Přeskočit na obsah
Návody a zdroje

Double opt-in a doložení souhlasu

Double opt-in (potvrzený odběr) znamená, že se člověk přihlásí k odběru, dostane e-mail s potvrzovacím odkazem a teprve po kliknutí na odkaz se stane odběratelem. Tento článek vysvětluje, jakou roli double opt-in hraje vzhledem k předpisům a k pravidlům velkých poštovních služeb.

Co říkají předpisy

Žádný z předpisů, o které se tento článek opírá (nařízení GDPR, směrnice 2002/58/ES, český zákon č. 480/2004 Sb. ani slovenský zákon č. 452/2021 Z. z.), double opt-in výslovně nepředepisuje. Předepisují ale výsledek, ke kterému double opt-in vede:

  • Doložitelnost. Čl. 7 odst. 1 GDPR: pokud je zpracování založeno na souhlasu, „musí být správce schopen doložit, že subjekt údajů udělil souhlas se zpracováním svých osobních údajů“.
  • Odpovědnost správce. Čl. 5 odst. 2 GDPR: správce musí být schopen dodržení zásad zpracování doložit.
  • Aktivní projev vůle. Čl. 4 bod 11 GDPR vyžaduje „prohlášení či jiné zjevné potvrzení“ a bod 32 odůvodnění vylučuje mlčení, předem zaškrtnutá políčka a nečinnost.
  • Uchování dokladu na Slovensku. § 116 ods. 5 zákona č. 452/2021 Z. z. ukládá uchovávat trvanlivé médium se zaznamenaným souhlasem nejméně čtyři roky od jeho odvolání.

Formulář bez potvrzení (single opt-in) neověří, že adresu zadal její držitel. Kliknutí na odkaz doručený na tuto adresu je záznam, že přihlášku potvrdil někdo s přístupem do schránky.

Co doporučují poštovní služby

Velké poštovní služby potvrzení odběru doporučují ve svých pravidlech pro odesílatele:

  • Gmail v části Subscription requirements and guidelines: „Confirm each recipient's email address before subscribing them.“
  • Yahoo v Sender Best Practices: „When users subscribe to your mailing list, send them an email asking them to click to confirm their opt-in.“ a „Reduce the number of invalid recipients by using double/confirm opt-in.“

Obě služby zároveň odrazují od předem zaškrtnutých políček (Gmail: „Avoid opt-in forms that are checked by default“, Yahoo doporučuje nepřihlašovat uživatele automaticky zaškrtnutým políčkem).

Co uložit jako doklad

Předpisy neurčují, jaké údaje má doklad obsahovat. Z povinnosti doložit, že konkrétní osoba dala konkrétní souhlas (čl. 7 odst. 1 GDPR), a z požadavku na informovaný a konkrétní souhlas (čl. 4 bod 11) vyplývá, že by doklad měl odpovědět na otázky kdo, kdy, kde, k čemu a jak:

OtázkaPříklad záznamu
Kdoe-mailová adresa, případně jméno
Kdyčas odeslání formuláře a čas potvrzení
Kdeadresa stránky s formulářem
K čemupřesné znění textu souhlasu a účel zpracování
Jakpotvrzení kliknutím na odkaz, IP adresa a prohlížeč při přihlášce

Zaznamenejte i odvolání souhlasu a jeho čas. Na Slovensku je potřeba odvolání adresátovi do 30 dní prokazatelně potvrdit a potvrzení uchovávat nejméně čtyři roky (§ 116 ods. 6 zákona č. 452/2021 Z. z.).

Potvrzovací e-mail a obchodní sdělení

Potvrzovací e-mail slouží k potvrzení přihlášky, kterou člověk sám podal. Pokud by obsahoval nabídku zboží, mohl by sám splňovat definici obchodního sdělení podle § 2 písm. f) zákona č. 480/2004 Sb. Bezpečnější je proto, když potvrzovací e-mail obsahuje jen potvrzení přihlášky. Slovenský zákon v § 116 ods. 4 zakazuje používat elektronickou poštu na účely získání předchozího souhlasu a výslovně nerozlišuje, zda jde o potvrzení přihlášky. Konkrétní postup u slovenských adresátů proto posuďte s advokátem (podrobněji v článku Slovenská úprava: zákon č. 452/2021 Z. z.).

Časté otázky

Je double opt-in povinný?

Výslovně ho nepředepisuje GDPR, směrnice 2002/58/ES, zákon č. 480/2004 Sb. ani zákon č. 452/2021 Z. z. Povinné je umět souhlas doložit (čl. 7 odst. 1 GDPR) a double opt-in je jeden ze způsobů, jak k tomu získat záznam.

Jak dlouho mám doklad uchovávat?

GDPR pevnou lhůtu nestanoví. Pro slovenské adresáty platí nejméně čtyři roky od odvolání souhlasu (§ 116 ods. 5 zákona č. 452/2021 Z. z.).

Stačí zaškrtávací políčko bez potvrzovacího e-mailu?

Políčko, které člověk sám zaškrtne, je prohlášení nebo zjevné potvrzení ve smyslu čl. 4 bodu 11 GDPR. Neověří ale, že adresu zadal její držitel. Předem zaškrtnuté políčko souhlasem není (bod 32 odůvodnění GDPR).

Související

Zdroje

Všechny články