Obchod v přehledu

Právo, smlouvy, chyby a zdroje

CRM a právo v Česku 2026: GDPR, obchodní sdělení, telemarketing, cookies, NIS2 a oficiální zdroje

Přehled předpisů, které se týkají CRM v české malé firmě v roce 2026 – GDPR a zákon 110/2019 Sb., zákon 480/2004 Sb., zákon o elektronických komunikacích, NIS2, Data Act – a kde je ověřit.

Aktualizováno · 5 min čtení

CRM a právo v Česku 2026: GDPR, obchodní sdělení, telemarketing, cookies, NIS2 a oficiální zdroje

CRM je databáze osobních údajů a nástroj pro oslovování zákazníků, proto se na něj v Česku vztahuje několik předpisů najednou: GDPR a zákon č. 110/2019 Sb. (zpracování osobních údajů, zpracovatelská smlouva s dodavatelem), zákon č. 480/2004 Sb. (obchodní sdělení e-mailem a SMS – opt-in s výjimkou pro vlastní zákazníky), zákon č. 127/2005 Sb. o elektronických komunikacích (marketingové hovory podle § 96 a cookies podle § 89 odst. 3), u regulovaných firem zákon č. 264/2025 Sb. o kybernetické bezpečnosti (NIS2) a pro smlouvu s cloudovým dodavatelem občanský zákoník a evropský Data Act. Dozor vykonávají hlavně ÚOOÚ (osobní údaje a obchodní sdělení) a ČTÚ (elektronické komunikace). Tento článek je rozcestníkem; podrobnosti najdete v navazujících článcích. Při konkrétním problému se obraťte na advokáta nebo pověřence.

Mapa předpisů

PředpisČeho se v CRM týkáDozorPodrobně
GDPR (nařízení 2016/679)právní základ, informace, práva subjektů, zpracovatel, bezpečnostÚOOÚGDPR a zpracovatelská smlouva
Zákon č. 110/2019 Sb.adaptační zákon ke GDPR (např. věk 15 let pro souhlas dítěte u služeb informační společnosti, přestupky)ÚOOÚtamtéž
Zákon č. 480/2004 Sb., § 7obchodní sdělení e-mailem a SMSÚOOÚobchodní sdělení e-mailem
Zákon č. 127/2005 Sb., § 95–96marketingové hovory, účastnické seznamyČTÚtelemarketing a cookies
Zákon č. 127/2005 Sb., § 89 odst. 3cookies a sledovací technologie na webu a v e-mailechviz poznámka pod tabulkoutamtéž
Zákon č. 264/2025 Sb.kybernetická bezpečnost u regulovaných služeb, dodavateléNÚKIBNIS2 a bezpečnost CRM
Občanský zákoník č. 89/2012 Sb.obchodní podmínky, změna podmínek, výpověďsoudysmlouva na CRM
Data Act (nařízení 2023/2854)změna poskytovatele cloudových služeb, export datv ČR stanoví zákon / příslušné orgánytamtéž
Zákon č. 235/2004 Sb. o DPHDPH u služeb ze zahraničíFinanční správaCRM v eurech a DPH

Dozor podle § 96 zákona o elektronických komunikacích a sankce za obtěžování marketingovou reklamou (§ 118) vykonává ČTÚ; dozor nad obchodními sděleními podle zákona č. 480/2004 Sb. svěřuje § 10 tohoto zákona ÚOOÚ. U cookies zákon o elektronických komunikacích dozorový orgán pro § 89 odst. 3 výslovně neuvádí; pokud cookies zpracovávají osobní údaje (což je u analytických a marketingových cookies obvyklé), uplatní se i GDPR a dozor ÚOOÚ. Sledujte proto metodiky ÚOOÚ a ověřte aktuální výklad.

Co platí k 28. 10. 2026

  • E-mail a SMS: obchodní sdělení jen s předchozím souhlasem, výjimka pro vlastní zákazníky u obdobných produktů s možností odmítnutí v každé zprávě (§ 7 zákona č. 480/2004 Sb.). Platí i pro firemní adresy – „uživatelem“ je fyzická i právnická osoba.
  • Telefon: od novely zákonem č. 374/2021 Sb. (účinné od 1. 1. 2022) se smí marketingově volat jen účastníkům, kteří v účastnickém seznamu uvedli, že si přejí být kontaktováni; u starších záznamů se po šesti měsících od účinnosti novely (od 1. 7. 2022) předpokládá nesouhlas, pokud účastník výslovný souhlas neudělil. Podle ČTÚ se to týká čísel z veřejných seznamů a náhodně generovaných čísel; volání z vlastní zákaznické databáze se posuzuje podle GDPR.
  • Cookies: neprovozní cookies jen s předchozím prokazatelným souhlasem (§ 89 odst. 3 zákona o elektronických komunikacích, ve znění od 1. 1. 2022).
  • Kybernetická bezpečnost: zákon č. 264/2025 Sb. je účinný od 1. 11. 2025; regulované subjekty oznamují regulovanou službu NÚKIB do 60 dnů od splnění podmínek.
  • Data Act: používá se od 12. 9. 2025; poplatky za samotnou změnu poskytovatele jsou zakázány od 12. 1. 2027, do té doby smějí být jen snížené (nejvýše přímé náklady).

Pokuty v kostce

PorušeníHorní hranice podle zákona
Hromadná nebo opakovaná obchodní sdělení bez souhlasu (firma)do 10 000 000 Kč (§ 11 odst. 5 zákona č. 480/2004 Sb.)
Obtěžování marketingovou reklamou po telefonu (firma)do 50 000 000 Kč nebo 10 % čistého obratu (§ 118 zákona č. 127/2005 Sb.)
Porušení GDPRaž 20 mil. EUR nebo 4 % celosvětového obratu (čl. 83 GDPR), podle typu porušení

Jde o horní hranice; skutečné pokuty závisí na závažnosti a okolnostech. Pro malou firmu je ale riziko reálné i u menších částek a stížnosti příjemců bývají častým podnětem ke kontrole.

Jak předpisy ověřovat

  1. Úplné znění zákona k datu: e-Sbírka (oficiální elektronická Sbírka zákonů) nebo Zákony pro lidi.
  2. Výklad a metodiky: web ÚOOÚ (obchodní sdělení, cookies, GDPR), ČTÚ (telemarketing), NÚKIB (kybernetická bezpečnost).
  3. Evropské předpisy: EUR-Lex (GDPR, Data Act), Evropský sbor pro ochranu osobních údajů (pokyny).
  4. DPH: Finanční správa – informace k přenesené daňové povinnosti a registraci identifikované osoby.

Typické právní chyby malých firem s CRM

  • rozesílka newsletteru na koupenou nebo „vytěženou“ databázi,
  • chybějící zpracovatelská smlouva s dodavatelem CRM nebo marketingového nástroje,
  • neevidované odhlášení – kontakt se odhlásil v jednom systému, obchodník ho oslovil z druhého,
  • studené volání na čísla, jejichž majitel nedal souhlas,
  • cookie lišta bez možnosti odmítnout nebo s předem zaškrtnutými poli,
  • přístupy bývalých zaměstnanců, které nikdo nezrušil.

Další chyby, i neprávní, rozebírá článek nejčastější chyby při zavádění CRM.

Kdy se poradit s odborníkem

  • plánujete kampaň na tisíce kontaktů a nevíte, zda máte doložitelné souhlasy,
  • CRM bude zpracovávat zvláštní kategorie údajů (zdraví apod.),
  • data se budou předávat mimo EU,
  • dostali jste stížnost nebo dopis z ÚOOÚ či ČTÚ,
  • firma může spadat pod zákon o kybernetické bezpečnosti.

Časté otázky

Musí mít malá firma pověřence pro ochranu osobních údajů?

Povinně jen v případech podle čl. 37 GDPR (například rozsáhlé systematické monitorování nebo rozsáhlé zpracování zvláštních kategorií údajů jako hlavní činnost). Běžná malá firma s CRM ho většinou mít nemusí, ale někoho odpovědného za ochranu údajů určit doporučujeme.

Platí pravidla pro obchodní sdělení i pro B2B?

Ano. Zákon č. 480/2004 Sb. chrání uživatele, kterým je fyzická i právnická osoba. Firemní e-mail tedy není výjimkou.

Kde podat stížnost na nevyžádanou reklamu?

Na nevyžádané e-maily a SMS u ÚOOÚ, na nevyžádané marketingové hovory u ČTÚ (u hovorů od firem, se kterými máte vztah, doporučuje ČTÚ obrátit se na ÚOOÚ). Oba úřady mají na webu formuláře a postupy.

Zdroje

Související průvodci