Právo · 7. listopadu 2026 · 5 min čtení
Oprávněný zájem podle GDPR: 3 kroky posouzení
Čl. 6 odst. 1 písm. f GDPR vysvětlen: třístupňový test, příklady z marketingu a obchodu, dokumentace a právo vznést námitku podle čl. 21.
Oprávněný zájem je právní základ, o který se v marketingu a obchodu opírá mnoho firem. Působí pohodlně, protože nepotřebuje banner ani podpis. Je to ale také základ s nejvíce vlastní prací: musíte sami posoudit, sami vyvážit a výsledek umět doložit. Tento článek vysvětluje pravidlo, tři kroky posouzení a typická úskalí.
Co pravidlo říká
Čl. 6 odst. 1 písm. f GDPR povoluje zpracování osobních údajů, pokud je „nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany“. Platí to jen tehdy, nepřevažují-li zájmy nebo základní práva subjektu údajů, která vyžadují ochranu jeho údajů. Orgány veřejné moci se na to při plnění svých úkolů odvolat nemohou. Znění najdete v GDPR na EUR-Lex.
Tento základ je jedním ze šesti rovnocenných. Nemá přednost před souhlasem a není záchrannou sítí, když souhlas chybí. Tam, kde zákon pro určitý postup souhlas vyžaduje, jej písm. f nahradit nemůže. Platí to především pro přístup ke koncovému zařízení, více v článku Souhlas, nebo oprávněný zájem: jak se rozhodnout.
Tři kroky posouzení
Soudní dvůr Evropské unie posuzuje pravidlo ve třech stupních, které musí být splněny všechny. Takto to formuloval mimo jiné v rozsudku ze dne 4. října 2024 (SDEU, C-621/22, Koninklijke Nederlandse Lawn Tennisbond).
| Stupeň | Otázka | Typická chyba |
|---|---|---|
| 1. Zájem | Sledujete oprávněný zájem? | Zájem jen paušálně tvrzený („marketing“) |
| 2. Nezbytnost | Je k tomu zpracování nutné? | Více údajů, než je třeba, přestože to jde s menším počtem |
| 3. Vyvažování | Nepřevažují zájmy subjektů údajů? | Nezohledněná očekávání subjektů údajů |
Stupeň 1: zájem. Musí být zákonný, jasně pojmenovaný a skutečně existující. SDEU v uvedeném rozsudku vyjasnil, že i hospodářský zájem může být oprávněným zájmem, pokud neporušuje právo. Bod odůvodnění 47 výslovně uvádí přímý marketing jako možný oprávněný zájem.
Stupeň 2: nezbytnost. Zde se ptáte, zda existuje mírnější prostředek. Pokud cíle dosáhnete s méně údaji, musíte použít méně údajů. Pokud vám stačí firma, nepotřebujete osobu. To je zásada minimalizace údajů z čl. 5 odst. 1 písm. c GDPR.
Stupeň 3: vyvažování. Postavíte svůj zájem proti zájmům subjektů údajů. Měřítkem jsou podle bodu odůvodnění 47 přiměřená očekávání subjektů údajů, vyplývající z jejich vztahu k vám. Kdo je zákazník, počítá s newsletterem o podobných produktech. Kdo navštívil stránku jen jednou, nepočítá s podrobným profilem. Čím citlivější údaje a čím hlubší zásah, tím spíše vyvažování dopadne v neprospěch vás.
Příklady z marketingu a obchodu
Následující případy ukazují rozpětí. Zda v jednotlivém případě obstojí, závisí na okolnostech. Zařazení není příslib.
- Poštovní reklama stávajícím zákazníkům. Často se považuje za obhajitelnou, protože zákazníci s ní počítají. Musí navíc sedět soutěžní právo.
- Obrana proti podvodům a IT bezpečnost. Bod odůvodnění 47 uvádí předcházení podvodům jako oprávněný zájem. Protokoly k odvrácení útoků na to firmy často opírají.
- Přiřazení firmy na webu. Kdo jen vyhledá držitele sítě k IP adrese, zpracovává málo a má jasný cíl. Zda je IP adresa v konkrétním případě osobním údajem, vysvětluje článek IP adresa a GDPR: je osobním údajem?.
- Profily jednotlivých osob z nakoupených dat. Zde se vyvažování stává obtížným, protože subjekty údajů s tím nepočítají.
Pro oslovení po návštěvě webu se k GDPR přidává soutěžní právo. Co tam platí v jednotlivých zemích, je v článku Studená akvizice v B2B: co je povoleno v DE, AT a CH.
Dokumentace: důkazní břemeno nesete vy
Podle čl. 5 odst. 2 GDPR musíte umět prokázat dodržování zásad. Pro písm. f to v praxi znamená:
- Pojmenujte zájem jednou větou.
- Zaznamenejte, proč to nejde s menším počtem údajů.
- Sepište vyvažování s nejdůležitějšími argumenty, s datem a odpovědnou osobou.
- Zahrňte zpracování do svých záznamů podle čl. 30 GDPR, pokud je to povinné.
- Uveďte oprávněný zájem v zásadách ochrany osobních údajů. Čl. 13 odst. 1 písm. d GDPR u tohoto základu vyžaduje uvedení zájmů.
- Vyvažování znovu ověřte, když se změní účel, údaje nebo technika.
Námitka podle čl. 21
Kdo se opírá o písm. f, musí přiznat právo vznést námitku. Existují dva případy (čl. 21 GDPR):
- Obecná námitka (odst. 1). Osoba může vznést námitku z důvodů týkajících se její konkrétní situace. Zpracování pak musíte ukončit, ledaže prokážete závažné oprávněné důvody, které převažují.
- Námitka proti přímému marketingu (odst. 2 a 3). Zde není třeba žádné zdůvodnění. Po námitce se údaje již nesmějí pro reklamu zpracovávat.
Podle odst. 4 musíte nejpozději při první komunikaci na toto právo výslovně upozornit, srozumitelně a odděleně od jiných informací.
Časté otázky
Nemusím při oprávněném zájmu subjekty údajů informovat? Musíte. Informační povinnosti podle čl. 13 a 14 GDPR platí i tehdy. U tohoto základu navíc musíte uvést oprávněné zájmy.
Stačí oprávněný zájem pro cookies a trackovací skripty? Pro přístup ke koncovému zařízení zpravidla ne. Tam platí v Německu § 25 TDDDG a v Rakousku § 165 odst. 3 TKG 2021, oba v zásadě vyžadují souhlas. Základ podle GDPR se týká až následného zpracování. Více v článku § 25 TDDDG: cookies a tracking v Německu.
Musím vyvažování zaznamenat písemně? GDPR pevnou formu nepředepisuje. Vzhledem k důkazní povinnosti v čl. 5 odst. 2 je však písemná dokumentace jistou cestou.
