på e-post er både enklere og tryggere.

Må avmelding være med i hver utsendelse?

Ja. Mottakeren skal enkelt og gebyrfritt kunne reservere seg, både ved innsamling av adressen og i hver enkelt melding. Avmelding skal fungere med én lenke, uten innlogging, og effektueres umiddelbart. Den skal heller ikke ha noen konsekvens for pasientforholdet, og bør ikke registreres i journalen.

Kan jeg bruke åpnings- og klikksporing?

Teknisk ja, men tenk gjennom hva du bygger. Sporing på et nyhetsbrev med helserelatert innhold lager en profil over hvem som interesserer seg for hva – og på en liste knyttet til en behandlerpraksis blir det raskt følsomt. Vurder å skru sporingen av, informer om den hvis du beholder den, og kontroller hva e-postleverandøren lagrer og hvor lenge.

Hva om nyhetsbrevet bare inneholder generelt fagstoff?

Innholdet endrer ikke at utsendelsen er en markedsføringshenvendelse hvis den fremmer virksomheten din, og det endrer ikke hva listen består av. Generelt fagstoff er likevel klart best egnet som innhold, og det peker mot en enklere løsning: publiser det åpent på nettsiden i stedet. Da trenger du verken liste, samtykke eller databehandleravtale.

Hvem fører tilsyn med dette?

Forbrukertilsynet fører tilsyn med markedsføringsloven, inkludert § 15 og kravene til dokumentasjon av påstander. Datatilsynet fører tilsyn med personvernregelverket, inkludert behandlingsgrunnlag og avvikshåndtering. Statsforvalteren og Statens helsetilsyn håndterer helsepersonellovens krav, blant annet taushetsplikt og kravet om nøktern markedsføring. Én utsendelse kan altså gi tre ulike løp.

Kilder

Lovdata. Markedsføringsloven – § 15 om begrensninger i bruk av visse kommunikasjonsmetoder.
Forbrukertilsynet. Veiledning om markedsføring via e-post, SMS o.l. – samtykkekravet og rekkevidden av kundeforholdsunntaket.
Datatilsynet. Nyhetsbrev, e-postlister og SMS – forholdet mellom markedsføringsloven og personvernforordningen.
Datatilsynet. Avvikshåndtering – 72-timersfristen og hva som skal meldes.
Datatilsynet. Særlige kategorier av personopplysninger – hvorfor helseopplysninger er en egen kategori.
Lovdata. Helsepersonelloven – § 13 om markedsføring av helsetjenester og § 21 om taushetsplikt.

Denne artikkelen er generell informasjon til behandlere og er ikke juridisk rådgivning. Regelverk og tilsynspraksis endres – kontroller alltid mot gjeldende lovtekst på lovdata.no, mot Forbrukertilsynets veiledninger, mot Datatilsynets veiledninger og mot din egen profesjons retningslinjer, og søk profesjonell bistand ved tvil.