Každý obchodník nebo marketér, který oslovuje firmy v Česku, se dříve nebo později potká s otázkou: smím tomuto člověku napsat, nebo jsem na hraně zákona? GDPR strašák je reálný, ale B2B oslovování nezakazuje — za podmínek, které se dají pochopit i bez právnického titulu. Pojďme si je projít.

Firemní data nejsou osobní údaje — ale pozor na výjimky

Základní orientační bod: právnická osoba pod GDPR nespadá. Obchodní jméno firmy, IČO, sídlo nebo obecný email (info@, obchod@) zapsaný ve veřejném rejstříku nebo v databázi ARES nejsou osobními údaji ve smyslu nařízení. Kontaktujete-li firmu na tyto adresy, pohybujete se mimo přímý dosah GDPR.

Situace se mění, jakmile pracujete s jménem nebo individuální adresou konkrétního člověka — jan.novak@spolecnost.cz je osobní údaj i v B2B kontextu. Totéž platí pro OSVČ: u živnostníka se osobní a firemní sféra překrývají, takže i IČO nebo provozovna mohou identifikovat fyzickou osobu.

Praktický důsledek: rozsáhlé databáze firem s veřejně dostupnými kontakty — jako databázekontaktu.cz čerpající z ARES a veřejných registrů — operují primárně s firemními (nikoli osobními) údaji, čímž je jejich základní použití z pohledu GDPR méně problematické než zpracování osobních kontaktů zaměstnanců.

Oprávněný zájem: právní základ pro B2B oslovování

Pokud přece jen pracujete s osobními údaji (jméno, pracovní email), nejčastějším právním základem je oprávněný zájem správce dle čl. 6 odst. 1 písm. f) GDPR. Recitál 47 nařízení výslovně uvádí, že přímý marketing může být oprávněným zájmem — EU zákonodárce tedy B2B cold outreach nevylučuje.

Aby obstál, musí projít třístupňovým testem:

  • Test účelu: Sledujete skutečný obchodní zájem — nabídku relevantní služby konkrétní cílové skupině?
  • Test nezbytnosti: Je zpracování osobních údajů k tomuto cíli skutečně nezbytné?
  • Vyvažovací test: Nepřevažují práva a rozumná očekávání osloveného nad vaším zájmem?

Výsledek testu dokumentujte v posouzení oprávněného zájmu (LIA). Čím relevantnější nabídka (správný obor, správná role, správná velikost firmy), tím lépe test projde. Přesný segment sestavíte pomocí exportu firem podle oboru. Hromadné rozesílání nesouvisejícího produktu komukoliv LIA nepřežije.

Zákon 480/2004 Sb.: obchodní sdělení a elektronické kanály

Vedle GDPR platí v Česku zákon č. 480/2004 Sb. o některých službách informační společnosti, jehož § 7 se věnuje zasílání obchodních sdělení. Zákon implementuje evropskou ePrivacy směrnici.

Základní pravidlo: obchodní sdělení zaslané elektronickými prostředky (email, SMS) vyžaduje předchozí souhlas adresáta. Zákon však v § 7 odst. 3 stanoví výjimku: pokud jste od zákazníka získali e-mailový kontakt při prodeji vlastního výrobku nebo služby, smíte mu zasílat sdělení o podobných vlastních produktech — pokud má vždy jednoduchou a bezplatnou možnost zasílání odmítnout.

Pro studené emaily na obecné firemní adresy z veřejných registrů zákon výslovně nevytváří výjimku, ale odborná praxe a výkladová stanoviska ÚOOÚ rozlišují mezi obecnou firemní schránkou a osobní adresou zaměstnance. Cold email na info@firma.cz je proto vnímán jako méně rizikový než direct oslovení jan.novak@firma.cz bez předchozí vazby.

Praktická pravidla pro cold email a cold calling

Ať už oslovujete emailem nebo telefonicky, dodržujte tato základní pravidla:

  • Relevance za prvé: Oslovujte jen ty, pro jejichž firmu nebo roli je vaše nabídka objektivně smysluplná.
  • Sdělte zdroj: Transparentně uveďte, odkud jste kontakt získali (veřejný rejstřík, ARES, obchodní rejstřík).
  • Snadný opt-out: Každé sdělení musí obsahovat jednoduchou a bezplatnou možnost odhlášení. Opt-out okamžitě respektujte a zaznamenejte.
  • Žádné klamání: Předmět emailu ani odesílatel nesmí být zavádějící — platí zákon o reklamě i trestní zákoník.
  • Cold calling: Telefonické oslovování firem podléhá podobné logice; fyzické osoby se navíc mohou zapsat do Robinsonova seznamu APMS, který je nutné respektovat.
  • Dokumentujte: Veďte evidenci, kde a proč jste usoudili, že oprávněný zájem ve vašem případě převažuje.

Kdy souhlas nezbývá než si vyžádat

Oprávněný zájem nestačí vždy. Souhlas je nepostradatelný, pokud:

  • oslovujete spotřebitele (B2C), nikoli podnikatele,
  • data pocházejí z jiných zdrojů než veřejných registrů (sociální sítě, scrapy soukromých webů), kde subjekt komerční využití neočekával,
  • zpracováváte citlivé kategorie údajů nebo profily bez jasné relevance k nabídce.

Tento článek má vzdělávací charakter a nepředstavuje právní poradenství. Konkrétní situaci konzultujte s advokátem nebo odborníkem na ochranu osobních údajů.

Správně zacílené oslovování firem nemusí být v rozporu s GDPR — naopak, princip oprávněného zájmu byl do nařízení zahrnut mimo jiné právě proto, aby legitimní obchodní komunikaci umožnil. Klíč je relevance, transparentnost a respektování práva na opt-out. Začněte u přesně zacíleného segmentu — jak na něj, ukazuje Jak najít B2B kontakty na české firmy (praktický průvodce) — a data pro celou ČR nabízí exporty databáze firem po oborech.