Takénakládání s osobními údaji, processing osobních údajůZákladní
Definice
Zpracování osobních údajů je jakákoli práce s informací, která přímo nebo nepřímo souvisí s identifikovaným či identifikovatelným člověkem. Patří sem sběr, ukládání, třídění, předávání, úpravy i mazání údajů. V evropském právu vyžaduje právní základ, jasný účel, přiměřený rozsah a odpovědnost správce nebo zpracovatele.
Co se počítá jako zpracování
Zpracování osobních údajů zahrnuje mnohem víc než jen uložení jména do databáze. Právní pojetí počítá se sběrem, čtením, vyhledáváním, filtrováním, předáním externí službě, zálohováním, zveřejněním, archivací i výmazem. Osobním údajem může být e-mail, telefon, adresa, zákaznické ID, fotografie, lokalizační údaj, IP adresa nebo kombinace technických signálů, která dovolí člověka rozumně odlišit od ostatních.
Samotná technická operace tedy nestačí posuzovat izolovaně. Vývojář potřebuje vědět, proč údaj vzniká, kdo jej používá, jak dlouho zůstává dostupný a zda jej lze spojit s konkrétní osobou. Stejný záznam v logu může být nevinný pro ladění chyby, ale problematický při neomezeném uchovávání a propojení s marketingovým profilem.
Právní základ není totéž co checkbox
Zpracování osobních údajů musí stát na právním základu podle GDPR. Souhlas je jen jedna možnost a v mnoha produktech není nejlepší volbou. E-shop například potřebuje zpracovat doručovací adresu kvůli smlouvě se zákazníkem. Účetnictví vyžaduje některé údaje kvůli zákonné povinnosti. Bezpečnostní logy se často opírají o oprávněný zájem, pokud je rozsah přiměřený a existuje rozumná doba uchování.
Každý účel se hodnotí samostatně. Údaj získaný pro dodání zboží nelze automaticky použít pro reklamní segmentaci. Marketing, analytika, personalizace a sdílení s reklamními sítěmi obvykle vyžadují zvlášť jasné vysvětlení, někdy i souhlas, typicky u některých cookies.
Správce, zpracovatel a dodavatelé služeb
Správce určuje účel a prostředky zpracování. Zpracovatel provádí zpracování pro správce, například hosting, e-mailingový nástroj, analytická platforma nebo zákaznická podpora. Dodavatelský vztah má být pokryt smlouvou, která řeší pokyny, zabezpečení, subdodavatele, mazání dat a součinnost při žádostech lidí. V praxi se pro tento vztah používá zpracovatelská smlouva.
Produktový tým by měl mít u každého toku dat jednoduchou mapu: zdroj údaje, databáze, fronty, logy, analytické nástroje, exporty, zálohy a externí API. Právní text bez znalosti architektury často mine skutečná rizika.
Minimalizace jako technické rozhodnutí
Zpracování osobních údajů se dá zmenšit už návrhem systému. Formulář nemá sbírat datum narození, pokud stačí ověřit plnoletost. Logování nemá zapisovat celé tokeny, pokud stačí hash nebo interní korelační ID. Testovací prostředí nemá používat produkční zákaznická data bez jasného důvodu a ochrany.
- Minimalizace: sbírají se jen údaje nutné pro konkrétní účel.
- Omezení uchování: data mají plán výmazu nebo anonymizace.
- Řízení přístupů: zaměstnanci a služby vidí jen potřebný rozsah.
- Auditovatelnost: důležité operace lze zpětně vysvětlit.
Kde vznikají spory v digitálním produktu
Největší spory nevznikají u samotného registračního formuláře, ale u sekundárního použití dat. Typickým příkladem je kombinace CRM, webové analytiky, remarketingu, podpory a exportů do tabulek. Uživatel může očekávat vyřízení objednávky, ale nemusí očekávat dlouhodobé profilování napříč zařízeními.
Dobrá implementace proto spojuje právní inventuru s technickou kontrolou. Databázové schéma, retenční úlohy, logovací konfigurace, oprávnění v administraci a popisy v informační povinnosti musí odpovídat stejné realitě. Pokud systém ve skutečnosti uchovává údaje déle než dokumentace tvrdí, problém není jen v textu, ale v provozu aplikace.
Příklady z praxe
Registrace k newsletteru
Návštěvník zadá e-mail do formuláře pro newsletter a potvrdí odběr. Provozovatel uloží e-mail, čas přihlášení, zdroj formuláře a případně záznam o souhlasu, aby mohl prokázat původ databáze. Po odhlášení se adresa odstraní z aktivního rozesílání, ale krátký záznam o odhlášení může zůstat kvůli obraně proti nechtěnému opětovnému zařazení.
Maskování logů v API
API při chybě přihlášení zapíše diagnostický log. Pokud log obsahuje celý e-mail, IP adresu a access token, vzniká zbytečně široké zpracování osobních a bezpečnostně citlivých údajů. Maskování a hashování omezí dopad úniku logů a zároveň ponechá týmu možnost vyšetřit incident.
function redactLogPayload(payload) { return { ...payload, email: payload.email ? "[redacted]" : undefined, ip: payload.ip ? hashIp(payload.ip) : undefined, accessToken: undefined }; }
Časté omyly
- MýtusKdyž neukládáme rodné číslo, žádné osobní údaje nezpracováváme.
- Ve skutečnostiOsobní údaj nemusí být jen rodné číslo nebo jméno. E-mail, telefon, zákaznické ID, IP adresa nebo kombinace událostí v aplikaci mohou stačit k identifikaci nebo vyčlenění konkrétní osoby.
- MýtusAnonymizovaná data jsou vždycky pořád osobní údaje.
- Ve skutečnostiSkutečně anonymizovaná data už osobními údaji nejsou, pokud člověka nelze rozumně znovu identifikovat. Pseudonymizovaná data, například záznamy s náhradním ID, zůstávají osobními údaji, protože spojení může existovat jinde.
- MýtusZa GDPR odpovídá jen právník, ne vývojář.
- Ve skutečnostiPrávník popíše povinnosti, ale technická implementace rozhoduje o rozsahu sběru, uchování, přístupech, logování a mazání. Vývojářské volby mohou zpracování výrazně zmenšit, nebo naopak vytvořit zbytečné riziko.
Časté dotazy
- Musí mít web souhlas na každé zpracování osobních údajů?
- Souhlas není nutný pro každé zpracování osobních údajů. GDPR připouští několik právních základů, například plnění smlouvy, zákonnou povinnost nebo oprávněný zájem. Souhlas dává smysl hlavně tam, kde člověk má mít skutečnou volbu, například u některých marketingových aktivit. Pokud služba potřebuje adresu k doručení objednávky, právním základem obvykle není souhlas, ale plnění smlouvy.
- Patří IP adresa nebo cookie ID mezi osobní údaje?
- IP adresa, cookie identifikátor nebo reklamní ID mohou být osobními údaji, pokud umožňují přímo nebo nepřímo rozlišit konkrétního člověka. Posouzení závisí na kontextu, dostupných doplňkových datech a účelu použití. Technický tým by s těmito identifikátory neměl zacházet jako s anonymními jen proto, že neobsahují jméno nebo e-mail.
- Jak dlouho může firma osobní údaje uchovávat?
- Doba uchování osobních údajů má odpovídat účelu zpracování. Fakturační údaje mohou zůstat kvůli zákonným povinnostem déle než marketingové segmenty nebo dočasné bezpečnostní logy. Správná praxe je mít retenční pravidla přímo v systému, nejen v interní směrnici. Automatický výmaz nebo anonymizace snižují riziko, že stará data přežijí jen ze zvyku.
- Může vývojář použít produkční data pro testování?
- Zpracování osobních údajů v testovacím prostředí je stále zpracování, pokud data zůstávají spojitelná s reálnými lidmi. Produkční kopie databáze v rukou vývojářů může představovat vysoké riziko, zejména u objednávek, plateb, zdravotních nebo komunikačních údajů. Bezpečnější je anonymizace, syntetická data, omezený přístup a krátká životnost testovacích exportů.
Zdroje
- Regulation (EU) 2016/679 of the European Parliament and of the Council(otevře se v novém okně)
- Zákon č. 110/2019 Sb., o zpracování osobních údajů(otevře se v novém okně)
- Úřad pro ochranu osobních údajů(otevře se v novém okně)
Související pojmy
