Práva subjektů údajů

Přehled práv subjektů údajů a jak je implementovat.

Přehled práv

Článek	Právo	Popis
Art. 13/14	PRÁVO NA INFORMACE	Při získání od subjektu (čl. 13); jinak ve lhůtách čl. 14 odst. 3, s příslušnými výjimkami
Art. 15	PRÁVO NA PŘÍSTUP	Kopie zpracovávaných osobních údajů s omezením podle čl. 15 odst. 4
Art. 16	PRÁVO NA OPRAVU	Oprava nepřesných údajů
Art. 17	PRÁVO NA VÝMAZ (“right to be forgotten”)	Smazání osobních údajů
Art. 18	PRÁVO NA OMEZENÍ	Pozastavení zpracování
Art. 20	PRÁVO NA PŘENOSITELNOST	Export dat ve strojově čitelném formátu
Art. 21	PRÁVO NA NÁMITKU	Námitka proti zpracování
Art. 22	PRÁVO NEBÝT PŘEDMĚTEM AUTOMATIZOVANÉHO ROZHODOVÁNÍ	Záruky u výlučně automatizovaných rozhodnutí s právními či obdobně významnými účinky za podmínek čl. 22

Detailní přehled práv

Řádky SLA odkazují na lhůtu pro informaci o přijatých opatřeních podle čl. 12 odst. 3. Požadovaná oprava a výmaz se samy provádějí bez zbytečného odkladu; uplatněte podmínky jednotlivých práv.

Art. 15 - Právo na přístup

Aspekt	Detail
Co	Kopie zpracovávaných osobních údajů s omezením podle čl. 15 odst. 4 + metadata
Kdy	Na žádost subjektu
SLA	jeden měsíc (prodloužení max +2 měsíce)
Formát	Běžně používaná elektronická forma při elektronické žádosti, pokud subjekt nepožádá o jiný způsob
Poplatek	První kopie zdarma; za další vyžádané kopie přiměřený poplatek podle administrativních nákladů; zjevně nedůvodné či nepřiměřené žádosti samostatně řeší čl. 12 odst. 5

Co musíte poskytnout podle čl. 15:

Potvrzení, zda osobní údaje zpracováváte, a pokud ano, přístup a kopii při respektování práv a svobod jiných osob
Účely a kategorie osobních údajů
Konkrétní příjemce, jimž údaje byly nebo budou zpřístupněny; kategorie při žádosti subjektu o ně, nemožné identifikaci nebo doložené zjevně nedůvodné či nepřiměřené žádosti (C‑154/21, body 43, 48–51)
Dobu uložení nebo kritéria pro její určení
Práva na opravu, výmaz, omezení a námitku a právo podat stížnost u dozorového úřadu
Veškeré dostupné informace o zdroji, pokud údaje nepocházejí od subjektu
Existenci automatizovaného rozhodování podle čl. 22 odst. 1 a 4, včetně smysluplných informací o postupu, významu a předpokládaných důsledcích
Při předání do třetí země nebo mezinárodní organizaci informace o vhodných zárukách podle čl. 46

Art. 16 - Právo na opravu

Aspekt	Detail
Co	Oprava nepřesných nebo neúplných údajů
SLA	jeden měsíc
Důkaz	Posoudit nepřesnost a doplnění s ohledem na účel zpracování; možné je dodatečné prohlášení
Propagace	Informovat příjemce o opravě; ledaže je to nemožné nebo vyžaduje nepřiměřené úsilí; na žádost sdělit subjektu příjemce (čl. 19)

Art. 17 - Právo na výmaz

Aspekt	Detail
Co	Smazání osobních údajů
SLA	jeden měsíc (“bez zbytečného odkladu”)
Scope	Vymazat při důvodu podle čl. 17 odst. 1, s výjimkami odst. 3; harmonogram záloh není samostatným prodloužením povinnosti výmazu
Propagace	Informovat příjemce o smazání; ledaže je to nemožné nebo vyžaduje nepřiměřené úsilí; na žádost sdělit subjektu příjemce (čl. 19)

Kdy se výmaz nevyžaduje, pouze v rozsahu nezbytného zpracování (čl. 17 odst. 3):

Svoboda projevu a informací
Závazná povinnost uchování či zpracování, úkol ve veřejném zájmu nebo výkon veřejné moci
Veřejné zdraví podle čl. 9 odst. 2 písm. h) a i) a odst. 3
Archivace ve veřejném zájmu, vědecký či historický výzkum nebo statistika podle čl. 89 odst. 1, pokud by výmaz pravděpodobně znemožnil nebo vážně ohrozil cíle
Určení, výkon nebo obhajoba právních nároků

Pokud správce údaje zveřejnil a má je vymazat podle čl. 17 odst. 1, odst. 2 navíc ukládá přiměřené kroky k informování dalších správců o žádosti o výmaz.

Art. 18 - Právo na omezení

Aspekt	Detail
Co	Pozastavení zpracování (data zůstávají)
Kdy	Popřená přesnost po dobu ověření; protiprávní zpracování, kdy subjekt místo výmazu žádá omezení; údaje již nepotřebné správci, ale potřebné subjektu pro právní nároky; námitka podle čl. 21 odst. 1 do ověření
SLA	jeden měsíc
Co lze	Uložení; další použití pouze se souhlasem, pro právní nároky, práva jiné osoby nebo důležitý veřejný zájem EU/členského státu (čl. 18 odst. 2)

Před zrušením omezení upozorněte subjekt; příjemce informujte za podmínek čl. 19.

Art. 20 - Právo na přenositelnost

Aspekt	Detail
Co	Export dat ve strojově čitelném formátu
Kdy	Údaje poskytnuté subjektem, automatizovaně na souhlasu/smlouvě; s omezeními čl. 20
SLA	jeden měsíc
Formát	Strukturovaný, běžně používaný a strojově čitelný; JSON, XML a CSV jsou příklady
Direct transfer	Pokud technicky proveditelné

Art. 21 - Právo na námitku

Aspekt	Detail
Co	Námitka proti zpracování
Kdy	Z důvodů konkrétní situace subjektu u zpracování podle čl. 6 odst. 1 písm. e)/f); přímý marketing má samostatné právo podle čl. 21 odst. 2
SLA	Po námitce dále nezpracovávat pro přímý marketing; lhůta odpovědi podle čl. 12 odst. 3 není odkladem ukončení zpracování
Následek	U čl. 21 odst. 1 přestat, ledaže prokážete převažující závažné oprávněné důvody nebo potřebu právních nároků; pro přímý marketing tato výjimka neplatí

Na právo námitky upozorněte zřetelně a odděleně nejpozději při první komunikaci (čl. 21 odst. 4). Výzkum a statistika mají zvláštní pravidlo námitky v čl. 21 odst. 6.

Art. 22 - Automatizované rozhodování

Aspekt	Detail
Co	Právo nebýt předmětem čistě automatizovaného rozhodnutí
Kdy	Pokud má právní nebo obdobný významný dopad
Práva	U smluvní výjimky a výslovného souhlasu alespoň lidský zásah, vyjádření názoru a napadení rozhodnutí; zákonné povolení musí samo stanovit záruky
Výjimky	Nezbytnost pro smlouvu; povolení právem EU/členského státu se zárukami; výslovný souhlas. Zvláštní kategorie údajů navíc podléhají čl. 22 odst. 4

Čl. 12 odst. 3: poskytněte informace o přijatých opatřeních bez zbytečného odkladu a do jednoho měsíce od obdržení žádosti. Je-li to nutné kvůli složitosti/počtu žádostí, lze prodloužit až o další dva měsíce; do prvního měsíce sdělte subjektu prodloužení a důvody. Rozsah práva a výjimky posuďte jednotlivě. Interní cíl pro potvrzení přijetí právní lhůtu neprodlužuje.

DSAR Workflow

Proces zpracování žádosti

Níže uvedené dny jsou volitelné interní cíle. Žádosti přijímejte dostupnými kanály; dodatečné údaje k totožnosti požadujte jen v nezbytném rozsahu při důvodných pochybnostech podle čl. 12 odst. 6. Doklad nevyžadujte rutinně a s opatřením nečekejte na interní milník.

Implementace

Technické požadavky

Jde o příklady implementace podle použitelného práva a rizika. Odlište zpracovatele (čl. 28), společné správce (čl. 26) a jiné příjemce; DPA se automaticky nevyžaduje s každou třetí osobou.

Systém	Požadavek
Production DB	Export uživatelských dat
CRM	Export customer data, delete capability
Marketing	Unsubscribe, delete, export
Analytics	Anonymization nebo delete
Logs	Retention policy, pseudonymization
Backups	Výmaz v souladu s čl. 17; zabránit návratu vymazaných dat do použití; žádný automatický odklad kvůli zálohám
Third-party	DPA, cooperation agreement

Data Subject Portal (doporučeno)

Self-service portál pro subjekty:

Přihlaste se pro správu svých údajů

Akce	Popis
STÁHNOUT MÁ DATA	Přístup/kopie podle čl. 15 při respektování práv jiných
UPRAVIT MÁ DATA	Oprava nepřesných údajů
SMAZAT MŮJ ÚČET	Podání žádosti o výmaz s důvody a výjimkami čl. 17
SPRAVOVAT SOUHLASY	Správa udělených souhlasů
KONTAKT DPO	Kontakt na DPO, je-li jmenován, jinak na kontaktní místo správce pro práva osob

Response Templates

Access Request (Art. 15)

Předmět: Odpověď na žádost o přístup k osobním údajům [DSAR-XXXX]

Vážený/á [JMÉNO],

[Potvrďte, zda osobní údaje zpracováváte. Pokud ano, poskytněte přístup a níže uvedenou kopii; upravte každou použitelnou položku.]

1. KATEGORIE ÚDAJŮ
   - Identifikační: [seznam]
   - Kontaktní: [seznam]
   - Transakční: [seznam]

2. ÚČELY ZPRACOVÁNÍ
   [seznam účelů]

3. PŘÍJEMCI ÚDAJŮ
   [seznam příjemců]

4. DOBA UCHOVÁNÍ
   [Doba uložení nebo kritéria jejího určení]

5. VAŠE PRÁVA
   Můžete požadovat opravu, výmaz či omezení a vznést námitku za příslušných podmínek;
   přenositelnost se uplatní při splnění čl. 20.
   Máte právo podat stížnost u ÚOOÚ.

6. ZDROJ
   [Nejsou-li údaje od vás: veškeré dostupné informace o zdroji]

7. AUTOMATIZOVANÉ ROZHODOVÁNÍ
   [Zda probíhá rozhodování podle čl. 22 odst. 1/4; případně smysluplné
   informace o postupu, významu a předpokládaných důsledcích]

8. MEZINÁRODNÍ PŘEDÁNÍ
   [Při předání do třetí země/mezinárodní organizaci: záruky podle čl. 46]

Příloha: [soubor.zip]
Heslo bylo zasláno separátně.

S pozdravem,
[Odpovědné kontaktní místo správce; DPO, je-li jmenován]

Erasure Confirmation (Art. 17)

Předmět: Potvrzení výmazu osobních údajů [DSAR-XXXX]

Vážený/á [JMÉNO],

[Potvrďte pouze skutečně provedený výmaz. Odlište dosud neprovedené kroky, důvod a datum.]

SMAZANÉ ÚDAJE:
- Účet a profil
- Transakční historie
- Komunikace

PONECHANÉ ÚDAJE (zákonná povinnost):
- [Konkrétní ponechaný záznam, zákonné ustanovení, konec retence]

STAV VÝMAZU PODLE SYSTÉMU:
- Produkční databáze: [DATUM]
- Zálohy: [provedené opatření/datum; určit a vysvětlit dosud neprovedené kroky]
- Third-party: [seznam]

S pozdravem,
[Odpovědné kontaktní místo správce; DPO, je-li jmenován]

V ČR je dozorovým úřadem ÚOOÚ (§ 50 zákona č. 110/2019 Sb.). Čl. 77 GDPR umožňuje podat stížnost zejména v zemi obvyklého bydliště, zaměstnání nebo údajného porušení.

Výjimky a odmítnutí

Kdy lze odmítnout

Důvod	Příklad
Nelze ověřit identitu	Správce doloží nemožnost identifikace podle čl. 11 odst. 2 / čl. 12 odst. 2; při důvodných pochybnostech lze žádat jen nezbytné doplňující informace (čl. 12 odst. 6)
Zjevně neopodstatněná	Zjevnou nedůvodnost doloží správce; samotné opakování není automatickým důvodem
Nadměrná žádost	Zjevná nepřiměřenost podle čl. 12 odst. 5, kterou prokazuje správce; samotný rozsah nestačí
Zákonné omezení	Určit použitelnou legislativní restrikci splňující čl. 23 nebo výjimku konkrétního práva; vyšetřování ani právní nárok samy nejsou obecným důvodem odmítnutí

Povinnosti při odmítnutí

Informovat subjekt o důvodech bezodkladně, nejpozději do jednoho měsíce od přijetí žádosti (čl. 12 odst. 4)
Informovat o právu stížnosti k ÚOOÚ
Informovat o právu soudní ochrany
Dokumentovat rozhodnutí

DSAR Register

DSAR ID	Datum přijetí	Subjekt	Typ	Status	Deadline	Odpověď
DSAR-2026-001			Access
DSAR-2026-002			Erasure

KPIs

Jde o volitelné interní cíle služby, nikoli naměřené výsledky nebo zákonné prahy. Necílit míru odmítnutí; každou žádost posoudit podle jejího obsahu.

Metrika	Target
Průměrná doba odpovědi	<20 dní
Compliance rate (do jednoho měsíce)	100%
Customer satisfaction	>80%

Další kroky

✅ Práva subjektů pochopena
→ Otázky k posouzení povinností
→ Implementace DSAR workflow
→ DSAR šablona

Věcná revize: 6. září 2026. Primární zdroje: GDPR — Arts. 3, 5, 6, 9, 12–22, 28–39, 83.