GDPR a kontaktní formulář na webu: co musí živnostník splnit

Pro odpověď na zprávu z kontaktního formuláře souhlas ani zaškrtávací políčko nepotřebujete, údaje můžete zpracovat podle čl. 6 odst. 1 písm. b) nebo f) GDPR. Návštěvníka ale musíte při odeslání informovat podle čl. 13 GDPR a z jeho zprávy nesmíte bez samostatného souhlasu udělat adresáta newsletteru. Úřad pro ochranu osobních údajů (ÚOOÚ) v roce 2025 pravomocně ukončil 15 přestupkových řízení v oblasti ochrany osobních údajů, sedm z nich pokutou, dohromady 14 671 000 Kč (výroční zpráva zveřejněná 18. 3. 2026).

Článek je praktický přehled, ne právní rada. Cookies a údaje o provozovateli jsou zvlášť: cookies lišta a povinné údaje na webu.

Potřebuji od návštěvníka souhlas, aby mi mohl napsat?

Ne. Souhlas je jen jedním ze šesti právních základů v čl. 6 odst. 1 GDPR a pro běžný formulář je nejméně vhodný. Pro odpověď na dotaz platí dva jiné:

• písm. b), smlouva: zpracování je nezbytné pro opatření před uzavřením smlouvy na žádost návštěvníka. Typicky poptávka: někdo chce nabídku nebo cenu a vy mu ji připravíte,
• písm. f), oprávněný zájem: odpovědět na obecný dotaz, který se zakázky přímo netýká, je váš zájem a do soukromí návštěvníka tím nezasahujete víc, než očekává.

ÚOOÚ v metodice k informační povinnosti uvádí, že vymáhání souhlasu tam, kde existuje jiný právní základ, je pro obě strany nesprávný postup a pro zákazníka matoucí, a může porušovat zásadu transparentnosti. Povinné políčko „Souhlasím se zpracováním osobních údajů“ tedy není pojistka, ale chyba.

Ve formuláři neptejte na víc, než potřebujete. V roce 2025 úřad při kontrole věrnostního programu označil za porušení zásady minimalizace povinný údaj o pohlaví, který ke smlouvě nebyl potřeba (výroční zpráva 2025). U poptávky obvykle stačí jméno, e-mail a zpráva; telefon nechte nepovinný.

Co musí být u formuláře napsáno?

Informační povinnost vám ukládá čl. 13 GDPR a splnit ji musíte v okamžiku, kdy údaje získáváte, tedy při odeslání. Návštěvník se musí dozvědět:

1. kdo údaje zpracovává a jak ho kontaktovat,
2. k čemu je použijete a na jakém právním základě, u oprávněného zájmu i v čem spočívá,
3. kdo je dostane (hosting, e-mail, nástroj na formuláře) a zda je posíláte mimo EU,
4. jak dlouho je uložíte,
5. jaká má práva (přístup, oprava, výmaz, omezení zpracování, přenositelnost, námitka) a že může podat stížnost u ÚOOÚ,
6. zda je poskytnutí údajů povinné a co se stane, když je neuvede.

Všechno to nemusí být vedle tlačítka. Praktické je krátký text u formuláře a odkaz na úplné zásady ochrany osobních údajů, například: „Jméno, e-mail a zprávu použijeme jen k odpovědi na váš dotaz a uložíme je 12 měsíců po posledním kontaktu. Podrobnosti a vaše práva najdete v zásadách ochrany osobních údajů.“ Odkaz musí být vidět dřív, než někdo klikne na Odeslat.

Podle kontrolního plánu na rok 2026 (16. 2. 2026) se ÚOOÚ zapojuje do evropské koordinované kontrolní akce zaměřené právě na transparentnost a informační povinnost.

Jak dlouho smím zprávy uchovávat?

Zákon žádnou dobu nestanoví. Čl. 5 odst. 1 písm. e) GDPR chce údaje uchovat jen po dobu nezbytnou pro účel a čl. 13 odst. 2 písm. a) chce dobu, případně kritéria pro její určení, napsat na web. Dobu tedy volíte sami a musíte ji obhájit. Dvanáct měsíců z ukázky výše je příklad, ne zákonná lhůta. Poptávky, které skončily zakázkou, se řídí účelem zakázky, třeba povinností uchovat účetní doklady. Ostatní smažte, až se k nim už rozumně nevrátíte.

Kdo další s údaji z formuláře pracuje?

Pravděpodobně víc subjektů, než čekáte: poskytovatel hostingu, služba, která formulář zpracuje nebo ho doručí do e-mailu, a poskytovatel schránky, kam zprávy chodí. Jsou to zpracovatelé a čl. 28 GDPR po vás chce, abyste vybírali ty, kteří poskytují dostatečné záruky, a měli s nimi smlouvu nebo jiný právní akt o zpracování. Poskytovatelé ji často nabízejí ke schválení v obchodních podmínkách nebo v administraci služby, stačí ji najít a odsouhlasit. Poskytovatele pak uveďte mezi příjemci v zásadách a řekněte, pokud posílá údaje mimo EU.

Pokuty za porušení povinností správce a zpracovatele podle čl. 25 až 39 mohou podle čl. 83 odst. 4 dosáhnout 10 milionů eur nebo 2 % celosvětového ročního obratu podle toho, která hodnota je vyšší. Za porušení čl. 5 až 7 a 12 až 22, tedy zásad, souhlasu a informační povinnosti, jde podle čl. 83 odst. 5 o 20 milionů eur nebo 4 % celosvětového ročního obratu, opět podle toho, která hodnota je vyšší.

Jak formulář ochránit před spamem?

Nejprve zvolte řešení, které nepřidává dalšího příjemce. Skrytá položka, kterou vyplní jen robot, nebo kontrola, jak rychle byl formulář odeslán, žádná data třetí straně neposílají. Služba třetí strany (typicky obrázková kontrola) je další zpracovatel, patří do výčtu příjemců a musíte ověřit, jestli do prohlížeče návštěvníka neukládá víc, než je nutné. Pokud ano, platí pravidla pro cookies lištu. Formulář patří na HTTPS a zprávy do schránky, kam má přístup jen oprávněná osoba.

Kdy souhlas potřebuji a co ukázat na webu?

Souhlas potřebujete, jakmile chcete s kontaktem dělat něco víc než odpovědět. Nejčastější případ je newsletter. Podle § 7 odst. 2 zákona 480/2004 Sb. smíte elektronický kontakt použít k obchodním sdělením jen s předchozím souhlasem. Podle odstavce 3 lze stávajícím zákazníkům posílat sdělení o vlastních obdobných službách bez souhlasu, ale jen když mohli odmítnout při získání kontaktu i v každé zprávě.

Situace	Právní základ	Co ukázat na webu
Poptávka na cenu nebo nabídku	čl. 6 odst. 1 písm. b) GDPR, opatření před uzavřením smlouvy	Krátká informace u formuláře a odkaz na zásady, bez políčka
Obecný dotaz bez zájmu o zakázku	čl. 6 odst. 1 písm. f) GDPR, oprávněný zájem odpovědět	Totéž, v zásadách uvedený oprávněný zájem a právo vznést námitku
Uložení komunikace po zakázce	čl. 6 odst. 1 písm. f) GDPR, ochrana vlastních nároků	Doba uložení v zásadách
Newsletter	čl. 6 odst. 1 písm. a) GDPR, souhlas, a § 7 odst. 2 zákona 480/2004 Sb.	Samostatné, předem nezaškrtnuté políčko nebo formulář, odkaz na odhlášení v každé zprávě
Nabídka podobné služby stávajícímu zákazníkovi	§ 7 odst. 3 zákona 480/2004 Sb.	Možnost odmítnout při získání kontaktu a v každé zprávě

Souhlas musíte umět doložit. ÚOOÚ ve výroční zprávě 2025 výslovně píše, že když firma tvrdí souhlas z vyplněného webového formuláře, leží důkazní břemeno na ní. Doporučuje souhlas zaznamenat tak, aby šel prokázat, například potvrzovacím e-mailem.

Za co ÚOOÚ pokutuje a kolik to bývá?

Zájem o věc roste: v roce 2025 úřad dostal 3 854 podnětů a stížností, meziročně o více než 68 % a nejvíc od začátku GDPR. Z patnácti pravomocně ukončených přestupkových řízení skončilo sedm pokutou, dvě napomenutím a u šesti úřad od potrestání upustil. Zákon o zpracování osobních údajů mu to v § 62 odst. 4 dovoluje, když uloží opatření k nápravě. Zpráva popisuje případy bez jmen a pokuty podle velikosti firmy nečlení.

Příklady z roku 2025:

• 96 000 Kč pro investiční společnost, která téměř dva roky zpracovávala jména a telefony bez zákonného důvodu, protože se jí nepodařilo doložit souhlasy;
• 3 194 000 Kč a 99 000 Kč dvěma společnostem v případu, kdy realitní firma zpřístupnila údaje klientů jiné společnosti, která jim pak nabízela finanční produkty; obě nedoložily souhlasy.

Pokuty za cookies úřad ukládá od roku 2023. K 2. 8. 2023 jich bylo za 4 443 000 Kč, z toho pravomocně za 1 640 000 Kč.

Vedle toho dohlíží ÚOOÚ na nevyžádaná obchodní sdělení. V roce 2025 přijal 1 430 stížností, 404 subjektů jen upozornil a pravomocně ukončil 27 správních řízení, v nichž uložil sankce celkem 12 109 000 Kč, z toho 11 000 000 Kč třem společnostem za rozesílání tzv. zálohových faktur za neobjednané služby. Zákon dovoluje za rozesílání bez souhlasu pokutu až 10 milionů korun. Poptávku proto nepoužívejte jako seznam adresátů.

Jak to máme my

Do balíčku Start, orientačně od 9 900 Kč, bude patřit kontaktní formulář a právní texty, ostatní balíčky z něj vycházejí. Podle našich zásad ochrany osobních údajů budeme u formulářů na webech klientů zpracovatelem a správcem budete vy. Informaci pro návštěvníky a to, co s poptávkami děláte dál, proto určujete vy. Když si nejste jistí u newsletteru nebo u větší evidence zákazníků, obraťte se na advokáta.