Zpracování osobních údajů
Průvodce pro správné zpracování osobních údajů dle GDPR.
Základní pojmy
| Pojem | Definice | Příklad |
|---|---|---|
| Osobní údaj | Veškeré informace o identifikované nebo identifikovatelné fyzické osobě | Jméno, email, IP adresa |
| Subjekt údajů | Fyzická osoba, jejíž data zpracováváte | Zákazník, zaměstnanec |
| Správce | Určuje účely a prostředky zpracování | Vaše firma |
| Zpracovatel | Zpracovává data jménem správce | Cloud provider |
| Zpracování | Jakákoliv operace či soubor operací s osobními údaji, automatizovaně či neautomatizovaně | Sběr, uložení, použití, smazání |
Příklady rolí závisejí na skutečném zpracování: cloudový poskytovatel je zpracovatelem, pokud zpracovává osobní údaje za správce. Určuje-li zpracovatel sám účely a prostředky, je pro toto zpracování správcem (čl. 28 odst. 10).
Kategorie osobních údajů
Běžné osobní údaje
| Kategorie | Příklady |
|---|---|
| Identifikační | Jméno, příjmení, datum narození, rodné číslo |
| Kontaktní | Email, telefon, adresa |
| Online identifikátory | IP adresa, cookies, device ID |
| Finanční | Číslo účtu, platební karta |
| Profesní | Zaměstnavatel, pozice, CV |
| Behaviorální | Nákupní historie, browsing history |
Příklady jsou osobními údaji, vztahují-li se k identifikované nebo identifikovatelné osobě; podle kontextu mohou vypovídat i o zvláštních kategoriích.
Zvláštní kategorie (čl. 9)
Patří sem rasový/etnický původ, politické názory, náboženské/filozofické přesvědčení, členství v odborech, genetické údaje, biometrické údaje pro jedinečnou identifikaci osoby, zdraví a sexuální život/orientace. Samotná státní příslušnost není totéž co etnický původ.
Zpracování vyžaduje právní titul čl. 6 i příslušnou podmínku čl. 9 odst. 2 a její záruky. Výslovný souhlas je jedna cesta, nikoli jediná: za zákonných podmínek může jít o pracovní/sociální právo, právní nároky, zdravotní péči, veřejné zdraví či významný veřejný zájem. „Bezpečnost“ sama není výjimkou čl. 9. Souhlas zaměstnance může kvůli nerovnováze vztahu nesplnit podmínku svobodného udělení.
Data Mapping (ROPA)
Records of Processing Activities
Čl. 30 rozlišuje záznamy správce/zpracovatele a úzkou výjimku pro organizace pod 250 pracovníků; ta nepokrývá nepříležitostné, rizikové ani zvláštní/trestní údaje. Každý účel evidujte zvlášť. Pseudonymizace sama nedokládá anonymitu. Identifikovatelnost posuďte v kontextu zpracování včetně prostředků, u nichž lze rozumně předpokládat použití správcem nebo jinou osobou (čl. 4 body 1 a 5, bod odůvodnění 26). Pro správce, který může údaje pomocí dodatečných informací přiřadit osobě, zůstávají osobními údaji; posouzení u příjemce neodstraňuje informační povinnosti správce při sběru.
Pokud se čl. 30 použije, veďte záznam pro odpovídající roli písemně, včetně elektronické formy, a na požádání jej zpřístupněte dozorovému úřadu. Následující šablona správce obsahuje položky čl. 30 odst. 1; právní základ je praktické doplňující pole.
Záznam zpracovatele (čl. 30 odst. 2): jméno a kontakty každého zpracovatele a každého správce, za něhož jedná, případně jejich zástupců a DPO; kategorie zpracování pro každého správce; případná předání s určením země/organizace a uvedeným doložením záruk čl. 49; a pokud je to možné, obecný popis zabezpečení podle čl. 32 odst. 1. Jde o samostatný záznam, nikoli kopii tabulky účelů správce.
ROPA tabulka — příklad struktury, nikoli předpis retence
| Účel | Právní základ k posouzení | Minimalizace | Retence k doplnění |
|---|---|---|---|
| Vyřízení objednávky | Smlouva; samostatně zákonné účetní povinnosti | Potřebné údaje pro dodání a platbu | Odlišit údaje k plnění smlouvy od konkrétního účetního/daňového dokladu |
| Newsletter | Příslušná pravidla souhlasu/obchodních sdělení | Kontakt a důkaz příslušného oprávnění | Přezkum při odvolání/námitce a zániku účelu; odůvodnit ponechaný důkaz |
| HR | Konkrétní pracovněprávní účel a titul | Neuvádět „všechna data zaměstnance“ | Personální, mzdové, důchodové a další záznamy podle vlastních zákonů a lhůt |
| Analytics | Skutečný nástroj a toky; vedle GDPR i ePrivacy/cookies | Omezit nepotřebné identifikátory | Stanovit a odůvodnit nezbytnou dobu; neexistuje univerzální dvouletá lhůta |
Právní základy zpracování
Přehled právních základů (Art. 6)
| # | Právní základ | Kdy | Příklad | Pozor |
|---|---|---|---|---|
| 1 | SOUHLAS (Art. 6.1.a) | Je-li platný souhlas zvoleným právním základem | Svobodný, konkrétní, informovaný a jednoznačný | Kdykoliv odvolatelný; posoudit samostatná pravidla marketingu/cookies |
| 2 | SMLOUVA (Art. 6.1.b) | Nezbytné pro smlouvu se subjektem či opatření na jeho žádost před jejím uzavřením | Dodání zboží, poskytnutí služby | Pouze nezbytná data |
| 3 | PRÁVNÍ POVINNOST (Art. 6.1.c) | Zákon vyžaduje zpracování | Daně, účetnictví, ČSSZ | Určit příslušný základ v právu EU či členského státu |
| 4 | VITÁLNÍ ZÁJEM (Art. 6.1.d) | Nezbytné k ochraně životně důležitých zájmů subjektu nebo jiné fyzické osoby | Zdravotní nouze | Výjimečné situace |
| 5 | VEŘEJNÝ ZÁJEM (Art. 6.1.e) | Nezbytné pro úkol ve veřejném zájmu či výkon veřejné moci, kterým je správce pověřen | Úkol svěřený právem | Základ v právu EU/členského státu; nejen veřejné orgány |
| 6 | OPRÁVNĚNÝ ZÁJEM (Art. 6.1.f) | Nezbytné pro oprávněný zájem správce či třetí strany, nepřevažují-li zájmy nebo základní práva a svobody subjektu | Prevence podvodů/přímý marketing až po posouzení | Doložit nezbytnost a vyvážení, zejména u dětí; ne pro orgány veřejné moci při plnění jejich úkolů |
U marketingu a cookies posuďte také samostatná pravidla ePrivacy a jejich příslušné vnitrostátní provedení; samotný právní základ GDPR nerozhoduje o přípustnosti sdělení či přístupu ke koncovému zařízení (směrnice 2002/58/ES, čl. 5 odst. 3 a čl. 13).
Souhlas - požadavky
Platný souhlas musí být:
| Požadavek | Popis | Příklad špatně | Příklad správně |
|---|---|---|---|
| Svobodný | Skutečná volba bez nátlaku; posoudit nepotřebné podmiňování podle čl. 7 odst. 4 | Podmiňovat službu souhlasem s nepotřebným zpracováním | Samostatný volitelný účel lze odmítnout bez újmy |
| Konkrétní | Pro jasný účel | ”Souhlasím se vším" | "Souhlasím s newsletterem” |
| Informovaný | Porozumění zpracování a volbě souhlasu | Žádné vysvětlení | Uvést alespoň správce a účely, vysvětlit odvolání a poskytnout příslušné informace čl. 13/14 |
| Jednoznačný | Aktivní akce | Předvyplněný checkbox | Subjekt aktivně zaškrtne původně prázdné políčko pro uvedený účel |
| Odvolatelný | Odvolání stejně snadné jako udělení | Skryté nebo složité | Odkaz v každém emailu |
Oprávněný zájem - LIA
Legitimate Interest Assessment (balancing test):
Principy zpracování
GDPR principy (Art. 5)
| Princip | Popis | Implementace |
|---|---|---|
| Zákonnost, korektnost a transparentnost | Zákonné, korektní a transparentní zpracování vůči subjektu | Právní základ, srozumitelné informace a posouzení korektního zacházení |
| Účelové omezení | Určité, výslovně vyjádřené a legitimní účely; žádné neslučitelné další zpracování | Před dalším použitím posoudit podmínky čl. 6 odst. 4; čl. 5 odst. 1 písm. b) zachovává pravidlo čl. 89 odst. 1 pro veřejnou archivaci, výzkum a statistiku |
| Minimalizace | Pouze nezbytná data | Audit, smazat nepotřebné |
| Přesnost | Data musí být správná | Validace, opravy |
| Omezení uložení | Ne déle než nutné | Retention policy |
| Integrita a důvěrnost | Ochrana před neoprávněným/protiprávním zpracováním a náhodnou ztrátou, zničením či poškozením | Technická a organizační opatření přiměřená riziku podle čl. 32 |
| Odpovědnost | Prokázat compliance | Dokumentace, audit trail |
Předání mimo EHP a mezinárodním organizacím
Předání uvnitř EHP není pro účely kapitoly V předáním do třetí země; ostatní povinnosti GDPR zůstávají zachovány.
Mechanismy pro transfer
| Mechanismus | Kdy použít |
|---|---|
| Adequacy decision | V územním, odvětvovém a osobním rozsahu příslušného rozhodnutí Komise. Příklady ze seznamu Komise: UK, Švýcarsko, Japonsko a u Kanady příjemci podléhající PIPEDA (rozhodnutí 2002/2/ES, čl. 1) |
| SCCs | Použitelné standardní smluvní doložky Komise s potřebným posouzením a účinnými zárukami |
| BCR | Závazná podniková pravidla pro skupinu podniků či uskupení se společnou hospodářskou činností, schválená podle čl. 47 |
| Výjimky | Jen za podmínek čl. 49 při absenci rozhodnutí čl. 45 a záruk čl. 46; např. výslovný souhlas po poučení o rizicích předání či nezbytné předání pro vymezenou smluvní situaci; zohlednit omezení pro orgány veřejné moci v čl. 49 odst. 3 |
US transfers (post-Schrems II)
- EU–US Data Privacy Framework — rozhodnutí (EU) 2023/1795, čl. 1, pokrývá předání organizacím v USA zařazeným do Data Privacy Framework List vedeného ministerstvem obchodu USA
- Ověřit aktuální účast skutečného příjemce a pokrytí zamýšleného předání; mechanismus odpovídající ochrany nenahrazuje ostatní podmínky GDPR
- Pokud se na předání použijí doložky 14–15 příslušných SCC, doložit posouzení práva a praxe třetí země podle doložky 14 rozhodnutí (EU) 2021/914 (často označované TIA). Podle potřeby posoudit účinné dodatečné záruky, dodržet doložku 15 o přístupu orgánů veřejné moci a předání pozastavit, nelze-li vhodné záruky zajistit (doložka 14 písm. f)); samotný podpis SCCs a vyplnění formuláře nestačí.
Data Processing Agreements
Povinný obsah smlouvy se zpracovatelem (čl. 28)
Použijte pouze zpracovatele poskytující dostatečné záruky podle čl. 28 odst. 1. Zpracování musí upravovat smlouva nebo jiný závazný právní akt podle práva EU či členského státu, písemně včetně elektronické formy (čl. 28 odst. 3 a 9). Vymezte:
| Položka | Povinný obsah |
|---|---|
| Zpracování a strany | Předmět, doba, povaha a účel zpracování, typy osobních údajů, kategorie subjektů a práva a povinnosti správce |
| Doložené pokyny | Zpracování jen na doložené pokyny správce včetně předání; výjimkou je právo EU/členského státu závazné pro zpracovatele, který správce informuje před zpracováním, ledaže to toto právo z důležitých důvodů veřejného zájmu zakazuje |
| Důvěrnost | Oprávněné osoby se zavážou k důvěrnosti nebo podléhají odpovídající zákonné povinnosti |
| Další zpracovatelé | Předchozí konkrétní či obecné písemné povolení; při obecném povolení oznámit zamýšlené přidání/nahrazení a umožnit námitku. Smlouvou/právním aktem uložit stejné povinnosti ochrany údajů; původní zpracovatel plně odpovídá správci za plnění dalšího zpracovatele |
| Zabezpečení | Přijmout veškerá opatření vyžadovaná čl. 32, přiměřená riziku |
| Pomoc s právy | Vhodnými technickými a organizačními opatřeními, pokud je to možné, pomáhat správci s právy kapitoly III s ohledem na povahu zpracování |
| Zabezpečení, porušení, DPIA a konzultace | Pomáhat s čl. 32–36 s ohledem na povahu zpracování a informace dostupné zpracovateli; porušení osobních údajů oznámit správci bez zbytečného odkladu po zjištění (čl. 33 odst. 2). Smluvní cíl hlášení tuto povinnost nenahrazuje |
| Konec služeb | Podle volby správce vymazat nebo vrátit osobní údaje po skončení služeb zpracování a vymazat existující kopie, nevyžaduje-li právo EU/členského státu jejich uložení |
| Doložení souladu a audity | Zpřístupnit všechny potřebné informace a umožnit/podílet se na auditech včetně inspekcí správce či jím pověřeného auditora |
| Protiprávní pokyn | Okamžitě správce informovat, pokud podle názoru zpracovatele pokyn porušuje GDPR či jiné předpisy EU/členského státu o ochraně údajů |
Retention Policy
Čl. 5 odst. 1 písm. e) GDPR vyžaduje uchování nejvýše po dobu potřebnou pro účel; neurčuje „30 let pro všechna HR data“, „rok pro každý log“ ani „72 hodin pro každou kameru“. Konkrétní národní evidence mohou mít vlastní povinné lhůty. Delší uložení výlučně pro archivaci ve veřejném zájmu, vědecký či historický výzkum nebo statistiku podléhá podmínkám a zárukám čl. 5 odst. 1 písm. e) a čl. 89 odst. 1.
| Záznam | Potřebné rozhodnutí o retenci |
|---|---|
| Zákaznická/smluvní data | Účel, spouštěč konce smlouvy a samostatně odůvodněná doba pro nároky/zákonné doklady |
| HR a mzdové záznamy | Přesný typ záznamu, národní ustanovení, začátek lhůty a událost výmazu |
| Účetní/daňové doklady | Konkrétní zákonná kategorie a lhůta; nepřenášet jednu dobu na všechna zákaznická data |
| Souhlasy a námitky | Důkaz potřebný k doložení oprávnění/odvolání a respektování námitek; posoudit odděleně od marketingových dat |
| Logy a kamery | Potřebný bezpečnostní účel, rizika, přístupy a nejkratší odůvodněná doba |
| Zálohy | Rotace/výmaz a opatření bránící návratu vymazaných dat do běžného používání po obnově |
U každého pravidla evidujte zdroj, vlastníka a datum přezkumu. Šablona je vyplněna až po posouzení hodnot pro skutečné zpracování.
Další kroky
- ✅ Zpracování dat pochopeno
- → Práva subjektů (DSAR)
- → Otázky k posouzení povinností
Věcná revize: 6. září 2026. Primární zdroje: GDPR — Arts. 3, 5, 6, 9, 12–22, 28–39, 83.
Použité verze: GDPR, česká konsolidace včetně oprav (000.003); původní akt a historie dokumentu. Konsolidace je informativní; rozhoduje vyhlášený akt a příslušné opravy.
Další primární prameny: 2002/58/EC, Arts. 5 and 13, version 19 December 2009; 2002/2/EC, Art. 1, version 17 December 2016; 2023/1795, Art. 1; 2021/914, Clauses 14–15; C‑413/23 P, 4 September 2025, paras. 68–120 (Regulation 2018/1725).