Osobní údaje zákazníků smíte zpracovávat jen tehdy, pokud máte platný právní základ — nejčastěji plnění smlouvy, zákonnou povinnost, oprávněný zájem nebo souhlas. K základním povinnostem patří informovat subjekty údajů, umožnit jim výkon jejich práv, přiměřeně údaje zabezpečit a závažná porušení bez zbytečného odkladu ohlásit dozorovému úřadu. Rozsah povinností závisí na tom, co a proč zpracováváte.
Jaký právní základ pro zpracování potřebuji?
Zpracování osobních údajů se řídí obecným nařízením GDPR (nařízení EU 2016/679, které platí přímo) a na Slovensku zákonem č. 18/2018 Z. z. o ochrane osobných údajov. První otázka nikdy nezní „jaký souhlas si vyžádám“, ale na jakém právním základě vůbec zpracovávám. Článek 6 odst. 1 GDPR jich zná šest:
- souhlas subjektu údajů,
- plnění smlouvy (nebo opatření před jejím uzavřením na žádost zákazníka),
- zákonná povinnost,
- ochrana životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby,
- úkol ve veřejném zájmu,
- oprávněný zájem správce nebo třetí strany, pokud nad ním nepřevažují zájmy a práva subjektu údajů.
Ochrana majetku sama o sobě není životně důležitým zájmem; podle okolností může odůvodnit oprávněný zájem po posouzení jeho podmínek a práv subjektů údajů.
Pro běžný e-shop to prakticky znamená, že vyřízení objednávky stojí na plnění smlouvy, uchování dokladů na zákonné povinnosti (účetnictví) a vymáhání pohledávek na oprávněném zájmu — souhlas není potřeba a vyžadovat jej „pro jistotu“ je chyba. Souhlas má místo tam, kde jiný základ chybí, typicky u newsletteru a marketingu.
Kdy je souhlas platný?
Pokud se přesto opíráte o souhlas, musí být svobodný, odlišený od jiných textů, srozumitelný a kdykoli odvolatelný stejným způsobem, jakým byl udělen (§ 14 slovenského zákona č. 18/2018 Z. z.). Souhlas nelze vynucovat tím, že bez něj neposkytnete službu, pro kterou jej ve skutečnosti nepotřebujete.
Další povinnosti podle GDPR
Vedle právního základu je třeba plnit i ostatní požadavky GDPR:
- informační povinnost — srozumitelné zásady zpracování (kdo, co, proč, jak dlouho, komu údaje předáváte),
- respektování práv subjektů údajů (přístup, oprava, výmaz, omezení, přenositelnost, námitka),
- přiměřené zabezpečení údajů,
- zpracovatelské smlouvy s dodavateli, kteří údaje zpracovávají za vás (hosting, e-mailing, externí účetnictví),
- ohlášení porušení zabezpečení údajů dozorovému úřadu bez zbytečného odkladu a při vyšším riziku i informování subjektů údajů,
- při rozsáhlém nebo rizikovém zpracování posouzení vlivu, případně jmenování pověřence pro ochranu osobních údajů.
Audit činností zpracování, zásady ochrany údajů i zpracovatelské smlouvy připravíme v rámci služby GDPR a ochrana osobních údajů; pro e-shopy to spojujeme do balíčku právních služeb pro e-shopy spolu s obchodními podmínkami.
Odpověď je obecnou informací k právnímu stavu k 10. 9. 2026 — nejde o právní službu ani náhradu posouzení konkrétního případu. Vaše situace se může v detailech lišit; pokud si chcete být jistí, projděme ji společně při konzultaci.
