Preskočiť na obsah
Návody a zdroje

GDPR a e-mailový marketing: právny základ, súhlas a námietka

Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679, všeobecné nariadenie o ochrane údajov (GDPR), sa uplatňuje na každé spracúvanie osobných údajov, teda aj na databázu príjemcov newslettera. Článok zhŕňa ustanovenia, ktoré sa e-mailového marketingu týkajú najčastejšie. Citácie sú zo slovenského znenia nariadenia.

Dve vrstvy pravidiel

Na rozosielanie obchodných oznámení sa súčasne vzťahujú dva súbory pravidiel:

Vzťah oboch vrstiev upravuje čl. 95 GDPR: „Týmto nariadením sa fyzickým či právnickým osobám neukladajú dodatočné povinnosti, pokiaľ ide o spracúvanie v súvislosti s poskytovaním verejne dostupných elektronických komunikačných služieb vo verejných komunikačných sieťach v Únii, v prípadoch, keď podliehajú konkrétnym povinnostiam s rovnakým cieľom stanoveným v smernici 2002/58/ES.“

Kedy ide o osobné údaje

Podľa čl. 4 bodu 1 sú osobné údaje „akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby“. Identifikovateľnú osobu možno podľa tej istej definície identifikovať priamo alebo nepriamo, napríklad odkazom na meno, identifikačné číslo alebo online identifikátor. Adresa v tvare meno.priezvisko@example.sk aj záznam o tom, že ju jej držiteľ otvoril alebo klikol na odkaz, sú teda informácie týkajúce sa identifikovateľnej osoby.

Právny základ: súhlas alebo oprávnený záujem

Spracúvanie je zákonné, len ak je splnená aspoň jedna z podmienok v čl. 6 ods. 1. Pri marketingu sa uplatňujú najmä dve:

  • písm. a): „dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov na jeden alebo viaceré konkrétne účely“,
  • písm. f): „spracúvanie je nevyhnutné na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana, s výnimkou prípadov, keď nad takýmito záujmami prevažujú záujmy alebo základné práva a slobody dotknutej osoby, ktoré si vyžadujú ochranu osobných údajov“.

Odôvodnenie 47 uvádza: „Spracúvanie osobných údajov na účely priameho marketingu možno považovať za oprávnený záujem.“ Táto veta sa týka právneho základu spracúvania údajov. Či smiete konkrétne obchodné oznámenie poslať elektronickou poštou, určujú samostatne predpisy z predchádzajúcej časti (na Slovensku § 116 zákona č. 452/2021 Z. z., v Česku § 7 zákona č. 480/2004 Sb.).

Čo musí spĺňať súhlas

Čl. 4 bod 11 vymedzuje súhlas ako „akýkoľvek slobodne daný, konkrétny, informovaný a jednoznačný prejav vôle dotknutej osoby, ktorým formou vyhlásenia alebo jednoznačného potvrdzujúceho úkonu vyjadruje súhlas so spracúvaním osobných údajov, ktoré sa jej týka“. Podmienky stanovuje čl. 7:

  1. Preukázateľnosť (ods. 1): ak je spracúvanie založené na súhlase, „prevádzkovateľ musí vedieť preukázať, že dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov“.
  2. Oddelenie od iných textov (ods. 2): ak sa súhlas dáva v písomnom vyhlásení, ktoré sa týka aj iných skutočností, žiadosť o súhlas musí byť predložená tak, „aby bola jasne odlíšiteľná od týchto iných skutočností, v zrozumiteľnej a ľahko dostupnej forme a formulovaná jasne a jednoducho“.
  3. Odvolanie (ods. 3): dotknutá osoba má právo kedykoľvek odvolať svoj súhlas, pred jeho poskytnutím o tom musí byť informovaná a „odvolanie súhlasu musí byť také jednoduché ako jeho poskytnutie“. Odvolanie nemá vplyv na zákonnosť spracúvania pred ním.
  4. Slobodnosť (ods. 4): pri posudzovaní, či bol súhlas slobodný, sa zohľadní, či sa plnenie zmluvy podmieňuje súhlasom so spracúvaním, ktorý na plnenie zmluvy nie je nevyhnutný.

Odôvodnenie 32 dopĺňa: „Mlčanie, vopred označené políčka alebo nečinnosť by sa preto nemali pokladať za súhlas.“ Ako súhlas v praxi preukázať, opisuje článok Double opt-in a preukázanie súhlasu.

Námietka proti priamemu marketingu

Čl. 21 dáva príjemcom osobitné právo, ktoré platí bez ohľadu na to, či je spracúvanie založené na súhlase, alebo na oprávnenom záujme:

  • ods. 2: ak sa osobné údaje spracúvajú na účely priameho marketingu, dotknutá osoba má právo „kedykoľvek namietať“ proti spracúvaniu na účely takéhoto marketingu vrátane profilovania, ktoré s ním súvisí,
  • ods. 3: po námietke sa osobné údaje „už na také účely nesmú spracúvať“,
  • ods. 4: na toto právo sa dotknutá osoba výslovne upozorní „najneskôr pri prvej komunikácii s ňou“, jasne a oddelene od iných informácií.

Možnosť odhlásiť sa preto vyplýva tak z čl. 21 GDPR, ako aj z pravidiel pre elektronické komunikácie, ktoré vyžadujú možnosť odmietnuť ďalšie správy (napríklad § 116 ods. 15 zákona č. 452/2021 Z. z.). Technickú stránku odhlásenia opisuje článok List-Unsubscribe a odhlásenie jedným kliknutím.

Informácie pri získaní adresy

Keď údaje získavate priamo od človeka, napríklad vo formulári, musíte mu podľa čl. 13 ods. 1 pri získavaní oznámiť okrem iného totožnosť a kontaktné údaje prevádzkovateľa, účely spracúvania a právny základ, a ak sa opierate o oprávnený záujem, aj to, aký záujem sledujete. Ďalšie informácie (napríklad dobu uchovávania a práva dotknutej osoby) vymenúva čl. 13 ods. 2.

Zodpovednosť prevádzkovateľa a sprostredkovateľa

Za dodržanie zásad spracúvania zodpovedá prevádzkovateľ, teda odosielateľ obchodných oznámení: podľa čl. 5 ods. 2 „prevádzkovateľ je zodpovedný za súlad s odsekom 1 a musí vedieť tento súlad preukázať“. Nástroj na rozosielanie je spravidla sprostredkovateľom a vzťah medzi nimi upravuje zmluva podľa čl. 28.

Za porušenie základných zásad spracúvania vrátane podmienok súhlasu (čl. 5, 6, 7 a 9) a práv dotknutých osôb (čl. 12 až 22) sa podľa čl. 83 ods. 5 ukladajú pokuty až do výšky 20 000 000 EUR alebo v prípade podniku až do výšky 4 % celkového svetového ročného obratu za predchádzajúci účtovný rok, podľa toho, ktorá suma je vyššia.

Časté otázky

Potrebujem na newsletter súhlas podľa GDPR, alebo stačí oprávnený záujem?

GDPR pripúšťa oba právne základy (čl. 6 ods. 1 písm. a) a f)) a odôvodnenie 47 spomína priamy marketing ako možný oprávnený záujem. O tom, komu smiete obchodné oznámenie poslať elektronickou poštou, však rozhoduje § 116 zákona č. 452/2021 Z. z. na Slovensku a § 7 zákona č. 480/2004 Sb. v Česku: vo všeobecnosti predchádzajúci súhlas, s výnimkou pre vlastných zákazníkov.

Ako dlho mám uchovávať doklad o súhlase?

GDPR pevnú lehotu nestanovuje, čl. 7 ods. 1 vyžaduje vedieť súhlas preukázať, ak je spracúvanie na súhlase založené. Zákon č. 452/2021 Z. z. v § 116 ods. 5 ukladá uchovávať trvanlivé médium so zaznamenaným súhlasom najmenej štyri roky od jeho odvolania.

Musí byť odhlásenie také jednoduché ako prihlásenie?

Áno, ak je spracúvanie založené na súhlase: čl. 7 ods. 3 stanovuje, že odvolanie súhlasu musí byť také jednoduché ako jeho poskytnutie. Námietku proti priamemu marketingu možno podľa čl. 21 ods. 2 podať kedykoľvek.

Smie byť políčko so súhlasom vopred označené?

Nie. Odôvodnenie 32 uvádza, že vopred označené políčka by sa nemali pokladať za súhlas, a čl. 4 bod 11 vyžaduje vyhlásenie alebo jednoznačný potvrdzujúci úkon.

Súvisiace

Zdroje

Všetky články