Nejsem právník a tento článek není právní stanovisko. Jsem marketér, který potřebuje kampaně navrhovat tak, aby jejich datový tok šel vysvětlit klientovi, uživateli i člověku, který řeší ochranu osobních údajů. Když je situace sporná, zahrnuje citlivá data, profilování ve velkém nebo vysoké riziko pro lidi, patří k právníkovi či pověřenci.
Největší omyl je věta GDPR rovná se souhlas. Souhlas je jen jeden právní titul. U každého účelu se nejprve ptám: co přesně děláme, s jakými daty, proč, jak dlouho, komu je předáváme a co člověk rozumně očekává?
Pět kroků před každou marketingovou funkcí
- Účel: oddělte například vyřízení poptávky, zasílání newsletteru, měření návštěvnosti a remarketing.
- Data: sbírejte jen to, co je pro daný účel potřeba.
- Pravidlo: určete právní titul podle GDPR a zvláštní pravidlo pro kanál, například obchodní sdělení nebo cookies.
- Informace: řekněte člověku srozumitelně kdo, co, proč, komu, jak dlouho a jaká má práva.
- Provoz: nastavte důkaz, zabezpečení, výmaz, námitku, odvolání a správu dodavatelů.
Základní principy a právní tituly jsou v článcích 5 a 6 obecného nařízení o ochraně osobních údajů. Patří mezi ně zákonnost, korektnost, transparentnost, účelové omezení, minimalizace, přesnost, omezení uložení a zabezpečení.
Souhlas musí být skutečná volba
Souhlas má být svobodný, konkrétní, informovaný a jednoznačný. Předem zaškrtnuté políčko ani mlčení nestačí. Různé účely nemíchejte do jedné neurčité věty a odvolání nesmí být složitější než udělení. Evropský sbor pro ochranu osobních údajů rozebírá podmínky a příklady v pokynech 05/2020 k souhlasu.
U formuláře evidujte znění souhlasu, čas, zdroj a verzi. Double opt-in pomáhá ověřit adresu a doložit registraci, ale sám neopraví neurčitý nebo vynucený souhlas.
Obchodní sdělení v Česku
Pravidla e-mailů a SMS nestojí jen na GDPR. Podle aktuálního FAQ ÚOOÚ k zákonu č. 480/2004 Sb. lze obchodní sdělení posílat s předchozím souhlasem nebo v zákaznické výjimce pro vlastní obdobné výrobky a služby, pokud měl zákazník při získání adresy i v každé zprávě jasnou a bezplatnou možnost odmítnout. Veřejně dostupná adresa není automatická pozvánka k rozesílce.
V praxi oddělte:
- provozní zprávu nutnou k objednávce nebo službě,
- obchodní sdělení zákazníkovi v rozsahu zákonné výjimky,
- newsletter či jinou marketingovou komunikaci založenou na souhlasu.
Každá zpráva musí odpovídat své kategorii obsahem, příjemci a možností odmítnutí. Technickou část rozesílání řeším v článku e-mail marketing.
Cookies a měřicí skripty
V Česku se od roku 2022 u netechnických cookies uplatňuje opt-in. ÚOOÚ vysvětluje, že bez aktivního souhlasu mají netechnické cookies zůstat vypnuté, zatímco technické cookies nezbytné pro službu souhlas nepotřebují. Volba přijmout a odmítnout má být stejně snadná a na stejné vrstvě; viz oficiální otázky a odpovědi ke cookies.
Rozdělte nástroje podle skutečné funkce, ne podle názvu dodavatele:
- nezbytné pro požadovanou službu,
- analytické,
- personalizační,
- reklamní a remarketingové.
Consent banner není hotový, dokud technicky neblokuje příslušné skripty, nepřenáší volbu dál a neumožní ji změnit. Implementaci kontrolujte v prohlížeči před souhlasem, po odmítnutí i po přijetí. Nástroje přes Google Tag Manager musí respektovat stejnou volbu; samotný kontejner zpracování nezlegalizuje.
Lead magnet, webinář a formulář
Pokud člověk žádá e-book nebo registraci na webinář, potřebujete jeho údaje pro doručení slíbené věci. Další newsletter je samostatný účel, pokud není nezbytnou součástí služby. Popište ho zvlášť a nechte skutečnou volbu. Nesbírejte telefon, pozici a velikost firmy jen proto, že marketingový nástroj nabízí pole.
U formuláře uveďte krátkou informaci a odkaz na úplné zásady. Záznam z webináře může zachycovat jména, hlas, obraz nebo chat; informujte účastníky předem a nastavte přístup i dobu uložení. Praktickou produkční stránku webináře popisuji v návodu pro WebinarJam.
Publika, remarketing a předávání dat
Vlastní publikum nebo konverzní API není jen technické nahrání seznamu. Zmapujte původ dat, účel, právní titul, transparentnost, role stran, předávání mimo EU a dobu uchování. U platformy používejte aktuální smluvní podmínky a dokumentaci. Hashovaný e-mail zůstává osobním údajem, pokud ho lze vztáhnout k člověku.
Nepoužívejte citlivé kategorie údajů ani odvozené zranitelnosti bez specializovaného posouzení. U rozsáhlého sledování či profilování prověřte potřebu posouzení vlivu na ochranu osobních údajů.
Dodavatelé a interní přístup
Seznamte všechny systémy, které data dostávají: formulář, CRM, e-mailing, hosting, analytika, chat, reklamní platforma a zálohy. U každého určete roli, smlouvu, lokalitu dat, subdodavatele, zabezpečení, retenční nastavení a postup při ukončení. Přístup dávejte podle práce, ne automaticky celé agentuře.
Práva, výmaz a zálohy
Firma musí umět dohledat data člověka napříč systémy a vyřídit přístup, opravu, výmaz, omezení, námitku nebo přenositelnost tam, kde se použijí. Výmaz neznamená bezhlavě přepsat každou zálohu. Mějte retenční režim, při kterém se záloha běžně nepoužívá, po čase zanikne a případná obnova znovu aplikuje evidované požadavky.
Odhlášenou adresu může být nutné držet v omezeném suppression seznamu, aby se znovu nezařadila do rozesílky. Uložte minimum potřebné k tomuto účelu a omezte přístup.
Kontrolní seznam
- Má každý účel vlastní popis a právní titul?
- Je zvláštní pravidlo pro e-mail, cookies nebo reklamu splněno?
- Sbíráme jen potřebná data a máme dobu uchování?
- Je informace srozumitelná v okamžiku sběru?
- Umíme souhlas doložit a stejně snadno odvolat?
- Jsou skripty před volbou skutečně blokované?
- Máme smlouvy, přístupy a seznam dodavatelů?
- Umíme vyřídit práva a bezpečnostní incident?
Nesnažte se GDPR schovat do patičky. Dobré nastavení zmenší datový chaos, zpřesní marketing a usnadní změnu dodavatele. Pro technický a marketingový audit se můžete ozvat přes kontakt; právní závěr u složitého případu musí potvrdit kvalifikovaný právník nebo pověřenec.