Lovlig B2B-prospektering i Norge 2026: GDPR, markedsføringsloven og Reservasjonsregisteret

Hovedregelen i 2026 er ja: det er lovlig å prospektere mot norske bedrifter og mot personer i deres yrkesrolle, forutsatt at tre ting er på plass. Du må ha et behandlingsgrunnlag – for B2B-salg er det normalt berettiget interesse etter GDPR artikkel 6 nr. 1 bokstav f (Datatilsynet, 2026). Du må informere personene du har hentet opplysninger om, senest innen én måned eller ved første kontakt (artikkel 14, Datatilsynet, 2025). Og du må velge kanal etter markedsføringsloven: telefon og upersonlige adresser som post@firma.no er tillatt uten samtykke, mens e-post og SMS til en navngitt person krever forhåndssamtykke (§ 15, Forbrukertilsynet, 2026). Reservasjonsregisteret gjelder forbrukere, men enhver fysisk person kan reservere seg direkte hos deg, og den reservasjonen er bindende. Dette er ikke juridisk rådgivning – er du i tvil om din bransje eller målgruppe, avklar det med egen rådgiver før kampanjen starter.

De tre regelsettene du må forholde deg til

Forvirringen rundt «er dette lovlig?» kommer nesten alltid av at tre regelverk blandes sammen. De regulerer ulike ting og håndheves av ulike tilsyn.

1. GDPR: behandlingsgrunnlag, informasjon og protest

Hva er personopplysninger i B2B?

Opplysninger om et aksjeselskap – organisasjonsnummer, NACE-kode, omsetning, adresse – er ikke personopplysninger. Alt som kan knyttes til en fysisk person, er det: navnet på daglig leder, tittelen, jobbmobilen, en personlig e-postadresse. At personen opptrer i en yrkesrolle, tar ikke opplysningene ut av GDPR. For enkeltpersonforetak er hele posten personopplysninger, fordi foretaket er identisk med innehaveren. Nesten alle prospektlister inneholder derfor personopplysninger, og du blir behandlingsansvarlig for dem.

Berettiget interesse – de tre vilkårene

Datatilsynet beskriver berettiget interesse som et rettslig grunnlag du kan bruke når tre vilkår er oppfylt, og anbefaler at vurderingen dokumenteres (Datatilsynet, oppdatert 17. mars 2026):

1. Det foreligger en berettiget interesse. Interessen må være lovlig, klart definert på forhånd, reell og saklig begrunnet i virksomheten. Å selge produktet ditt til selskaper som kan ha nytte av det, er en reell og saklig interesse.
2. Behandlingen er nødvendig for formålet. Du kan ikke oppnå formålet like effektivt på en mindre inngripende måte. Det taler for å lagre navn, rolle og jobbkontakt – og mot å lagre privatadresse, fødselsdato eller opplysninger fra private profiler.
3. Interesseavveiningen går i din favør. Du veier din interesse mot personens rettigheter og forventninger. Datatilsynet spør blant annet: kan personen med rimelighet forvente behandlingen, hvor sensitive er opplysningene, og finnes det en mulighet til å reservere seg?

En daglig leder som står med navn og rolle i Brønnøysundregistrene, må rimelig forvente at leverandører tar kontakt i jobbsammenheng. Det er kjernen i hvorfor B2B-prospektering normalt består interesseavveiningen – så lenge du holder deg til yrkesrelaterte opplysninger og gir en enkel vei ut. Skriv ned vurderingen.

Informasjonsplikten når du henter data fra tredjepart (art. 14)

Når du henter personopplysninger fra andre enn personen selv – et register, en kjøpt liste, et verktøy som Mynk – har du plikt til å informere. Datatilsynet oppsummerer fristen slik: innen rimelig tid, senest én måned etter at du hentet opplysningene, og senest ved første kontakt hvis den kommer før (Datatilsynet, 2025). Du skal blant annet fortelle hvem du er, hvilke typer opplysninger du har, hvor de er hentet fra – og om kilden er offentlig tilgjengelig – hva formålet er, behandlingsgrunnlaget, hvor lenge du lagrer, og hvilke rettigheter personen har.

I praksis løser de fleste dette med en personvernerklæring for prospektering på nettsiden, pluss en setning i første henvendelse: «Vi har hentet navn og rolle fra Brønnøysundregistrene og kontaktinfo fra selskapets nettside – les mer på [lenke].» Artikkel 14 nr. 5 bokstav b åpner for unntak når informasjon er umulig eller krever uforholdsmessig stor innsats; da må du treffe egnede tiltak, for eksempel gjøre informasjonen offentlig tilgjengelig (lovdata.no). Om unntaket dekker vanlig B2B-prospektering, er ikke avklart av norske tilsyn så vidt vi vet. Ikke basér deg på det.

Retten til å protestere (art. 21)

Når du bruker berettiget interesse som grunnlag, har personen rett til å protestere mot behandlingen (Datatilsynet, 2026). Et «ikke kontakt meg igjen» i en samtale er en slik protest. Loggfør det på organisasjonsnummer og person, ikke bare hos selgeren som fikk beskjeden.

2. Markedsføringsloven § 15: e-post, SMS og meldinger

Markedsføringsloven § 15 første ledd forbyr, uten forutgående samtykke, å rette markedsføringshenvendelser til fysiske personer ved elektroniske kommunikasjonsmetoder som tillater individuell kommunikasjon – e-post, telefaks og talemaskin nevnes som eksempler. Andre ledd unntar muntlig kontakt på telefon. Tredje ledd unntar e-post i eksisterende kundeforhold (lovdata.no, 2026). Merk ordet «fysiske personer»: Forbrukertilsynet påpeker i veilederen at samtykke må innhentes fra enhver fysisk person, ikke bare fra forbrukere.

post@firma.no eller fornavn.etternavn@firma.no?

Dette er spørsmålet alle stiller, og Forbrukertilsynet svarer presist i veilederen for markedsføring via e-post og SMS, punkt 2.4 (sist endret 8. mai 2026). Henvendelser som sendes til en fysisk persons individuelle e-postadresse på jobben, for eksempel ola.nordmann@firmaX.no, er omfattet av forbudet – uansett om e-posten inneholder tilbud til virksomheten. Forbudet gjelder også selv om adressen er registrert som kontaktadresse til et foretak i Brønnøysundregistrene eller et annet firmaregister. Derimot er det tillatt å sende markedsføring til e-postadresser som ikke tilhører en bestemt fysisk person, som post@firmaX.no.

Veilederen legger til at det i tvilstilfeller vil bli konstatert brudd dersom reklame faktisk er sendt til adresser som tilhører fysiske personer. Konsekvensen: en kald e-postkampanje til daglig ledere på personlige jobbadresser er ulovlig i Norge uten samtykke, uansett hvor relevant tilbudet er. Bruk post@-adresser, telefon eller brev til første kontakt, og be om samtykke til videre e-post i samtalen.

Hva med LinkedIn-meldinger?

Forbrukertilsynets veileder sier at hensynene bak § 15 «i like stor grad» gjør seg gjeldende for sosiale medier, med Facebook og Twitter som eksempler. Den tar ikke stilling til LinkedIn-meldinger til en person i yrkesrolle, og vi kjenner ikke til noen norsk avgjørelse om det. Behandle uoppfordrede salgsmeldinger på LinkedIn som en gråsone.

Unntaket for eksisterende kundeforhold

Har du mottatt kundens e-postadresse i forbindelse med et salg, kan du sende e-post om egne, tilsvarende ytelser uten nytt samtykke, så lenge kunden enkelt og gebyrfritt kan reservere seg ved innsamlingen og i hver henvendelse (mfl. § 15 tredje ledd). Unntaket gjelder kunder, ikke prospekter. Ehandelsloven § 9 krever i tillegg at det fremgår hvem markedsføringen skjer på vegne av, og at uanmodet e-post er merket som markedsføring.

3. Telefonsalg og Reservasjonsregisteret

Telefon er juridisk den enkleste kanalen i B2B, fordi § 15 annet ledd uttrykkelig unntar muntlig kontakt på telefon fra samtykkekravet. Reglene som gjelder, står i §§ 12–14 og 16, og de fleste er skrevet for forbrukere:

• § 12 første ledd: forbud mot telefonmarkedsføring mot forbrukere som har reservert seg i Reservasjonsregisteret. Forbrukertilsynets veileder for telefonsalg (oppdatert 16. september 2026) sier det rett ut: «Det er kun forbrukere som kan reservere seg i Reservasjonsregisteret. En slik reservasjon gjelder dermed ikke ved markedsføring til en fysisk person i dens egenskap av å være næringsdrivende.»
• § 12 annet ledd: forbud mot telefonmarkedsføring mot fysiske personer som har reservert seg direkte hos den næringsdrivende. Ifølge samme veileder kan «både forbrukere, næringsdrivende, arbeidstakere og andre fysiske personer» reservere seg direkte hos deg. Dette gjelder altså fullt ut i B2B.
• § 13 a: plikt til å vaske adresseregisteret mot Reservasjonsregisteret før første henvendelse og hver måned det markedsføres (registeret inneholder bare forbrukere, så plikten treffer lister med privatpersoner og private numre) – og plikt til å legge til rette for enkel, gebyrfri direkte reservasjon.
• § 14: forbud mot telefonmarkedsføring til forbrukere på lørdager, helgedager og på virkedager før kl. 09.00 og etter kl. 21.00, og fra skjult nummer. Igjen: forbrukere.
• § 16: ved uanmodet telefonmarkedsføring skal den næringsdrivende opplyse hvem som har gitt personopplysningene som ligger til grunn for henvendelsen, og der det er relevant informere om retten til å reservere seg. Første ledd er ikke begrenset til forbrukere. Ha svaret klart: «Navn og rolle er hentet fra Brønnøysundregistrene.»

Hvordan du bygger og holder ringelister rene, og hvordan du åpner samtalen, går vi gjennom i guiden til cold calling i Norge. Kortversjonen: presenter deg, si hvor du har opplysningene fra, og noter enhver reservasjon.

Enkeltpersonforetak og aksjeselskap: hva er forskjellen?

Her er kildene tydeligere enn mange tror. Brønnøysundregistrene skriver om Reservasjonsregisteret: «Ordningen gjelder for privatpersoner. Næringsdrivende virksomheter og andre juridiske personer (for eksempel enkeltpersonforetak) kan ikke reservere seg» (brreg.no, sist oppdatert 8. juli 2026). Et enkeltpersonforetak kan altså ikke reservere seg som foretak, og Forbrukertilsynet legger til grunn at en forbrukerreservasjon ikke gjelder når personen kontaktes i egenskap av næringsdrivende.

Men innehaveren er en fysisk person med tre konsekvenser. For det første er alle opplysninger om foretaket personopplysninger, så GDPR gjelder fullt ut – behandlingsgrunnlag, informasjon, protest. For det andre kan innehaveren reservere seg direkte hos deg etter § 12 annet ledd, og ved e-post gjelder § 15 uansett. For det tredje er nummeret til et ENK ofte innehaverens private mobil, som kan være reservert som forbruker. Ringer du det nummeret om noe som ikke klart gjelder næringsvirksomheten, er du i en gråsone. Vår anbefaling er derfor å vaske ENK-numre mot Reservasjonsregisteret likevel, og å holde henvendelsen tydelig knyttet til foretakets virksomhet. For aksjeselskaper er bildet enklere: selskapet kan ikke reservere seg, personene i det kan reservere seg direkte hos deg, og e-post til personlige adresser krever samtykke.

Slik må et verktøy som Mynk håndtere dette

Mynk er et norsk AI-prospekteringsverktøy fra SalesUp Norway AS som finner selskaper, beslutningstakere og kontaktinfo basert på Brønnøysund-data. Når du vurderer et prospekteringsverktøy – Mynk eller et annet – er dette kravene du bør stille, og slik løser Mynk dem:

• Datakilder du kan redegjøre for. Mynks database bygger på Brønnøysundregistrene (organisasjonsnummer, NACE-kode, omsetning, ansatte, styre og daglig leder) og AI-berikelse fra selskapenes egne nettsider og andre åpne, lovlige kilder. Ingen særlige kategorier av personopplysninger etter GDPR artikkel 9 samles inn.
• Sporbarhet per datapunkt. For hvert datapunkt kan Mynk dokumentere hvilken kilde det stammer fra og når det sist ble oppdatert. Det er dette du trenger for å oppfylle artikkel 14 og § 16.
• Roller og databehandleravtale. Mynk er dataansvarlig for selve selskapsdatabasen og databehandler for listene du selv bygger og eksporterer. En databehandleravtale (DPA) er tilgjengelig for kunder som trenger den til egen dokumentasjon, via personvern@mynk.no.
• Rettigheter for de registrerte. Innsyn, retting, sletting, dataportabilitet og protest håndteres via personvern@mynk.no med 30 dagers svarfrist. Feil i data kan flagges direkte i plattformen og behandles innen to virkedager.
• Ferske data. Endringer i Brønnøysundregistrene speiles innen 24–72 timer, slik at du ikke ringer slettede selskaper eller daglig ledere som har gått av.
• Ingen videresalg. Mynk selger ikke data til tredjepart og bygger ikke atferdsprofiler på enkeltpersoner.

Det verktøyet ikke kan gjøre for deg, er interesseavveiningen, personvernerklæringen og kanalvalget – det er din vurdering som behandlingsansvarlig. Detaljene om Mynks behandling står på siden om GDPR og personvern; byråer som prospekterer for flere kunder finner sitt oppsett på siden for byråer.

Sjekkliste før du starter en kampanje

1. Skriv ned interesseavveiningen (Datatilsynets tre vilkår) og dater den.
2. Publiser en personvernerklæring for prospektering som dekker artikkel 14: hvem du er, hvilke opplysninger, hvor de kommer fra, formål, grunnlag, lagringstid, rettigheter.
3. Begrens feltene til det yrkesrelaterte: navn, rolle, selskap, jobbtelefon, e-post.
4. Merk hver e-postadresse som upersonlig (post@, kontakt@) eller personlig. Personlige adresser får ikke kald e-post uten samtykke.
5. Velg telefon, brev eller post@ til første kontakt. Be om samtykke til e-post i samtalen, og dokumenter det.
6. Forbered § 16-svaret: «Navn og rolle er hentet fra Brønnøysundregistrene, kontaktinfo fra selskapets nettside.»
7. Vask mot Reservasjonsregisteret hvis listen inneholder enkeltpersonforetak eller private numre – før første henvendelse og deretter månedlig.
8. Opprett ett felt for direkte reservasjon og protest, delt på tvers av selgere og systemer.
9. Inngå databehandleravtale med verktøyleverandøren og med byrået som eventuelt ringer for deg.
10. Sett en sletteregel: kontakter uten aktivitet på 12–18 måneder slettes eller verifiseres på nytt.

Hva skjer ved brudd?

Forbrukertilsynet kan ilegge overtredelsesgebyr etter markedsføringsloven § 42 for brudd på blant annet §§ 12, 13, 13 a, 14, 15 og 16, når overtredelsen er forsettlig eller uaktsom og enten vesentlig eller gjentatt (lovdata.no). Loven fastsetter ikke et maksbeløp; det avgjøres etter forskrift og praksis. Praksis viser nivået: Postnord fikk 600 000 kroner for SMS-reklame uten dokumentert samtykke til over 855 000 mottakere (E24, mai 2019), og Mediafy Magazines fikk 50 000 kroner for rundt 100 000 e-poster uten samtykke (Markedsrådet, 2010, gjengitt i Forbrukertilsynets veileder). Veilederen påpeker også at Forbrukertilsynet i flere saker har fattet vedtak mot styreleder eller daglig leder personlig.

Datatilsynet kan ilegge overtredelsesgebyr etter GDPR artikkel 83. Brudd på de grunnleggende prinsippene og behandlingsgrunnlaget (artikkel 5–7) og på de registrertes rettigheter (artikkel 12–22) ligger i det øverste nivået: inntil 20 millioner euro eller 4 % av global årsomsetning, det høyeste av de to (lovdata.no). Brudd på databehandleravtale og sikkerhet (artikkel 25–39) ligger i nivået under: inntil 10 millioner euro eller 2 %. I tillegg kommer krav om innsyn og sletting fra de registrerte, og et omdømme som er vanskeligere å reparere enn et gebyr.

Alt over er håndterbart med én times forberedelse og et felt for reservasjon i CRM-et. Selskapene som gjør det ordentlig, får også bedre svar – fordi de kan si hvor de har nummeret fra og hvorfor de ringer.