GDPR: otázky k posouzení povinností

Deadline: Průběžně

---

Čl. 12 odst. 3: poskytněte informace o přijatých opatřeních bez zbytečného odkladu a do jednoho měsíce od obdržení žádosti. Je-li to nutné kvůli složitosti/počtu žádostí, lze prodloužit až o další dva měsíce; do prvního měsíce sdělte subjektu prodloužení a důvody. Rozsah práva a výjimky posuďte jednotlivě. Interní cíl pro potvrzení přijetí právní lhůtu neprodlužuje.

Část C: GDPR Compliance

Jde o pracovní výběr povinností a způsobů implementace. U každého řádku posuďte působnost, roli a výjimky; šablony, diagramy, portály a registry jsou metodou, pokud je citované pravidlo výslovně neukládá. Záznamy čl. 30 se liší pro správce a zpracovatele; posuďte úzkou výjimku podle čl. 30 odst. 5.

#	Aktivita	Reference	Fáze	Popis
C1	Scope & GAP Analýza	Čl. 2, 3	Příprava	Určení rozsahu zpracování a analýza mezer
C1.1	– Territorial scope	Čl. 3	Příprava	Posoudit provozovnu v EU, nabídku zboží/služeb a sledování podle čl. 3
C1.2	– Current state assessment	Čl. 5, 24	Příprava	Audit současného stavu GDPR compliance
C1.3	– GAP identification	Čl. 24	Příprava	Identifikace mezer vs. GDPR požadavky
C2	Data Mapping (ROPA)	Čl. 30	Analýza	Records of Processing Activities
C2.1	– Personal Data Categories	Čl. 30(1)(c)	Analýza	Příklady při vazbě na identifikovatelnou osobu: jména, emaily, online identifikátory a údaje o zdraví
C2.2	– Legal Basis	Čl. 6, 9	Analýza	Určit použitelný základ čl. 6 odst. 1: souhlas, smlouva, právní povinnost, životně důležité zájmy, veřejný úkol/veřejná moc nebo oprávněný zájem; splnit jeho podmínky a u zvláštních kategorií také čl. 9 odst. 2
C2.3	– Data Subject Categories	Čl. 30(1)(c)	Analýza	Customers, employees, partners, prospects
C2.4	– Retention Periods	Čl. 5(1)(e), 30(1)(f)	Analýza	Jak dlouho uchovávat? Auto-delete procedury
C2.5	– Data Flow Diagram	Čl. 30	Analýza	Vizualizace toků osobních údajů
C2.6	– Third-country transfers	Čl. 44-49	Analýza	Posoudit předání do třetích zemí mimo EHP nebo mezinárodním organizacím a použitelný mechanismus kapitoly V
C3	Data Processing Agreements (DPA)	Čl. 28	Governance	Zpracování upravené závaznou smlouvou nebo jiným právním aktem splňujícím čl. 28 odst. 3
C3.1	– Controllers vs. Processors	Čl. 4(7,8), 26	Governance	Audit: Kdo je controller? Kdo processor?
C3.2	– Processor list	Čl. 28(1)	Governance	Seznam všech zpracovatelů
C3.3	– Sub-processor Management	Čl. 28(2,4)	Governance	Předchozí konkrétní nebo obecné písemné povolení; při obecném povolení oznámení změn a možnost námitek; přenesení povinností a odpovědnost podle čl. 28 odst. 4
C3.4	– DPA Templates	Čl. 28(3)	Governance	Standardizované smlouvy (EN, CZ)
C3.5	– SCCs for transfers	Čl. 46(2)(c)	Governance	SCC Komise jsou jednou možností záruk čl. 46, nikoli povinné pro každé předání mimo EHP; posoudit použitelný mechanismus
C4	Privacy by Design & Default	Čl. 25	Implementace	Ochrana soukromí v návrhu systémů
C4.1	– Privacy by Design principles	Čl. 25(1)	Implementace	Zabudování privacy do návrhu systémů
C4.2	– Privacy by Default	Čl. 25(2)	Implementace	Výchozí nastavení = minimum dat
C4.3	– Data Minimization	Čl. 5(1)(c)	Implementace	Pouze nutná data. Smazání zbytečných sloupců
C4.4	– Pseudonymization	Čl. 4(5), 25	Implementace	Pro analytics: pseudonymizovat kde možné
C4.5	– Anonymization	GDPR Recital 26	Implementace	Anonymizace je možnost; ověřit, že osoba již není identifikovatelná rozumně použitelnými prostředky. Samotná pseudonymizace působnost GDPR neruší
C5	Technical & Organizational Measures	Čl. 32	Implementace	Bezpečnost zpracování
C5.1	– Encryption at rest	Čl. 32(1)(a)	Implementace	Přiměřené šifrování; AES-256 je varianta implementace, ne algoritmus předepsaný čl. 32
C5.2	– Encryption in transit	Čl. 32(1)(a)	Implementace	Přiměřená ochrana přenosu; TLS 1.3 je varianta implementace, ne verze předepsaná čl. 32
C5.3	– Access control	Čl. 32(1)(b)	Implementace	Řízení přístupu k osobním údajům
C5.4	– Confidentiality	Čl. 32(1)(b)	Implementace	Zajištění důvěrnosti
C5.5	– Integrity	Čl. 32(1)(b)	Implementace	Zajištění integrity dat
C5.6	– Availability	Čl. 32(1)(b)	Implementace	Zajištění dostupnosti
C5.7	– Resilience	Čl. 32(1)(b)	Implementace	Odolnost systémů
C5.8	– Restore capability	Čl. 32(1)(c)	Implementace	Schopnost obnovit dostupnost dat
C5.9	– Regular testing	Čl. 32(1)(d)	Testování	Pravidelné testování účinnosti opatření
C6	DPIA (Impact Assessment)	Čl. 35	Analýza	Data Protection Impact Assessment
C6.1	– DPIA proces definován	Čl. 35(1)	Governance	Kdy a jak provádět DPIA
C6.2	– DPIA template	Čl. 35(7)	Governance	Šablona pro DPIA
C6.3	– DPIA pro high-risk processing	Čl. 35(1), (3)–(5), (10)	Analýza	Před zpracováním s pravděpodobným vysokým rizikem provést posouzení čl. 35, se zohledněním použitelných seznamů úřadu a výjimek
C6.4	– DPIA pro AI systems	Čl. 35 GDPR	Analýza	Posoudit pravděpodobné vysoké riziko podle čl. 35 GDPR; AI s osobními údaji automaticky nevyžaduje DPIA. Samostatně posoudit povinnosti podle AI Act
C6.5	– Předchozí konzultace	Čl. 36(1)	Analýza	Konzultovat s dozorovým úřadem před zpracováním při podmínce vysokého rizika podle čl. 36 odst. 1
C7	Subject Rights (DSAR)	Čl. 15-22	Implementace	Práva subjektů údajů
C7.1	– DSAR workflow	Čl. 12	Implementace	Proces zpracování žádostí subjektů
C7.2	– DSAR email/formulář	Čl. 12(2)	Implementace	Kanál pro přijímání žádostí
C7.3	– Identity verification	Čl. 12(6)	Implementace	Přiměřené ověření totožnosti; dodatečné údaje jen v nezbytném rozsahu při důvodných pochybnostech
C7.4	– Right to Access	Čl. 15	Implementace	Workflow: odpovědět do jednoho měsíce
C7.5	– Right to Erasure	Čl. 17	Implementace	Výmaz bez zbytečného odkladu při důvodu čl. 17 odst. 1, mimo výjimky odst. 3; uchování záloh není automatickým odkladem
C7.6	– Right to Rectification	Čl. 16	Implementace	Oprava chyb, audit log
C7.7	– Right to Portability	Čl. 20	Implementace	Při splnění čl. 20 poskytnout strukturovaný, běžně používaný a strojově čitelný formát; CSV/JSON/XML jsou příklady
C7.8	– Right to Restriction	Čl. 18	Implementace	Omezení zpracování
C7.9	– Right to Object	Čl. 21	Implementace	Námitka proti zpracování
C7.10	– DSAR register	Čl. 12	Monitoring	Evidence zpracovaných žádostí
C8	Consent Management	Čl. 7	Implementace	Správa souhlasů
C8.1	– Cookie Management	§ 89(3) zák. 127/2005 Sb.; čl. 7 GDPR	Implementace	Posoudit předchozí souhlas s ukládáním/přístupem a výjimky pro přenos či nezbytnou výslovně vyžádanou službu; název kategorie sám výjimku neurčuje
C8.2	– Cookie banner	§ 89(3) zák. 127/2005 Sb.	Implementace	Zajistit informace a platný souhlas tam, kde je vyžaduje § 89 odst. 3; banner je možná forma rozhraní, nikoli univerzální formát předepsaný GDPR
C8.3	– Email Consent Tracking	Čl. 7(1)	Implementace	Doložit platný souhlas; double opt-in je možná metoda dokazování, nikoli univerzální příkaz čl. 7
C8.4	– Consent Withdrawal	Čl. 7(3)	Implementace	Odvolání kdykoli a stejně snadno jako udělení; před souhlasem o tom informovat; dosavadní zákonnost zpracování není dotčena
C8.5	– Consent records	Čl. 7(1)	Monitoring	Evidence udělených souhlasů
C9	Privacy Policy & Transparency	Čl. 12-14	Dokumentace	Informační povinnost
C9.1	– Privacy Policy	Čl. 13, 14	Dokumentace	Srozumitelná, kompletní, aktuální
C9.2	– GDPR Transparency (Art. 13/14)	Čl. 13, 14	Dokumentace	Všechny použitelné položky čl. 13/14 s jejich lhůtami a výjimkami
C9.3	– AI Transparency	Čl. 13(2)(f), 14(2)(g), 15(1)(h)	Dokumentace	Informace o rozhodování podle čl. 22 odst. 1/4, včetně smysluplných informací o postupu, významu a předpokládaných důsledcích; samostatně posoudit povinnosti AI Act
C9.4	– Layered notices	Čl. 12(1)	Dokumentace	Víceúrovňové informace (shrnutí + detail)
C10	Data Breach Management	Čl. 33, 34	Incident	Procedura hlášení porušení
C10.1	– Breach detection	Čl. 33	Incident	Procesy pro detekci porušení
C10.2	– Breach assessment	Čl. 33(1)	Incident	Risk assessment dopadu porušení
C10.3	– ÚOOÚ notification (72h)	Čl. 33(1)–(2), 55–56	Incident	Správce: příslušnému úřadu bez zbytečného odkladu a pokud možno do 72 h od zjištění, ledaže je riziko pro práva a svobody osob nepravděpodobné; uvést důvody prodlení. Zpracovatel: správci bez zbytečného odkladu
C10.4	– Subject notification	Čl. 34	Incident	Oznámit subjektu bez zbytečného odkladu při pravděpodobném vysokém riziku; posoudit výjimky čl. 34 odst. 3, včetně stejně účinného veřejného oznámení při nepřiměřeném úsilí individuálního oznámení
C10.5	– Breach register	Čl. 33(5)	Monitoring	Evidence všech porušení
C10.6	– Notification templates	Čl. 33, 34	Dokumentace	Šablony pro notifikace (ÚOOÚ, subjekty)
C11	DPO (Data Protection Officer)	Čl. 37-39	Governance	Pověřenec pro ochranu osobních údajů
C11.1	– DPO jmenován	Čl. 37	Governance	Jmenovat při podmínkách čl. 37/národního práva nebo dobrovolně; doložit působnost a nezávislost
C11.2	– DPO independence	Čl. 38(3)	Governance	Nezávislost DPO zajištěna
C11.3	– DPO Contact Public	Čl. 37(7)	Governance	dpo@firma.cz publikováno na webu
C11.4	– Oznámení kontaktu DPO	Čl. 37(7)	Governance	Sdělit kontaktní údaje jmenovaného DPO dozorovému úřadu; nejde o schválení jmenování
C11.5	– DPO Responsibilities	Čl. 39	Governance	Informace a poradenství, monitorování souladu, poradenství k DPIA na požádání a dohled nad ní, spolupráce a kontakt s úřadem
C12	Training & Awareness	Čl. 39(1)(b)	Training	Školení zaměstnanců
C12.1	– GDPR školení pracovníků	Čl. 39(1)(b)	Training	Školení přiměřené roli a riziku pro pracovníky zapojené do zpracování; jmenovaný DPO je monitoruje podle čl. 39 odst. 1 písm. b)
C12.2	– Role-specific training	Čl. 39(1)(b)	Training	Specializované školení (HR, Marketing, IT)
C12.3	– Training records	Čl. 24(1)	Monitoring	Evidence absolvovaných školení
C12.4	– Awareness program	Čl. 39(1)(b)	Training	Průběžné zvyšování povědomí

---

Priority implementace

GDPR se používá od 25. května 2018. Fáze níže jsou ilustrační plán nápravy, nikoli nová odkladná lhůta: nejprve řešte nezákonné/vysoce rizikové zpracování a naléhavá práva/incidenty, poté potvrďte evidence, smlouvy se zpracovateli, informování a účinné záruky.

Odpovědnost zůstává správci/zpracovateli. DPO radí a monitoruje; jmenováním se odpovědnost organizace za GDPR na tuto osobu nepřenáší.

Implementační fáze

---

V ČR působí ÚOOÚ podle § 50 zákona č. 110/2019 Sb.; příslušnost pro přeshraniční zpracování posuďte podle čl. 55–56 GDPR. Česká pravidla ukládání a přístupu v koncovém zařízení stanoví § 89 odst. 3 zákona č. 127/2005 Sb..

Zdroje

• ÚOOÚ - Úřad pro ochranu osobních údajů
• GDPR text (EUR-Lex)
• EDPB Guidelines

---

Upozornění

Tento obsah má informační charakter a nepředstavuje právní poradenství. Pro konkrétní situaci vaší organizace doporučujeme konzultaci s kvalifikovaným právníkem.

Věcná revize: 6. září 2026. Primární zdroje: GDPR — Arts. 3, 5, 6, 9, 12–22, 28–39, 83.