GDPR v e-mail marketingu: souhlas, právní titul a import kontaktů

GDPR v e-mail marketingu znamená, že u každého kontaktu musíte vědět, na základě čeho mu píšete, proč a jak dlouho. Novým kontaktům posíláte obchodní sdělení jen s jejich souhlasem, vlastním zákazníkům můžete s nabídkou obdobných produktů psát na základě oprávněného zájmu. Souhlas musí být aktivní, tedy nezaškrtnuté políčko ve formuláři, a doložitelný. V Quandě k tomu u každého kontaktu evidujete právní titul, účel zpracování a platnost. Nové kontakty je dostanou z formuláře automaticky, stávající databázi nastavíte hromadně importem.

V kostce

1. Platnost souhlasu si určujete sami, běžně dva roky. Po jejím uplynutí kontakt kampaň k danému účelu nedostane.
2. Souhlas musí člověk udělit sám, zaškrtnutím prázdného políčka. Předem zaškrtnuté políčko souhlasem není.
3. Souhlas musíte umět doložit. Pomůže uložený záznam z formuláře a ověření adresy přes double opt-in.
4. Quanda u každého kontaktu eviduje právní titul, účel a platnost. Příjemce kampaně pak vyberete podle účelu.
5. Stávající databázi nastavíte hromadně: export, doplnění sloupců v Excelu a import.
6. Kontakty, u kterých souhlas nedoložíte a nejsou to vaši zákazníci, neimportujte.

Stručně: komu smíte psát, co musíte mít a co hrozí

• Komu smíte psát: lidem, kteří vám dali souhlas, a vlastním zákazníkům s nabídkou obdobného zboží nebo služeb.
• Co musíte mít: právní titul, účel a platnost u každého kontaktu a doklad o souhlasu.
• Jaké právní tituly použijete: souhlas pro nové kontakty, oprávněný zájem pro vlastní zákazníky.
• Co hrozí: pokuta až 10 000 000 Kč za obchodní sdělení bez souhlasu, podle GDPR až 20 milionů eur, a dřív než pokuta stížnosti na spam a horší doručitelnost.

Co se změnilo od vydání článku: Článek vznikl v říjnu 2026 spojením dvou starších textů: návodu Jak správně importovat právní aspekty zpracování osobních údajů (GDPR) ze srpna 2017 a článku Marketing vs. GDPR. Stahují se mračna nad získáváním nových kontaktů? z června 2018. Přibyla pravidla pro obchodní sdělení, náležitosti souhlasu, postup importu pro dnešní Excel a tabulka s příkladem.

Co GDPR znamená pro e-mail marketing

GDPR je nařízení Evropské unie o ochraně osobních údajů, které platí od 25. května 2018. Pro e-mail marketing je klíčové, protože se týká toho nejcennějšího, co máte: kontaktů na stávající a potenciální zákazníky.

Osobní údaj je jakákoli informace o člověku, kterého lze přímo nebo nepřímo identifikovat. Jméno, e-mailová adresa, telefon, ale i IP adresa nebo identifikátor v systému. Zpracování osobních údajů je skoro cokoli, co s údaji děláte: shromáždění, uložení, vyhledání, použití v kampani, oprava i výmaz. I odeslání newsletteru je zpracování.

V e-mail marketingu se potkávají dvě role:

• Správce určuje, proč a jak se osobní údaje zpracovávají. Vůči svým kontaktům jste správcem vy.
• Zpracovatel zpracovává údaje podle pokynů správce. To je role Quandy, která kontakty ukládá a rozesílá e-maily. Vztah upravuje smlouva o zpracování osobních údajů, která je součástí smluvních podmínek.

Kdy smíte poslat obchodní sdělení e-mailem

Obchodní sdělení je každý e-mail, který propaguje vaše zboží, služby nebo firmu, tedy i newsletter, pozvánka na webinář nebo upozornění na slevu. V Česku ho smíte e-mailem poslat jen ve dvou případech:

Zdroj: zákon č. 480/2004 Sb., o některých službách informační společnosti, § 7 odst. 2 a 3; GDPR, článek 6 a recitál 47.

Právní titul je zákonný důvod, na základě kterého osobní údaje zpracováváte. GDPR jich v článku 6 vyjmenovává šest a zpracování je zákonné, jen když je splněný aspoň jeden. V e-mail marketingu si vystačíte se dvěma: souhlasem pro nové kontakty a oprávněným zájmem pro vlastní zákazníky. GDPR v recitálu 47 výslovně uvádí, že přímý marketing může být oprávněným zájmem.

Oprávněný zájem má ale hranici. Každý zákazník může proti zasílání vznést námitku a podle článku 21 GDPR pak jeho údaje k přímému marketingu dál zpracovávat nesmíte. Odkaz pro odhlášení proto patří do každého e-mailu.

Stejná pravidla platí pro firemní adresy. Adresa konkrétního člověka ve firmě je osobní údaj a zákon č. 480/2004 Sb. vyžaduje souhlas u fyzických i právnických osob. Proč se nevyplatí obejít pravidla nákupem adres, vysvětluje článek Koupená databáze e-mailů: proč se nevyplatí.

Jak získat souhlas se zasíláním newsletteru

Souhlas je dobrovolný, konkrétní a informovaný projev vůle, kterým vám člověk dovolí zpracovávat své osobní údaje k danému účelu. Nejjednodušší cestou je zaškrtávací políčko ve formuláři. Políčko musí být nezaškrtnuté a zaškrtnout ho musí sám člověk. Předem zaškrtnuté políčko, souhlas schovaný v obchodních podmínkách nebo mlčení souhlasem nejsou.

U políčka stačí krátký text, například: „Chci dostávat tipy a občasné nabídky a proto uděluji souhlas se zpracováním osobních údajů pro tento účel.“ Plné znění souhlasu zveřejněte na webu a z krátkého textu na něj odkažte. Člověk se tak s ním může seznámit ještě před odesláním formuláře.

Co má plné znění souhlasu obsahovat:

• komu je souhlas udělen, tedy identifikaci vaší firmy,
• jakých osobních údajů se týká,
• k jakému účelu je budete zpracovávat,
• na jak dlouho,
• jak lze souhlas odvolat,
• poučení o právech, která člověk v souvislosti se zpracováním má.

Odvolání souhlasu musí být podle článku 7 GDPR stejně snadné jako jeho udělení. Správce navíc musí umět souhlas doložit. Doložit ho po paměti nejde, uloženým záznamem s datem a zněním ano.

V Quandě to obstará aktivní formulář. Aktivní formulář je formulář vytvořený v Quandě, který vložíte na svůj web a který kontakty ukládá rovnou do databáze. Najdete ho v horním menu v položce Formuláře. Právní titul, účel a platnost mu nastavíte v automatizaci formuláře: jako podmínku zvolíte Formulář byl odeslán se souhlasem a jako akci Nastavit GDPR podrobnosti. V ní vyberete právní titul, účel zpracování a délku zpracování osobních údajů, například 2 roky. Z délky zpracování Quanda u kontaktu sama dopočítá datum Platnost do.

Po odeslání formuláře se tyto údaje uloží ke kontaktu spolu s datem a časem, zdrojem a názvem formuláře. Obsah odeslaného formuláře včetně znění zaškrtnutého souhlasu pak najdete ve Vyplněných formulářích.

Tip: Zapněte ve formuláři double opt-in. Nový kontakt pak svou adresu potvrdí kliknutím na odkaz v ověřovacím e-mailu a vy budete mít jistotu, že souhlas dal majitel adresy. Jak to funguje, vysvětluje článek Double opt-in. Co je to a jak funguje?.

Právní titul, účel a platnost v Quandě

Účel zpracování je důvod, proč osobní údaje zpracováváte, například zasílání obchodních a reklamních sdělení nebo zasílání informací o novinkách. Platnost je datum, do kdy údaje k danému účelu zpracováváte. Právní aspekty zpracování jsou u kontaktu tři údaje: právní titul, účel a platnost. Quanda je eviduje u každého kontaktu a jeden kontakt jich může mít víc sad, třeba souhlas se zasíláním novinek a zároveň oprávněný zájem jako zákazník.

Právní tituly, jak jsou k dispozici v Quandě:

1. Oprávněný zájem správce
2. Plnění právní povinnosti
3. Plnění smlouvy nebo jednání o jejím uzavření
4. Souhlas se zpracováním osobních údajů
5. Veřejný zájem
6. Životně důležitý zájem

Účely zpracování osobních údajů, jak jsou k dispozici v Quandě. Číslo účelu použijete při importu:

U každého kontaktu najdete právní titul, účel a platnost v detailu kontaktu v části Nastavení odesílání. Tam je můžete přidat i ručně tlačítkem Přidat nový, spolu se statusem zasílání e-mailů.

Když připravujete kampaň, otevřete na stránce Příjemci Podrobný filtr a v poli Účel zpracování osobních údajů vyberte účel, kterého se kampaň týká. Quanda pak mezi příjemci nechá jen kontakty s tímto účelem a nad nimi filtrujete štítky tak, jak jste zvyklí. Díky tomu nepošlete kampaň nikomu, komu k danému účelu psát nesmíte. Kontakty se statusem Nemůžeme zasílat, například po odhlášení nebo vypršení souhlasu, Quanda z příjemců vyřadí sama, i když účel ve filtru nevyberete.

Pozor: Dokud u kontaktů nic nenastavíte, mají všechny výchozí účel Nenastaven bez právního titulu i platnosti. Status zasílání zůstává takový, jaký byl u kontaktu uložený dřív. Než začnete posílat, srovnejte si evidenci. U stávající databáze to jde hromadně importem.

Jak importovat právní titul, účel a platnost kontaktů do Quandy

Hromadný import je nejrychlejší cesta, jak nastavit právní titul, účel a platnost u kontaktů, které už v Quandě máte. Postup má sedm kroků.

Krok 1: Roztřiďte kontakty

Než otevřete Excel, rozdělte databázi podle toho, na jakém základě jednotlivým skupinám píšete. Typicky vzniknou tři skupiny:

• Stávající zákazníci: právní titul oprávněný zájem správce, účel č. 2 Zasílání obchodních a reklamních sdělení, platnost například 2 roky.
• Zájemci, u kterých souhlas doložíte: právní titul souhlas se zpracováním osobních údajů, účel podle toho, k čemu se přihlásili, platnost podle textu souhlasu.
• Zájemci, u kterých souhlas doložit neumíte: neimportujte je. Nemáte právní základ jim psát a žádné pole v tabulce to nespraví.

Pozor: Rozdělení je jen příklad. Pro vaši firmu může vypadat jinak podle toho, co prodáváte, jaké produkty nabízíte a jak jste kontakty získali.

Krok 2: Vyexportujte kontakty

V Quandě vyexportujte kontakty do souboru CSV. Tlačítko pro export najdete na stránce Kontakty úplně dole. Export obsahuje všechny sloupce, i ty, které nevyplňujete, včetně sloupců pro zpracování osobních údajů.

Krok 3: Otevřete export v Excelu

V Excelu otevřete prázdný sešit, na kartě Data zvolte Z textu/CSV a vyberte stažený soubor. Jako kódování nastavte UTF-8 a jako oddělovač čárku. Správné kódování poznáte podle toho, že se v náhledu čeština zobrazuje bez chyb. Podrobný postup najdete v nápovědě Export kontaktů a jejich příprava pro import.

Sloupce, které nepotřebujete, klidně smažte, ať se v tabulce vyznáte. Ponechte sloupec E-mail (hlavní e-mail), podle kterého Quanda kontakty při importu páruje, a tyto sloupce:

• Vlastník kontaktu byl ověřen pomocí Double opt in
• Účel zpracování osobních údajů
• Status zasílání e-mailů
• Platnost do
• Právní titul: Oprávněný zájem správce
• Právní titul: Plnění právní povinnosti
• Právní titul: Plnění smlouvy nebo jednání o jejím uzavření
• Právní titul: Souhlas se zpracováním osobních údajů
• Právní titul: Veřejný zájem
• Právní titul: Životně důležitý zájem

Krok 4: Vyplňte právní titul, účel a platnost

Do sloupců pro právní titul, účel a platnost zapište hodnoty podle tabulky: právní titul jako true nebo false, účel a status zasílání číslem a platnost jako datum.

Když má kontakt víc účelů, napište je do jedné buňky oddělené čárkou, například 2,5. Do sloupce Platnost do pak patří dvě data a do každého sloupce s právním titulem dvě hodnoty true nebo false, vždy ve stejném pořadí jako účely.

Pro zákazníka a zájemce se souhlasem z kroku 1 budou sloupce vypadat takto:

V ostatních sloupcích Právní titul nechte u obou kontaktů hodnotu false.

Krok 5: Uložte soubor

Hotovou tabulku uložte nejlépe jako sešit Excelu ve formátu XLSX. Pokud chcete CSV, zvolte CSV UTF-8 (s oddělovači) a soubor před importem otevřete v Poznámkovém bloku. Excel bere oddělovač z místního nastavení Windows a v českém prostředí místo čárek obvykle uloží středníky, takový soubor import nepřijme. Nepřijme ani varianty CSV pro MS-DOS a Macintosh.

Krok 6: Naimportujte kontakty

Soubor nahrajte přes Hromadný import kontaktů, stejně jako jakýkoli jiný import. Jako přednost při importu zvolte importované kontakty, jinak by Quanda existující kontakty přeskočila a změny se neprojevily. Víc o volbách importu najdete v nápovědě Průvodce importem kontaktů.

Krok 7: Zkontrolujte výsledek

Otevřete namátkou několik kontaktů a v detailu zkontrolujte, že u nich sedí právní titul, účel i platnost. Pak založte kampaň, vyberte účel a podívejte se, kolik příjemců se nabídne.

Tip: U velké databáze si nejdřív udělejte zkušební import na pár řádcích. Chyba v pořadí hodnot se v tabulce s tisíci řádky hledá špatně.

Co dělat, když platnost souhlasu vyprší

Jakmile uplyne datum ve sloupci Platnost do, kontakt dostane u daného účelu status Nemůžeme zasílat (vypršel souhlas). Do kampaní k tomuto účelu se už nedostane, ostatní jeho účely platí dál.

Nastavte si připomínku a s předstihem pošlete kontaktům e-mail s prosbou o obnovení souhlasu. Obnovený souhlas vám kontakt zachová i s celou jeho historií.

Odhlášení a práva příjemců

Odkaz pro odhlášení musí být v každém obchodním sdělení. Když na něj příjemce klikne, může se odhlásit z jednoho účelu zpracování nebo ze všeho najednou. Odhlášený kontakt se mezi příjemce kampaní nedostane, ať má jakékoli štítky.

Odhlášené kontakty nemažte. Po smazání byste přišli o historii rozesílek i o informaci, že si e-maily nepřeje, a při dalším importu byste ho mohli omylem přidat znovu. Jiná situace je, když vás člověk výslovně požádá o výmaz svých údajů. Takovou žádost je potřeba posoudit, protože některé údaje vám může jiný zákon ukládat uchovat.

Každý člověk ve vaší databázi má podle GDPR právo vědět, jaké údaje o něm vedete, nechat je opravit, vymazat nebo omezit jejich zpracování, získat jejich kopii, vznést námitku a podat stížnost u Úřadu pro ochranu osobních údajů (ÚOOÚ). Kopii údajů vyřídíte exportem kontaktu, opravu přímo v jeho detailu. Přehled najdete v online kurzu GDPR a e-mail marketing v praxi.

Jak získávat nové kontakty i s GDPR

Nové kontakty získáte i s GDPR, když lidem nabídnete důvod kontakt předat a formulář se souhlasem jim ukážete ve správnou chvíli. Kolik jich získáte, ovlivňují tři faktory:

• Návštěvnost. Nic neovlivní počet nových kontaktů víc než to, kolik lidí přijde na stránku s formulářem.
• Výměna. Čím hodnotnější věc za kontakt nabídnete, tím víc kontaktů získáte. Může to být e-book, checklist, sleva nebo pozvánka na webinář. Co funguje v B2B, popisuje článek Lead magnety v B2B marketingu.
• Formulář. Obsah, vzhled a načasování formuláře rozhodují o tom, kolik návštěvníků kontakt opravdu předá. Podle našeho měření u několika zákazníků Quandy získá animovaný formulář až dvaapůlkrát víc kontaktů než formulář umístěný napevno. Nevhodně načasovaný formulář naopak většinu lidí odradí. Víc v článku Animované formuláře: automat na nové kontakty.

U našich zákazníků to umí jít i rychle. Cestovní kancelář Delfín travel získala s jednoduchým vysouvacím formulářem v nejlepších dnech až 130 kontaktů denně a za zhruba pět let přes 50 000 e-mailových adres.

Stažení e-booku samo neopravňuje k zasílání newsletteru. Pokud chcete lidem posílat i další e-maily, nabídněte ve formuláři samostatné nezaškrtnuté políčko se souhlasem.

Kontrolní seznam: GDPR v e-mail marketingu

Než pošlete další kampaň, zkontrolujte souhlas, evidenci, odhlášení a platnost.

• Formulář má nezaškrtnuté políčko se souhlasem a odkaz na jeho plné znění.
• Plné znění souhlasu uvádí správce, údaje, účel, platnost, odvolání a práva.
• Nové kontakty potvrzují adresu přes double opt-in.
• Každý kontakt má v Quandě právní titul, účel a platnost.
• Zákazníkům bez souhlasu nabízím jen obdobné zboží nebo služby.
• Příjemce kampaně vybírám podle účelu zpracování.
• Každý e-mail obsahuje odkaz pro odhlášení.
• Před koncem platnosti posílám prosbu o obnovení souhlasu.

Závěrem

GDPR po vás chce docela rozumnou věc: vědět, čí údaje máte, proč je máte, na základě čeho a jak dlouho. Když to u každého kontaktu evidujete, máte klid při kontrole i při dotazu příjemce, odkud jeho adresu máte. Quanda vám pohlídá, aby kampaň odešla jen těm, kterým psát smíte.

Celé téma krok za krokem projdete v online kurzu zdarma GDPR a e-mail marketing v praxi. Článek není právní rada, znění souhlasu a zásad ochrany osobních údajů si nechte zkontrolovat právníkem. A pokud si s importem nevíte rady, ozvěte se nám, rádi vám pomůžeme.