Jsou firemní kontaktní údaje osobními údaji?

Otázka jsou firemní kontaktní údaje osobní údaje nemá odpověď pro celý řádek jedním štítkem. Nejdříve zjistěte, ke komu se údaj vztahuje, potom prohlédněte konkrétní pole a kontext. Jméno či přímý pracovní e-mail může identifikovat člověka, zatímco registrační číslo právnické osoby se vztahuje k organizaci.

Stručná odpověď: Firemní kontaktní údaje jsou osobní údaje, pokud identifikují fyzickou osobu; označení B2B ani firemní doména nic nemění. Obecná schránka obvykle osobní není, dokud ji kontext nespojí s člověkem. Právní formu ověřte podle národního práva. Použití kontaktu pak posuďte zvlášť podle GDPR a národně provedených pravidel ePrivacy pro daný trh a kanál.

Naposledy aktualizováno: 26. srpna 2026

Označení B2B neklasifikuje celý řádek

GDPR chrání informace vztahující se k identifikované nebo identifikovatelné fyzické osobě, zatímco údaje, které se vztahují pouze k právnické osobě, do této definice nespadají ¹. Jeden databázový řádek však často míchá obě kategorie, například název společnosti, její registrační číslo, jméno pracovníka, přímý e-mail a poznámku o rozhovoru, proto klasifikujte jednotlivá pole a jejich společný kontext, ne pouze tabulku nazvanou „B2B“.

Častá věta „B2B data jsou z GDPR vyňata“ je chybná, protože firemní prostředí fyzickou osobu nezneviditelní. Evropská komise uvádí jako příklad osobního údaje pracovní e-mail ve tvaru [email protected] a zároveň odlišuje údaje o společnosti jako právnické osobě; doména tedy neuděluje výjimku, pouze ukazuje organizační prostředí ².

Rozlišujte subjekt údaje od majitele databáze. To, že seznam vlastní firma a používá jej při obchodní činnosti, neříká, koho záznam popisuje. Přímé číslo může vést ke konkrétnímu člověku, poznámka může hodnotit jeho chování a funkce může odhalit jeho pracovní postavení. Každé z těchto polí vyžaduje účel a kontrolu podle GDPR.

Současně neplatí opačná zkratka, že každá firemní informace je osobní. Obecné sídlo právnické osoby, ústředna nebo organizační schránka mohou popisovat pouze organizaci. Přesto se i u nich později ptáte, zda použití dovolují jiná pravidla, smlouva nebo marketingové předpisy. „Mimo GDPR“ nikdy neznamená „volně použitelné“.

Začněte subjektem, potom zkoumejte pole a kontext

Nejdříve se ptejte, koho záznam popisuje a zda konkrétní pole samo nebo spolu s dostupnými údaji umožňuje určit fyzickou osobu; nakonec ověřte, zda směrování, podpis nebo doplňující poznámka nezměnily původně obecný kontakt na osobní.

Tabulka uvádí výchozí analýzu, nikoli trvalé vlastnosti řetězce znaků: stejná adresa může dnes směrovat do týmu a za rok ji může používat jediný člověk, zatímco stejný název může být obchodním jménem fyzické osoby nebo označením právnické osoby podle národního práva. Uchovejte proto kontext a datum, ne pouze výsledek ano či ne.

Když chybí údaj potřebný pro rozhodnutí, označte řádek jako nevyřešený. Nehádejte právní formu podle koncovky domény ani osobu podle křestního jména v adrese. Zjistěte zdroj, oficiální formu, směrování a skutečné používání. Do vyřešení omezte použití, zejména hromadné oslovení, které by rozšířilo dopad chyby.

Klasifikace se provádí pro konkrétní záznam v rukou konkrétního správce. Informace, která sama nikoho neurčí, může být osobním údajem, pokud ji lze rozumně spojit s dalšími dostupnými daty. Naopak interní kód bez realistické cesty k člověku nemusí pro příjemce identifikaci umožnit. Zapište, jaké spojení je skutečně k dispozici.

Jmenné pracovní údaje obvykle určují člověka

Adresa typu [email protected] identifikuje Janu Novákovou, i když vznikla výhradně pro práci, a totéž zpravidla platí pro přímé telefonní číslo, osobní profil, jmenovku v systému nebo poznámku přiřazenou ke konkrétnímu pracovníkovi. Případ C-631/21 připomíná, že pracovní kontext sám nevylučuje vztah informace k fyzické osobě ⁴.

Veřejné zveřejnění nemění definici ani automaticky nedává volné oprávnění. Kontaktní stránka může umožnit oslovit člověka kvůli jeho pracovní funkci, ale správce stále potřebuje určit vlastní účel, právní základ, očekávání, transparentnost, rozsah a dobu. Zkopírování veřejné adresy do dlouhodobého profilovaného seznamu je jiné zpracování než odpověď na konkrétní dotaz.

Ani tvrzení dodavatele, že seznam je „v souladu“, nepřenáší odpovědnost, proto zjistěte zdroj každého pole, datum získání, předané informace, možnost námitky, změny a omezení účelu. Dodavatel může popsat svou činnost, ale příjemce rozhoduje o vlastním použití; štítek na souboru není právním základem ani důkazem, že jsou údaje aktuální.

U pracovních údajů berte vážně změny rolí. Zaměstnanec může odejít, přejít na jinou funkci nebo přestat být vhodným kontaktem. Přesnost není jen správně napsaná adresa; zahrnuje i to, zda vazba mezi člověkem, rolí a účelem stále platí. Nastavte ověření a odstranění neaktuálních polí bez zbytečného odkladu.

Obecné schránky závisejí na okolním záznamu

Adresa [email protected] obvykle označuje organizační vstup, nikoli člověka, a stejně může fungovat účtovací schránka nebo ústřední číslo. Pokud databáze neobsahuje další vazbu a zprávy zpracovává proměnlivý tým, pole samo zpravidla není osobním údajem; tento závěr se týká klasifikace pole, ne oprávnění poslat jakýkoli obsah.

Kontext může výsledek obrátit. CRM může u obecné adresy uvádět jméno jediné kontaktní osoby; odpovědi mohou mít stálý osobní podpis; malou schránku může dlouhodobě obsluhovat jeden člověk a odesílatel to ví. V takovém souboru lze osobu určit kombinací údajů. Audit proto čte celý řádek i historii komunikace.

Klasifikace se mění v čase. Po přesměrování schránky na tým může osobní vazba zaniknout, ale staré poznámky ji mohou zachovat. Naopak nová automatická integrace může obecné adrese připojit jméno a přímé číslo. Změnu zachyťte při importu, obohacení a změně směrování, nikoli jen při prvním nákupu seznamu.

Právní formy vyžadují kontrolu národního práva

Kategorie „partnerství“, „samostatně podnikající osoba“ nebo „firma s omezeným ručením“ nemají ve všech členských státech totožný právní účinek, protože národní právo určuje, zda konkrétní forma má právní osobnost a kdo je nositelem práv a povinností. Tato závislost není nepříjemná výjimka, nýbrž správná evropská odpověď.

Recitál 14 GDPR vysvětluje, že ochrana se nevztahuje na informace o právnických osobách, včetně názvu, formy a kontaktních údajů právnické osoby ¹. Z toho však nelze odvodit, že každý subjekt se slovem „společnost“ nebo „partnerství“ je právnickou osobou. Nejdříve zjistěte status z oficiálního registru nebo jiného spolehlivého zdroje podle příslušného práva.

Potom se vraťte k poli, protože i řádek samostatné právnické osoby může obsahovat jméno a přímý e-mail fyzické osoby, zatímco registrační číslo a obecná adresa právnické osoby mohou zůstat mimo definici, pokud okolní data nikoho neidentifikují. Právní forma klasifikuje subjekt; nenahrazuje kontrolu každého pole.

U zahraniční formy nepřekládejte název do domácí kategorie podle podobnosti. Zaznamenejte jurisdikci, ověřený status, zdroj a datum. Pokud výsledek chybí, držte řádek v nevyřešené frontě a omezte jeho využití. Tak lze později vysvětlit, proč byl kontakt zahrnut nebo vyřazen, aniž by se neurčitost změnila v domnělou výjimku.

Status osobního údaje sám použití nepovoluje

Klasifikace odpovídá pouze na otázku, zda se použije GDPR; odděleně se určuje konkrétní účel, právní základ, informace poskytnuté osobě, přiměřený rozsah, přesnost, doba uchování a postup pro uplatnění práv. Osobní údaj není zakázaný, ale vyžaduje řízené a doložitelné použití.

U oprávněného zájmu nestačí napsat tuto frázi do sloupce. Popište zájem, nezbytnost zpracování a vyvážení proti zájmům a právům člověka. Pracovní funkce může ovlivnit rozumná očekávání, ale neodstraňuje je. Účel servisního oznámení se liší od profilování a dlouhodobého prodeje kontaktu dalším stranám.

Transparentnost se váže ke zdroji a účelu. U údajů získaných odjinud zjistěte, které informace mají být poskytnuty a kdy. Minimalizace znamená neuchovávat soukromé číslo, pokud stačí pracovní adresa; přesnost vyžaduje opravit změněnou roli; doba uchování musí navazovat na reálný účel. Starý kontakt se nestává méně osobním, pouze méně přesným.

Práva a námitky převeďte do provozu tak, aby se kontakt osoby, která namítla přímý marketing, nevrátil při dalším importu. Úplný výmaz může odstranit důkaz potřebný k respektování námitky, proto lze uchovat minimální potlačovací záznam omezený na tento účel, který však nesmí sloužit jako nový marketingový zdroj.

Elektronický marketing přidává druhou právní vrstvu

GDPR a pravidla ePrivacy kladou různé otázky: první vrstva se ptá na zpracování osobních údajů, zatímco článek 13 směrnice 2002/58/ES řeší určité formy nevyžádané elektronické komunikace a členské státy jej provádějí ve vlastním právu ³. Proto neexistuje jedna unijní věta „B2B marketing je povolen“ platná pro každý trh, kanál a kategorii účastníka.

Nezaměňujte právní základ podle GDPR se souhlasem vyžadovaným pro kanál. Závěr, že určitý účel může stát na oprávněném zájmu, sám neodpovídá na to, zda lze poslat konkrétní e-mail v daném členském státě. Opačně splnění kanálového pravidla nenahrazuje transparentnost, minimalizaci, přesnost ani právo vznést námitku podle GDPR.

Marketingový test proto začíná trhem příjemce a použitým kanálem: zjistěte národní provedení, definici relevantní kategorie, podmínky případné výjimky, požadavky na identifikaci odesílatele a snadné odmítnutí. Nevytvářejte evropskou politiku z nejmírnějšího trhu; společná evidence může mít různé rozhodovací větve, ale každá musí mít ověřený právní zdroj a vlastníka.

Servisní komunikaci oddělte od propagace podle obsahu a účelu, nikoli předmětu zprávy. Potvrzení dohodnuté změny může být nezbytné pro službu; přidaná nabídka může otevřít marketingovou vrstvu. Smíšená zpráva se neposuzuje automaticky jako servisní jen proto, že obsahuje provozní odstavec. Audit zaznamená hlavní i vedlejší účel.

Změňte seznam na rozhodnutí po jednotlivých polích

Audit nemá skončit počtem kontaktů, protože pro každý typ pole a použití potřebujete stopu od zdroje k finálnímu rozhodnutí. U velkého seznamu lze pracovat s kohortami, pouze pokud mají stejný zdroj, kontext, právní formu, účel, trh a kanál; každou výjimku vraťte na úroveň jednotlivého řádku.

Nevyřešený řádek není automaticky zamítnutý, ale nesmí tiše pokračovat, proto jej izolujte od kampaní a určete chybějící fakt i vlastníka. Pokud nelze ověřit subjekt, zdroj nebo trh s přiměřeným úsilím, zvažte výmaz místo trvalého skladu nejistoty; hodnota kontaktu není důvodem snížit důkazní standard.

Potlačovací cesta je odlišná od běžného uchování: po námitce proti marketingu lze držet minimální údaj nutný k tomu, aby kontakt nebyl znovu přidán, avšak přístup, účel a datová pole musí zůstat omezené. Při novém nákupu či synchronizaci porovnejte import s potlačovacím seznamem před aktivací, nikoli až po odeslání.

Audit opakujte při změně zdroje, účelu, obohacení, právní formy, směrování, trhu, kanálu nebo dodavatele. Metrika „ověřeno“ potřebuje datum a rozsah. Pole může zůstat syntakticky stejné, zatímco osoba odešla nebo národní marketingová větev změnila použitelný výsledek. Spouštěče propojte s CRM, nákupem dat a správou kampaní.

Smíšený řádek vede ke dvěma samostatným větvím

Představte si řádek s názvem právnické osoby, registračním údajem, jménem kontaktního pracovníka, jeho přímým e-mailem, obecnou schránkou a poznámkou o servisním požadavku. Název a registrační údaj zůstanou v organizační větvi, pokud ověřená forma skutečně má právní osobnost. Jméno, přímý e-mail a poznámka o pracovníkovi vstoupí do osobní větve. Obecná schránka zůstane organizační jen tehdy, když ji podpis, směrování nebo jiné pole nespojí s člověkem.

Servisní použití má vlastní účel, totiž odpovědět na požadavek a spravovat vztah, takže pro osobní větev zaznamenejte právní základ, poskytnuté informace, přístup, přesnost a dobu, zatímco pro organizační historii stanovte samostatné pravidlo. Když pracovník odejde, opravte nebo odpojte jeho osobní údaje, ale historie služby právnické osoby může podle vlastního účelu pokračovat; jedna změna tak nevede k plošnému výmazu ani k plošnému ponechání.

Akviziční použití je nový účel. Veřejná dostupnost přímého e-mailu ani předchozí servisní rozhovor automaticky nedovolují propagaci. Jmenná pole projdou testem GDPR a elektronický kanál navíc národní marketingovou větví podle trhu a kategorie. Obecná schránka může zůstat mimo GDPR, a přesto dostat výsledek „neposílat“, protože druhá právní vrstva se neomezuje na definici osobního údaje.

Právní formu nepředpokládejte podle názvu. Pokud řádek označuje partnerství nebo osobu podnikající pod obchodním jménem, nejprve ověřte kvalifikaci podle příslušného národního práva a pak identifikovatelnost fyzické osoby. Dokud chybí výsledek, akviziční použití zůstane pozastavené; servisní odpověď se posoudí ve vlastním nezbytném rozsahu. Konečná pole jednoho řádku tak mohou znít „ponechat jako organizační historii“, „opravit osobní kontakt“, „potlačit marketing“ a „ověřit národní formu“ současně.

Pro Spojené království je nutná jiná marketingová větev

Test fyzické osoby je široce srovnatelný, marketingová cesta však není zaměnitelná: britský režim PECR používá vlastní kategorie účastníků, zatímco unijní odpověď závisí na provedení ePrivacy v právu jednotlivých členských států. Rozdíl se netýká toho, zda jmenný pracovní kontakt identifikuje člověka; vzniká až při posouzení elektronického marketingu. Unijní záznam proto určí členský stát a jeho provedení, zatímco oddělená britská větev položí vlastní otázku k relevantní kategorii účastníka. Toto srovnání popisuje odlišné testy, nikoli povolení. Do unijního auditu proto nepřenášejte britskou výjimku ani výsledek; pro tento trh vznikne samostatná rozhodovací větev.

Časté otázky

Je jmenný pracovní e-mail osobním údajem?

Ano. Adresa, která identifikuje konkrétního člověka, je osobním údajem i na firemní doméně. Totéž obvykle platí pro přímé číslo a jmenný profil. Veřejné zveřejnění ani pracovní účel definici nemažou. Pro použití stále určete účel, právní základ, transparentnost, přesnost, uchování a práva.

Je obecná schránka osobním údajem?

Obvykle ne, pokud označuje pouze organizaci nebo proměnlivý tým. Výsledek se změní, když záznam, směrování nebo podpis umožní určit jediného člověka. Kontrolujte celý řádek a skutečné používání. I neosobní organizační adresa může podléhat pravidlům elektronického marketingu a jiným omezením.

Jsou údaje samostatné právnické osoby chráněny GDPR?

Údaje vztahující se pouze k právnické osobě nejsou osobními údaji. Stejný řádek však může obsahovat jméno či přímý kontakt fyzické osoby, na který se GDPR vztahuje. Ověřte právní osobnost podle použitelného národního práva a následně posuďte každé pole samostatně.

Je partnerství vždy fyzickou osobou?

Ne. Výraz partnerství nemá v celé Unii jednotný právní účinek. Národní právo určuje, jak je konkrétní forma postavena a kdo je nositelem údajů. Teprve potom lze zkoumat, zda záznam identifikuje fyzického partnera, člena či zástupce. Závislost na národním právu je samotnou odpovědí.

Co když člověk podniká pod obchodním názvem?

Pokud je nositelem činnosti fyzická osoba a záznam ji identifikuje, jde o osobní údaj. Obchodní název ani profesionální kontext tuto vazbu neodstraní. Současně ověřte národní kvalifikaci právní formy; podobně znějící názvy mohou mít v různých státech jiný účinek.

Znamená B2B oprávnění k marketingu?

Ne. Označení B2B není výjimkou z GDPR a není jednotným povolením elektronické propagace. Nejprve posuďte osobní údaje a vlastní účel podle GDPR. Potom samostatně ověřte pravidlo pro trh, kanál a kategorii adresáta podle národního provedení ePrivacy. Splnění jedné vrstvy nenahrazuje druhou.

Jaký záznam má audit uchovat?

Uchovejte zdroj, datum, pole a kontext, subjekt a právní formu, klasifikaci, účel, právní základ, transparentnost, přesnost, uchování, práva, potlačení a marketingovou větev. Ke každému výsledku připojte důkaz, vlastníka a spouštěč změny. Nevyřešené řádky izolujte; potlačovací údaj omezte jen na zabránění dalšího oslovení.

Proč se britská odpověď odděluje?

Protože srovnatelný test identifikovatelné fyzické osoby neznamená totožná pravidla pro elektronický marketing. Unijní postup musí sledovat provedení ePrivacy v konkrétním členském státě, zatímco britská větev pracuje s jinými kategoriemi. Oddělení brání tomu, aby se výjimka nebo povolení z jednoho trhu mylně použily v druhém.

V České republice lze praktický kontakt s dozorovým orgánem směřovat na Úřad pro ochranu osobních údajů. Úřad je kontaktní cestou pro českého čtenáře; klasifikace osobních údajů a evropský dvouvrstvý test se však opírají o unijní pravidla, nikoli o novou národní výjimku.