GDPR v malé firmě: co reálně musíte mít

Kolem GDPR vznikl u malých firem zvláštní stav: půlka majitelů si myslí, že se jich netýká, druhá půlka zaplatila za balík dokumentů, kterým nerozumí ani ona, ani nikdo jiný. Realita je mezi tím a je nudnější, než se zdá.

Malá firma potřebuje pár konkrétních věcí, které odpovídají tomu, co skutečně dělá. Zbytek je papír navíc – a papír, který neodpovídá realitě, je při kontrole horší než žádný.

Kdy se to týká vás

Prakticky vždy, když zpracováváte údaje o lidech. Databáze zákazníků, kontakty na dodavatele, e-maily z formuláře, kamerový systém, mzdová agenda zaměstnanců. Rámec tvoří evropské nařízení a zákon č. 110/2019 Sb., dozorovým orgánem je Úřad pro ochranu osobních údajů.

Nejčastější omyl je věta „my máme jen pár kontaktů“. Rozsah ovlivňuje, jaká opatření jsou přiměřená, ale nezakládá výjimku z povinností.

Čtyři věci, které má mít i firma o dvou lidech

1. Přehled o tom, co zpracováváte. Formálně jde o záznamy o činnostech zpracování. Nařízení zná výjimku pro subjekty pod 250 zaměstnanců, ale platí jen tehdy, není-li zpracování pravidelné, nepředstavuje-li riziko a nejde-li o zvláštní kategorie údajů. U běžné firmy nebo e-shopu se výjimka prakticky neuplatní – zákaznická databáze je pravidelné zpracování. Tohle bývá první, na co se kontrola ptá.

V praxi to nemusí být rozsáhlý dokument. Stačí tabulka: jaká skupina údajů, o kom, proč, na jakém právním základě, jak dlouho a komu se předává.

2. Zásady zpracování osobních údajů, srozumitelně napsané a dostupné tam, kde údaje sbíráte. Musí odpovídat skutečnosti – to je důležitější než jejich délka.

3. Právní základ pro každé zpracování. Souhlas není jediná možnost a často ani ta správná. Plnění smlouvy, právní povinnost a oprávněný zájem pokrývají většinu toho, co malá firma dělá. Souhlas je vhodný hlavně pro marketing nad rámec vlastních zákazníků.

4. Základní zabezpečení. Hesla, které se nesdílejí lístečkem, dvoufaktorové ověření u důležitých účtů, zálohy, uzamčené šanony s papírovými smlouvami, přístup jen pro ty, kdo ho potřebují.

Cookies a web

Všechny cookies, které nejsou nezbytné pro chod webu, vyžadují aktivní souhlas návštěvníka. Předem zaškrtnuté políčko ani formulace o tom, že používáním webu souhlasíte, nestačí – vyplývá to z rozhodovací praxe evropského soudu z roku 2022 a část webů to dodnes nemá v pořádku.

Prakticky to znamená lištu, kde jde souhlas stejně snadno odmítnout jako udělit, měřicí a reklamní skripty se spouštějí až po souhlasu a volbu lze později změnit.

E-mailing a obchodní sdělení

Tady vzniká největší část problémů. Za nevyžádaná obchodní sdělení ukládá Úřad pro ochranu osobních údajů pokuty až do 10 milionů korun a podle rozborů trhu tvoří spam nadpoloviční většinu všech udělených sankcí.

Pravidla ve zkratce: souhlas musí být svobodný, konkrétní, informovaný a jednoznačný a musí jít odvolat stejně snadno, jako byl udělen. U vlastních zákazníků lze pro nabídku obdobného zboží nebo služby využít výjimku podle zákona o některých službách informační společnosti, ale i tam musí mít člověk možnost odmítnout hned při sběru kontaktu i v každé další zprávě. Každé obchodní sdělení musí obsahovat identifikaci odesílatele a funkční odhlášení.

Co nedělat: kupovat databáze, sbírat adresy z veřejných rejstříků k rozesílkám nebo přidávat do newsletteru lidi, kteří poslali jen dotaz. Souvislosti a praktickou stránku sběru kontaktů rozebírám v přehledu marketingu malé firmy.

Na co se míří v roce 2026

Úřad ohlásil pro rok 2026 zaměření kontrol na veřejný sektor, biometriku a kamerové systémy. Souběžně probíhá evropská koordinovaná akce cílená na informační povinnost – tedy na to, jestli jsou zásady zpracování srozumitelné a odpovídají tomu, co se skutečně děje. Počet stížností přitom meziročně vzrostl zhruba o dvě třetiny.

Pro malou firmu z toho plyne jednoduchý úkol: přečíst si vlastní zásady zpracování a ověřit, jestli popisují realitu. Pokud v nich stojí, že údaje nepředáváte třetím stranám, a přitom používáte externí fakturační systém a rozesílku e-mailů, neodpovídají.

Chystá se také úprava, která by rozšířila výjimku ze záznamů o činnostech zpracování na subjekty pod 750 zaměstnanců. Zatím jde o návrh, ne o platný stav – počítat s ním předem by bylo předčasné.

Zpracovatelé a předávání

Většina malých firem předává údaje dalším subjektům, aniž by si to uvědomila: účetní, fakturační služba, e-mailový nástroj, cloudové úložiště, správce webu. S každým takovým zpracovatelem má být uzavřená smlouva o zpracování osobních údajů. Poskytovatelé služeb ji obvykle mají připravenou a stačí ji přijmout – horší je, když neexistuje vůbec.

Podobně u obchodních partnerů: pokud se v rámci spolupráce předávají kontakty na konkrétní lidi, patří to do smluv. Co ve smlouvách hlídat obecně, shrnuju v článku o obchodních smlouvách, a přehled kategorií nástrojů, které data zpracovávají, mám v textu o nástrojích a automatizaci.

Když dojde k úniku

Porušení zabezpečení se hlásí dozorovému úřadu bez zbytečného odkladu, zpravidla do 72 hodin od zjištění, pokud představuje riziko pro práva a svobody dotčených osob. Při vysokém riziku se informují i sami lidé.

Praktický důsledek pro malou firmu: musíte být schopni takovou situaci vůbec rozpoznat a mít někoho, kdo ví, co dělat. Ztracený notebook s nezašifrovaným diskem nebo omylem rozeslaný e-mail s viditelnými adresami všech příjemců jsou přesně ty případy, které se v praxi stávají nejčastěji.

Jak podobná rizika zapadají do provozu rostoucí firmy, popisuju v textu o řízení firmy, která přeroste jednoho člověka.

Časté otázky

Potřebuju pověřence pro ochranu osobních údajů?
Malá firma zpravidla ne. Povinnost se váže na orgány veřejné moci a na rozsáhlé systematické monitorování nebo zpracování zvláštních kategorií údajů.

Můžu mít kamery v provozovně?
Ano, ale s jasným účelem, informační cedulí, omezenou dobou uchování a bez záběru míst, kde to není nutné. Kamery patří mezi oblasti, kterým se úřad v roce 2026 věnuje.

Jak dlouho uchovávat údaje zákazníků?
Podle účelu a podle právních povinností – u účetních dokladů platí zákonné lhůty, u marketingových kontaktů jen po dobu trvání souhlasu nebo vztahu. Neomezené uchovávání není obhajitelné.

Text má orientační povahu a shrnuje stav k srpnu 2026, výklad se může vyvíjet. Konkrétní dokumentaci a posouzení rizik si nechte zpracovat advokátem nebo specialistou na ochranu osobních údajů.