Osobné údaje zákazníkov smiete spracúvať len vtedy, ak máte platný právny základ — najčastejšie plnenie zmluvy, zákonnú povinnosť, oprávnený záujem alebo súhlas. K základným povinnostiam patrí informovať dotknuté osoby, umožniť im výkon ich práv, primerane údaje zabezpečiť a závažné porušenia bez zbytočného odkladu ohlásiť dozornému úradu. Rozsah povinností závisí od toho, čo a prečo spracúvate.
Aký právny základ na spracúvanie potrebujem?
Spracúvanie osobných údajov sa riadi všeobecným nariadením GDPR (nariadenie EÚ 2016/679, ktoré platí priamo) a zákonom č. 18/2018 Z. z. o ochrane osobných údajov. Prvá otázka nikdy neznie „aký súhlas si vypýtam“, ale na akom právnom základe vôbec spracúvam. Článok 6 ods. 1 GDPR ich pozná šesť:
- súhlas dotknutej osoby,
- plnenie zmluvy (alebo opatrenia pred jej uzavretím na žiadosť zákazníka),
- zákonná povinnosť,
- ochrana životne dôležitých záujmov dotknutej alebo inej fyzickej osoby,
- úloha vo verejnom záujme,
- oprávnený záujem prevádzkovateľa alebo tretej strany, ak nad ním neprevažujú záujmy a práva dotknutej osoby.
Ochrana majetku sama osebe nie je životne dôležitým záujmom; podľa okolností môže odôvodniť oprávnený záujem, po posúdení jeho podmienok a práv dotknutých osôb.
Pre bežný e-shop to prakticky znamená, že vybavenie objednávky stojí na plnení zmluvy, uchovanie dokladov na zákonnej povinnosti (účtovníctvo) a vymáhanie pohľadávok na oprávnenom záujme — súhlas netreba a vyžadovať ho „pre istotu“ je chyba. Súhlas má miesto tam, kde iný základ chýba, typicky pri newsletteri a marketingu.
Kedy je súhlas platný?
Ak sa predsa opierate o súhlas, musí byť slobodný, odlíšený od iných textov, zrozumiteľný a kedykoľvek odvolateľný rovnakým spôsobom, akým bol udelený (§ 14 zákona č. 18/2018 Z. z.). Súhlas nemožno vynucovať tým, že bez neho neposkytnete službu, na ktorú ho reálne nepotrebujete.
Ďalšie povinnosti podľa GDPR
Popri právnom základe treba plniť aj ostatné požiadavky GDPR:
- informačná povinnosť — zrozumiteľné zásady spracúvania (kto, čo, prečo, ako dlho, komu údaje odovzdávate),
- rešpektovanie práv dotknutých osôb (prístup, oprava, výmaz, obmedzenie, prenosnosť, namietanie),
- primeraná bezpečnosť údajov,
- sprostredkovateľské zmluvy s dodávateľmi, ktorí údaje spracúvajú za vás (hosting, e-mailing, externé účtovníctvo),
- ohlásenie porušenia ochrany údajov dozornému úradu bez zbytočného odkladu a pri vyššom riziku aj informovanie dotknutých osôb,
- pri rozsiahlom alebo rizikovom spracúvaní posúdenie vplyvu, prípadne určenie zodpovednej osoby.
Audit spracúvateľských činností, zásady ochrany údajov aj sprostredkovateľské zmluvy pripravíme v rámci služby GDPR a ochrana osobných údajov; pre e-shopy to spájame do balíka právnych služieb pre e-shopy spolu s obchodnými podmienkami.
Odpoveď je všeobecná informácia k právnemu stavu k 10. 9. 2026 — nie je právnou službou ani nenahrádza posúdenie konkrétneho prípadu. Vaša situácia sa môže v detailoch líšiť; ak si chcete byť istí, prejdime ju spolu na konzultácii.
