Newslettery dnes využívá prakticky každá organizace. Nemusí přitom jít nutně o obchodní sdělení
typu upozornění na slevové akce apod. Jednou za týden přehled novinek, pár odkazů, žádná
agresivní reklama. Jenže právě u takových zpráv se v praxi nejčastěji potkávají dvě pravidla, která si
lidé pletou, a pak vznikají zbytečné spory o to, co je ještě informování a co už je marketing. Soudní
dvůr EU do této situace vstoupil v průběhu letošního listopadu rozsudkem ve věci C-654/23
Inteligo Media a docela srozumitelně vysvětlil co je a není newsletter a jaká právní úprava je
v rozhodných situacích přípustná.
Případ původem z Rumunska, kterým se SDEU věnoval, vycházel z běžného online modelu.
Uživatel si založil účet, část obsahu měl zdarma, a do schránky mu chodil pravidelný emailový
přehled témat s odkazy na články. Vedle toho existovala placená varianta obsahu s rozšířeným
přístupem. Rumunský dozorový úřad se na to díval tak, že rozesílání těchto přehledů bez souhlasu
je problematické, a věc se postupně dostala až před SDEU. Ten pak řešil dvě otázky, které jsou v
praxi zásadní.
Co všechno může být přímý marketing a podle jakých pravidel se má posuzovat, jestli je takové
zasílání vůbec zákonné?
První důležitá zpráva je, že i obsahový přehled může být přímý marketing. Soud řekl, že to, že email
obsahuje informace, ještě neznamená, že nejde o marketingové sdělení. Pokud email podporuje
využívání služby, vede příjemce zpátky na web, buduje návštěvnost nebo pomáhá prodeji placené
varianty, může spadat do režimu přímého marketingu. V praxi to dopadá na velkou část newsletterů,
které mohou být napsané kultivovaně a nenápadně, ale reálně plní obchodní účel.
Druhá část je důležitá hlavně pro freemium a podobné modely. Pravidla pro marketingové e maily
nejsou jen o souhlasu. Evropská úprava pro elektronickou komunikaci v zásadě pracuje se dvěma
cestami. Buď je potřeba souhlas, nebo lze využít zákaznickou výjimku, která umožňuje posílat vlastní
obdobné nabídky na adresu získanou v souvislosti s prodejem výrobku nebo služby, pokud už při
získání adresy byla jasná možnost to odmítnout a stejně jednoduché odhlášení je v každé další
zprávě. Dosud docházelo v takových situacích k využívání oprávněného zájmu ve smyslu GDPR.
Dlouho se řešilo, jestli se tahle výjimka vůbec může opřít o situaci, kdy uživatel nic nezaplatil a jen se
zaregistroval. SDEU ve věci Inteligo Media řekl, že může. I bezplatná registrace může být pro tyto
účely dost blízko prodeji služby, pokud jde o součást obchodního modelu, který má i placenou vrstvu.
Pro praxi to znamená, že svět není rozdělený jen na placené zákazníky a všechny ostatní. Záleží na
tom, jak je služba postavená a co je reálným smyslem celé komunikace.
Největší praktický přínos rozsudku je ale v tom, jak soud popsal vztah ePrivacy a GDPR. U
newsletterů se často vede debata, jestli jde o právní titul oprávněného zájmu, smlouvu nebo souhlas
podle GDPR. Soudní dvůr teď řekl jasně, že pro samotné zasílání marketingových e mailů je klíčová
speciální úprava pro elektronickou komunikaci a GDPR do toho nevstupuje jako další paralelní test
zákonnosti z pohledu otázky právního titulu.
Pokud je rozesílka v režimu zákaznické výjimky podle ePrivacy, pak se její zákonnost neposuzuje přes
článek 6 GDPR. Jednoduše řečeno, pokud se něco řeší podle ePrivacy, není potřeba to pro stejný
okamžik zasílání ještě jednou znovu odůvodňovat jiným právním titulem v GDPR. To je dobré hlavně
pro pořádek a konzistenci, protože se tím snižuje prostor pro dvojí výklady a pro situace, kdy někdo
jednou argumentuje souhlasem a podruhé oprávněným zájmem, aniž by se změnilo samotné
nastavení rozesílky.
Současně to neznamená, že GDPR u newsletterů mizí. Rozsudek se týká hlavně samotného pravidla,
jestli a za jakých podmínek může email jako marketingové sdělení vůbec odejít, tedy situace, kdy zásah
do soukromí vzniká tím, že zpráva přistane konkrétní osobě ve schránce. Z pohledu GDPR tak ,,řeší‘‘
otázku právního titulu. Jinak je ale na GDPR třeba brát ohled v rámci veškerého souvisejícího
zpracování osobních údajů za účelem rozesílání emailů. Typicky se to týká informování subjektů údajů
o zpracování, samotné otázky vedení databáze kontaktů, zapojení zpracovatelů, co přesně o lidech
evidujete, jak máte nastavené výmazové lhůty, jak umíte doložit, odkud adresa pochází, související
uplatnění práv subjektů údajů atd. Stejně tak GDPR zůstává důležité pro interní pravidla, aby se adresy
nepoužívaly bokem k jiným účelům, aby se zbytečně nepropojovaly databáze a aby bylo jasné, kdo v
organizaci s adresářem pracuje a proč.
Další GDPR rovina je bezpečnost a provozní odpovědnost. U newsletterů se často pracuje s
externími nástroji, agenturami nebo dodavateli, kteří zajišťují rozesílku, správu seznamů, statistiky
nebo automatizace. Tady GDPR pořád vyžaduje, aby bylo jasně nastavené, kdo je správce a kdo
zpracovatel, jaké jsou pokyny ke zpracování, jak jsou chráněná data a co se děje v případě nastalého
incidentu.