ÚOOÚ dochází trpělivost: Nevyžádaná obchodní sdělení pod palbou pokut

Přestože ÚOOÚ dlouhodobě šíří osvětu, správci při zasílání obchodních sdělení opakují stále stejné chyby – nesprávné označení sdělení, chybějící možnost odhlášení z odběru i nákup databází s kontakty. Úřadu už dochází trpělivost a častěji pokutuje za neposkytnutí součinnosti.

V minulém čísle jsme vám představili hlavní závěry z výroční zprávy ÚOOÚ za rok 2025, které odhalily rekordní nárůst stížností a podnětů. Nyní si blíže posvítíme na jednu z nejsledovanějších částí kontrolní činnosti úřadu – zasílání obchod­ních sdělení.

Nejprve trocha čísel. Za rok 2025 obdržel ÚOOÚ celkem 1430 stížností, respektive podnětů k zahájení činnosti z důvodu prohřešků v oblasti zasílání obchodních sdělení. Z tohoto počtu ÚOOÚ celkem ve 404 případech pouze upozornil odesílatele na to, že porušil zákon o některých službách informač­ní společnosti. Takto ÚOOÚ postupuje v případech, kdy se jedná o méně závažné porušení zákona či pokud vůči danému subjektu úřad eviduje pouze jednu či dvě stížnosti.

Co se týče dozorové činnosti, v 15 ze zbylých případů ÚOOÚ zahájil kontro­lu a 13 jich ukončil (přičemž jedna stíž­nost se vyřešila tím, že odesílatel jed­noduše zanikl). Výrazný nárůst ÚOOÚ eviduje v rámci společností, které neposkytují součinnost. Zde v deseti pří­padech úřad udělil pokuty za celkem 1 060 000 korun, což v kontextu před­chozích let není málo.

Co se týče pokut jako takových, úřad rozdal v této oblasti sankce v celkové výši 12 109 000korun, z nichž 11 000 000 korun v souhrnu si vykoledovaly celkem tři společnosti, a to za rozesílání zálohových faktur za neobjednané služby. Zbytek připadá na 29 zahájených a 27 ukončených správních řízení.

Zdroj: ÚOOÚ

Koupená databáze

V případě obchodní společnosti ve­dené pod spisovou značkou UOOU-05614/24 zahájil Úřad pro ochranu osobních údajů kontrolu na základě 30 stížností podaných v závěru roku 2024. Společnost rozesílala e-mailem nevyžádaná obchodní sdělení s nabídkou dárkových poukazů na ubytování, přičemž k rozesílce využila externího portálu a zakoupené databáze kontaktů. Mylně přitom předpokládala, že souhlas adresátů je již zajištěn v rámci této databáze. Adresáti však nebyli zákazníky společnosti a souhlas se zasíláním obchodních sdělení nikdy neudělili.

Kontrolující shledal porušení hned několika ustanovení zákona č. 480/2004 Sb. Hlavním pochybením bylo zasílání sdělení bez předchozího sou­hlasu příjemců dle § 7 odst. 2. Část sdělení dále neobsahovala identifikaci odesílatele a u některých zpráv chyběla nebo byla nefunkční možnost odhlá­šení z odběru. Na základě zjištěných porušení zahájil úřad správní řízení a společnosti uložil sankci.

ÚOOÚ v rámci informování o tom­to případu zdůrazňuje, že existence ja­kékoliv legální databáze kontaktů, kte­rá bude obsahovat generální souhlas se zasíláním obchodních sdělení, je vysoce nepravděpodobná. Takový sou­hlas totiž trpí vadou neinformovanosti, což znamená, že je nelegální a nelze se takového souhlasu dovolávat (jakkoliv to prodejce databáze garantuje).

Zdroj: ÚOOÚ

Rozvážkové služby

Další kontrola byla zahájena v sou­ladu s kontrolním plánem úřadu pro rok 2024 se zaměřením na společnosti provozující rozvážkové služby, přičemž úřad evidoval i stížnosti na nevyžádaná obchodní sdělení ze strany dané společ­nosti. Kontrolující prověřoval marke­tingové kampaně realizované e-mailem i SMS zprávami. Zvláštní pozornost byla věnována dotazníkům spokoje­nosti zasílaným zákazníkům po převzetí zásilky – ty byly nakonec kvalifikovány jako transakční komunikace, nikoliv obchodní sdělení, neboť jejich primárním účelem bylo doručení fak­tury a umožnění online reklamace.

Úřad nicméně upozornil, že jakýkoliv obsah nepřímo podporující podnika­telskou činnost by z těchto zpráv měl být vyloučen, jinak by musely být považovány za obchodní sdělení.

V oblasti právního titulu bylo zjištěno, že společnost zasílá e-mailová i SMS obchodní sdělení svým zákazníkům na základě tzv. zákaz­nické výjimky dle § 7 odst. 3 zákona č. 480/2004 Sb., souhlas pak vyžaduje pouze pro push notifikace nebo ve specifických případech. Kontrolou bylo odhaleno několik pochybení.

Jednomu ze stěžovatelů bylo obchodní sdělení zasláno bez jakéhokoliv právního titulu. Systémovým problémem pak bylo opakované chy­bějící uvedení identifikace odesílate­le v e-mailových i SMS sděleních, čímž došlo k porušení § 7 odst. 4 písm. b) zákona č. 480/2004 Sb. V případě SMS zpráv navíc sdělení neobsahovala in­formaci o možnosti odhlášení z od­běru, což představovalo porušení § 7 odst. 4 písm. c) téhož zákona. Společ­nost podala proti kontrolním zjištěním námitky, ty však byly shledány nedůvodnými, a byla jí proto uložena sankce.

Loni ÚOOÚ obdržel celkem 1430 stížností na nevyžádaná obchodní sdělení

Internetový srovnávač

Úřad pro ochranu osobních údajů za­hájil u této společnosti kontrolu v sou­ladu s kontrolním plánem pro rok 2025. Tentokrát se zaměřil na poskytovatele internetových srovnávačů rozesílajících obchodní sdělení uživatelům porovnávajícím ceny energií, pojištění či půjček. Ke dni zahájení kontroly neevidoval úřad žádnou stížnost. Kon­trolovaná osoba byla vyzvána k doložení dvou e-mailových marketingových kampaní a kontrola proběhla rovněž formou místního šetření. Při něm bylo zjištěno, že společnost zasílá obchodní sdělení přibližně jednou za dva týdny cíleně vybraným zákazníkům na zá­kladě zákaznické výjimky dle § 7 odst. 3 zákona č. 480/2004 Sb., přičemž kon­takty získává elektronickou registrací uživatelů na svých webových stránkách a uzavřením smlouvy o poskytování služeb.

Kontrola odhalila jediné pochybení procesního charakteru – společnost při registraci zákazníkům neumožňovala předem odmítnout zasílání obchodních sdělení, jak vyžaduje § 7 odst. 3 zákona č. 480/2004 Sb. Úřad jí proto doporučil tuto možnost zavést. Ve všech ostatních ohledech však spo­lečnost zákonné povinnosti splnila – u hodnocených kampaní byly dodrženy veškeré náležitosti dle § 7 odst. 4 zákona č. 480/2004 Sb. a namátková kontrola adresátů neodhalila žádné zasílání sdělení bez platného právního titulu. Námitky proti kontrolním zjiš­těním nebyly podány.

Zálohové faktury za pět milionů korun

Kontrola u této společnosti byla za­hájena na základě 226 stížností podaných úřadu v období od dubna do prosince 2024. Společnost rozesílala e-maily obsahující zálohové faktury za zápis na internetových portálech se seznamy firem, přičemž všichni stě­žovatelé shodně uvedli, že si žádné služby neobjednali. Sdělení přesto klamavě navozovala dojem vyžádané zprávy či reakce na objednanou službu a v některých případech dokonce obsa­hovala upomínky po splatnosti. Úřad tato sdělení vyhodnotil jako obchodní ve smyslu zákona č. 480/2004 Sb. a zároveň poukázal na to, že stejnou praktiku provozoval jednatel společnosti již dříve pod jinou firmou, přičemž tehdy bylo rovněž shledáno porušení zákona. Kontakty přitom společnost čerpala z veřejného portálu evidujícího pod­nikatelské subjekty, jehož obchodní podmínky však takové využití dat výslovně vylučují.

Kontrolující shledal porušení hned několika zákonných povinností. Sděle­ní byla zasílána bez předchozího sou­hlasu adresátů v rozporu s § 7 odst. 2 zákona č. 480/2004 Sb. Zprávy navíc nebyly zřetelně označeny jako obchod­ní sdělení, čímž došlo k porušení § 7 odst. 4 písm. a), a tři z nich neobsahovaly možnost odhlášení z odběru dle § 7 odst. 4 písm. c). Úřad za zjištěná pochybení uložil sankci ve výši 5 mi­lionů korun. Společnost proti rozhod­nutí podala rozklad, o němž do konce roku 2025 nebylo předsedou úřadu rozhodnuto.

Zakoupené databáze kontaktů neobsahují generální souhlas se zasíláním obchodních sdělení

Zálohové faktury se 150 stížnostmi

Úřad pro ochranu osobních údajů zahá­jil kontrolu u této společnosti (UOOU-03051/24) na základě 150 stížností doručených v období od června 2024 do srpna 2025. Stěžovatelé shodně uváděli, že si žádné služby společnosti neobjednali, přesto jim byla zasílána obchodní sdělení s informacemi o zá­lohových fakturách, jejich splatnos­ti a s přílohami obsahujícími faktury za ověřené zápisy či aktualizace údajů na portálech provozovaných kontrolovanou osobou.

Společnost zpočátku na výzvy úřa­du vůbec nereagovala, což vedlo k uložení pořádkové pokuty za neposkytnutí součinnosti. Teprve poté prostřed­nictvím právního zástupce uvedla, že rozesílku pravděpodobně provedl bez jejího vědomí jeden ze smluvních partnerů s přístupem k jejím systémům. Toto odůvodnění však kontrolující neshledal jako polehčující – v souladu s rozsudkem Nejvyššího správního soudu, sp. zn. 6 As 18/2022-43, platí objektivní odpovědnost šiřitele ob­chodních sdělení bez ohledu na to, kdo konkrétně rozesílku technicky pro­vedl.

Kontrolující konstatoval porušení § 7 odst. 2 zákona č. 480/2004 Sb., ne­boť sdělení byla zasílána osobám, které k tomu nedaly předchozí souhlas a ne­byly zákazníky společnosti. Všechna posuzovaná obchodní sdělení navíc nebyla řádně označena jako obchodní sdělení, čímž došlo k porušení § 7 odst. 4 písm. a), a v některých přípa­dech chyběla rovněž možnost odhláše­ní z odběru ve smyslu § 7 odst. 4 písm. c) téhož zákona. Námitky proti kontrol­ním zjištěním nebyly podány a společ­nosti byla uložena sankce.

Zálohové faktury potřetí

Kontrola u této společnosti byla za­hájena na základě 83 stížností doru­čených úřadu v období od října 2024 do července 2025. Společnost rozesí­lala e-maily s výzvami k úhradě faktur za zveřejnění údajů na svém portálu a za služby internetové propagace. Stěžovatelé shodně uváděli, že nejsou zákazníky odesílatele a žádné služby si neobjednali.

Kontrolovaná osoba ve svém jediném vyjádření uvedla, že tři čtvrtiny kontaktů pocházejí z předchozího podnikání, kde byly adresy získány vyplněním formuláře, toto tvrzení však nijak nedoložila. Kontrolující navíc zdůraznil, že i pokud by adresy byly získány v rámci jiné podnikatelské čin­nosti, zákaznická výjimka dle § 7 odst. 3 zákona č. 480/2004 Sb. by se na ně nevztahovala – a souhlas se zasíláním ob­chodních sdělení společnost neproká­zala. Dopustila se tak porušení § 7 odst. 2 téhož zákona.

Kontrola odhalila i závažná for­mální pochybení. Zasílaná sdělení byla označena předmětem „Výzva k úhra­dě č. xxxx“, což kontrolující nepovažoval za dostatečně jasné označení ob­chodního sdělení dle § 7 odst. 4 písm. a). Naopak, takové označení mohlo u pří­jemců vyvolat mylný dojem, že jde o fakturu za skutečně objednané služby. Všechna posuzovaná sdělení dále po­strádala jasnou informaci o možnosti odhlášení z odběru, čímž došlo k po­rušení § 7 odst. 4 písm. c) zákona. Ná­mitky proti kontrolním zjištěním ne­byly podány a ve věci bylo zahájeno správní řízení.

Zákazníkům musíte umožnit odmítnout zasílání obchodních sdělení už při registraci

Další problém u affiliate marketingu

Kontrola u této společnosti (UOOU-03308/24) byla zahájena na základě tří stížností doručených úřadu v období od července do října 2024, přičemž jednomu ze stěžovatelů bylo zasláno celkem 29 nevyžádaných obchodních sdělení s nabídkou spotřebního zboží a zahradních potřeb odkazujících na internetový obchod kontrolované společnosti. Sdělení přitom nepocházela přímo od kontrolované osoby, ale od spřízněné společnosti sídlící na stejné adrese, která k rozesílce využívala přibližně 20 doménových jmen.

Kontrolovaná společnost na výzvy úřadu vůbec nereagovala a byla jí ulože­na pořádková pokuta za neposkytnutí součinnosti. Ani jedna ze společností neprokázala, že by disponovala sou­hlasem adresátů nebo že by se jednalo o její zákazníky. Kontrolující na základě principu objektivní odpovědnosti dovodil odpovědnost kontrolované společnosti za rozesílku prováděnou v její prospěch a konstatoval porušení § 7 odst. 2 zákona č. 480/2004 Sb.

Vedle nezákonného zasílání sdělení bez souhlasu bylo zjištěno i několik formálních pochybení. Zprávy nebyly zřetelně označeny jako obchodní sdě­lení dle § 7 odst. 4 písm. a), přičemž jejich předmět obsahoval pouze obec­né výzvy typu „Chraňte“ či „Objevte“, které mohly adresáta klamat ohledně povahy zprávy. Sdělení dále postrá­dala řádnou identifikaci odesílatele ve smyslu § 7 odst. 4 písm. b) a jedno z nich neumožňovalo účinné odhlášení z odběru dle § 7 odst. 4 písm. c). Úřad zahájil správní řízení s oběma společnostmi a uložil sankci každé z nich, v případě faktického odesílatele přihlédl i k jeho opakovanému porušování zákona v rámci předchozích řízení. Opravný prostředek nepodala ani jed­na ze společností.

I zde ÚOOÚ upozorňuje na ob­jektivní odpovědnost v rámci dopo­ručení: „Úřad v této souvislosti opětovně vyzývá podnikatele, kteří chtějí své produkty a služby propagovat prostřed­nictvím affiliate partnerů, třetích osob apod., aby si vždy tyto partnery důkladně prověřili. Důležité je taktéž vědět, zda adresáti obchodních sdělení udělili pro taková zasílání souhlas. Hlavním důvodem je, že společnosti, v jejichž prospěch jsou obchodní sdělení odesílána, mají objektivní odpovědnost za předmětné ší­ření obchodních sdělení prováděné jinou osobou. Tedy i tyto společnosti musí být schopny doložit souhlasy adresátů ob­chodních sdělení nebo musí být schopny zajistit tyto souhlasy prostřednictvím společnosti, která obchodní sdělení fak­ticky odeslala.“

Doporučení zaměstnance

Kontrola u této společnosti (UOOU-03493/24) byla zahájena na zákla­dě pěti stížností doručených úřadu v období od července do srpna 2024. Předmětem zasílaných e-mailů byly nabídky odměny za doporučení zaměstnance, poděkování zákazníkům s formulářem pro zařazení do soutěže o telefon a dotazníky spokojenosti s nákupem. Společnost zpochybňovala, že by se jednalo o obchodní sdělení, a odkazovala na jejich charitativní účel. Kontrolující však tuto argumentaci odmítl – zprávy obsahovaly odka­zy na internetový obchod společnosti a nepřímo tak propagovaly její podni­katelskou činnost.

Ačkoliv byla sdělení zasílána vlast­ním zákazníkům, společnost nedoloži­la, že disponuje jejich souhlasem dle § 7 odst. 2 zákona č. 480/2004 Sb., přičemž její vyjádření ohledně právního titulu byla rozporuplná. Dopustila se tak po­rušení uvedeného ustanovení. Spo­lečnost nicméně pochybení částečně uznala, provedla audit svých procesů a přistoupila k zavedení dvojího opt-in při získávání souhlasů.

Vedle absence platného právního titulu bylo zjištěno i porušení formál­ních náležitostí. Zasílané zprávy ne­byly řádně označeny jako obchodní sdělení v rozporu s § 7 odst. 4 písm. a) zákona č. 480/2004 Sb. a zároveň neobsahovaly žádnou informaci o možnos­ti odhlášení z odběru ani platnou ad­resu pro uplatnění tohoto práva, čímž došlo k porušení § 7 odst. 4 písm. c) té­hož zákona. Úřad zahájil správní řízení a společnosti uložil sankci.

Nabídka stavebních a řemeslnických služeb

Kontrola u této společnosti (UOOU-04377/23) byla zahájena na zákla­dě sedmi stížností doručených úřadu v období od října 2023 do ledna 2024. Společnost rozesílala e-maily i SMS zprávy s nabídkami stavebních služeb a volných řemeslníků, přičemž některá sdělení mohla na první pohled vypa­dat jako reakce na poptávky zadané adresáty. Stěžovatelé však uváděli, že poptávky buď vůbec nezadávali, nebo je zadávali před několika lety. Kontro­lovaná osoba tvrdila, že zákazníci byli kontaktováni na základě zadaných poptávek či registrace, při níž udělili sou­hlas se zasíláním obchodních sdělení. Kontrolující však existenci těchto souhlasů neprokázal a konstatoval poru­šení § 7 odst. 2 zákona č. 480/2004 Sb.

Kontrola odhalila i řadu formál­ních pochybení. Řádné označení jako obchodní sdělení bylo splněno pouze u části e-mailů, u SMS zpráv chybělo zcela. Stejně tak identifikace odesílate­le dle § 7 odst. 4 písm. b) byla přítomna pouze v e-mailových sděleních, nikoliv v SMS. Možnost odhlášení z odběru pak obsahovala jen část e-mailových zpráv, SMS sdělení ji postrádala úpl­ně, čímž došlo k porušení § 7 odst. 4 písm. c) zákona. Úřadu byly doručeny námitky proti kontrolním zjištěním, které byly shledány částečně důvodnými – v případě jednoho adresáta bylo dodatečně prokázáno, že je zákazníkem společnosti a zaslaná zpráva měla povahu servisní, nikoliv obchodní komunikace. Ostatní námitky byly zamítnuty a společnosti byla uložena sankce.

Online kurzy v oblasti HR

Kontrola u této společnosti (UOOU-05267/24) byla zahájena na základě osmi stížností doručených úřadu v ob­dobí od října 2024 do dubna 2025. Zasílané e-maily obsahovaly nabídku odborných online kurzů zaměřených zejména na změny zákoníku práce a personální agendy. Při šetření bylo zjištěno, že společnost fakticky navázala na předchozí podnikatelskou čin­nost své jednatelky, která stejné služby provozovala jako fyzická osoba – došlo pouze ke změně právní formy. Úřad přitom tuto osobu v minulosti již jednou upozorňoval na zasílání nevyžá­daných obchodních sdělení a uložil jí za to sankci. Kontrolovaná osoba v rámci kontroly uváděla, že dotčené e-mailové adresy mohly být do adresáře zkopírovány omylem. Tato argumentace ji však odpovědnosti nezbavila.

Kontrolující konstatoval porušení § 7 odst. 2 zákona č. 480/2004 Sb., ne­boť společnost nedisponovala předchozím souhlasem adresátů se zasíláním obchodních sdělení. Námitky proti kontrolním zjištěním nebyly podány a společnosti byla uložena sankce.

ÚOOÚ si došlápl na rozesílatele falešných zálohových faktur

Dotace a řešení fotovoltaiky

Kontrola u této společnosti (UOOU-05287/24) byla zahájena na základě šesti stížností doručených úřadu v průběhu listopadu 2024. Zasílané e-maily obsahovaly nabídku dotací a bezúročných úvěrů na fotovoltaiku s odkazem na webové stránky společnosti. Samotnou rozesílku přitom pro kontrolovanou osobu zajišťovala na základě smlouvy jiná společnost, které kon­trolovaná osoba předala kontakty. Ty pocházely z volně dostupných zdrojů na internetu– webových stránek firem a různých vyhledávačů. Adresáti tedy nebyli zákazníky kontrolované osoby a ta nedisponovala ani jejich souhla­sem se zasíláním obchodních sděle­ní, čímž porušila § 7 odst. 2 zákona č. 480/2004 Sb. Kontrolující dále kon­statoval, že zasílané zprávy nebyly řádně označeny jako obchodní sdělení dle § 7 odst. 4 písm. a), ostatní formální náležitosti však splněny byly.

Kontrolovaná osoba podala námit­ky proti oběma zjištěným porušením. Námitka týkající se zasílání sdělení bez souhlasu adresátů byla zamítnuta. Námitce proti nedostatečnému označení obchodního sdělení však bylo vyhověno – nadřízený orgán dospěl k závěru, že použité výrazy v obvyklém smyslu slova u běžného adresáta dostatečně evokují dojem nabídky zboží či slu­žeb ze strany podnikatele. Za prokázané porušení § 7 odst. 2 zákona byla společnosti uložena sankce.

I zde musel ÚOOÚ doplnit do­poručení, které již naši čtenáři dávno znají: „Zákon č. 480/2004Sb. nerozlišuje mezi adresáty (uživateli e-mailových adres) fyzickou osobou a osobou právnickou, tj. ochranu před nevyžádanými obchodními sděleními poskytuje oběma těmto skupinám v obdobném rozsahu. K tomu např. relevantní část důvodové zprávy k § 7 zákona č. 480/2004 Sb., po­dle níž ochrany podle ustanovení toho­to paragrafu požívají jak osoby fyzické, tak i osoby právnické. Nelze tedy zasílat nevyžádaná obchodní sdělení ani na e-mailové adresy, jež nejsou přiřazeny konkrétní fyzické osobě a představují třeba obecný kontakt na osobu právnickou. Tento paragraf transponuje článek 7, částečně článek 6 směrnice 2000/31/ES o elektronickém obchodu a článek 13 směrnice 2002/58/ES o soukromí a elektronických komunikacích.“

Nabídka prodeje databáze a docházky

Kontrola u tohoto subjektu byla zahá­jena na základě 11 stížností doruče­ných úřadu v období od ledna do srpna 2025. Podnikající fyzická osoba rozesí­lala e-maily ve dvou verzích– jedna obsahovala nabídku databáze firem, druhá systém online docházky. Adre­sáti shodně uváděli, že nejsou zákaz­níky odesílatele a souhlas se zasíláním obchodních sdělení nikdy neudělili. V průběhu kontroly bylo zjištěno, že došlo k přerušení živnosti kontrolo­vané osoby a ke změně provozovatele webových stránek, v jejichž prospěch byla sdělení šířena – obojí se však odehrálo až po předmětných rozesílkách. Kontrolovaná osoba na výzvy úřadu vůbec nereagovala a byla jí uložena po­řádková pokuta za neposkytnutí sou­činnosti. Součinnost odmítl poskytnout i následný provozovatel webových stránek.

Kontrolující konstatoval porušení § 7 odst. 2 zákona č. 480/2004 Sb., ne­boť kontrolovaná osoba neprokázala, že by disponovala souhlasem adresátů nebo že by se jednalo o její zákazníky. Některá zaslaná obchodní sdělení navíc nebyla řádně označena jako obchod­ní sdělení a jedno z nich neobsahovalo možnost odhlášení z dalšího zasílání. Námitky proti kontrolním zjištěním nebyly podány a ve věci bylo zahájeno správní řízení.

Chyby přetrvávají a úřadu dochází trpělivost

Není překvapením, že nejčastějším po­rušením v oblasti zasílání obchodních sdělení je stále absence právního ti­tulu. Drobnější povytažení obočí by si zasloužil fakt, že i v roce 2025 musel ÚOOÚ někoho pokutovat za to, že si koupil databázi a je překvapený, že to jako právní titul nestačí. Pokud opomineme skutečnost, že velkou část pokut dostaly tři společnosti za zjevně podvodnou činnost, výše udělených po­kut nesvědčí o potřebě navýšit možný limit, jak si to vybojoval ÚOOÚ v návrhu zákona o digitální ekonomice. ÚOOÚ však očividně ztrácí trpělivost s těmi, kteří nereagují na jeho výzvy. Součet pokut za neposkytnutí součin­nosti tak loni dosáhl rekordní výše.

Článek byl publikován v Elektronickém zpravodaji pro pověřence