Ochrana osobních údajů a GDPR pro malé firmy v Česku

Malé české firmy často berou GDPR jako něco, co se jim stalo v květnu 2018 a co vyřešil cookie banner a stránka s ochranou soukromí. Dozorový úřad vidí trvalý soubor povinností, které platí pro každou firmu se zákazníky, zaměstnanci nebo mailing listem. V rozdílu mezi oběma pohledy začínají stížnosti a kontroly.

Toto je přehled srozumitelným jazykem, nikoli právní poradenství. Nařízení je rozsáhlé a firma, která zpracovává neobvyklé údaje, například zdravotní nebo údaje o dětech, by měla vyhledat odborné poradenství.

Právní rámec

Obecné nařízení o ochraně osobních údajů (EU) 2016/679 se přímo uplatňuje ve všech členských státech od 25. května 2018. Česko jej doplňuje zákonem č. 110/2019 Sb. o zpracování osobních údajů, který upravuje otázky, jež nařízení ponechává vnitrostátnímu právu. Elektronický marketing a cookies spadají pod samostatná národní pravidla provádějící požadavky EU v oblasti ePrivacy: zákon o některých službách informační společnosti (č. 480/2004 Sb.) pro marketingové e-maily a zákon o elektronických komunikacích (č. 127/2005 Sb.) pro cookies.

Dozorovým orgánem je Úřad pro ochranu osobních údajů (ÚOOÚ). Vyřizuje stížnosti, provádí kontroly, zveřejňuje metodiky česky a částečně anglicky a může ukládat pokuty.

Co jsou osobní údaje

Osobní údaje jsou jakékoli informace týkající se identifikované nebo identifikovatelné osoby: jméno, e-mailová adresa, telefonní číslo, IP adresa, fotografie, záznam o zákazníkovi, kamerový záznam. Osobními údaji jsou i záznamy o vašich zaměstnancích a kontakty na klienty, stejně jako to, co stojí na faktuře osoby samostatně výdělečně činné.

GDPR se uplatní, pokud takové údaje zpracováváte v rámci činnosti provozovny v EU, což pražská firma zjevně má. Týká se papírových složek stejně jako databází.

Základní povinnosti

Vědět, proč údaje máte. Každé použití potřebuje právní základ podle článku 6: souhlas, smlouvu, právní povinnost, životně důležitý zájem, úkol ve veřejném zájmu nebo oprávněný zájem. Vyberte ten, který skutečně sedí. Souhlas bývá nejslabší, protože musí být svobodný a lze jej odvolat. Vystavení faktury se opírá o smlouvu a právní povinnost, ne o souhlas.

Říct lidem, co děláte. Informace o zpracování by měly uvádět, kdo jste, co shromažďujete, proč, na jakém základě, jak dlouho to uchováváte, kdo údaje dostává a jaká práva lidé mají. Mají být napsány jazykem, kterému čtenář rozumí, což u českých zákazníků znamená česky.

Sbírat jen to, co potřebujete, a uchovávat jen tak dlouho, jak potřebujete. K přihlášení k newsletteru není třeba datum narození. Životopis uchazeče by neměl ležet v šuplíku roky poté, co bylo místo obsazeno.

Zabezpečit je. Nařízení vyžaduje vhodná technická a organizační opatření. U malé firmy to znamená řízení přístupu, zálohy, šifrování zařízení, silná hesla a omezený přístup zaměstnanců. Většinu hlášených incidentů tvoří ztracené notebooky, e-maily odeslané na špatnou adresu a phishing.

Správně využívat zpracovatele. Pokud s údaji pracuje externí dodavatel, například účetní, mzdová kancelář nebo cloudový nástroj, budete ve většině případů potřebovat smlouvu o zpracování podle článku 28. Předávání údajů mimo EU má další požadavky.

Práva jednotlivců

Lidé mohou požádat o přístup ke svým údajům, o jejich opravu, v některých případech o výmaz, o omezení zpracování, o přenesení k jinému poskytovateli a mohou vznést námitku proti některým způsobům použití. Na odpověď máte obvykle jeden měsíc, s omezenými možnostmi prodloužení (stav k roku 2026; ověřte v oficiálním zdroji). Zřiďte jednoduchou cestu, například vyhrazenou e-mailovou adresu, a určete, kdo odpovídá. Doručenou žádost nelze ignorovat.

Záznamy, pověřenci a posouzení vlivu

Nařízení vyžaduje záznamy o činnostech zpracování. Článek 30 vyjímá organizace s méně než 250 zaměstnanci, ne však tam, kde zpracování není jen příležitostné, může ohrozit práva osob nebo zahrnuje zvláštní kategorie údajů. Pravidelné zpracování údajů zaměstnanců a zákazníků obvykle příležitostné není, proto záznamy vede i řada malých firem. Stačí jednoduchá tabulka.

Pověřenec pro ochranu osobních údajů je nutný jen ve zvláštních případech, například u orgánů veřejné moci nebo organizací, jejichž hlavní činnost spočívá v rozsáhlém sledování osob nebo ve zpracování zvláštních kategorií údajů. Malý obchod, kavárna nebo poradenská firma jej obvykle mít nemusí. Posouzení vlivu na ochranu osobních údajů se vyžaduje tam, kde zpracování pravděpodobně povede k vysokému riziku, a ÚOOÚ zveřejňuje seznamy takových případů (ověřte si aktuální seznamy).

Porušení zabezpečení

Porušení zabezpečení osobních údajů je nutné ohlásit ÚOOÚ do 72 hodin od okamžiku, kdy se o něm dozvíte, pokud pravděpodobně nehrozí riziko pro práva a svobody osob (stav k roku 2026; ověřte v oficiálním zdroji). Pokud je riziko vysoké, je třeba informovat i dotčené osoby. Vedte interní záznam o každém incidentu, včetně těch, které se rozhodnete neohlásit, s odůvodněním.

Cookies, marketing a kamery

Web, který používá nepodstatné cookies nebo sledovací prvky, potřebuje souhlas návštěvníka dříve, než se nastaví. Banner, který lidi tlačí k tlačítku „přijmout“, je častým zdrojem stížností. E-maily s marketingem fyzickým osobám obecně vyžadují předchozí souhlas, s úzkou výjimkou pro stávající zákazníky a podobné produkty.

Kamerový systém v obchodě nebo kanceláři potřebuje jasný účel, označení, omezený přístup a dobu uchování. Sledování zaměstnanců má navíc omezení v pracovním právu. K pracovní stránce viz jak najmout prvního zaměstnance a povinnosti ve mzdách.

Pokuty

Nařízení umožňuje pokuty až do 20 mil. EUR nebo 4 % celosvětového ročního obratu u nejzávažnějších porušení, u ostatních s nižšími maximy (stav k roku 2026; ověřte v oficiálním zdroji). Postih malých firem obvykle začíná stížností, upozorněním nebo příkazem k nápravě. Firma, která dokáže, že svá rozhodnutí zdokumentovala, je ve výrazně silnější pozici.

Ještě dnes si na jednu stránku napište, jaké osobní údaje máte, kde jsou uložené a kdo je může vidět. Ta stránka je začátkem souladu s pravidly a obvykle odhalí zapomenutou tabulku nebo dvě.

Toto je obecný výklad, nikoli právní ani daňové poradenství.