Přeskočit na obsah
Návody a zdroje

GDPR a e-mail marketing: právní základ, souhlas a námitka

Nařízení Evropského parlamentu a Rady (EU) 2016/679, obecné nařízení o ochraně osobních údajů (GDPR), se použije na každé zpracování osobních údajů, tedy i na databázi příjemců newsletteru. Tento článek shrnuje ustanovení, která se e-mail marketingu týkají nejčastěji. Citace jsou z českého znění nařízení.

Dvě vrstvy pravidel

Pro rozesílání obchodních sdělení platí současně dva soubory pravidel:

Vztah obou vrstev upravuje čl. 95 GDPR: nařízení „neukládá žádné další povinnosti fyzickým nebo právnickým osobám, pokud jde o zpracování ve spojení s poskytováním veřejně dostupných služeb elektronických komunikací ve veřejných komunikačních sítích v Unii, co se týče záležitostí, u nichž se na ně vztahují konkrétní povinnosti s týmž cílem stanovené ve směrnici 2002/58/ES“.

Kdy jde o osobní údaje

Podle čl. 4 bodu 1 jsou osobními údaji „veškeré informace o identifikované nebo identifikovatelné fyzické osobě“. Identifikovatelnou osobu lze podle téže definice identifikovat přímo či nepřímo, například odkazem na jméno, identifikační číslo nebo síťový identifikátor. Adresa ve tvaru jmeno.prijmeni@example.cz i záznam o tom, že ji její držitel otevřel nebo klikl na odkaz, jsou tedy informace o identifikovatelné osobě.

Právní základ: souhlas nebo oprávněný zájem

Zpracování je zákonné jen tehdy, když platí aspoň jeden z důvodů v čl. 6 odst. 1. Pro marketing se uplatňují hlavně dva:

  • písm. a): „subjekt údajů udělil souhlas se zpracováním svých osobních údajů pro jeden či více konkrétních účelů“,
  • písm. f): „zpracování je nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů“.

Bod 47 odůvodnění uvádí: „Zpracování osobních údajů pro účely přímého marketingu lze považovat za zpracování prováděné z důvodu oprávněného zájmu.“ Tato věta se týká právního základu pro zpracování údajů. Zda smíte konkrétní obchodní sdělení poslat elektronickou poštou, určují samostatně předpisy z předchozí části (v Česku § 7 zákona č. 480/2004 Sb., na Slovensku § 116 zákona č. 452/2021 Z. z.).

Co musí splňovat souhlas

Čl. 4 bod 11 definuje souhlas jako „jakýkoli svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů“. Podmínky stanoví čl. 7:

  1. Doložitelnost (odst. 1): pokud je zpracování založeno na souhlasu, „musí být správce schopen doložit, že subjekt údajů udělil souhlas se zpracováním svých osobních údajů“.
  2. Oddělení od jiných textů (odst. 2): je-li souhlas součástí písemného prohlášení, které se týká i jiných skutečností, musí být žádost o vyjádření souhlasu předložena „způsobem, který je od těchto jiných skutečností jasně odlišitelný, a je srozumitelný a snadno přístupný“.
  3. Odvolání (odst. 3): subjekt údajů má právo souhlas kdykoli odvolat, je o tom informován před udělením souhlasu a „odvolat souhlas musí být stejně snadné jako jej poskytnout“. Odvolání nemá vliv na zákonnost zpracování před ním.
  4. Svoboda (odst. 4): při posuzování, zda je souhlas svobodný, se zohlední, zda je plnění smlouvy podmíněno souhlasem se zpracováním, které pro plnění smlouvy není nutné.

Bod 32 odůvodnění dodává: „Mlčení, předem zaškrtnutá políčka nebo nečinnost by tudíž neměly být považovány za souhlas.“ Jak souhlas prakticky doložit, popisuje článek Double opt-in a doložení souhlasu.

Námitka proti přímému marketingu

Čl. 21 dává příjemcům zvláštní právo, které platí bez ohledu na to, zda se zpracování opírá o souhlas, nebo o oprávněný zájem:

  • odst. 2: pokud se osobní údaje zpracovávají pro účely přímého marketingu, má subjekt údajů právo „vznést kdykoli námitku“ proti zpracování pro tento marketing, včetně profilování, které s ním souvisí,
  • odst. 3: po námitce „nebudou již osobní údaje pro tyto účely zpracovávány“,
  • odst. 4: na toto právo musí být subjekt údajů výslovně upozorněn „nejpozději v okamžiku první komunikace“, zřetelně a odděleně od jiných informací.

Možnost odhlásit se proto vyplývá jak z čl. 21 GDPR, tak z pravidel pro elektronické komunikace, která vyžadují platnou adresu pro odmítnutí dalších sdělení (například § 7 odst. 4 písm. c) zákona č. 480/2004 Sb.). Technickou stránku odhlášení popisuje článek List-Unsubscribe a odhlášení jedním kliknutím.

Informace při získání adresy

Když údaje získáváte přímo od člověka, například ve formuláři, musíte mu podle čl. 13 odst. 1 v okamžiku získání sdělit mimo jiné totožnost a kontaktní údaje správce, účely zpracování a právní základ, a pokud se opíráte o oprávněný zájem, i to, v čem spočívá. Další informace (například dobu uložení a práva subjektu údajů) vyjmenovává čl. 13 odst. 2.

Odpovědnost správce a zpracovatele

Za dodržení zásad zpracování odpovídá správce, tedy odesílatel obchodních sdělení: podle čl. 5 odst. 2 „správce odpovídá za dodržení odstavce 1 a musí být schopen toto dodržení souladu doložit“. Nástroj pro rozesílání je zpravidla zpracovatelem a vztah mezi nimi upravuje smlouva podle čl. 28.

Za porušení zásad zpracování včetně podmínek souhlasu (čl. 5, 6, 7 a 9) a práv subjektů údajů (čl. 12 až 22) lze podle čl. 83 odst. 5 uložit pokutu až do výše 20 000 000 EUR, nebo u podniku až do výše 4 % celkového ročního obratu celosvětově za předchozí finanční rok, podle toho, která hodnota je vyšší.

Časté otázky

Potřebuji k newsletteru souhlas podle GDPR, nebo stačí oprávněný zájem?

GDPR připouští oba právní základy (čl. 6 odst. 1 písm. a) a f)) a bod 47 odůvodnění zmiňuje přímý marketing jako možný oprávněný zájem. O tom, komu smíte obchodní sdělení elektronickou poštou poslat, ale rozhoduje § 7 zákona č. 480/2004 Sb. v Česku a § 116 zákona č. 452/2021 Z. z. na Slovensku: obecně předchozí souhlas, s výjimkou pro vlastní zákazníky.

Jak dlouho mám uchovávat doklad o souhlasu?

GDPR pevnou lhůtu nestanoví. Čl. 7 odst. 1 vyžaduje, abyste souhlas uměli doložit, pokud je zpracování na souhlasu založeno. Slovenský zákon č. 452/2021 Z. z. v § 116 ods. 5 ukládá uchovávat trvanlivé médium se zaznamenaným souhlasem nejméně čtyři roky od jeho odvolání.

Musí být odhlášení stejně snadné jako přihlášení?

Ano, pokud se zpracování opírá o souhlas: čl. 7 odst. 3 stanoví, že odvolat souhlas musí být stejně snadné jako jej poskytnout. Námitku proti přímému marketingu lze podle čl. 21 odst. 2 vznést kdykoli.

Smí být políčko se souhlasem předem zaškrtnuté?

Ne. Bod 32 odůvodnění uvádí, že předem zaškrtnutá políčka by neměla být považována za souhlas, a čl. 4 bod 11 vyžaduje prohlášení nebo jiné zjevné potvrzení.

Související

Zdroje

Všechny články