GDPR (obecné nařízení)

Příklady z praxe

1. 01

   Analytika až po souhlasu

   E-shop používá technickou cookie pro košík, protože bez ní nákup nefunguje. Analytický skript se načte až po aktivní volbě návštěvníka a systém uloží účel, stav souhlasu a verzi textu. Výsledkem je méně dat v analytice, ale jasnější právní stopa při kontrole.

   if (consent.analytics === true) {
     loadAnalyticsScript();
   }
   
   saveConsent({
     userId,
     purpose: "analytics",
     granted: consent.analytics,
     policyVersion: "2026-01"
   });

2. 02

   Výmaz účtu se zákonnou výjimkou

   Zákazník SaaS služby požádá o výmaz účtu. Podpora ověří identitu, aplikace smaže profil a marketingové preference, ale účetní doklady ponechá po dobu vyžadovanou zákonem. Výsledek není slepé smazání všeho, ale doložené vyřízení žádosti podle účelu jednotlivých dat.

Časté omyly

MýtusGDPR zakazuje ukládat osobní údaje.

Ve skutečnostiGDPR ukládání osobních údajů nezakazuje. GDPR vyžaduje platný právní důvod, přiměřený rozsah, zabezpečení, informování lidí a respektování jejich práv.

MýtusStačí mít souhlas v obchodních podmínkách a je hotovo.

Ve skutečnostiSouhlas podle GDPR musí být konkrétní, srozumitelný a odvolatelný. Skrytá formulace v dlouhých podmínkách obvykle neprokáže, že člověk udělil svobodnou a informovanou volbu.

Časté dotazy

Kdy GDPR dovoluje zpracovat data bez souhlasu?

GDPR dovoluje zpracování bez souhlasu, pokud existuje jiný právní důvod. Typicky jde o plnění smlouvy, například doručení objednávky, právní povinnost, například účetnictví, nebo oprávněný zájem, například základní zabezpečení služby. Souhlas není nadřazený ostatním důvodům. Správce musí umět doložit, proč daný důvod použil a proč zpracování nepřekračuje nezbytný rozsah.

Co má vývojář evidovat u osobních údajů v aplikaci?

Vývojář má u osobních údajů evidovat hlavně účel, zdroj dat, oprávnění k přístupu, dobu uchování a vazby na externí služby. Prakticky pomáhá datový katalog, popis tabulek, audit změn oprávnění a jasné rozlišení produkčních, testovacích a zálohovaných dat. Evidence nemusí být luxusní nástroj, ale musí odpovídat realitě systému.

Kdy GDPR vyžaduje posouzení dopadu DPIA?

GDPR vyžaduje posouzení dopadu, označované jako DPIA, když plánované zpracování pravděpodobně představuje vysoké riziko pro práva a svobody lidí. Příkladem může být rozsáhlé profilování, systematické sledování nebo práce s citlivými údaji ve větším rozsahu. DPIA není jen formulář pro právní oddělení, protože často mění architekturu, logování, přístupy i retenční pravidla.

Jak GDPR souvisí s cookies na webu?

GDPR souvisí s cookies tehdy, když cookie nebo navázaný identifikátor umožňuje rozpoznat konkrétního člověka nebo jeho zařízení. Technické cookies nutné pro službu mají jiné postavení než reklamní a analytické identifikátory. Cookie banner proto nestačí hodnotit podle vzhledu. Podstatné je, jaké skripty běží před volbou, jak je souhlas uložen a zda lze volbu později změnit.

Zdroje

1. Regulation (EU) 2016/679 of the European Parliament and of the Council(otevře se v novém okně)European Union, 2016
2. Data protection in the EU(otevře se v novém okně)European Commission
3. Úřad pro ochranu osobních údajů(otevře se v novém okně)Úřad pro ochranu osobních údajů
4. Zákon č. 110/2019 Sb.(otevře se v novém okně)Zákony pro lidi, 2019

Související pojmy

• DPIADPIA je písemné posouzení vlivu zamýšleného zpracování osobních údajů na práva a svobody lidí, které podle článku 35 GDPR musí správce provést dřív, než rizikové zpracování spustí. Popisuje účel, nutnost a přiměřenost zpracování, pojmenuje rizika a stanoví opatření, jimiž je správce sníží na přijatelnou úroveň.
• Práva subjektu údajůPráva subjektu údajů je soubor oprávnění, která GDPR dává fyzické osobě vůči správci zpracovávajícímu její osobní údaje. Patří sem přístup ke kopii údajů, oprava, výmaz, omezení zpracování, přenositelnost, námitka a právo nebýt předmětem čistě automatizovaného rozhodování. Správce musí žádost vyřídit zpravidla do jednoho měsíce a bezplatně.
• CookieCookie je malý údaj, který web uloží v prohlížeči a prohlížeč jej při dalších požadavcích posílá zpět příslušnému webu. Používá se pro přihlášení, nastavení, košík, analytiku i reklamu. Bezpečné použití závisí na atributech jako Secure, HttpOnly, SameSite, expirace a správném souhlasu uživatele.
• NewsletterNewsletter je pravidelně zasílaný e-mailový obsah, ke kterému se příjemce obvykle přihlásí, aby dostával novinky, články, nabídky nebo provozní informace od konkrétní značky či služby. V praxi spojuje redakční plán, správu kontaktů, souhlasy, šablonu e-mailu, doručitelnost a měření reakcí, například otevření, kliknutí nebo odhlášení.
• Souhlas s cookiesSouhlas s cookies je prokazatelná volba návštěvníka webu, zda smí provozovatel ukládat nebo číst cookies a podobné identifikátory, které nejsou nezbytné pro poskytování služby. V praxi rozhoduje hlavně o analytice, personalizaci, reklamě a konkrétních návazných skriptech třetích stran na stránce.
• Zpracovatelská smlouvaZpracovatelská smlouva je právní ujednání mezi správcem osobních údajů a zpracovatelem, které podle GDPR vymezuje, jak zpracovatel smí s údaji nakládat. Určuje účel, dobu, typy údajů, bezpečnostní povinnosti, zapojení dalších zpracovatelů i postup po skončení služby. V praxi brání tomu, aby externí dodavatel používal data volně nebo mimo pokyny správce.
• Obchodní podmínkyObchodní podmínky jsou smluvní pravidla, která doplňují konkrétní objednávku nebo smlouvu mezi prodávajícím a zákazníkem. Popisují zejména cenu, platbu, dodání, reklamace, odstoupení, užívání služby a odpovědnost stran. U webu nebo aplikace musí být dostupné včas, srozumitelné a nesmí odporovat zákonu ani individuálně sjednanému ujednání.
• Zpracování osobních údajůZpracování osobních údajů je jakákoli práce s informací, která přímo nebo nepřímo souvisí s identifikovaným či identifikovatelným člověkem. Patří sem sběr, ukládání, třídění, předávání, úpravy i mazání údajů. V evropském právu vyžaduje právní základ, jasný účel, přiměřený rozsah a odpovědnost správce nebo zpracovatele.