Databeskyttelsesforordningen og databeskyttelsesloven indeholder en række særlige regler for markedsføring.
For det første har den registrerede ret til at gøre indsigelse mod behandling af sine personoplysninger med henblik direkte markedsføring. Hvis den registrerede fremsætter en sådan indsigelse, må personoplysningerne ikke længere anvendes til dette formål. Dette gælder også, hvis en dataansvarlig udfører profilering med henblik på markedsføring.
Den dataansvarlig skal uanset om den registrerede gør indsigelse eller ej sikre sig, at den registrerede ikke har frabedt sig henvendelser i markedsføringsøjemed.
For det andet må den dataansvarlige ikke videregive eller behandle personoplysninger om en forbruger til eller på vegne af en anden virksomhed med henblik på direkte markedsføring uden forbrugerens udtrykkelige samtykke efter markedsføringslovens § 10.
Dette forbud gælder ikke, hvis der er tale om "generelle kundeoplysninger", der danner grundlag for inddeling i kundekategorier, og hensynet til den registrerede ikke overstiger den erhvervsdrivendes interesse. Den dataansvarlige skal i dette tilfælde sikre sig, at forbrugeren ikke har frabedt sig henvendelser i markedsføringsøjemed via CPR. Generelle kundeoplysninger omfatter ikke detaljerede oplysninger om den registreredes forbrugsvaner, som for eksempel kundens køb af en bil på kredit eller hvilke varer forbrugeren har købt.
For det tredje må dataansvarlige, der med henblik på direkte markedsføring sælger fortegnelser over grupper af personer, eller som for en tredjemand foretager adressering eller udsendelse af meddelelser til disse gruppe, kun behandle følgende oplysninger:
- Oplysninger om navn, adresse, stilling, erhverv, e-mail-adresse, telefon- og telefaxnummer
- Oplysninger, der indgår i erhvervsregistre, som i henhold til lov er beregnet til at informere offentligheden
- Oplysninger, som den registrerede i overensstemmelse med markedsføringslovens § 10 har givet sit samtykke til blive behandlet
Følsomme oplysninger må aldrig indgå i den nævnte behandling.
Markedsføring skal endvidere overholde en række andre regler, der hører uden for databeskyttelsesretten og Datatilsynets kompetence.