Žijeme v digitální době. Dle výroční zprávy Úřadu pro ochranu osobních údajů za rok 2023 ale značnou část stížnostní agendy úřadu stále tvoří marketingové nabídky zasílané klasickou poštou. Podívejme se, jak takové obchodní nabídky zasílat v souladu s GDPR.
Jde to i bez souhlasu adresáta, ale …
Poštovní obchodní nabídky nejsou obchodním sdělením ve smyslu zákona č. 480/2004 Sb., o některých službách informační společnosti. Neplatí pro ně tedy obecné pravidlo nezbytného předchozího souhlasu adresáta. Pokud ale chcete dopisy s obchodními nabídkami rozesílat, musíte dodržet pravidla pro zpracování osobních údajů vyplývající z GDPR.
To v prvé řadě znamená, že potřebujete najít právní důvod pro zpracování osobních údajů adresátů. Klasickým právním důvodem pro zasílání obchodních nabídek může být váš oprávněný zájem spočívající například v podpoře podnikání. Abyste mohli zasílání nabídek na tomto právním důvodu založit, potřebujete nejdříve provést tzv. balanční test a vyhodnotit si, jestli váš zájem převáží nad zájmy a základními právy a svobodami adresáta dopisu. Balanční test je v podstatě testem proporcionality, který se v českém právním prostředí používá pro porovnání dvou v kolizi stojících základních práv a svobod.
Jak provést balanční test
V balančním testu musí správce údajů zohlednit následující tři aspekty:
a) Důležitost oprávněného zájmu správce na zpracování osobních údajů (dle Ústavního soudu ČR jde o tzv. kritérium vhodnosti)
b) Nezbytnost a důsledky zpracování osobních údajů pro lidi, jejichž osobní údaje správce hodlá zpracovávat (podle Ústavního soudu ČR jde o tzv. kritérium potřebnosti nebo nutnosti)
c) Vzájemný vztah a význam svého zájmu a zásahu do práv dotčených lidí (dle Ústavního soudu ČR jde o tzv. kritérium poměřování)
Přibližme si to na příkladu z praxe: Obchodní společnost vykupuje pozemky v určité lokalitě. Osobní údaje o jejich majitelích snadno získá z katastru nemovitostí. A při balančním testu postupuje v těchto třech krocích:
V prvním kroku společnost posoudí, jestli tím, že použije osobní údaje adresáta k zaslání nabídky, může reálně dosáhnout např. toho, že adresát prodá svoji nemovitost (posouzení vhodnosti).
Ve druhém kroku zváží, jestli by stanoveného cíle (např. možného odkupu podílu na nemovitosti) nemohla dosáhnout jinými prostředky, které se takto nedotýkají základních práv a svobod daného člověka (posouzení potřebnosti).
Ve třetím kroku porovná závažnost svého zájmu na oslovení adresáta např. s cílem odkoupit jeho nemovitost na straně jedné, a jeho právo na soukromí a případná další práva na straně druhé (poměřování).
V tomto posledním kroku balančního testu byste měli zohlednit všechny okolnosti, za kterých chcete adresátovi obchodní či ryze marketingové nabídky zasílat, včetně toho, jaké údaje adresáta chcete použít, jak jste se rozhodli údaje zabezpečit, jakým způsobem budete adresáta o zpracování jeho údajů informovat a jak mu umožníte uplatnit jeho práva. Důležitou roli sehraje také váš vztah s adresátem a to, zda od vás může nabídku s ohledem na okolnosti očekávat.
Pokud uspějete ve všech krocích balančního testu, a tedy vaše zájmy převáží nad základními právy a svobodami adresátů, můžete nabídky adresátům posílat. Samozřejmě při dodržení všech dalších GDPR pravidel.
Kdy lze využít údaje z katastru pro zasílání obchodních nabídek?
ÚOOÚ se ve své výroční zprávě za rok 2023 věnoval i nabídkám na odkup nemovitosti nebo spoluvlastnického podílu zasílaným na adresy lidí dohledatelné v katastru nemovitostí.
Zasílání těchto nabídek ovlivňují pravidla pro využití údajů z katastru nemovitostí stanovená v zákoně č. 256/2013 Sb., o katastru nemovitostí (katastrální zákon). Katastrální zákon mj. dovoluje využít údaje z katastru nemovitostí pro hospodářské účely. Podle výkladu katastrálních úřadů, které na dodržování katastrálního zákona dohlížejí, je nabídky na odkup nemovitosti možné pod tyto hospodářské účely podřadit.
ÚOOÚ připomněl, že není oprávněn provádět výklad katastrálního zákona ani dohlížet nad jeho dodržováním, a právo správců používat údaje z katastru nemovitostí k zasílání nabídek na odkup nemovitostí proto respektuje.
Pozor ale na to, že i při zasílání těchto nabídek musíte dodržovat další pravidla pro zpracování osobních údajů. Zejména byste měli adresáty informovat o zpracování jejich osobních údajů, údaje vhodně zabezpečit, uchovávat je jen po nezbytnou dobu, nevyužívat je k dalším (neslučitelným) účelu a umožnit adresátům uplatňovat jejich práva na ochranu osobních údajů. To vše už naopak ÚOOÚ může kontrolovat.
GDPR pravidla v praxi
V každé nabídce byste proto měli adresáta jasně a srozumitelně informovat o tom, odkud jste získali jeho osobní údaje, proč jste se rozhodli ho oslovit a ideálně mu vysvětlit, že mu z nabídky nevyplývá žádná povinnost. Adresát by měl dále vědět, k čemu využíváte jeho osobní údaje, na základě jakého právního důvodu a po jakou dobu je budete zpracovávat, kdo další může mít k jeho osobním údajům přístup a jaká mu ve vztahu k osobním údajům náleží práva (např. vyjádřit se, že nechce další nabídky dostávat, nebo požádat o výmaz osobních údajů).
Adresát by měl mít možnost svá práva uplatnit co nejjednodušší cestou. Nezapomeňte proto v dopise uvést i vaši adresu, kontaktní e-mail a telefonní číslo.
Pokud u vás adresát uplatní svá práva (např. požádá o výmaz svých údajů), pamatujte na to, že máte povinnost jeho žádost vyřídit a odpovědět mu bez zbytečného odkladu, zpravidla do 1 měsíce od jejího doručení. Zaškolte proto své pracovníky, kteří budou žádosti vyřizovat k tomu, aby na ně uměli včas a správně zareagovat.
