GDPR.
Zákonne spracúvajte osobné údaje, chráňte práva a preukázateľne dokladajte zavedenie.
- Nariadenie (EÚ) 2016/679 · BDSG
- Autor: Derya Altinay
- Stav k: 22. 10. 2026
- Čas čítania: 8 min.
Stručná odpoveď.
GDPR upravuje spracúvanie osobných údajov v európskom rozsahu pôsobnosti. Podniky potrebujú vhodné právne základy, transparentné informácie, postupy pre práva dotknutých osôb a ochranné opatrenia primerané riziku. Podľa čl. 5 GDPR nesú prevádzkovatelia zodpovednosť: musia vedieť preukázať dodržiavanie zásad. Sprostredkovatelia majú vlastné povinnosti a podporujú prevádzkovateľa pri ich plnení.
GDPR: ochrana osobných údajov presahuje bezpečnosť IT.
Všeobecné nariadenie o ochrane údajov je priamo uplatniteľným právom EÚ na ochranu fyzických osôb pri spracúvaní ich osobných údajov. Nariadenie (EÚ) 2016/679 sa uplatňuje od 25. mája 2018; GDPR je jeho anglická skratka. V Nemecku dopĺňajú európsky rámec najmä spolkový zákon o ochrane osobných údajov a odvetvové predpisy.
GDPR sa najskôr pýta, či a na aký účel je spracúvanie prípustné. Bezpečná databáza ešte nezodpovedá otázku, či sú zhromažďované informácie potrebné a ako dlho sa smú uchovávať. Čl. 5 a 6 GDPR spájajú zásady a právne základy; čl. 32 sa v tomto rámci týka bezpečnosti spracúvania.
Ochrana osobných údajov zostáva priebežnou úlohou, pretože účely, dátové toky a používané služby sa menia. Prevádzkovateľ musí podľa čl. 24 GDPR prijať vhodné opatrenia, overovať ich primeranosť a podľa potreby ich aktualizovať. Jednorazovo vyplnený dokument toto priebežné hodnotenie nenahrádza.
Pre ktoré podniky platí GDPR.
GDPR sa podľa čl. 2 uplatňuje na tam zahrnuté spracúvanie osobných údajov bez ohľadu na to, či je podnik veľký alebo malý. Patria sem napríklad údaje zákazníkov, podklady uchádzačov o zamestnanie alebo obsah podpory obsahujúci osobné údaje. Aj pseudonymizované údaje zostávajú osobnými údajmi, ak možno osobu identifikovať pomocou ďalších informácií; skutočne anonymné informácie treba zaradiť inak.
Územná pôsobnosť vyplýva z čl. 3 GDPR. Okrem spracúvania v rámci prevádzkarne v EÚ môžu byť zahrnuté aj určité ponuky osobám v EÚ alebo monitorovanie ich správania podnikmi mimo EÚ. Samotné umiestnenie servera ani dostupnosť webovej stránky o tom nerozhodujú.
Rola sa určuje pre konkrétnu činnosť: prevádzkovatelia rozhodujú o účeloch a prostriedkoch, sprostredkovatelia spracúvajú údaje v ich mene. Organizácia môže mať podľa činnosti rôzne roly. Čl. 26 a 28 GDPR vyžadujú pri spoločnom prevádzkovateľstve alebo sprostredkovaní vhodné dojednania; samotný názov zmluvy neobjasňuje skutočnú rolu.
Požiadavky GDPR na podniky.
Požiadavky GDPR spájajú právne rozhodnutia so skutočnou prevádzkou spracúvania. Sedem pracovných oblastí poskytuje orientáciu; ďalšie osobitné povinnosti závisia od roly, údajov, činnosti a rizík pre dotknuté osoby.
Určiť zásady a právne základy.
Čl. 5 a 6 GDPR vyžadujú zákonné spracúvanie viazané na účel a zrozumiteľné pre dotknuté osoby. Obmedzte údaje a uchovávanie na nevyhnutný rozsah a udržiavajte informácie správne. Súhlas je jedným z možných právnych základov; jeho podmienky nemožno obísť rovnako ako podmienky iných právnych základov.
Umožniť transparentnosť a práva dotknutých osôb.
Čl. 12 až 22 GDPR sa týkajú zrozumiteľných informácií a práv, ako sú prístup, oprava alebo vymazanie. Práva majú rôzne podmienky a výnimky. Zodpovednosti, vyhľadávanie údajov, overenie totožnosti a bezpečná odpoveď musia byť v súlade; samotné informácie o ochrane osobných údajov ešte žiadosť nespracujú.
Organizovať zodpovednosť a poskytovateľov služieb.
Čl. 24 až 30 GDPR upravujú organizačné povinnosti, špecificky navrhnutú ochranu údajov, roly a záznamy. Sprostredkovanie podľa čl. 28 vyžaduje okrem vhodného zmluvného základu aj dostatočné záruky poskytovateľa služby. Do hodnotenia patria skutočne využívaní ďalší sprostredkovatelia a dátové toky, nielen všeobecné obchodné podmienky.
Premietnuť čl. 32 GDPR do účinných opatrení.
Technické a organizačné opatrenia musia vytvárať úroveň bezpečnosti primeranú riziku. Čl. 32 GDPR zohľadňuje kontext spracúvania, najnovšie poznatky, náklady a pravdepodobnosť i závažnosť možných následkov pre ľudí. Podľa rizika sem patria ochrana prístupu, šifrovanie, obnoviteľnosť a pravidelné overovanie účinnosti; pevný univerzálny zoznam nestačí.
Posúdiť osobitné riziká a poradenstvo.
Posúdenie vplyvu na ochranu údajov podľa čl. 35 GDPR je potrebné pred spracúvaním, ak pravdepodobne povedie k vysokému riziku pre práva a slobody. Preverte aj podmienky určenia zodpovednej osoby podľa čl. 37 a doplnkovo § 38 BDSG. Poradná funkcia nenahrádza zodpovednosť za spracúvanie.
Posudzovať a oznamovať porušenia ochrany údajov.
Čl. 33 GDPR v zásade vyžaduje oznámenie príslušnému dozornému orgánu, okrem prípadu, keď porušenie pravdepodobne nepovedie k riziku pre práva a slobody. Čl. 34 samostatne upravuje oznámenie dotknutým osobám pri pravdepodobnom vysokom riziku. Sprostredkovatelia informujú prevádzkovateľa bez zbytočného odkladu; dokumentácia incidentu zostáva samostatnou povinnosťou.
Samostatne zabezpečiť prenosy do tretích krajín.
Kapitola V GDPR stanovuje dodatočné požiadavky na prenosy do tretích krajín. Overte skutočných príjemcov, prístupy a príslušný mechanizmus prenosu. Prípustný prenos nenahrádza právny základ spracúvania ani ostatné povinnosti ochrany osobných údajov; ani hosting v EÚ nezodpovedá každú otázku externých prístupov.
Zavádzanie GDPR ako priebežný proces.
Vymedziť spracúvania a roly.
Ako praktický začiatok zachyťte účely, dotknuté osoby, údaje, systémy a príjemcov konkrétnej činnosti a vyjasnite, kto zodpovedá za ktoré rozhodnutie.
Overiť prípustnosť a informovanie.
Posúďte právne základy, nevyhnutnosť a uchovávanie a porovnajte skutočné spracúvanie s informáciami pre dotknuté osoby.
Posúdiť riziká a osobitné povinnosti.
Pred zavedením alebo významnou zmenou spracúvania preverte riziká pre ľudí a podmienky posúdenia vplyvu, určenia zodpovednej osoby, sprostredkovania a prenosov do tretích krajín.
Zaviesť a overiť opatrenia.
Prepojte právne a organizačné rozhodnutia s vhodnými technickými opatreniami a overte, či v posudzovanej službe fungujú napríklad prístupové pravidlá, vymazávanie a obnova.
Prakticky pripraviť práva a incidenty.
Odskúšajte, ako sa žiadosti a porušenia ochrany údajov rozpoznávajú, eskalujú, posudzujú a včas spracúvajú vrátane odovzdávania medzi podnikmi a poskytovateľmi služieb.
Aktualizovať dokumentáciu so zmenami.
Pri zmenách účelov, príjemcov alebo rizík aktualizujte rozhodnutia a dôkazy a určte, kto sleduje otvorené opatrenia a iniciuje ďalšie preskúmanie.
Dôkazy GDPR a dobrovoľná certifikácia.
Zodpovednosť podľa čl. 5 ods. 2 GDPR znamená vedieť vysvetliť a preukázať dodržiavanie zásad. Vhodné podklady môžu zahŕňať záznamy o spracovateľských činnostiach, zdôvodnené právne základy, zmluvy, informácie o ochrane osobných údajov, posúdenia vplyvu a overenia ochranných opatrení. Rozhoduje, či zachytávajú skutočné spracúvanie a ukazujú, ktoré rozhodnutie bolo prijaté na akom základe.
Dozorný orgán na ochranu údajov má vyšetrovacie a nápravné právomoci podľa čl. 58 GDPR. Dokumentácia by preto mala byť dostupná, zrozumiteľná a aktuálna. Nariadenie nezakladá všeobecnú povinnosť certifikácie, ktorou by podnik mohol definitívne ukončiť celú prácu na ochrane osobných údajov; zodpovednosť zostáva prevádzkovateľovi a ostatným povinným účastníkom.
Certifikácia podľa čl. 42 GDPR je dobrovoľná a týka sa spracovateľských operácií podľa schválených kritérií. Podľa ods. 4 neznižuje zákonnú zodpovednosť; ods. 7 obmedzuje jej platnosť na najviac tri roky s možnosťou obnovenia. Certifikát informačnej bezpečnosti nie je automaticky takouto certifikáciou ochrany osobných údajov.
Rozhodnutie oznámiť porušenie ochrany údajov treba preukázať samostatne. Čl. 33 stanovuje oznámenie bez zbytočného odkladu a podľa možnosti do 72 hodín po zistení, pokiaľ sa neuplatní výnimka založená na riziku. Dokumentácia podľa ods. 5 zahŕňa aj neoznámené porušenia; oznámenie podľa čl. 34 sa riadi vlastným prahom rizika a tam stanovenými výnimkami.
Ďalšie čítanie na blogu.
- GDPR a bezpečnosťPrepojte spracúvania, právne posúdenie a ochranné opatrenia v prevádzke.
- Overovanie sprostredkovaniaPorovnajte zmluvné záväzky so skutočnými dátovými tokmi poskytovateľa služby.
- Oznámenie porušenia ochrany údajovPodrobnejšie pripravte posúdenie incidentu, rozhodnutie o oznámení a dokumentáciu.
- Spracúvanie žiadostí o prístupZorganizujte vyhľadanie, overenie a bezpečné poskytnutie informácií.
GDPR a ďalšie rámce.
ISO 27001 podporuje organizáciu informačnej bezpečnosti, nenahrádza však posúdenie právnych základov a práv dotknutých osôb. NIS2 má vlastných adresátov a oznamovacie povinnosti; incident môže vyžadovať oddelené posúdenia podľa oboch právnych rámcov. Akt EÚ o AI dopĺňa požiadavky na určité systémy AI bez nahrádzania posúdenia ochrany údajov pri spracúvaní osobných údajov.
V Secani.
Secani ponúka profil ochrany osobných údajov pre roly, kontext spracúvania a prenosy, ako aj redakčne vytvorený kontrolný katalóg GDPR. Profil zaznamenáva podnikové údaje a podporuje systematické zmapovanie stavu. Odborné posúdenie skutočného spracúvania a jeho zákonnosti zostáva samostatnou úlohou; profil nie je úradným schválením ani automatickým právnym posúdením.
Ďalší krok.
Začnite jasne vymedzeným spracúvaním, napríklad vybavovaním požiadaviek na podporu. Opíšte účel, údaje, dotknuté osoby, zapojené služby a príjemcov a s príslušnými odborníkmi posúďte vhodný právny základ. Potom zaznamenajte, ktoré ochranné opatrenia a postupy pre práva a incidenty sú skutočne potrebné.
Zdroje.
- Nariadenie (EÚ) 2016/679: všeobecné nariadenie o ochrane údajov
- BfDI: GDPR – BDSG, Info 1, stav k marcu 2026
- Európska komisia: rozsah pôsobnosti a roly GDPR
- Európska komisia: zásady spracúvania
- Európska komisia: povinnosti podnikov
- EDPB: bezpečnosť osobných údajov
- EDPB: porušenia ochrany osobných údajov
- EDPB: práva dotknutých osôb
- § 38 BDSG: zodpovedné osoby neverejných subjektov
Časté otázky.
Nie. Čl. 6 GDPR pozná rôzne právne základy s vlastnými podmienkami. Ktorý z nich je vhodný, závisí od konkrétneho účelu a skutkových okolností; dodatočné požiadavky, napríklad pri osobitných kategóriách údajov, treba preveriť samostatne.
Nie. Oznámenie dozornému orgánu podľa čl. 33 GDPR možno vynechať, ak porušenie pravdepodobne nepovedie k riziku pre práva a slobody. Porušenie však treba zdokumentovať; oznámenie dotknutým osobám podľa čl. 34 sa posudzuje oddelene.
Nie. ISMS môže podporiť bezpečnosť spracúvania, automaticky však nezodpovedá otázky právneho základu, transparentnosti alebo práv dotknutých osôb. Jeho rozsah pôsobnosti a skutočné spracúvanie treba preveriť samostatne.
Áno, ak ich spracúvanie spadá do vecnej a územnej pôsobnosti. Samotná veľkosť podniku nezakladá všeobecnú výnimku; jednotlivé povinnosti závisia od ďalších podmienok.
Organizujte ochranu osobných údajov preukázateľne.
Spoznajte profil ochrany osobných údajov a redakčne vytvorený katalóg GDPR v Secani.
Táto stránka poskytuje všeobecnú orientáciu a nenahrádza právne posúdenie konkrétneho prípadu. Rozhodujúce sú platné právne predpisy a konkrétne spracúvanie.