Nicméně o tom zde hovořit nebudeme. Jsou dvě další témata, které novela přinesla – prvním jsou cookies, ale o tom už jste určitě slyšeli mnohokrát a druhé téma se týká telemarketingu.
Ještě před rokem diskuze o této novele spočívala v tom, zdali vůbec můžeme dělat nejenom telemarketing, ale klasický direct marketing tak, jak jej znáte, prostřednictvím e-mailingu, direct mailingu, prostřednictvím SMS zpráv či jiných zpráv, které znáte ze sociálních sítí, způsobem, jakým jsme jej dělali doteď. Důvodem je, že novela byla napsána velmi nešťastně a gramatický výklad mnohé vedl k závěru, že telemarketing, respektive direct marketing prakticky končí.
Ještě v září jsme s klienty seděli a dostávali otázky: znamená to, že např. mobilní operátor už nebude moci zavolat svým zákazníkům, že pro ně má novou nabídku, že jim nebude moci zavolat, že jim nebude z nějakého důvodu fungovat mobilní telefon? Na tyto otázky jsme neměli odpověď.
V této souvislosti je potřeba zmínit velmi roli asociací. Nastala určitá animozita mezi regulátorem, což je Český telekomunikační úřad (do problematiky ale ingeroval i Úřad pro ochranu osobních údajů, Ministerstvo průmyslu a obchodu a další), a asociacemi, které vytvářely novele negativní PR. A nebylo to poprvé, co se s tímto v České republice setkáváme. Existují samozřejmě asociace a sdružení, které působí tak, že pomáhají státní správě. My jsme se podíleli například na přípravě stanoviska, které se týkalo zákona o hazardních hrách tak, aby se zkultivovalo prostředí. Ale velmi často se setkáváme s tím, že asociace vstupují do diskuse agresivně.
Při výkladu novely nám pomohlo stanovisko, které vydal Český telekomunikační úřad společně s Úřadem pro ochranu osobních údajů a Ministerstvem průmyslu a obchodu. Podtrhuji jej i z toho důvodu, že toto stanovisko je živým organismem. Sám Český telekomunikační úřad předpokládá, že k němu budou vznikat doplňky, zejména na základě postřehu trhu. A jak si ukážeme, i toto stanovisko v některých případech ne úplně precizně pracuje s pojmoslovím, takže nám sice problematiku zčásti vyjasnilo, ale přineslo i další problémy.
Současná právní úprava
Když hovoříme o marketingu jako takovém, který je primárně činěn prostřednictvím sítí elektronických komunikací, ať už je to mailing, telefon, či sociální síť, nezapomínejte, že nejsme v režimu pouze jednoho právního předpisu. Základ je dán občanským zákoníkem, ale základním právním předpisem by pro vás mělo být GDPR, obecné Nařízení o ochraně osobních údajů. A jak si ukážeme, i z hlediska speciality a obecnosti vzájemného postavení těchto právních předpisů, GDPR hraje primární roli. Dalším z právních předpisů je určitě zákon 480/2004 Sb. a aktuálně vznikající nařízení DSA (Digital Services Act), které jej v budoucnu doplní. V zákoně 480/2004 Sb. totiž nemáme pouze bezpečný přístav, tedy limitaci odpovědnosti tzv. prostředníků, ale máme v něm upraven i direct mailing, a to v podobě jakési antispamové legislativy neboli slovy zákona, právního přepisu, který se zabývá nevyžádanými obchodními sděleními. Zákon 480/2004 Sb. se týká primárně e-mailingu anebo zpráv zasílaných prostřednictvím SMS a dalších sítí. Samozřejmě je tady zákon o reklamě, zákon o ochraně spotřebitele, na který přímo odkazuje novela zákona o elektronických komunikacích, a to v tom smyslu, že porušení novely zákona o elektronických komunikacích může být klamavou praktikou ve smyslu zákona o ochraně spotřebitele.
Posledním ze zákonů upravujících tuto oblast je zákon o elektronických komunikacích, o kterém mluvíme. Jako poslední jej zmiňuji z toho důvodu, že tento právní předpis se skutečně použije jenom ve velmi omezených případech. Před půl rokem bych vás vyděsil, dnes vás ale spíše uklidním.
Zákon č. 374/2021 Sb., kterým se mění zák. č. 127/2005 Sb., o elektronických komunikacích, je právě tou novelou zákona o elektronických komunikacích. V důvodové zprávě nalezneme poznatky důležité i s ohledem na to, že se odkazuje na GDPR, tedy dochází k adaptaci zákona o elektronických komunikacích na GDPR. I když se to do textu nepropsalo, propsalo se to do stanoviska, o kterém jsem hovořil, a tudíž když budete mít nějaký problém, ať už s Českým telekomunikačním úřadem nebo skončíte, u správního soudu, velmi doporučuji vzít si k ruce důvodovou zprávu, stanovisko a provazovat s GDPR.
Účastnické seznamy
Klíčem novely telemarketingu jsou tzv. účastnické seznamy. Pokud v novele budete hledat definici účastnického seznamu, tak ji najdete velmi těžko. Celá novela vychází zejména z § 95 a § 96, resp. toto jsou ta základní ustanovení, která jsou novelizována. Nicméně, definice účastnického seznamu není koncipována tak, jak znáte obvyklou definici ze správních předpisů, ať už českých nebo na úrovni Evropské unie. Definice je tam tak trošku schována. A opět k porozumění tomu, co je účastnický seznam, doporučuji ono stanovisko. Zejména se v něm dočtete, že se jedná o seznam, který je výlučně veřejný. Tedy pokud máte nějaké firemní seznamy, které obsahují telefonní čísla anebo maily, tak v takovém případě, ať jsou to firemní seznamy, které máte v rámci vlastní interní databáze v rámci nějakého CRM apod., se nebude jednat o účastnické seznamy. Za účastnický seznam se považuje ten, který je založen za účelem, a to je klíčové, vyhledání kontaktu o osobě na základě identifikačních prvků. Je to tedy nějaký seznam, který je veřejně dostupný a kde máme možnost vyhledat si kontakt na osobu na základě identifikačních prvků. Identifikační prvky mohou být různé, nemusí to být jenom jméno a příjmení, můžou to být další identifikátory včetně emailu atd. Právní režim zavedený novelou se přitom použije bez ohledu na to, zda se jedná o kontakty právnických či fyzických osob. V tomto ohledu se novelou dostáváme trošku mimo aplikaci GDPR ve vztahu k právnickým osobám, tj. vztahuje se na účastníky, tedy nejen na subjekty podle GDPR.
Text stanoviska skutečně pracuje s účelem: Pokud je účel „seznamu“ primárně jiný, než je vyhledávání podrobného kontaktu o osobě na základě jejího jména nebo případně nezbytného minimálního množství dalších identifikačních prvků, jak předpokládá § 95 odst. 1 zákona o elektronických komunikacích, nelze jej za účastnický seznam ve smyslu zákona o elektronických komunikacích považovat. Pokud je účel seznamu jiný, je potřeba, aby tvůrce takového seznamu získal další souhlas s nakládáním s údaji subjektu údajů k danému účelu.
Možná se vám bude zdát, že novela je poněkud nekonzistentní v používání pojmů účastnického seznamu a seznamu účastníků. Nicméně nekonzistentní je v tomto ohledu i evropské právo, směrnice, která se této problematice věnuje. Takže účastnický seznam a seznam účastníků je úplně totéž, pojmy můžeme chápat jako rovnocenné.
Výkladové stanovisko dále říká: Účastnickým seznamem není seznam vytvořený vlastní obchodní (podnikatelskou) činností (seznam, resp. databáze klientů, pacientů, zákazníků apod.). To není tak úplně pravda, protože když se zamyslíme nad tím, že se jedná o seznam, který je veřejně dostupný a slouží za účelem vyhledání kontaktů o té osobě, tak i tento seznam může být vytvořen podnikatelskou činností, což ukazuje nekonzistenci toho stanoviska.
Abychom si řekli konkrétně, co je tedy účastnickým seznamem, tak tady máme nějaký příklad. Jde např. o 1188.cz anebo Zlaté stránky. Pokud vaše společnost vytvoří seznam obdobného charakteru, tedy bude to veřejný seznam, kde si budete vyhledávat kontakty na osoby či společnosti, tak v takovém případě se bude jednat o účastnický seznam.
Pokud budete tvořit takovýto seznam, musíte subjekty řádně informovat zaprvé o tom, že je zařazujete do tohoto seznamu, a zadruhé o tom, jakým způsobem budete s údaji nakládat. Chcete-li v něm uvádět také osobní údaje fyzických či identifikační údaje právnických osob, budete navíc potřebovat souhlas těchto účastníků. Součástí seznamu může být jméno, příjmení, telefonní číslo, adresa elektronické pošty atd., u právnických osob samozřejmě obchodní firma, IČO atd. Na základě smlouvy lze zveřejnit další údaje.
Opt-in vs Opt-out
Co se týče toho informování, tak si to nepředstavujte tak, že tady máme informační povinnost podle GDPR a informační povinnost ve smyslu zákona o elektronických komunikacích, může se jednat o stejnou informační povinnost.
Cílem novely je odstranit tzv. opt-out, a nastavit tzv. opt-in, tedy dosáhnout toho, aby docházelo ke kontaktování pouze těch osob, které ve veřejném účastnickém seznamu uvedly, že si přejí být kontaktovány za účelem marketingu. Tedy získání souhlasu. Opět tento souhlas můžete spojit se souhlasem podle GDPR, nicméně je potřeba dodržet granularitu souhlasu, který vyžaduje GDPR.
Na tomto místě upozorním na jeden nešvar, který souvisí s elektronickou poštou, kterou se výkladové stanovisko také ve velké míře zabývá. Pokud jsou ve veřejném účastnickém seznamu uvedeny i jiné kontaktní údaje, než je telefonní číslo, např. e-mailová adresa, vztahuje se zákaz uvedený podle § 96 odst. 1 zákona o elektronických komunikacích i na tyto kontaktní údaje uvedené v účastnickém seznamu. To však samo o sobě neznamená, že by nemohla být taková osoba kontaktována, pokud
k takovému kontaktování dala kontaktujícímu individuální souhlas, resp. je možné ji kontaktovat v souladu s § 7 odst. 3 zákona č. 480/2004 Sb. A tady bych chtěl upozornit, že to nesmíme vnímat tak, že by nám zákon zakazoval kontaktovat zákazníky jen proto, že je jejich e-mail zároveň zveřejněn v některém z účastnických seznamů. Vždy pamatujte na to, že máme vícekolejnost v oblasti kontaktování, jednak tedy zákon o elektronických komunikacích, ale i speciální předpisy – zákon 480/2004 Sb. a GDPR.
Souhlas dle zákona o elektronických komunikací tudíž potřebujete pouze pokud jste údaje získali právě z účastnického seznamu. Jestliže je zdroj kontaktů jiný, třeba když údaje získáte přímo od dané osoby, a najdete právní důvod, na základě kterého můžete zákazníky (primárně tedy zákazníky) kontaktovat podle GDPR, resp. v souladu s GDPR nebo v souladu se zákonem 480/2004 Sb., tak pak vám tyto důvody postačí. Ať už je tím důvodem souhlas nebo oprávněný zájem.
Když se podíváte na text stanoviska, který hovoří o souhlasu, tak v tom je opět stanovisko nekonzistentní. Stanovisko nemůže rozšiřovat GDPR. Tedy máte-li oprávněný zájem kontaktovat nějakou osobu na základě toho, že jde o vašeho bývalého zákazníka, což je přímo zmíněno v recitálu GDPR, nebo, a teď se dostáváme na takový trošku tenčí led, třeba kontakt na obchodního zástupce společnosti zveřejněný na internetových stránkách, který si zařadíte do vlastní databáze, režim novely se neuplatní. Přitom, má-li být právním důvodem oprávněný zájem, mělo by jít skutečně o kontakt, u kterého lze předpokládat, že jej budou kontaktovat další osoby s nabídkami produktů (proto jsem zmínil obchodního zástupce). Tedy prakticky ve chvíli, kdy se vás vaši klienti nebo vaši kolegové zeptají, zdali mohou provést mailovou kampaň na obchodní zástupce v oblasti bílé sanity ve Středních Čechách, emaily získali z internetových stránek a jedná se o emaily na obchodní zástupce jiných společností, dovedu si představit, že oprávněný zájem naleznete a taková emailová kampaň může proběhnout. Ale jde čistě o režim GDPR a zákona 480/2004 Sb. Nad to ještě jedna poznámka – pokud by takové kontakty (e-mailové nebo telefonické) byly zveřejněny v případech, kdy není očekávatelné, že jsou zveřejněny z důvodu, aby je kdokoli kontaktoval s obchodní nabídkou, tak v takovém případě to tím oprávněným zájmem nemusí projít.
Jednoduchý příklad: z mého pohledu typicky půjde o kontaktní údaje advokátů v rejstříku vedeném Českou advokátní komorou, a domnívám se, že nelze, aby prošlo oprávněným zájmem, že si tyto kontakty vezme nějaká společnost a bude je obvolávat s nabídkou produktů a služeb anebo jim bude posílat e-maily. Domnívám se, že tento postup zákonným testem neprojde. Přiznám se, že jsem vedl diskuzi s právním oddělením jedné pojišťovny na toto téma, na jejímž základě jsem dostal zajímavou slevu na pojistné produkty, když jsem poukázal na to, že z mého pohledu neprojdou uvedeným testem.
Vztah mezi předpisy
Vztah mezi předpisy je zde jasný. Ten už jsem v zásadě zmínil. Zákon o elektronických komunikacích se použije zřídkakdy. Zákon 480/2004 Sb. je zákonem speciálním a GDPR je obecná úprava ochrany osobních údajů, a tedy i práce s těmito osobními údaji v oblasti marketingu.
Nicméně existuje ještě několik důležitých věcí, na které je třeba v souvislosti s touto novelou upozornit. Novela obsahuje ještě právní fikci, že za vytvoření účastnického seznamu se považuje i náhodné vygenerování telefonních čísel. Za náhodný generátor nepovažuji to, když vám zavolají a řeknou: „dobrý den, pane Kučero“, a já se zeptám: „kde jste vzali moje číslo?“, a oni řeknou, že bylo náhodně vygenerováno, a já se jich zeptám: „proč mi tedy říkáte pane Kučero“, a pak už se ozve jenom „tú tú tú“. To se stává a je to poměrně dobrá praktika, jak se zbavit toho typu telefonátů… Náhodným generováním telefonních čísel je myšlena situace, kdy je využita služba, která pro tento účel slouží, tedy generuje skutečně náhodná čísla. A s ohledem na to, že si vždy musíte najít právní základ pro kontaktování osoby – máme tady ten nový opt-in – neprojdete testem podle GDPR, ani zákon 480/2004 Sb. vám nepomůže, tak vlastně toto náhodné vygenerování končí. Pokud není ve veřejném seznamu zveřejněno, že konkrétní osobu můžete kontaktovat.
Tedy tento byznys je diskutovanou novelou dotčen nejvíce, ostatně je to něco, co se v médiích poměrně značně probíralo, a domnívám se, že cesta, kterou zákonodárce zvolil, je správná, i když forma už je trošku horší.
Předmět novely
No a když tedy hovoříme o tom, co ta novela zapovídá, tak zapovídá nabízení marketingové reklamy nebo jiného obdobného způsobu nabídky zboží a služeb, takže vlastně předpokládá, že marketingová reklama sama o sobě je nabídkou, což ale není pravda. Není to pravda, ať už ve smyslu občanského zákoníku, ostatně není to pravda ani ve smyslu zákona č. 480/2004 Sb. A právě, z mého pohledu poněkud nešťastně, na zákon 480/2004 Sb. se tady odkazuje. Když tedy novela říká, že nesmíte činit marketingovou reklamu nebo jiný obdobný způsob nabídky, tak výkladové stanovisko zní tak, že tím nemyslí jenom způsob nabídky, ale v zásadně jakoukoli marketingovou reklamu. Tedy rozšiřuje ten gramatický výklad, ke kterému byste pravděpodobně došli, kdybyste použili jen jazykovou interpretaci. Nemyslím si, že to je úplně šťastné, ale v zásadě, nalejme si čistého vína, snaha dotčených orgánů byla nějakým způsobem začistit ten legislativně nešťastný počin tak, aby trh fungoval nadále bez velké ztráty a dotčeno bylo jen náhodné generování telefonních čísel.
Závěrem
Klíčem je vždy zvažovat souhlas nebo oprávněný zájem podle GDPR, to bude ve vaší podnikové či jiné praxi patrně nejčastější. Pokud budete vycházet z údajů, které jsou zveřejněny ve Zlatých stránkách, 1188.cz nebo sami budete vytvářet veřejné seznamy na základě parametrů, o kterých jsme mluvili, nebo budete automaticky generovat náhodně telefonní čísla, pak jste v režimu zákona o elektronických komunikacích a možnost práce s údaji je velmi omezená (pouze na základě souhlasu dotčeného subjektu, který se tedy objeví primárně ve veřejném, resp. účastnickém seznamu).
A ještě jedna poznámka – takzvané automatizované systémy. Celá řada subjektů, které využívají tzv. automatizované volací systémy se snažila najít cestu, která by jim umožnila nadále fungovat. Takové systémy jsou zakázány, a to, že říkám, že se snaží najít cestu, jak v tomto prostředí fungovat znamená, že se snaží doplnit je o lidský prvek. Tedy aby se v rámci automatizovaného systému (v procesu navolávání nebo kontaktování) objevil lidský prvek. Logika právní úpravy spočívá v tom, že se jedná o primárně protekcionistickou úpravu cílící na ochranu spotřebitele a na to, aby tady neexistovaly automatizované systémy, které opakovaně dlouhodobě cílí na široké spektrum těchto subjektů. Pokud do toho uměle vložíme lidský prvek, nefunguje nám to ani podle GDPR, které také obsahuje problematiku automatizovaných systémů, nebude to fungovat ani podle zákona o elektronických komunikacích. Byť na to v České republice prozatím nemáme žádné oficiální stanovisko, nedovedu si představit, že by toto zafungovalo.
No a co se stávajícími souhlasy – pokud máte nějaké stávající souhlasy, ať už vaši klienti nebo vy sami, na základě kterých provádíte tuto činnost, a nesvědčí-li vám právní důvod podle GDPR a zákona 480/2004 Sb., tak máte 6 měsíců od nabytí účinnosti této novely, což je 1. 1. 2022, k tomu, abyste celý váš systém napravili a získali nové souhlasy účastníků, jinak po 6ti měsících vaše možnost kontaktovat tyto osoby končí.
Diskuze k článku ()