Ne vždy, ale každý takový omyl je porušením zabezpečení osobních údajů, které musíte posoudit a zapsat do evidence. Úřadu jej oznámíte bez zbytečného odkladu, pokud možno do 72 hodin od zjištění, ledaže riziko pro člověka, jehož údaje byly odeslány, není pravděpodobné. Při záměně dvou faktur se jménem, adresou a nákupem Evropský sbor pro ochranu osobních údajů v modelovém případě hodnotí riziko jako nízké a stačí interní záznam. Pokud doklad prozradil i neveřejné údaje, například datum narození, citlivé údaje nebo údaje mnoha lidí, počítejte s oznámením úřadu. Při vysokém riziku informujte i dotčené osoby.
Fakturační systém přiřadil k zásilce nesprávný doklad, obchodník poslal nabídku s přílohou určenou jinému klientovi nebo newsletter odešel se všemi adresami viditelnými v kopii. O chybě se firma obvykle dozví od zákazníka, který cizí doklad dostal. GDPR takovou situaci považuje za porušení zabezpečení osobních údajů, protože údaje se dostaly k někomu, kdo na ně neměl nárok (čl. 4 bod 12 nařízení (EU) 2016/679, dále GDPR). Povinnost oznámit jej úřadu však nevzniká automaticky. Odpadá, pokud riziko pro člověka, jehož údaje byly odeslány, není pravděpodobné.
Kdy oznámení úřadu není třeba
Nařízení spojuje oznamovací povinnost s rizikem:
Citace v původním znění:
V prípade porušenia ochrany osobných údajov prevádzkovateľ bez zbytočného odkladu a podľa možnosti najneskôr do 72 hodín po tom, čo sa o tejto skutočnosti dozvedel, oznámi porušenie ochrany osobných údajov dozornému orgánu príslušnému podľa článku 55 s výnimkou prípadov, keď nie je pravdepodobné, že porušenie ochrany osobných údajov povedie k riziku pre práva a slobody fyzických osôb.
Evropský sbor pro ochranu osobních údajů rozebírá takové omyly v pokynech 01/2021 k příkladům ohlašování případů porušení zabezpečení (verze 2.0 ze dne 14. prosince 2021). V jednom případě obchod při balení zaměnil dvě objednávky, takže každý ze dvou zákazníků dostal zboží i fakturu toho druhého se jménem, adresou, zbožím a cenou. Sbor riziko hodnotí jako nízké, protože nešlo o citlivé údaje ani o chybu systému a omyl se týkal jen dvou lidí. Oznámení úřadu nepovažuje za potřebné a informování dotčených osob podle čl. 34 GDPR za povinné. Interní záznam však potřebný je.
Odlišně sbor posoudil případ obálky, do které stroj vložil dopisy dvou pojištěnců s datem narození, registrační značkou vozidla a výší pojistného. Tyto údaje nejsou veřejně dostupné, pravděpodobnost jejich zneužití sbor hodnotí jako nízkou až střední a oznámení úřadu považuje za potřebné. Informování dotčené osoby potřebné není.
U e-mailu, který úřad veřejné správy poslal uchazečům o zaměstnání s přílohou obsahující údaje více než 60 000 z nich včetně čísla sociálního zabezpečení, sbor riziko hodnotí jako vysoké a za potřebné považuje oznámení úřadu i informování všech dotčených osob.
Jak omyl posoudit
Při posouzení se vyplatí odpovědět na tyto otázky:
- jaké údaje doklad obsahoval, zda jen jméno, adresu a nákup, nebo i datum narození, rodné číslo, číslo účtu, údaje o zdraví či dluzích,
- kolika lidí a záznamů se omyl týká a zda jde o jednorázovou chybu, nebo o chybu systému, která se může opakovat,
- kdo údaje dostal a zda je ochoten je vymazat nebo vrátit,
- zda byly údaje chráněny, například šifrovanou přílohou.
U omylem odeslaného e-mailu sbor doporučuje poslat nesprávným adresátům další zprávu se skrytými adresami (Bcc), omluvit se, požádat o vymazání a upozornit, že adresy, které viděli, dále používat nesmějí. Jsou-li nesprávní adresáti zároveň subjekty údajů, jako při záměně dvou zásilek, náprava se bez jejich spolupráce neobejde. Kontaktovat je proto musíte i tehdy, když informování podle čl. 34 GDPR povinné není.
Záznam pořizujete vždy
Každé porušení musíte zdokumentovat včetně skutečností, následků a přijatých opatření, a to i tehdy, když jej úřadu neoznamujete (čl. 33 odst. 5). Záznam má umožnit úřadu později ověřit, že jste postupovali správně, proto do něj zapište i důvod, proč jste riziko vyhodnotili jako nepravděpodobné. Lhůta běží od chvíle, kdy se o omylu dozvíte. Pokud oznámení podáte později než po 72 hodinách, připojíte k němu zdůvodnění prodlení. Pokud omyl pravděpodobně povede k vysokému riziku, informujete i subjekt údajů (čl. 34 odst. 1), ledaže platí některá z výjimek, například šifrování (čl. 34 odst. 3). Celý postup od zjištění porušení rozebírá článek co udělat v prvních 72 hodinách po úniku osobních údajů.
Evropská komise v listopadu 2025 navrhla v balíčku Digital Omnibus změnu čl. 33, podle které by se úřadu hlásila jen porušení s vysokým rizikem. K 3. říjnu 2026 návrh přijat není a platí současné znění.
Který úřad na Slovensku a v Česku
Pravidla jsou v obou státech stejná, protože vyplývají přímo z GDPR. Liší se úřad. Slovenská firma oznamuje porušení úřadu Úrad na ochranu osobných údajov Slovenskej republiky, který je dozorovým orgánem podle § 81 odst. 1 slovenského zákona č. 18/2018 Z. z.. Česká firma se obrací na český Úřad pro ochranu osobních údajů, který je v této oblasti ústředním správním úřadem podle § 50 odst. 1 zákona č. 110/2019 Sb.. Pokud firma zpracovává údaje přeshraničně prostřednictvím provozoven v obou státech, vedoucím dozorovým orgánem pro takové zpracování je úřad státu její hlavní provozovny (čl. 56 odst. 1 GDPR) a adresáta oznámení je třeba posoudit samostatně.
Hlášení kybernetického incidentu úřadu Národný bezpečnostný úrad je samostatnou povinností provozovatelů základních služeb, kteří povinně hlásí zejména závažné kybernetické bezpečnostní incidenty. Vysvětluje ji otázka komu a do kdy hlásit kybernetický incident.
Omyl s vámi posoudíme, připravíme záznam do evidence porušení a v případě potřeby i oznámení úřadu a text pro dotčené zákazníky. Kontroly při odesílání dokladů, interní evidenci porušení a vzory oznámení nastavíme v rámci služby GDPR a ochrana osobních údajů.
Odpověď je obecnou informací k právnímu stavu k 3. 10. 2026 — nejde o právní službu ani náhradu posouzení konkrétního případu. Vaše situace se může v detailech lišit; pokud si chcete být jistí, projděme ji společně při konzultaci.
