Je cold e-mail v Česku legální? Co doopravdy říká zákon

Krátká odpověď na jednu obrazovku

• Výchozí pravidlo v Česku je souhlas předem (§ 7 odst. 2). Studené oslovení bez souhlasu tedy není „povolené“, jak se často píše.
• Platí to i pro firemní adresy. ÚOOÚ na otázku, jestli je rozdíl mezi adresátem fyzickou a právnickou osobou, odpovídá jednou větou: není.
• Jediná výjimka v zákoně je pro vlastní zákazníky a vlastní obdobné produkty (§ 7 odst. 3). Cold outreach do ní z definice nespadá.
• Přesto se studené oslovování v Česku běžně a otevřeně dělá. Rozdíl mezi „šedou zónou“ a „problémem“ v praxi nedělá samotné odeslání, ale objem, relevance a stížnosti – a to, jestli máte čím doložit, odkud kontakt je.

Cílem zbytku textu je od té hrany co nejvíc odstoupit: ukázat, co v zákoně doopravdy stojí, které rady kolující po internetu jsou dovezené odjinud a co se dá udělat, aby vaše kampaň nebyla ta, na kterou přijde stížnost.

Předpisy jsou dva, ne jeden

Skoro každý spor o legalitu cold e-mailu pramení z toho, že se míchají dva různé předpisy, které odpovídají na dvě různé otázky:

• Zákon č. 480/2004 Sb. (u nás mu skoro všichni říkají antispamový zákon) říká, komu a kdy smíte obchodní sdělení vůbec odeslat. Reguluje kanál.
• GDPR říká, jak smíte zacházet s osobními údaji, které k tomu používáte. Reguluje data.

Splnit musíte oba a jeden druhý nenahrazuje. Nejčastější omyl českého e-mailového marketingu zní: „máme oprávněný zájem podle GDPR, takže posílat můžeme.“ Nemůžete. Oprávněný zájem vám dává titul ke zpracování kontaktu, ne povolení ho oslovit. To povolení řeší § 7.

Výchozí pravidlo: souhlas předem

Je to čistý opt-in. A souhlas, o kterém se tu mluví, není odkývnutí čehokoli. ÚOOÚ ve svých odpovědích pro odesílatele vyžaduje, aby byl svobodný, konkrétní, informovaný a jednoznačný, daný předem, vztažený ke konkrétnímu odesílateli a hlavně prokazatelný. Jako způsob doporučuje double opt-in, tedy potvrzení klikem v e-mailu.

Z toho plyne jedna věc, kterou stojí za to říct nahlas: souhlas nesmí být obecný – udělený nedefinované skupině subjektů pro nedefinované nabídky. Tím padá celý byznys s databázemi prodávanými „s uděleným souhlasem pro marketingové partnery“. Pokud v souhlasu nestojí vaše firma, pro vás neplatí, i kdyby byl sebelépe zdokumentovaný u prodejce.

Mýtus „B2B je výjimka“ a odkud se vzal

Tenhle mýtus není hloupost, je to špatně dovezená pravda. Evropská směrnice 2002/58/ES, ze které § 7 vychází, nechala v článku 13 členským státům na výběr, jestli ochranu před nevyžádanými sděleními rozšíří i na jiné účastníky než fyzické osoby. Státy se rozhodly různě:

• Velká Británie ochranu na firemní adresy nerozšířila. Britské PECR chrání „individual subscribers“, takže oslovit firemní schránku bez souhlasu tam skutečně jde. Odtud pochází drtivá většina anglicky psaných návodů o legálním B2B cold e-mailu i argumentace zahraničních nástrojů.
• Německo jde opačným směrem a souhlas vyžaduje i v čistě firemní komunikaci.
• Česko zvolilo ochranu bez rozlišení adresáta.

Prakticky to znamená, že [email protected] není z pohledu antispamového zákona volná adresa jen proto, že na druhé straně není člověk. Zákon tu nechrání soukromí konkrétní osoby, ale schránku jako takovou. A stížnost může podat kdokoli, kdo do té schránky chodí.

Jediná výjimka, kterou zákon opravdu zná

Výjimka v § 7 odst. 3 existuje, jen je o něčem jiném, než za co se běžně vydává. Týká se vlastních zákazníků a má čtyři podmínky, které musí platit všechny zároveň:

• Adresát je váš zákazník a kontakt jste získali v souvislosti s prodejem výrobku nebo služby. Ne poptávka, která nikam nevedla, ne vizitka z veletrhu.
• Kontakt jste získali v souladu s pravidly ochrany osobních údajů, tedy dnes s GDPR.
• Propagujete své vlastní obdobné výrobky nebo služby. Ne cizí, ne z jiného oboru.
• Zákazník měl možnost souhlas odmítnout už při předání kontaktu a má ji jasně, jednoduše a zdarma v každé jednotlivé zprávě.

Zákon mluví o kontaktu získaném „v souvislosti s prodejem výrobku nebo služby“, což ukazuje spíš na uzavřený obchod než na jakýkoli předchozí kontakt. Poptávka, která skončila bez objednávky, stažený e-book ani vizitka z konference tedy pod výjimku bezpečně nespadají – a studený kontakt, se kterým jste nikdy nic neuzavřeli, už vůbec ne.

Zároveň platí, že i v téhle výjimce musí mít adresát možnost odmítnout v každé jednotlivé zprávě. „Odhlásit se šlo při registraci“ nestačí.

Co platí vždycky, i se souhlasem

Odstavec 4 je nejpřehlíženější část paragrafu a přitom se porušuje nejsnáz. Zakazuje zaslat obchodní sdělení, pokud:

• není zřetelně a jasně označeno jako obchodní sdělení,
• skrývá nebo utajuje totožnost odesílatele, jehož jménem se komunikace uskutečňuje,
• je zasláno bez platné adresy, na kterou může adresát přímo a účinně sdělit, že si další zprávy nepřeje.

Tyhle tři věci platí bez ohledu na to, jestli souhlas máte. A dokazují se proti vám jedinou zprávou – nikdo nemusí nic dohledávat, stačí přeposlat e-mail. ÚOOÚ k identifikaci chce jasné uvedení obchodní firmy nebo jména včetně dodatků; v praxi to znamená patičku s firmou, IČO a adresou, ne jen křestní jméno a mobil.

Technicky k tomu patří i hlavička List-Unsubscribe. Zákon ji nevyžaduje, ale Gmail, Seznam i Microsoft ji berou jako signál seriózního odesílatele a její absence se vám vrátí v doručitelnosti. Víc o tom v článku Proč e-maily padají do spamu na Seznamu.

GDPR: kde je místo pro oprávněný zájem

GDPR se vztahuje jen na údaje o fyzických osobách. Kontaktní údaje právnické osoby pod něj nespadají, takže [email protected] zpravidla osobní údaj není. Jakmile ale máte v seznamu [email protected], osobní údaj to je, i když je adresa čistě pracovní. A většina prodejních seznamů je plná právě těch jmenných adres, protože se lépe personalizují.

Právním titulem pro takové zpracování bývá oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR. Recitál 47 přímý marketing jako možný oprávněný zájem výslovně zmiňuje, takže to není žádná klička. Ale nese to tři konkrétní povinnosti, na které se zapomíná:

• Balanční test. Oprávněný zájem se nevyhlašuje, poměřuje se s právy adresáta a ten výsledek má být sepsaný dřív, než začnete posílat.
• Informační povinnost podle čl. 14. Když údaje nezískáte od člověka samotného, musíte mu sdělit, kdo jste, proč ho oslovujete a odkud jeho kontakt máte, a to nejpozději při prvním kontaktu. V praxi to znamená jeden poctivý odstavec v úvodním e-mailu – a mimochodem je to i věta, která nejvíc snižuje počet naštvaných reakcí.
• Námitka podle čl. 21 odst. 2. Proti zpracování pro účely přímého marketingu se dá vznést námitka kdykoli a bez jakéhokoli vážení zájmů. Přijde-li, zpracování pro marketing okamžitě končí. Musíte to tedy umět technicky, a to napříč všemi kampaněmi, ne jen v té jedné.

Kde končí obchodní sdělení a začíná dotaz

Oblíbený manévr zní: „nenapíšu nabídku, napíšu osobní dotaz, a tím to není obchodní sdělení.“ Definice v § 2 je ale široká – obchodním sdělením jsou všechny formy sdělení, včetně vybízení k návštěvě internetových stránek, určené k přímé či nepřímé podpoře zboží či služeb.

Slovo nepřímé tu dělá všechnu práci. E-mail bez ceníku, bez tlačítka a bez slova „nabídka“, který ale vede k vašemu produktu, je pořád obchodní sdělení. Stejně tak pozvánka na webinář, odkaz na případovku nebo „jen chci ukázat, co jsme postavili“. Formulace mění tón, ne právní kvalifikaci.

Prakticky z toho plyne rada, která zní nudně, ale šetří starosti: neschovávejte se. Napište rovnou, co nabízíte, od koho to je a proč píšete zrovna téhle firmě. Kdo to má rád, ocení přímost. Kdo ne, odhlásí se, což je taky výsledek – mnohem lepší než stížnost.

Důkazní břemeno a pokuty

Dozor nad šířením obchodních sdělení vykonává Úřad pro ochranu osobních údajů a řízení typicky spouští stížnost adresáta, kterou jde podat online formulářem. Pro odesílatele je zásadní tohle:

Nedokazuje se tedy, že jste pochybili. Dokazujete vy, že jste nepochybili. Když nemáte záznam o tom, odkud kontakt je a co jste komu poslali, nemáte čím argumentovat. Stejný úřad k sankcím uvádí, že fyzickým osobám lze uložit pokutu až 100 000 Kč a právnickým osobám až 10 000 000 Kč.

Desetimilionová hranice je strop pro nejzávažnější případy, ne sazebník. Reálnější riziko než úřad je ostatně něco úplně jiného: zablokovaný účet u rozesílací služby, doména na blacklistu a reputace, kterou pak měsíce opravujete. To přijde dřív a bolí hned.

Jak riziko reálně snížit

Nikdo vám nedá razítko „tahle kampaň je v pořádku“. Dá se ale posunout hodně daleko od hrany, a to většinou rozhodnutími, která zároveň zvyšují úspěšnost kampaně:

• Cílit na právnické osoby a obecné firemní adresy. Jmenné adresy a OSVČ přidávají k antispamovému zákonu ještě celé GDPR. Čím obecnější schránka, tím menší osobní rozměr.
• Mít důvod, proč píšete právě téhle firmě. Obor, velikost, technologie na webu, čerstvý nábor. Relevance je nejlepší obrana proti stížnosti a zároveň jediné, co zvedá míru odpovědí.
• Napsat, odkud kontakt máte. Jedna věta v prvním e-mailu vyřeší informační povinnost podle čl. 14 a odzbrojí většinu naštvaných reakcí.
• Označit sdělení a identifikovat se. Firma, IČO, adresa. Sekundová práce, přímo v textu zákona.
• Odhlášení na jeden klik, zdarma, plus hlavička List-Unsubscribe. A odhlášení i námitky vést centrálně, ať se odhlášený člověk nemůže objevit v jiné kampani.
• Nekupovat databáze se souhlasem „pro partnery“. Souhlas musí znít na vás, jinak vám je k ničemu – a důkazní břemeno nesete vy, ne prodejce seznamu.
• Logovat. Zdroj kontaktu, datum, znění odeslané zprávy, odhlášení, námitky. Bez záznamů se nedá nic doložit, a doložit to musíte vy.
• Držet objemy malé. Plošná rozesílka desítek tisíc adres je zároveň nejvyšší riziko stížnosti i nejjistější cesta do spamu. Padesát dobře vybraných firem porazí pět tisíc náhodných.

Co se chystá: zákon o digitální ekonomice

Zákon č. 480/2004 Sb. má nahradit zákon o digitální ekonomice, kterým se do českého práva promítá evropský Digital Services Act. Ke dni 20. 9. 2026 je vládní návrh (sněmovní tisk 69) ve druhém čtení – obecná i podrobná rozprava proběhly 1. 7. 2026, usnesení garančního výboru bylo poslancům doručeno 4. 9. 2026. Finální znění se tedy ještě může změnit a k pozměňovacím návrhům je pořád prostor.

Podle návrhu zůstávají zachované oba dnešní režimy – zákaznický kontakt bez souhlasu a komunikace na bázi souhlasu – ale zřetelněji se oddělují. Nejviditelnější chystaná změna je časové omezení zákaznické výjimky: kontakt získaný od zákazníka by nešlo využívat neomezeně dlouho, uvažuje se o limitu v řádu dvou let. Souhlas se zároveň výslovně váže na standard GDPR, tedy včetně odvolatelnosti kdykoli.

Pro studené oslovování se tím nic nezjednodušuje– vlastní výjimku pro cold outreach návrh nepřináší o nic víc než dnešní zákon. Kdo ale staví významnou část e-mailingu na zákaznické výjimce, měl by legislativní proces sledovat: zestárlé kontakty mu můžou vypadnout ze hry.

Checklist před první kampaní

Deset otázek, na které byste měli umět odpovědět „ano“ dřív, než odejde první zpráva.

• ✓Vím, odkud každý kontakt v seznamu pochází, a umím to doložit i za rok.
• ✓Cílím na firemní adresy právnických osob, ne naslepo na jmenné adresy a OSVČ.
• ✓V prvním e-mailu je napsané, odkud kontakt mám a proč píšu zrovna téhle firmě.
• ✓Zpráva je zřetelně označená jako obchodní sdělení.
• ✓Je v ní obchodní firma, IČO a adresa odesílatele, nic se neschovává za přezdívku.
• ✓Odhlášení je na jeden klik, zdarma, a funguje i v hlavičce List-Unsubscribe.
• ✓Odhlášení a námitky se vedou centrálně a platí napříč všemi kampaněmi.
• ✓Nenakupuji databáze „se souhlasem pro partnery“, souhlas musí znít na mě.
• ✓Balanční test k oprávněnému zájmu je sepsaný, ne jen odkývaný.
• ✓Objemy jsou malé a segmenty úzké, protože rozhoduje stížnost, ne kvóta.

Zdroje

Text vychází z účinných předpisů a z veřejných výkladů ÚOOÚ. Legislativa se mění, u zákona o digitální ekonomice právě teď, takže než budete něco nasazovat, ověřte si aktuální znění v originále:

• Zákon č. 480/2004 Sb., o některých službách informační společnosti, § 7
• ÚOOÚ – Často kladené otázky k zákonu č. 480/2004 Sb.
• ÚOOÚ – Obchodní sdělení (rozcestník, včetně formuláře stížnosti)
• Nařízení (EU) 2016/679 (GDPR) – čl. 6, 14 a 21
• Směrnice 2002/58/ES o soukromí a elektronických komunikacích, čl. 13
• Sněmovní tisk 69 – vládní návrh zákona o digitální ekonomice