Ano, pokud dodavatel při migraci, testování nebo podpoře pracuje s osobními údaji zákazníků či zaměstnanců vaším jménem. Tehdy je zpracovatelem a zpracování se musí řídit smlouvou podle čl. 28 GDPR v písemné podobě, přičemž postačí i elektronická. Smlouva musí mimo jiné určit, že dodavatel zpracovává údaje jen podle vašich doložených pokynů a po skončení je vrátí nebo vymaže. Povinnost vybrat dodavatele s dostatečnými zárukami máte vy jako správce.
Při přechodu na nový podnikový systém se zákaznická databáze ze starého řešení exportuje, vyčistí a nahraje do nového. Dělá to zpravidla dodavatel implementace, často na kopii ostrých dat v testovacím prostředí a s pomocí vlastních konzultantů či externích programátorů. Implementační smlouva přitom řeší rozsah, termíny a akceptaci, ale o osobních údajích mlčí, ačkoli právě pro tuto část projektu GDPR vyžaduje smlouvu s předepsaným obsahem.
Kdy je implementátor zpracovatelem
GDPR definuje zpracovatele jako subjekt, který zpracovává osobní údaje jménem správce (čl. 4 bod 8). Zpracováním je přitom téměř jakákoli operace s údaji včetně uspořádání, pozměnění, vyhledání, nahlédnutí, přenosu či výmazu (čl. 4 bod 2). Dodavatel, který vaše data migruje, čistí nebo při ladění prohlíží, je proto zpracovává, a protože tak činí pro vás a podle vašich pokynů, je vaším zpracovatelem.
Pokud dodavatel pouze nainstaluje software a k údajům nemá přístup, zpracovatelem být nemusí. Opačný extrém nastane, když začne údaje používat pro vlastní účely: zpracovatel, který porušením nařízení sám určí účely a prostředky zpracování, se ve vztahu k němu považuje za správce (čl. 28 odst. 10).
Co musí smlouva obsahovat
Správce smí využívat jen zpracovatele, kteří poskytují dostatečné záruky přiměřených technických a organizačních opatření (čl. 28 odst. 1). Vztah s nimi musí mít smluvní základ:
Zpracování zpracovatelem se řídí smlouvou nebo jiným právním aktem podle práva Unie nebo členského státu, které zavazují zpracovatele vůči správci a v nichž je stanoven předmět a doba trvání zpracování, povaha a účel zpracování, typ osobních údajů a kategorie subjektů údajů, povinnosti a práva správce.
— Český překlad čl. 28 odst. 3 nařízení (EU) 2016/679
Nařízení dále vyžaduje, aby smlouva zavázala dodavatele zejména ke zpracování jen podle vašich doložených pokynů včetně předání do třetích zemí, k mlčenlivosti lidí, kteří s údaji pracují, k bezpečnostním opatřením, k pomoci při vyřizování žádostí subjektů údajů, k vrácení nebo výmazu údajů a jejich kopií po skončení služeb a ke zpřístupnění informací a umožnění auditu (čl. 28 odst. 3 písm. a) až h)). Smlouva musí být v písemné podobě, kterou je i podoba elektronická (čl. 28 odst. 9).
Na co si dát pozor právě při migraci
Subdodavatelé. Na implementačních projektech často pracují i externí konzultanti dodavatele. Zpracovatel nesmí zapojit dalšího zpracovatele bez vašeho předchozího konkrétního nebo obecného písemného povolení a při obecném povolení vás musí informovat o změnách, abyste mohli vznést námitky (čl. 28 odst. 2).
Testovací prostředí. Kopie ostrých dat v testech je také zpracování. Mezi opatřeními, která nařízení výslovně uvádí, je pseudonymizace a šifrování (čl. 32 odst. 1 písm. a)), proto má smlouva určit, kdy se pro testy použijí upravená data a kdy ostrá.
Konec projektu. Po nasazení zůstávají exporty, zálohy a testovací databáze u dodavatele. Povinnost vrátit nebo vymazat údaje i existující kopie (čl. 28 odst. 3 písm. g)) má mít ve smlouvě konkrétní termín a potvrzení o výmazu. Pokud po nasazení přecházíte do servisního režimu a dodavatel bude mít k údajům přístup i nadále, smlouva o zpracování musí pokrýt i toto období.
Jak to vyřešit
Nejpraktičtější je připojit smlouvu o zpracování osobních údajů jako přílohu k implementační smlouvě, aby se rozsah migrace, přístupy a termín výmazu kryly s harmonogramem projektu. Širší pořádek ve zpracování, od záznamů o činnostech po smlouvy s dalšími dodavateli, řešíme ve službě GDPR a ochrana osobních údajů. Přehled základních povinností správce najdete v otázce jaké mám povinnosti při zpracování osobních údajů.
Odpověď je obecnou informací k právnímu stavu k 12. 9. 2026 — nejde o právní službu ani náhradu posouzení konkrétního případu. Vaše situace se může v detailech lišit; pokud si chcete být jistí, projděme ji společně při konzultaci.
