Regulace obchodních sdělení ve staronovém kabátě podle návrhu zákona o digitální ekonomice
V souvislosti s novou evropskou legislativou v oblasti digitálních služeb, se kterou se v posledních několika letech doslova roztrhl pytel, přichází na řadu i novelizace v oblasti regulace obchodních sdělení. Připravovaný návrh zákona o digitální ekonomice sice vychází z aktuálně platných pravidel zákona o některých službách informační společnosti, nicméně přináší pár nových změn a zároveň citelně zvyšuje za nevyžádaná obchodní sdělení výše pokut.
Návrh nového zákona o digitální ekonomice a o změně některých souvisejících zákonů (ZoDE), který aktuálně projednává Poslanecká sněmovna[1], by měl zcela zrušit stávající zákon č. 480/2004 Sb. , o některých službách informační společnosti (ZNSIS). ZoDE bude také vycházet z některých historických, ale stále účinných evropských směrnic (směrnice o elektronickém obchodu[2] a směrnice o soukromí a elektronických komunikacích[3]), zároveň však bude provádět i nová a již účinná nařízení o digitálních službách (Data Services Act)[4] a o správě dat (Data Governance Act)[5]. Zákonodárci zároveň využili příležitost přizpůsobit stávající úpravu obchodních sdělení praxi a vývoji právního řádu.
Definice obchodního sdělení
ZoDE převzal definici obchodního sdělení ze směrnice o elektronickém obchodu, nicméně k zásadní významové změně oproti dosavadní definici v ZNSIS nedojde. Obchodní sdělení navrhuje ZoDE definovat jako „všechny formy sdělení, včetně reklamy a vybízení k návštěvě internetových stránek, určeného k přímé nebo nepřímé podpoře zboží, služeb nebo pověsti podnikatele anebo osoby vykonávající regulovanou činnost podle § 3 odst. 1 písm. e) zákona o uznávání odborné kvalifikace“[6].
V praxi tak nadále půjde o všechny druhy sdělení jak ve formě e-mailu, SMS či jiných zpráv (např. na sociálních sítích či v komunikačních aplikacích) v podobě například newsletterů, přání, nabídek, slevových akcí, žádostí o recenzi nebo i zpráv obsahujících samotnou žádost o udělení souhlasu se zasíláním obchodních sdělení. Je přitom bezpředmětné, zda sdělení mají podobu textu, obrázku, hlasové, zvukové či jiné zprávy poslané prostřednictvím veřejné komunikační sítě. Ohledně (nevyžádaných) telefonních hovorů nadále budou platit ustanovení zákona o elektronických komunikacích a další právní předpisy[7].
Šíření obchodního sdělení na základě oprávněného zájmu podnikatele
Návrh ZoDE upravuje podobně jako ZNSIS možnost zasílat obchodní sdělení i bez souhlasu uživatele/adresáta, a to při splnění následujících podmínek:
- podnikatel získal kontakt pro doručování elektronické pošty od svého zákazníka v souvislosti s prodejem výrobku nebo služby;
- takový kontakt smí podnikatel využít pro šíření obchodního sdělení týkajícího se dalšího jím nabízeného obdobného výrobku nebo služby;
- zákazník při poskytnutí svého kontaktu pro doručování elektronické pošty proti takovému využití nevznesl námitku, ačkoli mu podnikatel nebo osoba vykonávající regulovanou činnost umožnili tak učinit zdarma, jednoduchým a srozumitelným způsobem;
- zákazník může kdykoliv zdarma, jednoduchým a srozumitelným způsobem vznést námitku proti využití svého kontaktu pro doručování elektronické pošty, a to i v případě zaslání každé jednotlivé zprávy,
- od zaslání posledního obchodního sdělení zákazníkovi uplynuly nejvýše 2 roky.
Oproti původnímu znění v ZNSIS návrh ZoDE zdůrazňuje, že zákazník musí mít možnost zdarma, jednoduchým a srozumitelným způsobem vznést námitku proti použití svého kontaktu pro zasílání obchodních sdělení, a to už v okamžiku poskytnutí svého kontaktu. Zjednodušeně toto bylo zakotveno i v NZSIS[8], ale často (a někdy i záměrně) se na to v praxi zapomínalo. Typicky se může jednat např. o zaškrtávací políčko před odesláním objednávky v e-shopu s nápisem „nepřeji si obchodní sdělení“.
ZoDE již také nepoužívá termín „odmítnout souhlas“ se zasíláním obchodních sdělení, ale „vznést námitku“, aby více korespondoval s terminologií nařízení GDPR[9], které umožňuje subjektu údajů právě u zpracování osobních údajů na základě oprávněného zájmu vznést námitku proti zpracování. Nicméně dle názoru autorky není rozhodné, jak bude možnost vznést námitku v obchodní sdělení formulována (například „odmítnout“, „odhlásit“, „odvolat souhlas“ a podobně). Hlavní bude jednoduchost a srozumitelnost.
Novinkou pak také je posledně jmenovaná prekluzivní lhůta 2 roky pro zánik statusu zákazníka, kdy tato lhůta plyne od zaslání posledního obchodního sdělení zákazníkovi. Po jejím uplynutí pak již zákazníkovi zasílat obchodní sdělení nelze. Důvodová zpráva k této podmínce uvádí, že „že se jedná o období, po které si většina zákazníků obchodní styk (respektive kontakt s dotyčným podnikatelem) zpravidla stále pamatuje“. V praxi to pak bude znamenat nutnost tuto lhůtu hlídat, případně nastavit proces zasílání obchodních sdělení tak, aby alespoň například jednou ročně bylo jedno obchodní sdělení zákazníkovi zasláno.
Správně pak i důvodová zpráva k ZoDE uvádí, že „ochrany podle ustanovení tohoto paragrafu požívají jak osoby fyzické, tak i podnikající fyzické osoby nebo osoby právnické. Nelze tedy zasílat nevyžádaná obchodní sdělení ani na emailové adresy a jiné kontakty, jež nejsou přiřazeny konkrétní fyzické osobě a představují například obecný kontakt na osobu právnickou.“
Šíření obchodních sdělení na základě souhlasu
Pokud nejsou splněny podmínky pro šíření obchodních sdělení na základě oprávněného zájmu, je možné zasílat taková sdělení pouze s předchozím souhlasem uživatele (adresáta), který splňuje náležitosti souhlasu dle článku 4 bod 11 nařízení GDPR. Souhlasem přitom nařízení GDPR rozumí svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů.
Další podmínky pro zasílání obchodních sdělení
Výslovně pak návrh ZoDE zakazuje šířit obchodní sdělení, pokud:
a) není zřetelně a jasně označeno jako obchodní sdělení,
b) neumožňuje jednoznačně a v potřebném rozsahu identifikovat podnikatele nebo osobu vykonávající regulovanou činnost, jejichž jménem nebo na jejichž účet se komunikace uskutečňuje, nebo
c) je zasláno bez informace o možnosti uživatele nebo zákazníka přímo a účinně doručit námitku proti využití svého kontaktu pro doručování elektronické pošty nebo odvolat jím poskytnutý souhlas se zasíláním obchodních sdělení.
Další podmínky pro zasílání obchodních sdělení stanovuje ZoDE pak výslovně i pro členy profesních komor (např. advokáty, daňové poradce, lékaře apod.), což také není úplná novinka.
Nová výše pokut
Stávající ZNSIS zavedl sankci za nevyžádaná obchodní sdělení fyzickým osobám až do výše 100 tisíc Kč a fyzickým osobám podnikajícím a právnickým osobám až do výše 10 milionů Kč.
ZoDE pak poněkud překvapivě zvyšuje u fyzických osob podnikajících a právnických osob pokuty až do částky odpovídající 20 milionů EUR nebo, je-li pachatel přestupku podnikem podle čl. 4 bodu 18 nařízení Evropského parlamentu a Rady (EU) 2016/6795), tak sankce mohou vyšplhat do výše 4 % z čistého celosvětového obratu pachatele přestupku dosaženého za poslední ukončené účetní období, podle toho, která hodnota je vyšší. Dle důvodové zprávy tak ZoDE chce přiblížit výši pokut sankcím dle nařízení GDPR. Přepokládáme však, že v rámci legislativního procesu o návrhu ZoDE bude výše pokut ještě diskutována.
Nepropadejte panice
Pokud podnikatelé dosud váhali s revizí svých databází kontaktů a nastavení celého procesu pro zasílání obchodních sdělení, lze doporučit pečlivě sledovat legislativní proces a zvážit odpovídající úpravu, bude-li ZoDE přijat v navrhovaném zněním. Zároveň je vhodné zjistit, zda by byl podnikatel v případě zahájení kontroly či řízení u Úřadu pro ochranu osobních údajů (ÚOOÚ) schopen prokázat, že obchodní sdělení zaslal v souladu se zákonem a má k dispozici i příslušné důkazy a potvrzení (např. objednávku zákazníka, elektronickou stopu o udělení souhlasu, znění souhlasu, důkaz o poskytnutí možnosti podat námitku apod.).
Na závěr si pak dovolíme i trochu statistiky. Podle poslední výroční zprávy[10] evidoval ÚOOÚ za rok 2023 celkem 1 388 stížností, z toho provedl u 483 stížností správní řízení a kontrolu a uložil pravomocně pokuty v celkové hodnotě 8 623 000 Kč. Nejvyšší pokutou pak byla částka 7,7 milionů Kč přepravní společnosti za zasílání nevyžádaných obchodních sdělení ve prospěch třetích stran bez souhlasu adresátů. Zbývající pokuty se pohybovaly spíše v řádech desetitisíců korun, v 359 případech u ne příliš závažných porušení využil pak ÚOOÚ možnost „provinilce“ pouze na porušení upozornit a poučit je o správném postupu. Dá se tedy říci, že ÚOOÚ v praxi spíše volí postup pečlivého zvážení závažnosti a povahy deliktu než paušálního trestání i drobných provinění.
Mgr. Lenka Hanková,
advokátka / Senior Associate
Platnéřská 2
110 00 Praha 1
Tel.: +420 236 163 111
e-mail: lenka.hankova@roedl.com
[2] Směrnice Evropského parlamentu a Rady 2000/31/ES ze dne 8. června 2000 o některých právních aspektech služeb informační společnosti, zejména elektronického obchodu, na vnitřním trhu (směrnice o elektronickém obchodu)
[3] Směrnice Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (směrnice o soukromí a elektronických komunikacích)
[4] Nařízení Evropského parlamentu a Rady (EU) 2022/2065 ze dne 19. října 2022 o jednotném trhu digitálních služeb a o změně směrnice 2000/31/ES (nařízení o digitálních službách)
[5] Nařízení Evropského parlamentu a Rady (EU) 2022/868 ze dne 30. května 2022 o evropské správě dat a o změně nařízení (EU) 2018/1724 (akt o správě dat)
[6] Původní definice obchodního sdělení dle ZNSIS zní: „všechny formy sdělení, včetně reklamy a vybízení k návštěvě internetových stránek, určeného k přímé či nepřímé podpoře zboží či služeb nebo image podniku osoby, která je podnikatelem nebo vykonává regulovanou činnost“.
[7] Zákon č. 127/2005 Sb. , o elektronických komunikacích, v platném znění, zákon č. 40/1995 Sb. , o regulaci reklamy, v platném znění, zákon č. 634/1992 Sb. , o ochraně spotřebitele, v platném znění, příp. nařízení GDPR
[8] Viz také poslední část věty § 7 odst. 3 NZSIS:“ Nehledě na odstavec 2, pokud fyzická nebo právnická osoba získá od svého zákazníka podrobnosti jeho elektronického kontaktu pro elektronickou poštu v souvislosti s prodejem výrobku nebo služby podle požadavků ochrany osobních údajů upravených zvláštním právním předpisem5) nebo přímo použitelným předpisem Evropské unie6), může tato fyzická či právnická osoba využít tyto podrobnosti elektronického kontaktu pro potřeby šíření obchodních sdělení týkajících se jejích vlastních obdobných výrobků nebo služeb za předpokladu, že zákazník má jasnou a zřetelnou možnost jednoduchým způsobem, zdarma nebo na účet této fyzické nebo právnické osoby odmítnout souhlas s takovýmto využitím svého elektronického kontaktu i při zasílání každé jednotlivé zprávy, pokud původně toto využití neodmítl.“
[9] Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů).
© EPRAVO.CZ – Sbírka zákonů, judikatura, právo | www.epravo.cz
