GDPR: Přehled

Regulace: EU 2016/679 Použitelnost: Od 25. 5. 2018 (čl. 99) Oblast: Ochrana osobních údajů

GDPR (General Data Protection Regulation) je nařízení EU o ochraně fyzických osob v souvislosti se zpracováním osobních údajů. Územní působnost určuje čl. 3: zpracování v souvislosti s činností provozovny v EU a vymezená nabídka zboží/služeb osobám v EU či sledování jejich chování mimoevropskými subjekty. Samotné občanství nebo rezidentství působnost neurčuje.

Věcnou působnost a výluky vymezuje čl. 2: automatizované zpracování a neautomatizované zpracování v evidenci nebo určené pro evidenci; mezi výluky patří výlučně osobní/domácí činnost a vymezené zpracování v jiných režimech. Čl. 3 odst. 3 pokrývá také správce mimo EU v místě, kde se podle mezinárodního práva veřejného použije právo členského státu.

Základní pojmy

Pojem	Definice
Osobní údaj	Informace o identifikované nebo identifikovatelné fyzické osobě (čl. 4 bod 1)
Subjekt údajů	Fyzická osoba, jejíž data zpracováváte
Správce (Controller)	Určuje účely a prostředky zpracování
Zpracovatel (Processor)	Zpracovává data jménem správce
DPO	Data Protection Officer (pověřenec)
DSAR	Data Subject Access Request
DPIA	Data Protection Impact Assessment

Právní tituly zpracování

#	Právní titul	Popis	Příklady
1	SOUHLAS (Consent)	Svobodný, konkrétní, informovaný a jednoznačný; kdykoliv odvolatelný. Výslovný souhlas vyžadují zvláštní případy.	Dobrovolné přihlášení, pokud je souhlas vhodným základem; elektronický marketing a cookies mají i samostatná pravidla
2	SMLOUVA (Contract)	Nezbytné pro plnění smlouvy se subjektem nebo opatření na jeho žádost před uzavřením smlouvy	Dodání produktu/služby
3	PRÁVNÍ POVINNOST (Legal obligation)	Zákon vyžaduje zpracování	Daně, účetnictví, regulatorní reporty
4	OPRÁVNĚNÝ ZÁJEM (Legitimate interest)	Nezbytné pro oprávněný zájem správce či třetí strany, nepřevažují-li zájmy nebo základní práva a svobody subjektu; posouzení doložit	Možné účely: prevence podvodů či přímý marketing; posoudit nezbytnost, vyvážení a samostatná pravidla marketingu/cookies
5	ŽIVOTNĚ DŮLEŽITÝ ZÁJEM (Vital interest)	Nezbytné k ochraně životně důležitých zájmů subjektu nebo jiné fyzické osoby	Zdravotní nouze
6	VEŘEJNÝ ZÁJEM (Public task)	Nezbytné pro úkol ve veřejném zájmu nebo výkon veřejné moci, kterým je správce pověřen; základ v právu EU či členského státu	Státní správa

Orgány veřejné moci nemohou použít čl. 6 odst. 1 písm. f) při plnění svých úkolů. Samotný příklad účelu automaticky nezakládá zákonnost zpracování.

Práva subjektů údajů

Právo	Článek	Základní rozsah
Přístup	Čl. 15	Potvrzení, přístup k osobním údajům a povinným informacím a kopie zpracovávaných osobních údajů; chránit práva a svobody jiných osob
Oprava	Čl. 16	Oprava nepřesných a doplnění neúplných údajů s ohledem na účely
Výmaz	Čl. 17	Výmaz při naplnění zákonného důvodu, s výjimkami čl. 17 odst. 3
Omezení	Čl. 18	Omezení při vymezených důvodech; uložení a použití dovolená čl. 18 odst. 2 zůstávají možná
Přenositelnost	Čl. 20	Údaje poskytnuté subjektem ve strukturovaném, běžně používaném a strojově čitelném formátu při automatizovaném zpracování na základě souhlasu či smlouvy; přímé předání, je-li technicky proveditelné; chránit práva jiných osob
Námitka	Čl. 21	U čl. 6 odst. 1 písm. e)/f) z důvodů konkrétní situace subjektu; přímý marketing po námitce ukončit. Výzkum/statistika mají pravidlo čl. 21 odst. 6
Automatizované rozhodování	Čl. 22	Právo nebýt předmětem výlučně automatizovaného rozhodnutí s právními či obdobně významnými účinky; platí zákonné výjimky a záruky

Čl. 12 odst. 3: informace o opatřeních přijatých na žádost poskytněte bez zbytečného odkladu a do jednoho kalendářního měsíce od obdržení žádosti. Je-li to nutné kvůli složitosti/počtu žádostí, lze prodloužit až o další dva měsíce; do prvního měsíce sdělte subjektu prodloužení a důvody. Nepřijmete-li opatření, sdělte bezodkladně a nejpozději do měsíce důvody a možnost podat stížnost dozorovému úřadu a žádat soudní ochranu (čl. 12 odst. 4). Každé právo má vlastní podmínky a výjimky; přenositelnost se podle čl. 20 odst. 3 nevztahuje na zpracování pro veřejný úkol/výkon veřejné moci. U smluvní výjimky a výslovného souhlasu podle čl. 22 zahrnují záruky alespoň lidský zásah, možnost vyjádřit stanovisko a napadnout rozhodnutí; čl. 22 odst. 4 dále omezuje zvláštní kategorie údajů. Interní cíl potvrzení přijetí právní lhůtu neprodlužuje.

DSAR Workflow

Data Breach Notification

Povinnost	Spouštěč a lhůta
Zpracovatel → správce	Porušení zabezpečení osobních údajů oznámí bez zbytečného odkladu po zjištění (čl. 33 odst. 2)
Správce → dozorový úřad	Bez zbytečného odkladu, pokud možno do 72 hodin od zjištění, ledaže je nepravděpodobné riziko pro práva a svobody osob (čl. 33 odst. 1); prodlení odůvodnit, chybějící informace doplnit
Správce → dotčené osoby	Bez zbytečného odkladu při pravděpodobném vysokém riziku s výjimkami čl. 34 odst. 3; nejde o univerzální 72hodinovou lhůtu
Evidence porušení	Dokumentovat všechna porušení osobních údajů, účinky a nápravu včetně důvodů neohlášení (čl. 33 odst. 5)

Šifrování ovlivňuje riziko, ale automaticky nevyjímá incident z oznámení úřadu: posuďte kompromitaci klíčů, integritu a dostupnost vedle zpřístupnění dat. Nešifrované či zdravotní údaje vyžadují pečlivé hodnocení rizik; označení dat nenahrazuje zákonný test. Omezení incidentu a hodnocení začínají ihned, bez čekání na 24hodinový interní milník.

Sankce

Čl. 83 rozlišuje konkrétní porušené povinnosti, nikoli obecnou škálu „střední/těžké“. Odst. 4 stanoví strop 10 mil. EUR nebo 2 % celosvětového ročního obratu za předchozí finanční rok; odst. 5–6 20 mil. EUR nebo 4 %, u podniku vždy vyšší hodnotu. Skutečná pokuta závisí na porušení a kritériích přiměřenosti čl. 83 odst. 2. Zákonné maximum není očekávaná ztráta ani slibované ROI compliance projektu.

Další kroky

Zdroje

Věcná revize: 6. září 2026. Primární zdroje: GDPR — Arts. 3, 5, 6, 9, 12–22, 28–39, 83.

Použité verze: GDPR, česká konsolidace včetně oprav (000.003); původní akt a historie dokumentu. Konsolidace je informativní; rozhoduje vyhlášený akt a příslušné opravy.