{"id":21090,"date":"2026-10-15T11:32:40","date_gmt":"2026-10-15T11:32:40","guid":{"rendered":"https:\/\/greyson.eu\/?post_type=glossary&#038;p=21090"},"modified":"2026-10-15T11:33:17","modified_gmt":"2026-10-15T11:33:17","slug":"soulad-s-gdpr","status":"publish","type":"glossary","link":"https:\/\/greyson.eu\/cs\/glossary\/soulad-s-gdpr\/","title":{"rendered":"Soulad s GDPR"},"content":{"rendered":"<h1>Soulad s GDPR: Kompletn\u00ed pr\u016fvodce pro IT mana\u017eery a vedouc\u00ed digit\u00e1ln\u00ed transformace<\/h1>\n<p><strong>Soulad s GDPR<\/strong> ozna\u010duje stav, kdy organizace prokazateln\u011b pln\u00ed povinnosti podle na\u0159\u00edzen\u00ed (EU) 2016\/679 \u2013 obecn\u00e9ho na\u0159\u00edzen\u00ed o ochran\u011b osobn\u00edch \u00fadaj\u016f \u2013 v\u017edy, kdy\u017e shroma\u017e\u010fuje, ukl\u00e1d\u00e1, pou\u017e\u00edv\u00e1, sd\u00edl\u00ed nebo ma\u017ee osobn\u00ed \u00fadaje osob v Evropsk\u00e9 unii. V praxi to znamen\u00e1 m\u00edt pr\u00e1vn\u00ed z\u00e1klad pro ka\u017edou \u010dinnost zpracov\u00e1n\u00ed, b\u00fdt o n\u00ed transparentn\u00ed, plnit pr\u00e1va subjekt\u016f \u00fadaj\u016f, chr\u00e1nit \u00fadaje vhodn\u00fdmi technick\u00fdmi a organiza\u010dn\u00edmi opat\u0159en\u00edmi, hl\u00e1sit ur\u010dit\u00e9 p\u0159\u00edpady poru\u0161en\u00ed zabezpe\u010den\u00ed do 72 hodin a um\u011bt to v\u0161e <em>prok\u00e1zat<\/em> dozorov\u00e9mu \u00fa\u0159adu.<\/p>\n<p>Pr\u00e1v\u011b posledn\u011b jmenovan\u00e1 podm\u00ednka odli\u0161uje soulad s GDPR od v\u011bt\u0161iny regulatorn\u00edch projekt\u016f, jak\u00e9 kdy IT organizace vedla. GDPR nezakazuje pouze ur\u010dit\u00e9 chov\u00e1n\u00ed; p\u0159en\u00e1\u0161\u00ed d\u016fkazn\u00ed b\u0159emeno na spr\u00e1vce. \u010cl\u00e1nek 24 vy\u017eaduje, abyste byli schopni soulad prok\u00e1zat, co\u017e z dokumentace, logov\u00e1n\u00ed, n\u00e1vrhov\u00fdch rozhodnut\u00ed a v\u00fdsledk\u016f test\u016f \u010din\u00ed rovnocenn\u00e9 v\u00fdstupy projektu. Pro CTO nebo IT mana\u017eera tedy soulad s GDPR nen\u00ed pr\u00e1vn\u00ed dokument, kter\u00fd se zalo\u017e\u00ed a zapomene. Je to provozn\u00ed discipl\u00edna, kter\u00e1 zasahuje do architektury, \u017eivotn\u00edho cyklu v\u00fdvoje softwaru, spr\u00e1vy testovac\u00edch dat, smluv s dodavateli i reakce na incidenty.<\/p>\n<p>Tento pr\u016fvodce je ur\u010den lidem, kte\u0159\u00ed jej mus\u00ed vybudovat: IT mana\u017eer\u016fm, CTO, vedouc\u00edm digit\u00e1ln\u00ed transformace a pov\u011b\u0159enc\u016fm pro ochranu osobn\u00edch \u00fadaj\u016f, kte\u0159\u00ed spolupracuj\u00ed s v\u00fdvojov\u00fdmi t\u00fdmy. Pokr\u00fdv\u00e1 vznik na\u0159\u00edzen\u00ed, sedm z\u00e1sad a jejich v\u00fdznam v technick\u00e9m vyj\u00e1d\u0159en\u00ed, pr\u00e1vn\u00ed z\u00e1klady zpracov\u00e1n\u00ed, pr\u00e1va subjekt\u016f \u00fadaj\u016f a jejich pln\u011bn\u00ed ve velk\u00e9m m\u011b\u0159\u00edtku, kl\u00ed\u010dov\u00e9 provozn\u00ed povinnosti, rozd\u00edly oproti p\u0159\u00edbuzn\u00fdm re\u017eim\u016fm, jako jsou CCPA a UK GDPR, dvan\u00e1ctim\u011bs\u00ed\u010dn\u00ed pl\u00e1n zav\u00e1d\u011bn\u00ed, konkr\u00e9tn\u00ed dopady na v\u00fdvoj softwaru a testov\u00e1n\u00ed, m\u00fdty, kter\u00e9 programy brzd\u00ed, skute\u010dn\u00e9 n\u00e1klady nevyhovuj\u00edc\u00edho stavu a sm\u011br, kter\u00fdm se na\u0159\u00edzen\u00ed vyv\u00edj\u00ed s \u00fa\u010dinnost\u00ed aktu EU o um\u011bl\u00e9 inteligenci.<\/p>\n<h2>Co je soulad s GDPR a pro\u010d je st\u00e1le d\u016fle\u017eit\u00fd?<\/h2>\n<h3>Odkud se soulad s GDPR vzal?<\/h3>\n<p>GDPR nevzniklo z ni\u010deho. Jeho linie vede p\u0159es desetilet\u00ed evropsk\u00e9ho pr\u00e1va na ochranu \u00fadaj\u016f, kter\u00e9 v\u011bt\u0161ina IT t\u00fdm\u016f nikdy nemusela \u010d\u00edst.<\/p>\n<p>V\u00fdchoz\u00edm bodem je <strong>sm\u011brnice 95\/46\/ES<\/strong> z roku 1995. Sm\u011brnice stanov\u00ed c\u00edl, kter\u00fd mus\u00ed ka\u017ed\u00fd \u010dlensk\u00fd st\u00e1t prov\u00e9st vlastn\u00edm vnitrost\u00e1tn\u00edm pr\u00e1vem. Dvacet osm zem\u00ed proto vytvo\u0159ilo dvacet osm r\u016fzn\u00fdch z\u00e1kon\u016f o ochran\u011b \u00fadaj\u016f \u2013 s odli\u0161n\u00fdmi definicemi, ohla\u0161ovac\u00edmi povinnostmi, prahy pro ozn\u00e1men\u00ed a sankcemi. Panevropsk\u00fd mzdov\u00fd syst\u00e9m musel v roce 2010 sou\u010dasn\u011b uspokojit n\u011bmeckou podnikovou radu, francouzsk\u00fd registra\u010dn\u00ed re\u017eim i britsk\u00fd ohla\u0161ovac\u00ed r\u00e1mec. Tato rozt\u0159\u00ed\u0161t\u011bnost byla drah\u00e1 \u2013 a nejdra\u017e\u0161\u00ed byla pr\u00e1v\u011b tam, kde data proud\u00ed nejrychleji: p\u0159es hranice a uvnit\u0159 nadn\u00e1rodn\u00edch skupin.<\/p>\n<p>V lednu 2012 navrhla Evropsk\u00e1 komise jedin\u00e9 p\u0159\u00edmo pou\u017eiteln\u00e9 <strong>na\u0159\u00edzen\u00ed<\/strong> m\u00edsto sm\u011brnice. Rozd\u00edl je podstatn\u00fd. Na\u0159\u00edzen\u00ed plat\u00ed ve v\u0161ech \u010dlensk\u00fdch st\u00e1tech bez vnitrost\u00e1tn\u00edho proveden\u00ed, co\u017e znamen\u00e1 jeden text, jednu sadu definic a jednu sadu sankc\u00ed. Na\u0159\u00edzen\u00ed (EU) 2016\/679 bylo p\u0159ijato 27. dubna 2016, zve\u0159ejn\u011bno v \u00da\u0159edn\u00edm v\u011bstn\u00edku 4. kv\u011btna 2016 a vymahateln\u00e9 se stalo <strong>25. kv\u011btna 2018<\/strong> po dvoulet\u00e9m p\u0159echodn\u00e9m obdob\u00ed, kter\u00e9 mnoh\u00e9 organizace vyu\u017eily p\u0159\u00edli\u0161 pomalu.<\/p>\n<p>Dv\u011b n\u00e1vrhov\u00e1 rozhodnut\u00ed ve fin\u00e1ln\u00edm textu ovlivnila v\u0161e, co n\u00e1sledovalo. Za prv\u00e9, na\u0159\u00edzen\u00ed dostalo podle \u010dl\u00e1nku 3 <strong>extrateritori\u00e1ln\u00ed p\u016fsobnost<\/strong>, tak\u017ee sleduje subjekt \u00fadaj\u016f, nikoli organizaci. Za druh\u00e9, zvolilo <strong>model v\u00fdsledku a odpov\u011bdnosti<\/strong> m\u00edsto modelu kontroln\u00edho seznamu. Na\u0159\u00edzen\u00ed jen z\u0159\u00eddka \u0159\u00edk\u00e1, kterou technologii pou\u017e\u00edt. \u0158\u00edk\u00e1, jak\u00e9ho v\u00fdsledku mus\u00edte dos\u00e1hnout, a pak po v\u00e1s chce, abyste jej prok\u00e1zali. Proto vypad\u00e1 soulad s GDPR jinak v nemocnici, v bance a v rychle rostouc\u00edm SaaS startupu a proto stejn\u00e1 klauzule v \u010dl\u00e1nku 32 m\u016f\u017ee v jedn\u00e9 organizaci vy\u017eadovat \u0161ifrov\u00e1n\u00ed a v jin\u00e9 \u0159\u00edzen\u00ed p\u0159\u00edstupu podle rol\u00ed plus automatizovan\u00fd n\u00e1stroj pro v\u00fdmaz.<\/p>\n<p>Slovo \u201esoulad&#8221; nese spr\u00e1vn\u00fd d\u016fraz. Poch\u00e1z\u00ed z latinsk\u00e9ho <em>complere<\/em> \u2013 naplnit, dokon\u010dit. Soulad s GDPR je nep\u0159etr\u017eit\u00fd cyklus pln\u011bn\u00ed povinnost\u00ed, nikoli certifik\u00e1t na zdi. Dozorov\u00e9 \u00fa\u0159ady, soudy i regul\u00e1to\u0159i zd\u016fraz\u0148uj\u00ed tot\u00e9\u017e: soulad je stav, kter\u00fd udr\u017eujete, a rozpad\u00e1 se v okam\u017eiku, kdy vznikne nov\u00fd syst\u00e9m, dodavatel nebo tok dat bez kontroly.<\/p>\n<h3>Co soulad s GDPR konkr\u00e9tn\u011b vy\u017eaduje?<\/h3>\n<blockquote><p><strong>Soulad s GDPR:<\/strong> prokazateln\u00fd soulad ve\u0161ker\u00e9ho zpracov\u00e1n\u00ed osobn\u00edch \u00fadaj\u016f s na\u0159\u00edzen\u00edm (EU) 2016\/679 \u2013 zahrnuj\u00edc\u00ed pr\u00e1vn\u00ed z\u00e1klad, transparentnost, omezen\u00ed \u00fa\u010delu, minimalizaci \u00fadaj\u016f, p\u0159esnost, omezen\u00ed ulo\u017een\u00ed, integritu a d\u016fv\u011brnost, odpov\u011bdnost, pr\u00e1va subjekt\u016f \u00fadaj\u016f, zabezpe\u010den\u00ed zpracov\u00e1n\u00ed, \u0159e\u0161en\u00ed poru\u0161en\u00ed zabezpe\u010den\u00ed a z\u00e1konn\u00e9 mezin\u00e1rodn\u00ed p\u0159ed\u00e1v\u00e1n\u00ed \u2013 dolo\u017een\u00fd dokumentac\u00ed, kterou dozorov\u00fd \u00fa\u0159ad m\u016f\u017ee prov\u011b\u0159it.<\/p><\/blockquote>\n<p>Rozlo\u017eeno na \u010d\u00e1sti p\u0159in\u00e1\u0161\u00ed tato definice osm konkr\u00e9tn\u00edch povinnost\u00ed, kter\u00e9 mus\u00ed b\u00fdt IT organizace schopna splnit na vy\u017e\u00e1d\u00e1n\u00ed:<\/p>\n<ol>\n<li><strong>Zaznamenan\u00fd pr\u00e1vn\u00ed z\u00e1klad<\/strong> pro ka\u017edou \u010dinnost zpracov\u00e1n\u00ed podle \u010dl\u00e1nku 6 a p\u0159\u00edpadn\u011b \u010dl\u00e1nku 9.<\/li>\n<li><strong>Inventuru \u00fadaj\u016f<\/strong>, kter\u00e1 ukazuje, jak\u00e9 osobn\u00ed \u00fadaje existuj\u00ed, kde jsou ulo\u017eeny, pro\u010d existuj\u00ed, kdo k nim m\u00e1 p\u0159\u00edstup, jak dlouho se uchov\u00e1vaj\u00ed a kam se p\u0159ed\u00e1vaj\u00ed.<\/li>\n<li><strong>Transparentn\u00ed informace<\/strong> poskytovan\u00e9 subjekt\u016fm \u00fadaj\u016f jasn\u00fdm a srozumiteln\u00fdm jazykem, obvykle prost\u0159ednictv\u00edm vrstven\u00fdch z\u00e1sad ochrany osobn\u00edch \u00fadaj\u016f a rozhran\u00ed pro souhlas v okam\u017eiku pot\u0159eby.<\/li>\n<li><strong>Funguj\u00edc\u00ed procesy pro pr\u00e1va subjekt\u016f \u00fadaj\u016f<\/strong> \u2013 p\u0159\u00edstup, opravu, v\u00fdmaz, omezen\u00ed, p\u0159enositelnost, n\u00e1mitku a pr\u00e1va souvisej\u00edc\u00ed s automatizovan\u00fdm rozhodov\u00e1n\u00edm \u2013 se sledovan\u00fdmi lh\u016ftami.<\/li>\n<li><strong>Bezpe\u010dnostn\u00ed opat\u0159en\u00ed odpov\u00eddaj\u00edc\u00ed riziku<\/strong> podle \u010dl\u00e1nku 32, v\u010detn\u011b \u0161ifrov\u00e1n\u00ed, odolnosti, schopnosti obnovy a pravideln\u00e9ho testov\u00e1n\u00ed.<\/li>\n<li><strong>Schopnost reakce na poru\u0161en\u00ed zabezpe\u010den\u00ed<\/strong>, kter\u00e1 um\u00ed klasifikovat, omezit, vyhodnotit a p\u0159\u00edpadn\u011b ozn\u00e1mit do 72 hodin.<\/li>\n<li><strong>Spr\u00e1vu dodavatel\u016f a p\u0159ed\u00e1v\u00e1n\u00ed<\/strong> zahrnuj\u00edc\u00ed smlouvy o zpracov\u00e1n\u00ed podle \u010dl\u00e1nku 28 a mechanismy p\u0159ed\u00e1v\u00e1n\u00ed podle kapitoly V.<\/li>\n<li><strong>Vrstvu odpov\u011bdnosti<\/strong> \u2013 z\u00e1znamy o \u010dinnostech zpracov\u00e1n\u00ed, DPIA, politiky, z\u00e1znamy o \u0161kolen\u00ed a protokoly o rozhodnut\u00edch \u2013 kter\u00e1 m\u011bn\u00ed v\u00fd\u0161e uveden\u00fdch sedm bod\u016f z tvrzen\u00ed na d\u016fkazy.<\/li>\n<\/ol>\n<p>Pov\u0161imn\u011bte si, co chyb\u00ed: neexistuje \u017e\u00e1dn\u00e1 povinn\u00e1 technologie, \u017e\u00e1dn\u00e1 povinn\u00e1 certifikace ani pevn\u00e1 \u0161ablona dokumentu. GDPR definuje v\u00fdsledky a prov\u00e1d\u011bn\u00ed ponech\u00e1v\u00e1 na organizaci. Tato svoboda je z\u00e1rove\u0148 past\u00ed. Znamen\u00e1 to, \u017ee neexistuje zkratka k souladu jin\u00e1 ne\u017e odv\u00e9st pr\u00e1ci: zmapovat, rozhodnout, zdokumentovat a otestovat.<\/p>\n<h3>Pro\u010d je soulad s GDPR obchodn\u00ed, a ne jen pr\u00e1vn\u00ed z\u00e1le\u017eitost\u00ed?<\/h3>\n<p>Pova\u017eovat soulad s GDPR za pr\u00e1vn\u00ed \u00fakol je nej\u010dast\u011bj\u0161\u00edm d\u016fvodem, pro\u010d se programy zaseknou. Povinnosti maj\u00ed pr\u00e1vn\u00ed p\u016fvod, ale kontroly, kter\u00e9 je napl\u0148uj\u00ed, \u017eij\u00ed v syst\u00e9mech, k\u00f3du a provozu. T\u0159i obchodn\u00ed dynamiky to konkretizuj\u00ed.<\/p>\n<p><strong>N\u00e1kup je \u0159\u00edzen ochranou \u00fadaj\u016f.<\/strong> Podnikov\u00ed z\u00e1kazn\u00edci v regulovan\u00fdch odv\u011btv\u00edch nyn\u00ed rozes\u00edlaj\u00ed bezpe\u010dnostn\u00ed a datov\u00e9 dotazn\u00edky s po\u017eadavky na d\u016fkazy specifick\u00e9 pro GDPR: aktu\u00e1ln\u00ed z\u00e1znamy o \u010dinnostech zpracov\u00e1n\u00ed, shrnut\u00ed DPIA, seznamy subdodavatel\u016f, posouzen\u00ed dopad\u016f p\u0159ed\u00e1v\u00e1n\u00ed, historii poru\u0161en\u00ed zabezpe\u010den\u00ed a pr\u00e1va na audit. Organizace, kter\u00e9 tyto dokumenty nedok\u00e1\u017eou p\u0159edlo\u017eit, ztr\u00e1cej\u00ed zak\u00e1zky nebo pohlcuj\u00ed m\u011bs\u00edce posuzov\u00e1n\u00ed. Artefakty souladu se staly prodejn\u00edm materi\u00e1lem.<\/p>\n<p><strong>D\u016fv\u011bra m\u00e1 svou cenu.<\/strong> Z\u00e1kazn\u00edci, zam\u011bstnanci i partne\u0159i se rozhoduj\u00ed, kam um\u00edst\u00ed osobn\u00ed \u00fadaje, podle vn\u00edman\u00e9 kvality jejich zpracov\u00e1n\u00ed. Ve\u0159ejn\u011b ozn\u00e1men\u00e9 poru\u0161en\u00ed zabezpe\u010den\u00ed tuto percepci naru\u0161\u00ed rychleji, ne\u017e ji jak\u00fdkoli marketingov\u00fd program dok\u00e1\u017ee obnovit, a \u00fa\u010dinek p\u0159etrv\u00e1v\u00e1 dlouho po skon\u010den\u00ed ohla\u0161ovac\u00ed lh\u016fty.<\/p>\n<p><strong>Datov\u00e9 programy jsou omezeny z\u00e1konnost\u00ed dat.<\/strong> Analytika, personalizace, strojov\u00e9 u\u010den\u00ed, migrace do cloudu i generativn\u00ed AI \u2013 to v\u0161e spot\u0159ebov\u00e1v\u00e1 osobn\u00ed \u00fadaje. Ka\u017ed\u00e9 z nich vy\u017eaduje pr\u00e1vn\u00ed z\u00e1klad, \u00fa\u010del, pravidlo pro v\u00fdmaz a \u010dasto DPIA. Organizace s vysp\u011bl\u00fdm souladem s GDPR dod\u00e1vaj\u00ed datov\u00e9 iniciativy rychleji, proto\u017ee pr\u00e1vn\u00ed z\u00e1klad u\u017e stoj\u00ed. Organizace bez n\u011bj objev\u00ed probl\u00e9m uprost\u0159ed projektu, kdy je architektura zamrzl\u00e1 a p\u0159epracov\u00e1n\u00ed drah\u00e9.<\/p>\n<p>U klient\u016f Greyson v regionu st\u0159edn\u00ed a v\u00fdchodn\u00ed Evropy je vzorec konzistentn\u00ed: organizace, kter\u00e9 ch\u00e1pou soulad s GDPR jako in\u017een\u00fdrskou schopnost, a ne jako ka\u017edoro\u010dn\u00ed pap\u00edrov\u00e1n\u00ed, dok\u00e1\u017eou zav\u00e1d\u011bt nov\u00e9 technologie bez krize souladu ka\u017ed\u00e9 druh\u00e9 \u010dtvrtlet\u00ed.<\/p>\n<h2>Kdo mus\u00ed GDPR dodr\u017eovat?<\/h2>\n<p>GDPR odpov\u00edd\u00e1 na tuto ot\u00e1zku ve dvou kroc\u00edch. V\u011bcn\u00e1 p\u016fsobnost definuje, <em>co<\/em> je regulov\u00e1no \u2013 osobn\u00ed \u00fadaje a zpracov\u00e1n\u00ed. \u00dazemn\u00ed p\u016fsobnost definuje, <em>kdo<\/em> je v\u00e1z\u00e1n, a je \u0161ir\u0161\u00ed, ne\u017e v\u011bt\u0161ina organizac\u00ed mimo EU p\u0159edpokl\u00e1d\u00e1.<\/p>\n<h3>Co je v\u011bcn\u00e1 p\u016fsobnost \u2013 co se pova\u017euje za osobn\u00ed \u00fadaje?<\/h3>\n<p>\u010cl\u00e1nek 4 odst. 1 definuje osobn\u00ed \u00fadaje jako ve\u0161ker\u00e9 informace o identifikovan\u00e9 nebo identifikovateln\u00e9 fyzick\u00e9 osob\u011b. Kl\u00ed\u010dov\u00e9 slovo je <em>identifikovateln\u00e9<\/em>. \u00dadaje jsou osobn\u00ed, pokud je lze propojit s osobou, p\u0159\u00edmo nebo nep\u0159\u00edmo, s vyu\u017eit\u00edm prost\u0159edk\u016f, jejich\u017e pou\u017eit\u00ed je pravd\u011bpodobn\u00e9. Pat\u0159\u00ed sem z\u0159ejm\u00e9 identifik\u00e1tory, jako je jm\u00e9no, e-mailov\u00e1 adresa, rodn\u00e9 \u010d\u00edslo a \u010d\u00edslo \u00fa\u010dtu, ale i m\u00e9n\u011b z\u0159ejm\u00e9:<\/p>\n<ul>\n<li><strong>Online identifik\u00e1tory<\/strong> \u2013 IP adresy, ID soubor\u016f cookie, otisky za\u0159\u00edzen\u00ed, reklamn\u00ed identifik\u00e1tory a mobiln\u00ed advertising ID. GDPR je v\u00fdslovn\u011b uv\u00e1d\u00ed.<\/li>\n<li><strong>Lokaliza\u010dn\u00ed \u00fadaje<\/strong> \u2013 z\u00e1znamy GPS, data mobiln\u00edch s\u00edt\u00ed, z\u00e1znamy o p\u0159ihl\u00e1\u0161en\u00ed na m\u00edsto.<\/li>\n<li><strong>Pseudonymizovan\u00e9 \u00fadaje<\/strong> \u2013 \u00fadaje, u nich\u017e byly p\u0159\u00edm\u00e9 identifik\u00e1tory nahrazeny, ale op\u011btovn\u00e1 identifikace z\u016fst\u00e1v\u00e1 mo\u017en\u00e1. Pseudonymizovan\u00e9 \u00fadaje jsou nad\u00e1le osobn\u00edmi \u00fadaji a z\u016fst\u00e1vaj\u00ed v p\u016fsobnosti na\u0159\u00edzen\u00ed. Jde o jedno z nejz\u00e1va\u017en\u011bj\u0161\u00edch technick\u00fdch nedorozum\u011bn\u00ed v t\u00e9to oblasti.<\/li>\n<li><strong>Zvl\u00e1\u0161tn\u00ed kategorie<\/strong> podle \u010dl\u00e1nku 9 \u2013 rasov\u00fd nebo etnick\u00fd p\u016fvod, politick\u00e9 n\u00e1zory, n\u00e1bo\u017eensk\u00e9 nebo filozofick\u00e9 p\u0159esv\u011bd\u010den\u00ed, \u010dlenstv\u00ed v odborech, genetick\u00e9 \u00fadaje, biometrick\u00e9 \u00fadaje pro jedine\u010dnou identifikaci, \u00fadaje o zdrav\u00ed a \u00fadaje o sexu\u00e1ln\u00edm \u017eivot\u011b nebo sexu\u00e1ln\u00ed orientaci.<\/li>\n<li><strong>\u00dadaje o trestn\u00fdch \u010dinech<\/strong> podle \u010dl\u00e1nku 10, jejich\u017e zpracov\u00e1n\u00ed vy\u017eaduje org\u00e1n ve\u0159ejn\u00e9 moci nebo v\u00fdslovn\u00e9 z\u00e1konn\u00e9 zmocn\u011bn\u00ed.<\/li>\n<li><strong>Kontaktn\u00ed \u00fadaje B2B<\/strong> \u2013 pracovn\u00ed e-mailov\u00e1 adresa a pracovn\u00ed pozice konkr\u00e9tn\u00ed osoby jsou osobn\u00edmi \u00fadaji. Firemn\u00ed kontext je nevyj\u00edm\u00e1 z p\u016fsobnosti.<\/li>\n<\/ul>\n<p>Dv\u011b up\u0159esn\u011bn\u00ed u\u0161et\u0159\u00ed mnoho diskus\u00ed. Za prv\u00e9, <strong>anonymizovan\u00e9 \u00fadaje nejsou v p\u016fsobnosti na\u0159\u00edzen\u00ed<\/strong>, ale pouze pokud je anonymizace skute\u010dn\u011b nevratn\u00e1. Evropsk\u00fd sbor pro ochranu osobn\u00edch \u00fadaj\u016f v\u00fdslovn\u011b uvedl, \u017ee anonymizace mus\u00ed odolat \u00fatok\u016fm typu osamocen\u00ed, propojitelnosti a inference, s p\u0159ihl\u00e9dnut\u00edm ke v\u0161em pravd\u011bpodobn\u011b pou\u017eiteln\u00fdm prost\u0159edk\u016fm. V\u011bt\u0161ina \u201eanonymizovan\u00fdch&#8221; export\u016f, kter\u00e9 v podnic\u00edch koluj\u00ed, tento test nespln\u00ed. Za druh\u00e9, <strong>agregovan\u00e9 statistiky<\/strong> odvozen\u00e9 z osobn\u00edch \u00fadaj\u016f nejsou automaticky mimo p\u016fsobnost \u2013 rozhoduj\u00edc\u00ed je, zda osoby z\u016fst\u00e1vaj\u00ed identifikovateln\u00e9.<\/p>\n<h3>Co je \u00fazemn\u00ed p\u016fsobnost \u2013 plat\u00ed GDPR i mimo EU?<\/h3>\n<p>\u010cl\u00e1nek 3 stanov\u00ed dva nez\u00e1visl\u00e9 spou\u0161t\u011b\u010de a sta\u010d\u00ed kter\u00fdkoli z nich.<\/p>\n<p><strong>\u010cl\u00e1nek 3 odst. 1 \u2013 krit\u00e9rium provozovny.<\/strong> GDPR se vztahuje na zpracov\u00e1n\u00ed v souvislosti s \u010dinnostmi provozovny v Unii bez ohledu na to, zda zpracov\u00e1n\u00ed samo prob\u00edh\u00e1 v Unii. Slovensk\u00e1 spole\u010dnost zpracov\u00e1vaj\u00edc\u00ed \u00fadaje na serverech v Asii je v p\u016fsobnosti. Stejn\u011b tak pobo\u010dka, z\u00e1stupce nebo trval\u00e9 uspo\u0159\u00e1d\u00e1n\u00ed, jeho\u017e prost\u0159ednictv\u00edm je \u010dinnost v Unii vykon\u00e1v\u00e1na.<\/p>\n<p><strong>\u010cl\u00e1nek 3 odst. 2 \u2013 krit\u00e9rium c\u00edlen\u00ed.<\/strong> GDPR se vztahuje na organizace bez provozovny v Unii, pokud nab\u00edzej\u00ed zbo\u017e\u00ed nebo slu\u017eby subjekt\u016fm \u00fadaj\u016f v Unii nebo sleduj\u00ed jejich chov\u00e1n\u00ed v Unii. Bod od\u016fvodn\u011bn\u00ed 23 objas\u0148uje, \u017ee pouh\u00e1 webov\u00e1 str\u00e1nka dostupn\u00e1 z EU nesta\u010d\u00ed; mus\u00ed existovat d\u016fkaz o \u00famyslu nab\u00edzet zbo\u017e\u00ed nebo slu\u017eby osob\u00e1m v EU \u2013 nap\u0159\u00edklad mo\u017enost platby v eurech, jazykov\u00e9 verze pro EU, mo\u017enosti doru\u010den\u00ed do \u010dlensk\u00fdch st\u00e1t\u016f nebo reklama c\u00edlen\u00e1 na trhy EU. Bod od\u016fvodn\u011bn\u00ed 24 pokr\u00fdv\u00e1 sledov\u00e1n\u00ed, kter\u00e9 zahrnuje behavior\u00e1ln\u00ed reklamu, analytick\u00fd profiling, sledovac\u00ed technologie a nositeln\u00e1 za\u0159\u00edzen\u00ed.<\/p>\n<p>Proto je americk\u00e1, indick\u00e1 nebo brazilsk\u00e1 spole\u010dnost s evropsk\u00fdmi z\u00e1kazn\u00edky, s evropsk\u00fdmi n\u00e1v\u0161t\u011bvn\u00edky webu sledovan\u00fdmi analytikou nebo s evropsk\u00fdmi zam\u011bstnanci na v\u00fdplatn\u00ed p\u00e1sce obvykle v p\u016fsobnosti na\u0159\u00edzen\u00ed. Tam, kde plat\u00ed \u010dl\u00e1nek 3 odst. 2, vy\u017eaduje \u010dl\u00e1nek 27 ur\u010den\u00ed z\u00e1stupce v Unii, pokud se neuplatn\u00ed v\u00fdjimka. Vym\u00e1h\u00e1n\u00ed v\u016f\u010di organizac\u00edm mimo EU se op\u00edr\u00e1 o mechanismy spolupr\u00e1ce podle \u010dl\u00e1nku 50, pr\u00e1vn\u00ed pomoc a st\u00e1le v\u00edce o praktick\u00fd tlak p\u0159\u00edstupu na trh.<\/p>\n<h3>Kdo je kdo v ekosyst\u00e9mu GDPR?<\/h3>\n<p>Spr\u00e1vn\u00e9 ur\u010den\u00ed role nen\u00ed s\u00e9mantika. Role ur\u010duje va\u0161e povinnosti, va\u0161i odpov\u011bdnost i smlouvy, kter\u00e9 mus\u00edte m\u00edt uzav\u0159en\u00e9. P\u0159ekvapiv\u00fd pod\u00edl selh\u00e1n\u00ed souladu lze vysledovat k organizaci, kter\u00e1 se ozna\u010dila za zpracovatele, a\u010dkoli byla ve skute\u010dnosti spr\u00e1vcem.<\/p>\n<table>\n<thead>\n<tr>\n<th>Role<\/th>\n<th>Definice<\/th>\n<th>Hlavn\u00ed povinnosti<\/th>\n<th>Typick\u00fd p\u0159\u00edklad z praxe<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Subjekt \u00fadaj\u016f<\/td>\n<td>Identifikovan\u00e1 nebo identifikovateln\u00e1 fyzick\u00e1 osoba, jej\u00ed\u017e osobn\u00ed \u00fadaje jsou zpracov\u00e1v\u00e1ny (\u010dl. 4 odst. 1)<\/td>\n<td>Uplat\u0148uje pr\u00e1va; nem\u00e1 povinnosti v oblasti souladu<\/td>\n<td>Z\u00e1kazn\u00edk, zam\u011bstnanec, n\u00e1v\u0161t\u011bvn\u00edk webu, uchaze\u010d o zam\u011bstn\u00e1n\u00ed<\/td>\n<\/tr>\n<tr>\n<td>Spr\u00e1vce<\/td>\n<td>Ur\u010duje \u00fa\u010dely a prost\u0159edky zpracov\u00e1n\u00ed (\u010dl. 4 odst. 7)<\/td>\n<td>Odpov\u011bdnost (\u010dl. 5 odst. 2, \u010dl. 24), pr\u00e1vn\u00ed z\u00e1klad, transparentnost, pln\u011bn\u00ed pr\u00e1v, DPIA, ur\u010den\u00ed DPO, hl\u00e1\u0161en\u00ed poru\u0161en\u00ed zabezpe\u010den\u00ed, z\u00e1znamy o \u010dinnostech zpracov\u00e1n\u00ed<\/td>\n<td>Spole\u010dnost provozuj\u00edc\u00ed vlastn\u00ed CRM a marketingovou automatizaci<\/td>\n<\/tr>\n<tr>\n<td>Spole\u010dn\u00ed spr\u00e1vci<\/td>\n<td>Dva nebo v\u00edce spr\u00e1vc\u016f spole\u010dn\u011b ur\u010duj\u00ed \u00fa\u010dely a prost\u0159edky (\u010dl. 26)<\/td>\n<td>Transparentn\u00ed ujedn\u00e1n\u00ed o rozd\u011blen\u00ed odpov\u011bdnost\u00ed; jeden kontaktn\u00ed bod pro subjekty \u00fadaj\u016f<\/td>\n<td>Spole\u010dn\u011b zna\u010dkovan\u00e1 kampa\u0148 dvou spole\u010dnost\u00ed<\/td>\n<\/tr>\n<tr>\n<td>Zpracovatel<\/td>\n<td>Zpracov\u00e1v\u00e1 osobn\u00ed \u00fadaje jm\u00e9nem spr\u00e1vce (\u010dl. 4 odst. 8)<\/td>\n<td>Jedn\u00e1 pouze na z\u00e1klad\u011b zdokumentovan\u00fdch pokyn\u016f, smlouva podle \u010dl. 28, bezpe\u010dnostn\u00ed opat\u0159en\u00ed, hl\u00e1\u0161en\u00ed poru\u0161en\u00ed spr\u00e1vci, pomoc s pr\u00e1vy a DPIA, schvalov\u00e1n\u00ed subdodavatel\u016f<\/td>\n<td>Poskytovatel cloud hostingu, mzdov\u00e1 kancel\u00e1\u0159, SaaS platforma<\/td>\n<\/tr>\n<tr>\n<td>Subdodavatel<\/td>\n<td>Zpracovatel pov\u011b\u0159en\u00fd jin\u00fdm zpracovatelem (\u010dl. 28 odst. 2 a 4)<\/td>\n<td>Stejn\u00e9 povinnosti jako zpracovatel, ulo\u017een\u00e9 smlouvou; p\u0159edchoz\u00ed zvl\u00e1\u0161tn\u00ed nebo obecn\u00e9 p\u00edsemn\u00e9 povolen\u00ed spr\u00e1vce<\/td>\n<td>CDN, slu\u017eba doru\u010dov\u00e1n\u00ed e-mail\u016f, spravovan\u00e1 datab\u00e1ze<\/td>\n<\/tr>\n<tr>\n<td>Pov\u011b\u0159enec pro ochranu osobn\u00edch \u00fadaj\u016f<\/td>\n<td>Nez\u00e1visl\u00fd poradce sleduj\u00edc\u00ed soulad (\u010dl. 37\u201339)<\/td>\n<td>Informuje a rad\u00ed, sleduje soulad, rad\u00ed k DPIA, spolupracuje s dozorov\u00fdm \u00fa\u0159adem, p\u016fsob\u00ed jako kontaktn\u00ed bod<\/td>\n<td>Ur\u010den\u00fd DPO v nemocnici, org\u00e1nu ve\u0159ejn\u00e9 moci nebo v podniku s rozs\u00e1hl\u00fdm sledov\u00e1n\u00edm<\/td>\n<\/tr>\n<tr>\n<td>Dozorov\u00fd \u00fa\u0159ad<\/td>\n<td>Nez\u00e1visl\u00fd vnitrost\u00e1tn\u00ed regul\u00e1tor (\u010dl. 51)<\/td>\n<td>Vym\u00e1h\u00e1n\u00ed, pokuty, metodick\u00e9 pokyny, spolupr\u00e1ce v re\u017eimu jednoho kontaktn\u00edho m\u00edsta<\/td>\n<td>\u00da\u0159ad pro ochranu osobn\u00edch \u00fadaj\u016f \u010cR, slovensk\u00fd \u00darad na ochranu osobn\u00fdch \u00fadajov, n\u011bmeck\u00e9 zemsk\u00e9 \u00fa\u0159ady, irsk\u00e1 DPC<\/td>\n<\/tr>\n<tr>\n<td>Evropsk\u00fd sbor pro ochranu osobn\u00edch \u00fadaj\u016f<\/td>\n<td>Org\u00e1n sdru\u017euj\u00edc\u00ed v\u0161echny dozorov\u00e9 \u00fa\u0159ady (\u010dl. 68)<\/td>\n<td>Vyd\u00e1v\u00e1 pokyny, stanoviska a z\u00e1vazn\u00e1 rozhodnut\u00ed v p\u0159eshrani\u010dn\u00edch sporech<\/td>\n<td>Pokyny EDPB k souhlasu, p\u0159ed\u00e1v\u00e1n\u00ed a anonymizaci<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h3>Kdo je spr\u00e1vce a kdo zpracovatel?<\/h3>\n<p>Spr\u00e1vce je organizace, kter\u00e1 rozhoduje, <em>pro\u010d<\/em> a <em>jak<\/em> se osobn\u00ed \u00fadaje zpracov\u00e1vaj\u00ed. Zpracovatel tyto pokyny vykon\u00e1v\u00e1. Test ur\u010den\u00ed je faktick\u00fd, nikoli smluvn\u00ed: nem\u016f\u017eete se zbavit povinnost\u00ed spr\u00e1vce t\u00edm, \u017ee se ve smlouv\u011b ozna\u010d\u00edte za zpracovatele, pokud ve skute\u010dnosti rozhodujete o \u00fa\u010delech a prost\u0159edc\u00edch.<\/p>\n<p>N\u011bkolik situac\u00ed organizace pravideln\u011b zasko\u010d\u00ed. Poskytovatel SaaS, kter\u00fd zpracov\u00e1v\u00e1 data z\u00e1kazn\u00edk\u016f striktn\u011b podle zdokumentovan\u00fdch pokyn\u016f, je zpracovatelem \u2013 pokud v\u0161ak tato data znovu vyu\u017eije pro vlastn\u00ed produktovou analytiku, srovn\u00e1v\u00e1n\u00ed nebo tr\u00e9nink AI model\u016f, st\u00e1v\u00e1 se pro tuto \u010dinnost spr\u00e1vcem a pot\u0159ebuje vlastn\u00ed pr\u00e1vn\u00ed z\u00e1klad. Marketingov\u00e1 agentura, kter\u00e1 rozhoduje, na kter\u00e9 c\u00edlov\u00e9 skupiny se zam\u011b\u0159it, je spr\u00e1vcem, i kdy\u017e vztah se z\u00e1kazn\u00edkem vlastn\u00ed jej\u00ed klient. Pokud jsou \u00fa\u010dely stanoveny spole\u010dn\u011b, uplatn\u00ed se spole\u010dn\u00e9 spr\u00e1vcovstv\u00ed podle \u010dl\u00e1nku 26 a ujedn\u00e1n\u00ed mus\u00ed b\u00fdt zdokumentov\u00e1no.<\/p>\n<p>Praktick\u00fd d\u016fsledek: jedna organizace m\u016f\u017ee m\u00edt pro r\u016fzn\u00e9 \u010dinnosti zpracov\u00e1n\u00ed n\u011bkolik rol\u00ed sou\u010dasn\u011b. Vysp\u011bl\u00e9 programy souladu s GDPR proto vedou mapu rol\u00ed podle toku dat, nikoli jednu zna\u010dku pro celou organizaci.<\/p>\n<h2>Jak\u00fdch je sedm z\u00e1sad souladu s GDPR?<\/h2>\n<p>\u010cl\u00e1nek 5 obsahuje sedm z\u00e1sad, kter\u00e9 ur\u010duj\u00ed v\u0161e ostatn\u00ed v na\u0159\u00edzen\u00ed. Ka\u017ed\u00e9 pr\u00e1vo, povinnost, DPIA i pokuta se nakonec odv\u00edj\u00ed od n\u011bkter\u00e9 z nich. \u010cteny jako seznam p\u016fsob\u00ed abstraktn\u011b; \u010dteny jako technick\u00e9 po\u017eadavky jsou velmi konkr\u00e9tn\u00ed.<\/p>\n<h3>Sedm z\u00e1sad jednotliv\u011b<\/h3>\n<p><strong>1. Z\u00e1konnost, korektnost a transparentnost \u2013 \u010dl. 5 odst. 1 p\u00edsm. a).<\/strong> Zpracov\u00e1n\u00ed mus\u00ed spo\u010d\u00edvat na jednom ze \u0161esti pr\u00e1vn\u00edch z\u00e1klad\u016f podle \u010dl\u00e1nku 6, nesm\u00ed b\u00fdt pro subjekt \u00fadaj\u016f nep\u0159im\u011b\u0159en\u011b nep\u0159\u00edzniv\u00e9, neo\u010dek\u00e1van\u00e9 ani zav\u00e1d\u011bj\u00edc\u00ed a mus\u00ed b\u00fdt jasn\u011b komunikov\u00e1no. Technicky to znamen\u00e1 pole v registru zpracov\u00e1n\u00ed, zna\u010dku \u00fa\u010delu u ka\u017ed\u00e9ho toku dat a z\u00e1sady ochrany osobn\u00edch \u00fadaj\u016f, kter\u00fdm porozum\u00ed i nepr\u00e1vn\u00edk.<\/p>\n<p><strong>2. Omezen\u00ed \u00fa\u010delu \u2013 \u010dl. 5 odst. 1 p\u00edsm. b).<\/strong> \u00dadaje shrom\u00e1\u017ed\u011bn\u00e9 pro jeden stanoven\u00fd, v\u00fdslovn\u00fd a legitimn\u00ed \u00fa\u010del nelze pou\u017e\u00edt pro \u00fa\u010del s n\u00edm neslu\u010diteln\u00fd. Slu\u010ditelnost se posuzuje s ohledem na souvislost mezi \u00fa\u010dely, kontext shrom\u00e1\u017ed\u011bn\u00ed, povahu \u00fadaj\u016f, d\u016fsledky pro subjekty \u00fadaj\u016f a existenci z\u00e1ruk. Op\u011btovn\u00e9 pou\u017eit\u00ed faktura\u010dn\u00ed adresy z\u00e1kazn\u00edka pro kontrolu podvod\u016f je obvykle slu\u010diteln\u00e9; pro tr\u00e9nink univerz\u00e1ln\u00edho AI modelu obvykle nikoli.<\/p>\n<p><strong>3. Minimalizace \u00fadaj\u016f \u2013 \u010dl. 5 odst. 1 p\u00edsm. c).<\/strong> Shroma\u017e\u010fujte jen to, co je p\u0159im\u011b\u0159en\u00e9, relevantn\u00ed a omezen\u00e9 na nezbytnou m\u00edru. Tuto z\u00e1sadu nej\u010dast\u011bji poru\u0161uj\u00ed analytick\u00e9 implementace, formul\u00e1\u0159e pro z\u00edsk\u00e1v\u00e1n\u00ed kontakt\u016f v CRM a logovac\u00ed pipeline, kter\u00e9 zachycuj\u00ed v\u00edce, ne\u017e kdokoli dok\u00e1\u017ee od\u016fvodnit. Ka\u017ed\u00e9 dal\u0161\u00ed pole zvy\u0161uje riziko poru\u0161en\u00ed zabezpe\u010den\u00ed, n\u00e1ro\u010dnost vy\u0159\u00edzen\u00ed \u017e\u00e1dost\u00ed o p\u0159\u00edstup a n\u00e1klady na ukl\u00e1d\u00e1n\u00ed.<\/p>\n<p><strong>4. P\u0159esnost \u2013 \u010dl. 5 odst. 1 p\u00edsm. d).<\/strong> Osobn\u00ed \u00fadaje mus\u00ed b\u00fdt p\u0159esn\u00e9 a v p\u0159\u00edpad\u011b pot\u0159eby aktu\u00e1ln\u00ed; nep\u0159esn\u00e9 \u00fadaje je nutn\u00e9 bez zbyte\u010dn\u00e9ho odkladu vymazat nebo opravit. V praxi to znamen\u00e1 kontrolu kvality dat, spr\u00e1vu duplicit a opravn\u00e9 workflow, kter\u00e9 se \u0161\u00ed\u0159\u00ed do navazuj\u00edc\u00edch syst\u00e9m\u016f v\u010detn\u011b analytiky a z\u00e1loh.<\/p>\n<p><strong>5. Omezen\u00ed ulo\u017een\u00ed \u2013 \u010dl. 5 odst. 1 p\u00edsm. e).<\/strong> \u00dadaje nesm\u00ed b\u00fdt uchov\u00e1v\u00e1ny v identifikovateln\u00e9 podob\u011b d\u00e9le, ne\u017e je nezbytn\u00e9. Slovo \u201enezbytn\u00e9&#8221; vy\u017eaduje skute\u010dn\u00fd pl\u00e1n uchov\u00e1v\u00e1n\u00ed pro ka\u017edou kategorii \u00fadaj\u016f a \u00fa\u010del a jeho automatizovan\u00e9 vym\u00e1h\u00e1n\u00ed. Pl\u00e1ny uchov\u00e1v\u00e1n\u00ed, kter\u00e9 existuj\u00ed jen v dokumentu s politikou, ale ne v k\u00f3du, jsou nej\u010dast\u011bj\u0161\u00edm zji\u0161t\u011bn\u00edm auditu v cel\u00e9m na\u0159\u00edzen\u00ed.<\/p>\n<p><strong>6. Integrita a d\u016fv\u011brnost \u2013 \u010dl. 5 odst. 1 p\u00edsm. f).<\/strong> Vhodn\u00e1 technick\u00e1 a organiza\u010dn\u00ed bezpe\u010dnostn\u00ed opat\u0159en\u00ed, v\u010detn\u011b ochrany p\u0159ed neopr\u00e1vn\u011bn\u00fdm nebo protipr\u00e1vn\u00edm zpracov\u00e1n\u00edm, n\u00e1hodnou ztr\u00e1tou, zni\u010den\u00edm nebo po\u0161kozen\u00edm. \u010cl\u00e1nek 32 up\u0159es\u0148uje: pseudonymizace a \u0161ifrov\u00e1n\u00ed, pr\u016fb\u011b\u017en\u00e9 zaji\u0161t\u011bn\u00ed d\u016fv\u011brnosti a integrity, odolnost, schopnost obnovy a pravideln\u00e9 testov\u00e1n\u00ed.<\/p>\n<p><strong>7. Odpov\u011bdnost \u2013 \u010dl. 5 odst. 2.<\/strong> Spr\u00e1vce odpov\u00edd\u00e1 za prok\u00e1z\u00e1n\u00ed souladu s ostatn\u00edmi \u0161esti z\u00e1sadami. Odpov\u011bdnost je meta-z\u00e1sada, kter\u00e1 m\u011bn\u00ed \u00famysl v d\u016fkaz, a je d\u016fvodem existence z\u00e1znam\u016f o \u010dinnostech zpracov\u00e1n\u00ed, DPIA, z\u00e1znam\u016f o \u0161kolen\u00edch a n\u00e1vrhov\u00e9 dokumentace.<\/p>\n<h3>Jak odpov\u011bdnost m\u011bn\u00ed to, co mus\u00edte vybudovat?<\/h3>\n<p>Odpov\u011bdnost m\u00e1 nep\u0159\u00edjemn\u00fd d\u016fsledek, kter\u00fd by si IT vedouc\u00ed m\u011bli osvojit v\u010das: <strong>nep\u0159\u00edtomnost d\u016fkaz\u016f se pova\u017euje za d\u016fkaz nep\u0159\u00edtomnosti.<\/strong> Dozorov\u00fd \u00fa\u0159ad nemus\u00ed prokazovat, \u017ee jste zpracov\u00e1vali \u00fadaje protipr\u00e1vn\u011b. M\u016f\u017ee v\u00e1s vyzvat, abyste soulad prok\u00e1zali, a pokud to nedok\u00e1\u017eete, je poru\u0161ena samotn\u00e1 z\u00e1sada odpov\u011bdnosti.<\/p>\n<p>To m\u011bn\u00ed n\u011bkolik technick\u00fdch rozhodnut\u00ed. Platforma pro spr\u00e1vu souhlas\u016f, kter\u00e1 zaznamen\u00e1v\u00e1 p\u0159esn\u00e9 zn\u011bn\u00ed, \u010dasov\u00e9 raz\u00edtko, verzi rozhran\u00ed a rozsah ka\u017ed\u00e9ho souhlasu, nen\u00ed byrokracie; je to d\u016fkaz, kter\u00fd \u010din\u00ed z\u00e1sadu z\u00e1konnosti obhajitelnou. DPIA, kter\u00e1 dokumentuje zva\u017eovan\u00e1 rizika a zam\u00edtnut\u00e9 alternativy, nen\u00ed zbyte\u010dn\u00e1 z\u00e1t\u011b\u017e; je to artefakt, kter\u00fd prokazuje odpov\u011bdnost. CI\/CD pipeline, kter\u00e1 spou\u0161t\u00ed testy relevantn\u00ed pro ochranu \u00fadaj\u016f a archivuje v\u00fdsledky, je kontrolou souladu, nejen kontrolou kvality.<\/p>\n<p>Odpov\u011bdnost tak\u00e9 vy\u017eaduje, aby byl soulad sledov\u00e1n, nikoli p\u0159edpokl\u00e1d\u00e1n. \u010cl\u00e1nek 32 odst. 1 p\u00edsm. d) v\u00fdslovn\u011b po\u017eaduje proces pravideln\u00e9ho testov\u00e1n\u00ed, posuzov\u00e1n\u00ed a vyhodnocov\u00e1n\u00ed \u00fa\u010dinnosti bezpe\u010dnostn\u00edch opat\u0159en\u00ed. Zde se testovac\u00ed discipl\u00edna st\u00e1v\u00e1 po\u017eadavkem GDPR, nikoli p\u0159\u00edjemn\u00fdm dopl\u0148kem.<\/p>\n<h3>Sedm z\u00e1sad p\u0159eveden\u00fdch na konkr\u00e9tn\u00ed kontroly<\/h3>\n<table>\n<thead>\n<tr>\n<th>Z\u00e1sada<\/th>\n<th>\u010cl\u00e1nek<\/th>\n<th>Co vy\u017eaduje od firmy<\/th>\n<th>Konkr\u00e9tn\u00ed IT a in\u017een\u00fdrsk\u00e9 kontroly<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Z\u00e1konnost, korektnost a transparentnost<\/td>\n<td>5 odst. 1 p\u00edsm. a)<\/td>\n<td>Platn\u00fd pr\u00e1vn\u00ed z\u00e1klad a poctiv\u00e1, jasn\u00e1 komunikace<\/td>\n<td>Registr zpracov\u00e1n\u00ed s polem pr\u00e1vn\u00edho z\u00e1kladu u ka\u017ed\u00e9 \u010dinnosti; platforma pro spr\u00e1vu souhlas\u016f; vrstven\u00e9 z\u00e1sady ochrany osobn\u00edch \u00fadaj\u016f; ozna\u010dov\u00e1n\u00ed \u00fa\u010delu v datov\u00fdch pipeline<\/td>\n<\/tr>\n<tr>\n<td>Omezen\u00ed \u00fa\u010delu<\/td>\n<td>5 odst. 1 p\u00edsm. b)<\/td>\n<td>\u017d\u00e1dn\u00e9 nov\u00e9 pou\u017eit\u00ed bez posouzen\u00ed slu\u010ditelnosti nebo nov\u00e9ho z\u00e1kladu<\/td>\n<td>Datov\u00fd katalog s metadaty o \u00fa\u010delu; \u0159\u00edzen\u00ed p\u0159\u00edstupu podle \u00fa\u010delu; \u0159\u00edzen\u00ed zm\u011bn, kter\u00e9 ozna\u010d\u00ed nov\u00e9 p\u0159\u00edpady pou\u017eit\u00ed; odd\u011blen\u00ed produk\u010dn\u00edch a analytick\u00fdch datov\u00fdch sad<\/td>\n<\/tr>\n<tr>\n<td>Minimalizace \u00fadaj\u016f<\/td>\n<td>5 odst. 1 p\u00edsm. c)<\/td>\n<td>Shroma\u017e\u010fovat jen nezbytn\u00e9 \u00fadaje<\/td>\n<td>Kontroln\u00ed body p\u0159i revizi sch\u00e9matu; od\u016fvodn\u011bn\u00ed povinn\u00fdch pol\u00ed p\u0159i n\u00e1vrhov\u00fdch reviz\u00edch; audity pol\u00ed ve formul\u00e1\u0159\u00edch a API; politiky redakce log\u016f; vypnut\u00ed v\u00fdchoz\u00ed telemetrie<\/td>\n<\/tr>\n<tr>\n<td>P\u0159esnost<\/td>\n<td>5 odst. 1 p\u00edsm. d)<\/td>\n<td>\u00dadaje mus\u00ed b\u00fdt p\u0159esn\u00e9 a opraviteln\u00e9<\/td>\n<td>Master data management; detekce duplicit; \u0161\u00ed\u0159en\u00ed oprav do navazuj\u00edc\u00edch syst\u00e9m\u016f, cache a odvozen\u00fdch datov\u00fdch sad; zdokumentovan\u00e1 SLA pro opravu<\/td>\n<\/tr>\n<tr>\n<td>Omezen\u00ed ulo\u017een\u00ed<\/td>\n<td>5 odst. 1 p\u00edsm. e)<\/td>\n<td>Definovan\u00e9 a vym\u00e1han\u00e9 doby uchov\u00e1v\u00e1n\u00ed<\/td>\n<td>Pl\u00e1n uchov\u00e1v\u00e1n\u00ed pro ka\u017edou kategorii \u00fadaj\u016f; automatizovan\u00e9 \u00falohy v\u00fdmazu a archivace; slad\u011bn\u00ed expirace z\u00e1loh; reporting ov\u011b\u0159en\u00ed v\u00fdmazu<\/td>\n<\/tr>\n<tr>\n<td>Integrita a d\u016fv\u011brnost<\/td>\n<td>5 odst. 1 p\u00edsm. f), 32<\/td>\n<td>Bezpe\u010dnost \u00fam\u011brn\u00e1 riziku<\/td>\n<td>\u0160ifrov\u00e1n\u00ed p\u0159i p\u0159enosu i v klidu; spr\u00e1va kl\u00ed\u010d\u016f; pseudonymizace; RBAC s minimem opr\u00e1vn\u011bn\u00ed; MFA; logov\u00e1n\u00ed a monitoring; testov\u00e1n\u00ed z\u00e1loh a obnovy; spr\u00e1va zranitelnost\u00ed; penetra\u010dn\u00ed testy<\/td>\n<\/tr>\n<tr>\n<td>Odpov\u011bdnost<\/td>\n<td>5 odst. 2, 24<\/td>\n<td>Prok\u00e1zat soulad na vy\u017e\u00e1d\u00e1n\u00ed<\/td>\n<td>Z\u00e1znamy o \u010dinnostech zpracov\u00e1n\u00ed (\u010dl. 30); \u00falo\u017ei\u0161t\u011b DPIA; z\u00e1znamy o \u0161kolen\u00edch; auditn\u00ed stopy; po\u017eadavky na ochranu \u00fadaj\u016f v definici hotov\u00e9ho; uchov\u00e1v\u00e1n\u00ed d\u016fkaz\u016f z test\u016f<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Jak\u00e9 jsou pr\u00e1vn\u00ed z\u00e1klady pro zpracov\u00e1n\u00ed osobn\u00edch \u00fadaj\u016f?<\/h2>\n<p>Zpracov\u00e1n\u00ed osobn\u00edch \u00fadaj\u016f je zak\u00e1z\u00e1no, pokud se neuplatn\u00ed pr\u00e1vn\u00ed z\u00e1klad. \u010cl\u00e1nek 6 jich nab\u00edz\u00ed \u0161est. Spr\u00e1vn\u00e1 volba je d\u016fle\u017eit\u00e1, proto\u017ee z\u00e1klad ur\u010duje, co sm\u00edte d\u011blat, o \u010dem mus\u00edte informovat a zda mohou subjekty \u00fadaj\u016f vzn\u00e9st n\u00e1mitku nebo odvolat souhlas.<\/p>\n<h3>\u0160est pr\u00e1vn\u00edch z\u00e1klad\u016f podle \u010dl\u00e1nku 6<\/h3>\n<p><strong>Souhlas \u2013 \u010dl. 6 odst. 1 p\u00edsm. a).<\/strong> Jak\u00fdkoli svobodn\u011b dan\u00fd, konkr\u00e9tn\u00ed, informovan\u00fd a jednozna\u010dn\u00fd projev v\u016fle subjektu \u00fadaj\u016f. Souhlas mus\u00ed b\u00fdt stejn\u011b snadn\u00e9 odvolat jako ud\u011blit, nesm\u00ed b\u00fdt spojen s nesouvisej\u00edc\u00edmi podm\u00ednkami a pro v\u00fdslovn\u00fd souhlas podle \u010dl. 9 odst. 2 p\u00edsm. a) mus\u00ed spl\u0148ovat vy\u0161\u0161\u00ed standard. Souhlas je nejv\u00edce nadu\u017e\u00edvan\u00fdm a nejk\u0159eh\u010d\u00edm z\u00e1kladem, proto\u017ee jej lze kdykoli odvolat a vy\u017eaduje \u00faplnou auditn\u00ed stopu.<\/p>\n<p><strong>Smlouva \u2013 \u010dl. 6 odst. 1 p\u00edsm. b).<\/strong> Zpracov\u00e1n\u00ed nezbytn\u00e9 pro spln\u011bn\u00ed smlouvy se subjektem \u00fadaj\u016f nebo pro proveden\u00ed opat\u0159en\u00ed p\u0159ed uzav\u0159en\u00edm smlouvy na jeho \u017e\u00e1dost. Zahrnuje vy\u0159\u00edzen\u00ed objedn\u00e1vky, doru\u010den\u00ed, spr\u00e1vu \u00fa\u010dtu a zpracov\u00e1n\u00ed plateb \u2013 nikoli v\u0161ak marketing, analytiku nebo zlep\u0161ov\u00e1n\u00ed produktu, co\u017e jsou samostatn\u00e9 \u00fa\u010dely vy\u017eaduj\u00edc\u00ed samostatn\u00e9 z\u00e1klady.<\/p>\n<p><strong>Pr\u00e1vn\u00ed povinnost \u2013 \u010dl. 6 odst. 1 p\u00edsm. c).<\/strong> Zpracov\u00e1n\u00ed nezbytn\u00e9 pro spln\u011bn\u00ed pr\u00e1vn\u00ed povinnosti, j\u00ed\u017e spr\u00e1vce podl\u00e9h\u00e1, p\u0159i\u010dem\u017e povinnost mus\u00ed vypl\u00fdvat z pr\u00e1va Unie nebo \u010dlensk\u00e9ho st\u00e1tu. Pat\u0159\u00ed sem da\u0148ov\u00e9 z\u00e1znamy, kontroly proti pran\u00ed pen\u011bz, pracovn\u011bpr\u00e1vn\u00ed povinnosti a z\u00e1konn\u00e9 reportingy. Povinnost mus\u00ed b\u00fdt konkr\u00e9tn\u00ed; obecn\u00e1 snaha uchov\u00e1vat data preventivn\u011b nesta\u010d\u00ed.<\/p>\n<p><strong>\u017divotn\u011b d\u016fle\u017eit\u00e9 z\u00e1jmy \u2013 \u010dl. 6 odst. 1 p\u00edsm. d).<\/strong> Zpracov\u00e1n\u00ed nezbytn\u00e9 pro ochranu \u017eivota osoby. Jde o \u00fazk\u00fd z\u00e1klad ur\u010den\u00fd pro mimo\u0159\u00e1dn\u00e9 situace \u2013 l\u00e9ka\u0159sk\u00e1 p\u00e9\u010de, reakce na katastrofy, ochrana ohro\u017een\u00fdch osob \u2013 a nikoli o univerz\u00e1ln\u00ed z\u00e1lo\u017en\u00ed \u0159e\u0161en\u00ed pro \u00fadaje o zdrav\u00ed.<\/p>\n<p><strong>Ve\u0159ejn\u00fd \u00fakol \u2013 \u010dl. 6 odst. 1 p\u00edsm. e).<\/strong> Zpracov\u00e1n\u00ed nezbytn\u00e9 pro spln\u011bn\u00ed \u00fakolu ve ve\u0159ejn\u00e9m z\u00e1jmu nebo p\u0159i v\u00fdkonu ve\u0159ejn\u00e9 moci. Relevantn\u00ed pro org\u00e1ny ve\u0159ejn\u00e9 moci a pro organizace vykon\u00e1vaj\u00edc\u00ed funkce ve\u0159ejn\u00e9 povahy.<\/p>\n<p><strong>Opr\u00e1vn\u011bn\u00e9 z\u00e1jmy \u2013 \u010dl. 6 odst. 1 p\u00edsm. f).<\/strong> Zpracov\u00e1n\u00ed nezbytn\u00e9 pro opr\u00e1vn\u011bn\u00e9 z\u00e1jmy spr\u00e1vce nebo t\u0159et\u00ed strany, pokud nep\u0159eva\u017euj\u00ed z\u00e1jmy nebo z\u00e1kladn\u00ed pr\u00e1va a svobody subjektu \u00fadaj\u016f. Jde o nejpru\u017en\u011bj\u0161\u00ed a nejn\u00e1ro\u010dn\u011bj\u0161\u00ed z\u00e1klad z hlediska discipl\u00edny: posouzen\u00ed opr\u00e1vn\u011bn\u00fdch z\u00e1jm\u016f mus\u00ed dokumentovat z\u00e1jem, nezbytnost zpracov\u00e1n\u00ed, test vyv\u00e1\u017een\u00ed proti pr\u00e1v\u016fm subjektu \u00fadaj\u016f a uplatn\u011bn\u00e9 z\u00e1ruky. Org\u00e1n\u016fm ve\u0159ejn\u00e9 moci nen\u00ed dostupn\u00fd pro jejich ve\u0159ejn\u00e9 \u00fakoly.<\/p>\n<p>Volbu ur\u010duj\u00ed dv\u011b pravidla. Za prv\u00e9, <strong>mus\u00edte zvolit z\u00e1klad p\u0159ed zah\u00e1jen\u00edm zpracov\u00e1n\u00ed<\/strong>, nikoli zp\u011btn\u011b zkonstruovat z\u00e1klad po st\u00ed\u017enosti. Za druh\u00e9, <strong>z\u00e1klad mus\u00ed b\u00fdt uveden ve va\u0161ich z\u00e1sad\u00e1ch ochrany osobn\u00edch \u00fadaj\u016f<\/strong> podle \u010dl. 13 odst. 1 p\u00edsm. c) a \u010dl. 14 odst. 1 p\u00edsm. d) a nem\u016f\u017eete jej libovoln\u011b m\u011bnit \u2013 p\u0159echod od opr\u00e1vn\u011bn\u00fdch z\u00e1jm\u016f k souhlasu uprost\u0159ed zpracov\u00e1n\u00ed zpravidla nen\u00ed p\u0159\u00edpustn\u00fd, proto\u017ee souhlas z\u00edskan\u00fd pod tlakem \u201esouhlas, nebo p\u0159estaneme poskytovat slu\u017ebu&#8221; nen\u00ed svobodn\u00fd.<\/p>\n<h3>Co se m\u011bn\u00ed p\u0159i zpracov\u00e1n\u00ed zvl\u00e1\u0161tn\u00edch kategori\u00ed \u00fadaj\u016f?<\/h3>\n<p>\u010cl. 9 odst. 1 zakazuje zpracov\u00e1n\u00ed zvl\u00e1\u0161tn\u00edch kategori\u00ed \u00fadaj\u016f \u2013 rasov\u00e9ho nebo etnick\u00e9ho p\u016fvodu, politick\u00fdch n\u00e1zor\u016f, n\u00e1bo\u017eensk\u00e9ho nebo filozofick\u00e9ho p\u0159esv\u011bd\u010den\u00ed, \u010dlenstv\u00ed v odborech, genetick\u00fdch \u00fadaj\u016f, biometrick\u00fdch \u00fadaj\u016f pro jedine\u010dnou identifikaci, \u00fadaj\u016f o zdrav\u00ed a \u00fadaj\u016f o sexu\u00e1ln\u00edm \u017eivot\u011b nebo sexu\u00e1ln\u00ed orientaci \u2013 pokud se neuplatn\u00ed n\u011bkter\u00e1 z podm\u00ednek podle \u010dl. 9 odst. 2. Pat\u0159\u00ed sem v\u00fdslovn\u00fd souhlas, povinnosti v pracovn\u011bpr\u00e1vn\u00ed a soci\u00e1ln\u00ed oblasti, \u017eivotn\u011b d\u016fle\u017eit\u00e9 z\u00e1jmy tam, kde subjekt nem\u016f\u017ee d\u00e1t souhlas, \u00fadaje zjevn\u011b zve\u0159ejn\u011bn\u00e9 samotn\u00fdm subjektem, pr\u00e1vn\u00ed n\u00e1roky, v\u00fdznamn\u00fd ve\u0159ejn\u00fd z\u00e1jem, preventivn\u00ed a pracovn\u00ed l\u00e9ka\u0159stv\u00ed, ve\u0159ejn\u00e9 zdrav\u00ed a archivn\u00ed nebo v\u00fdzkumn\u00e9 \u00fa\u010dely.<\/p>\n<p>V\u011bt\u0161ina podm\u00ednek podle \u010dl. 9 odst. 2 vy\u017eaduje z\u00e1klad v pr\u00e1vu Unie nebo \u010dlensk\u00e9ho st\u00e1tu, tak\u017ee praktick\u00e1 anal\u00fdza je specifick\u00e1 podle jurisdikce. \u010cl\u00e1nek 10 p\u0159id\u00e1v\u00e1 dal\u0161\u00ed vrstvu: zpracov\u00e1n\u00ed osobn\u00edch \u00fadaj\u016f o odsouzen\u00edch a trestn\u00fdch \u010dinech vy\u017eaduje zmocn\u011bn\u00ed pr\u00e1vem Unie nebo \u010dlensk\u00e9ho st\u00e1tu nebo kontrolu org\u00e1nu ve\u0159ejn\u00e9 moci.<\/p>\n<p>Pro IT t\u00fdmy maj\u00ed provozn\u00ed d\u016fsledky p\u0159\u00edm\u00fd dopad. Zvl\u00e1\u0161tn\u00ed kategorie vy\u017eaduj\u00ed siln\u011bj\u0161\u00ed kontroly \u2013 obvykle \u0161ifrov\u00e1n\u00ed se samostatnou spr\u00e1vou kl\u00ed\u010d\u016f, p\u0159\u00edsn\u00fd p\u0159\u00edstup podle \u00fa\u010delu, roz\u0161\u00ed\u0159en\u00e9 auditn\u00ed logov\u00e1n\u00ed a \u010dasto DPIA, proto\u017ee je napln\u011bn pr\u00e1h rizika podle \u010dl. 35 odst. 3 p\u00edsm. b) p\u0159i rozs\u00e1hl\u00e9m zpracov\u00e1n\u00ed takov\u00fdch \u00fadaj\u016f. Biometrick\u00e1 autentizace si zaslou\u017e\u00ed zvl\u00e1\u0161tn\u00ed opatrnost: pokud se biometrick\u00e1 \u0161ablona pou\u017e\u00edv\u00e1 pro jedine\u010dnou identifikaci, jde o zvl\u00e1\u0161tn\u00ed kategorii, i kdy\u017e je \u0161ablona matematickou reprezentac\u00ed, nikoli obrazem.<\/p>\n<h3>Pr\u00e1vn\u00ed z\u00e1klady v praxi<\/h3>\n<table>\n<thead>\n<tr>\n<th>Pr\u00e1vn\u00ed z\u00e1klad<\/th>\n<th>Definice<\/th>\n<th>Typick\u00fd p\u0159\u00edpad ve firm\u011b<\/th>\n<th>\u010cast\u00e1 chyba<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Souhlas \u2013 \u010dl. 6 odst. 1 p\u00edsm. a)<\/td>\n<td>Svobodn\u00fd, konkr\u00e9tn\u00ed, informovan\u00fd a jednozna\u010dn\u00fd projev v\u016fle<\/td>\n<td>Marketingov\u00e9 e-maily z\u00e1jemc\u016fm; nezbytn\u00e9 soubory cookie; voliteln\u00fd profiling<\/td>\n<td>P\u0159edza\u0161krtnut\u00e1 pol\u00ed\u010dka, spojen\u00fd souhlas, chyb\u011bj\u00edc\u00ed mechanismus odvol\u00e1n\u00ed, souhlasov\u00e9 zdi podmi\u0148uj\u00edc\u00ed slu\u017ebu nesouvisej\u00edc\u00edm souhlasem<\/td>\n<\/tr>\n<tr>\n<td>Smlouva \u2013 \u010dl. 6 odst. 1 p\u00edsm. b)<\/td>\n<td>Nezbytn\u00e9 pro spln\u011bn\u00ed smlouvy se subjektem \u00fadaj\u016f<\/td>\n<td>Vy\u0159\u00edzen\u00ed objedn\u00e1vky, doru\u010den\u00ed, z\u0159\u00edzen\u00ed \u00fa\u010dtu, podpora<\/td>\n<td>Pou\u017eit\u00ed smlouvy jako z\u00e1kladu pro analytiku, personalizaci nebo marketing, kter\u00e9 nejsou pro poskytnut\u00ed slu\u017eby nezbytn\u00e9<\/td>\n<\/tr>\n<tr>\n<td>Pr\u00e1vn\u00ed povinnost \u2013 \u010dl. 6 odst. 1 p\u00edsm. c)<\/td>\n<td>Nezbytn\u00e9 pro spln\u011bn\u00ed konkr\u00e9tn\u00ed pr\u00e1vn\u00ed povinnosti<\/td>\n<td>Da\u0148ov\u00e9 a \u00fa\u010detn\u00ed z\u00e1znamy; kontroly AML\/KYC; z\u00e1konn\u00e9 person\u00e1ln\u00ed z\u00e1znamy<\/td>\n<td>Odkaz na pr\u00e1vn\u00ed povinnost bez ur\u010den\u00ed konkr\u00e9tn\u00edho p\u0159edpisu; pou\u017eit\u00ed pro od\u016fvodn\u011bn\u00ed neomezen\u00e9ho uchov\u00e1v\u00e1n\u00ed<\/td>\n<\/tr>\n<tr>\n<td>\u017divotn\u011b d\u016fle\u017eit\u00e9 z\u00e1jmy \u2013 \u010dl. 6 odst. 1 p\u00edsm. d)<\/td>\n<td>Nezbytn\u00e9 pro ochranu \u017eivota<\/td>\n<td>P\u0159ed\u00e1n\u00ed zdravotn\u00edch \u00fadaj\u016f v mimo\u0159\u00e1dn\u00e9 situaci; reakce na katastrofy<\/td>\n<td>Pojet\u00ed jako obecn\u00e9ho z\u00e1kladu pro zpracov\u00e1n\u00ed \u00fadaj\u016f o zdrav\u00ed<\/td>\n<\/tr>\n<tr>\n<td>Ve\u0159ejn\u00fd \u00fakol \u2013 \u010dl. 6 odst. 1 p\u00edsm. e)<\/td>\n<td>Nezbytn\u00e9 pro \u00fakol ve ve\u0159ejn\u00e9m z\u00e1jmu nebo p\u0159i v\u00fdkonu ve\u0159ejn\u00e9 moci<\/td>\n<td>Komun\u00e1ln\u00ed slu\u017eby; z\u00e1konn\u00e9 registry; ve\u0159ejn\u011b financovan\u00fd v\u00fdzkum<\/td>\n<td>Soukrom\u00e9 organizace se odvol\u00e1vaj\u00ed na ve\u0159ejn\u00fd \u00fakol bez z\u00e1konn\u00e9ho mand\u00e1tu<\/td>\n<\/tr>\n<tr>\n<td>Opr\u00e1vn\u011bn\u00e9 z\u00e1jmy \u2013 \u010dl. 6 odst. 1 p\u00edsm. f)<\/td>\n<td>Nezbytn\u00e9 pro opr\u00e1vn\u011bn\u00e9 z\u00e1jmy, pokud nep\u0159eva\u017euj\u00ed pr\u00e1va subjektu \u00fadaj\u016f<\/td>\n<td>Bezpe\u010dnost s\u00edt\u011b a informac\u00ed; prevence podvod\u016f; vnitroskupinov\u00e1 administrativa; ur\u010dit\u00fd p\u0159\u00edm\u00fd marketing st\u00e1vaj\u00edc\u00edm z\u00e1kazn\u00edk\u016fm<\/td>\n<td>Chyb\u011bj\u00edc\u00ed zdokumentovan\u00fd test vyv\u00e1\u017een\u00ed; pou\u017eit\u00ed tam, kde je vy\u017eadov\u00e1n souhlas; ignorov\u00e1n\u00ed absolutn\u00edho pr\u00e1va vzn\u00e9st n\u00e1mitku proti p\u0159\u00edm\u00e9mu marketingu<\/td>\n<\/tr>\n<tr>\n<td>V\u00fdslovn\u00fd souhlas pro zvl\u00e1\u0161tn\u00ed kategorie \u2013 \u010dl. 9 odst. 2 p\u00edsm. a)<\/td>\n<td>V\u00fdslovn\u00fd, konkr\u00e9tn\u00ed souhlas se zpracov\u00e1n\u00edm podle \u010dl. 9<\/td>\n<td>Data zdravotn\u00edch aplikac\u00ed; dobrovoln\u00e9 sledov\u00e1n\u00ed diverzity; \u00fapravy p\u0159\u00edstupnosti<\/td>\n<td>Z\u00e1m\u011bna b\u011b\u017en\u00e9ho souhlasu za v\u00fdslovn\u00fd; chyb\u011bj\u00edc\u00ed samostatn\u00fd detailn\u00ed souhlas pro ka\u017ed\u00fd typ \u00fadaj\u016f<\/td>\n<\/tr>\n<tr>\n<td>V\u00fdznamn\u00fd ve\u0159ejn\u00fd z\u00e1jem \u2013 \u010dl. 9 odst. 2 p\u00edsm. g)<\/td>\n<td>Zpracov\u00e1n\u00ed na z\u00e1klad\u011b pr\u00e1va Unie nebo \u010dlensk\u00e9ho st\u00e1tu pro v\u00fdznamn\u00fd ve\u0159ejn\u00fd z\u00e1jem<\/td>\n<td>Registry proti podvod\u016fm; ochrana ohro\u017een\u00fdch osob; syst\u00e9my pro oznamov\u00e1n\u00ed<\/td>\n<td>P\u0159edpoklad, \u017ee posta\u010d\u00ed obecn\u00fd obchodn\u00ed z\u00e1jem<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Jak\u00e1 pr\u00e1va maj\u00ed subjekty \u00fadaj\u016f a jak je pln\u00edte?<\/h2>\n<p>Pr\u00e1va subjekt\u016f \u00fadaj\u016f jsou m\u00edstem, kde se soulad s GDPR m\u011bn\u00ed v provozn\u00ed slu\u017ebu se lh\u016ftami. Ka\u017ed\u00e9 pr\u00e1vo m\u00e1 spou\u0161t\u011b\u010d, lh\u016ftu pro odpov\u011b\u010f a stopu d\u016fkaz\u016f a ka\u017ed\u00e9 se dot\u00fdk\u00e1 n\u011bkolika syst\u00e9m\u016f.<\/p>\n<h3>Osm pr\u00e1v subjekt\u016f \u00fadaj\u016f<\/h3>\n<p><strong>Pr\u00e1vo na informace \u2013 \u010dl\u00e1nky 13\u201314.<\/strong> Subjekty \u00fadaj\u016f mus\u00ed p\u0159i shrom\u00e1\u017ed\u011bn\u00ed obdr\u017eet konkr\u00e9tn\u00ed informace: toto\u017enost spr\u00e1vce, \u00fa\u010dely, pr\u00e1vn\u00ed z\u00e1klad, p\u0159\u00edjemce, p\u0159ed\u00e1v\u00e1n\u00ed, dobu uchov\u00e1v\u00e1n\u00ed, pr\u00e1va a pr\u00e1vo podat st\u00ed\u017enost. Pokud \u00fadaje nejsou z\u00edsk\u00e1ny p\u0159\u00edmo od subjektu, mus\u00ed b\u00fdt informace poskytnuty do jednoho m\u011bs\u00edce (nebo p\u0159i prvn\u00ed komunikaci, podle toho, co nastane d\u0159\u00edve).<\/p>\n<p><strong>Pr\u00e1vo na p\u0159\u00edstup \u2013 \u010dl\u00e1nek 15.<\/strong> Subjekty \u00fadaj\u016f mohou z\u00edskat potvrzen\u00ed, zda jsou jejich \u00fadaje zpracov\u00e1v\u00e1ny, kopii t\u011bchto \u00fadaj\u016f a informace o \u00fa\u010delech, kategori\u00edch, p\u0159\u00edjemc\u00edch, dob\u011b uchov\u00e1v\u00e1n\u00ed a existenci automatizovan\u00e9ho rozhodov\u00e1n\u00ed. V praxi jde o pr\u00e1vo s nejvy\u0161\u0161\u00edm objemem a o pr\u00e1vo, kter\u00e9 nej\u010dast\u011bji odhal\u00ed slab\u00e9 mapov\u00e1n\u00ed dat, proto\u017ee odpov\u011b\u010f mus\u00ed pokr\u00fdt ka\u017ed\u00fd syst\u00e9m obsahuj\u00edc\u00ed \u00fadaje dan\u00e9 osoby \u2013 v\u010detn\u011b log\u016f, z\u00e1loh, tiket\u016f podpory, tabulek a st\u00ednov\u00e9 IT.<\/p>\n<p><strong>Pr\u00e1vo na opravu \u2013 \u010dl\u00e1nek 16.<\/strong> Nep\u0159esn\u00e9 \u00fadaje mus\u00ed b\u00fdt opraveny bez zbyte\u010dn\u00e9ho odkladu, ne\u00fapln\u00e9 dopln\u011bny. Oprava se mus\u00ed \u0161\u00ed\u0159it do navazuj\u00edc\u00edch syst\u00e9m\u016f, odvozen\u00fdch datov\u00fdch sad a analytiky.<\/p>\n<p><strong>Pr\u00e1vo na v\u00fdmaz \u2013 \u010dl\u00e1nek 17.<\/strong> Zn\u00e1m\u00e9 tak\u00e9 jako pr\u00e1vo b\u00fdt zapomenut. Uplatn\u00ed se, pokud \u00fadaje ji\u017e nejsou pot\u0159ebn\u00e9, byl odvol\u00e1n souhlas, subjekt vznesl n\u00e1mitku a neexistuje p\u0159eva\u017euj\u00edc\u00ed opr\u00e1vn\u011bn\u00fd d\u016fvod, zpracov\u00e1n\u00ed bylo protipr\u00e1vn\u00ed nebo pr\u00e1vn\u00ed povinnost vy\u017eaduje v\u00fdmaz. Nen\u00ed absolutn\u00ed: neplat\u00ed, pokud je zpracov\u00e1n\u00ed nezbytn\u00e9 pro spln\u011bn\u00ed pr\u00e1vn\u00edch povinnost\u00ed, pro pr\u00e1vn\u00ed n\u00e1roky, pro ve\u0159ejn\u00e9 zdrav\u00ed nebo pro archivn\u00ed a v\u00fdzkumn\u00e9 \u00fa\u010dely ve ve\u0159ejn\u00e9m z\u00e1jmu. V\u00fdmaz se mus\u00ed vztahovat i na t\u0159et\u00ed strany, kter\u00fdm byly \u00fadaje poskytnuty.<\/p>\n<p><strong>Pr\u00e1vo na omezen\u00ed zpracov\u00e1n\u00ed \u2013 \u010dl\u00e1nek 18.<\/strong> Zpracov\u00e1n\u00ed lze pozastavit, dokud je zpochybn\u011bna p\u0159esnost nebo z\u00e1konnost. Technicky jde o stavov\u00fd p\u0159\u00edznak, kter\u00fd mus\u00ed potla\u010dit ve\u0161ker\u00e9 zpracov\u00e1n\u00ed p\u0159i zachov\u00e1n\u00ed z\u00e1znamu.<\/p>\n<p><strong>Pr\u00e1vo na p\u0159enositelnost \u00fadaj\u016f \u2013 \u010dl\u00e1nek 20.<\/strong> Pokud je zpracov\u00e1n\u00ed zalo\u017eeno na souhlasu nebo smlouv\u011b a prob\u00edh\u00e1 automatizovan\u011b, m\u016f\u017ee subjekt obdr\u017eet sv\u00e9 \u00fadaje ve strukturovan\u00e9m, b\u011b\u017en\u011b pou\u017e\u00edvan\u00e9m a strojov\u011b \u010diteln\u00e9m form\u00e1tu a nechat je p\u0159edat jin\u00e9mu spr\u00e1vci, je-li to technicky provediteln\u00e9.<\/p>\n<p><strong>Pr\u00e1vo vzn\u00e9st n\u00e1mitku \u2013 \u010dl\u00e1nek 21.<\/strong> Subjekty mohou vzn\u00e9st n\u00e1mitku proti zpracov\u00e1n\u00ed zalo\u017een\u00e9mu na opr\u00e1vn\u011bn\u00fdch z\u00e1jmech nebo ve\u0159ejn\u00e9m \u00fakolu a spr\u00e1vce mus\u00ed zpracov\u00e1n\u00ed ukon\u010dit, pokud neprok\u00e1\u017ee nal\u00e9hav\u00e9 opr\u00e1vn\u011bn\u00e9 d\u016fvody. U p\u0159\u00edm\u00e9ho marketingu je pr\u00e1vo absolutn\u00ed a bezpodm\u00edne\u010dn\u00e9: zpracov\u00e1n\u00ed mus\u00ed skon\u010dit okam\u017eikem obdr\u017een\u00ed n\u00e1mitky.<\/p>\n<p><strong>Pr\u00e1va u automatizovan\u00e9ho rozhodov\u00e1n\u00ed \u2013 \u010dl\u00e1nek 22.<\/strong> Subjekty maj\u00ed pr\u00e1vo neb\u00fdt p\u0159edm\u011btem rozhodnut\u00ed zalo\u017een\u00e9ho v\u00fdhradn\u011b na automatizovan\u00e9m zpracov\u00e1n\u00ed, v\u010detn\u011b profilov\u00e1n\u00ed, kter\u00e9 m\u00e1 pr\u00e1vn\u00ed \u00fa\u010dinky nebo je obdobn\u011b v\u00fdznamn\u011b ovliv\u0148uje \u2013 pokud to nen\u00ed nezbytn\u00e9 pro smlouvu, povolen\u00e9 z\u00e1konem nebo zalo\u017een\u00e9 na v\u00fdslovn\u00e9m souhlasu. Tam, kde jsou takov\u00e1 rozhodnut\u00ed p\u0159\u00edpustn\u00e1, mus\u00ed z\u00e1ruky zahrnovat lidsk\u00fd z\u00e1sah, vysv\u011btlen\u00ed logiky a mo\u017enost rozhodnut\u00ed napadnout. Tento \u010dl\u00e1nek je st\u00e1le relevantn\u011bj\u0161\u00ed pro \u00fav\u011brov\u00e9 sk\u00f3rov\u00e1n\u00ed, screening uchaze\u010d\u016f, stanoven\u00ed pojistn\u00e9ho a detekci podvod\u016f pomoc\u00ed AI.<\/p>\n<h3>Jak provozn\u011b zvl\u00e1dnout \u017e\u00e1dost o p\u0159\u00edstup k \u00fadaj\u016fm?<\/h3>\n<p>\u017d\u00e1dost o p\u0159\u00edstup podle \u010dl\u00e1nku 15 mus\u00ed b\u00fdt vy\u0159\u00edzena do <strong>jednoho m\u011bs\u00edce<\/strong> od obdr\u017een\u00ed. Tuto lh\u016ftu lze prodlou\u017eit o dal\u0161\u00ed dva m\u011bs\u00edce u komplexn\u00edch nebo po\u010detn\u00fdch \u017e\u00e1dost\u00ed, ale prodlou\u017een\u00ed mus\u00ed b\u00fdt sd\u011bleno s od\u016fvodn\u011bn\u00edm v prvn\u00edm m\u011bs\u00edci. Lh\u016fta za\u010d\u00edn\u00e1 b\u011b\u017eet, kdy\u017e \u017e\u00e1dost obdr\u017e\u00ed kter\u00e1koli \u010d\u00e1st organizace, nikoli kdy\u017e doraz\u00ed k t\u00fdmu pro ochranu \u00fadaj\u016f.<\/p>\n<p>Ov\u011b\u0159en\u00ed toto\u017enosti je p\u0159\u00edpustn\u00e9 a o\u010dek\u00e1van\u00e9. Spr\u00e1vce m\u016f\u017ee po\u017e\u00e1dat o informace nezbytn\u00e9 pro potvrzen\u00ed toto\u017enosti, ale nesm\u00ed shroma\u017e\u010fovat v\u00edce, ne\u017e je pro tento \u00fa\u010del pot\u0159eba. Pokud je \u017e\u00e1dost zjevn\u011b ned\u016fvodn\u00e1 nebo nep\u0159im\u011b\u0159en\u00e1, lze \u00fa\u010dtovat p\u0159im\u011b\u0159en\u00fd poplatek nebo \u017e\u00e1dost odm\u00edtnout \u2013 d\u016fkazn\u00ed b\u0159emeno v\u0161ak nese spr\u00e1vce.<\/p>\n<p>Funguj\u00edc\u00ed proces \u017e\u00e1dost\u00ed o p\u0159\u00edstup pot\u0159ebuje \u0161est komponent:<\/p>\n<ol>\n<li><strong>Jedin\u00fd vstupn\u00ed kan\u00e1l<\/strong> zve\u0159ejn\u011bn\u00fd v z\u00e1sad\u00e1ch ochrany osobn\u00edch \u00fadaj\u016f a monitorovan\u00fd, s protokolov\u00e1n\u00edm ka\u017ed\u00e9 \u017e\u00e1dosti p\u0159i obdr\u017een\u00ed.<\/li>\n<li><strong>Zdokumentovan\u00fd rozsah vyhled\u00e1v\u00e1n\u00ed<\/strong> uv\u00e1d\u011bj\u00edc\u00ed ka\u017ed\u00fd syst\u00e9m, datab\u00e1zi, logovac\u00ed \u00falo\u017ei\u0161t\u011b, z\u00e1lohu, schr\u00e1nku a zpracovatele, kter\u00fd m\u016f\u017ee obsahovat osobn\u00ed \u00fadaje dan\u00e9 osoby.<\/li>\n<li><strong>Workflow pro z\u00edsk\u00e1n\u00ed dat<\/strong> v\u010detn\u011b sou\u010dinnosti zpracovatel\u016f, kte\u0159\u00ed mus\u00ed reagovat podle \u010dl. 28 odst. 3 p\u00edsm. e).<\/li>\n<li><strong>Krok redakce<\/strong> pro odstran\u011bn\u00ed \u00fadaj\u016f t\u0159et\u00edch stran a pr\u00e1vn\u011b chr\u00e1n\u011bn\u00e9ho nebo vylou\u010den\u00e9ho materi\u00e1lu, se zaznamenan\u00fdm d\u016fvodem v\u00fdjimky.<\/li>\n<li><strong>Zabezpe\u010den\u00fd zp\u016fsob doru\u010den\u00ed<\/strong> \u2013 \u0161ifrovan\u00fd p\u0159enos nebo autentizovan\u00fd port\u00e1l \u2013 nikdy ne ne\u0161ifrovan\u00e1 p\u0159\u00edloha e-mailu.<\/li>\n<li><strong>Z\u00e1znam o uzav\u0159en\u00ed<\/strong> s daty, rozhodnut\u00edmi, uplatn\u011bn\u00fdmi v\u00fdjimkami a uchovan\u00fdmi d\u016fkazy pro \u00fa\u010dely odpov\u011bdnosti.<\/li>\n<\/ol>\n<p>Organizace, kter\u00e9 \u017e\u00e1dosti o p\u0159\u00edstup zvl\u00e1daj\u00ed dob\u0159e, t\u00e9m\u011b\u0159 v\u017edy nejprve investovaly do mapov\u00e1n\u00ed dat. Nelze z\u00edskat to, co nebylo nikdy inventarizov\u00e1no, a t\u0159icetidenn\u00ed lh\u016fta neodpou\u0161t\u00ed pr\u00e1ci s vyhled\u00e1v\u00e1n\u00edm.<\/p>\n<h3>Pr\u00e1va subjekt\u016f \u00fadaj\u016f v p\u0159ehledu<\/h3>\n<table>\n<thead>\n<tr>\n<th>Pr\u00e1vo<\/th>\n<th>\u010cl\u00e1nek<\/th>\n<th>Spou\u0161t\u011b\u010d<\/th>\n<th>Lh\u016fta pro odpov\u011b\u010f<\/th>\n<th>Typick\u00e9 dot\u010den\u00e9 syst\u00e9my<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Na informace<\/td>\n<td>13\u201314<\/td>\n<td>Shrom\u00e1\u017ed\u011bn\u00ed osobn\u00edch \u00fadaj\u016f<\/td>\n<td>P\u0159i shrom\u00e1\u017ed\u011bn\u00ed; do 1 m\u011bs\u00edce p\u0159i nep\u0159\u00edm\u00e9m z\u00edsk\u00e1n\u00ed<\/td>\n<td>Web, onboarding aplikace, CMS pro z\u00e1sady ochrany \u00fadaj\u016f, CRM<\/td>\n<\/tr>\n<tr>\n<td>Na p\u0159\u00edstup<\/td>\n<td>15<\/td>\n<td>\u017d\u00e1dost subjektu \u00fadaj\u016f<\/td>\n<td>1 m\u011bs\u00edc (prodlou\u017eiteln\u00e9 o 2 m\u011bs\u00edce s ozn\u00e1men\u00edm)<\/td>\n<td>CRM, ERP, datov\u00fd sklad, logy, schr\u00e1nky, tikety podpory, syst\u00e9my zpracovatel\u016f<\/td>\n<\/tr>\n<tr>\n<td>Na opravu<\/td>\n<td>16<\/td>\n<td>Nep\u0159esn\u00e9 nebo ne\u00fapln\u00e9 \u00fadaje<\/td>\n<td>1 m\u011bs\u00edc<\/td>\n<td>Syst\u00e9my master dat, navazuj\u00edc\u00ed cache, analytika, ji\u017e sd\u00edlen\u00e9 exporty<\/td>\n<\/tr>\n<tr>\n<td>Na v\u00fdmaz<\/td>\n<td>17<\/td>\n<td>\u017d\u00e1dost nebo pr\u00e1vn\u00ed spou\u0161t\u011b\u010d; \u017e\u00e1dn\u00fd p\u0159eva\u017euj\u00edc\u00ed d\u016fvod<\/td>\n<td>1 m\u011bs\u00edc<\/td>\n<td>V\u0161echna produk\u010dn\u00ed \u00falo\u017ei\u0161t\u011b, z\u00e1lohy, odvozen\u00e9 datov\u00e9 sady, zpracovatel\u00e9, vyhled\u00e1vac\u00ed indexy<\/td>\n<\/tr>\n<tr>\n<td>Na omezen\u00ed<\/td>\n<td>18<\/td>\n<td>Zpochybn\u011bn\u00e1 p\u0159esnost nebo z\u00e1konnost<\/td>\n<td>1 m\u011bs\u00edc<\/td>\n<td>P\u0159\u00edznaky zpracov\u00e1n\u00ed, workflow enginy, API br\u00e1ny, seznamy pro potla\u010den\u00ed marketingu<\/td>\n<\/tr>\n<tr>\n<td>Na p\u0159enositelnost<\/td>\n<td>20<\/td>\n<td>Automatizovan\u00e9 zpracov\u00e1n\u00ed na z\u00e1klad\u011b souhlasu nebo smlouvy<\/td>\n<td>1 m\u011bs\u00edc<\/td>\n<td>Exportn\u00ed slu\u017eby, dokumentace sch\u00e9matu, konvertory form\u00e1t\u016f<\/td>\n<\/tr>\n<tr>\n<td>Vzn\u00e9st n\u00e1mitku<\/td>\n<td>21<\/td>\n<td>N\u00e1mitka proti opr\u00e1vn\u011bn\u00fdm z\u00e1jm\u016fm nebo ve\u0159ejn\u00e9mu \u00fakolu<\/td>\n<td>1 m\u011bs\u00edc; u p\u0159\u00edm\u00e9ho marketingu okam\u017eit\u011b<\/td>\n<td>Marketingov\u00e1 automatizace, platforma souhlas\u016f, seznamy pro potla\u010den\u00ed, reklamn\u00ed platformy<\/td>\n<\/tr>\n<tr>\n<td>Automatizovan\u00e9 rozhodov\u00e1n\u00ed<\/td>\n<td>22<\/td>\n<td>Rozhodnut\u00ed zalo\u017een\u00e9 v\u00fdhradn\u011b na automatizovan\u00e9m zpracov\u00e1n\u00ed<\/td>\n<td>1 m\u011bs\u00edc<\/td>\n<td>Sk\u00f3rovac\u00ed enginy, ML modely, protokoly rozhodnut\u00ed, fronty pro lidskou kontrolu<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Jak\u00e9 jsou kl\u00ed\u010dov\u00e9 provozn\u00ed povinnosti souladu s GDPR?<\/h2>\n<p>Krom\u011b z\u00e1sad a pr\u00e1v ukl\u00e1d\u00e1 GDPR soubor pojmenovan\u00fdch provozn\u00edch povinnost\u00ed. Ka\u017ed\u00e1 m\u00e1 spou\u0161t\u011bc\u00ed podm\u00ednku, po\u017eadovan\u00fd v\u00fdstup a p\u0159irozen\u00e9ho vlastn\u00edka. Pova\u017eovat je za seznam dokument\u016f je nejrychlej\u0161\u00ed cesta ke zji\u0161t\u011bn\u00ed auditu; pova\u017eovat je za kontroly s vlastn\u00edky je nejrychlej\u0161\u00ed cesta k trval\u00e9mu souladu.<\/p>\n<h3>Z\u00e1znamy o \u010dinnostech zpracov\u00e1n\u00ed a mapov\u00e1n\u00ed dat \u2013 \u010dl\u00e1nek 30<\/h3>\n<p>\u010cl\u00e1nek 30 vy\u017eaduje, aby spr\u00e1vci a zpracovatel\u00e9 vedli z\u00e1znamy o \u010dinnostech zpracov\u00e1n\u00ed. U spr\u00e1vc\u016f mus\u00ed z\u00e1znam obsahovat \u00fa\u010dely, kategorie subjekt\u016f \u00fadaj\u016f a osobn\u00edch \u00fadaj\u016f, p\u0159\u00edjemce, p\u0159ed\u00e1v\u00e1n\u00ed do t\u0159et\u00edch zem\u00ed a z\u00e1ruky, doby uchov\u00e1v\u00e1n\u00ed a p\u0159\u00edpadn\u011b bezpe\u010dnostn\u00ed opat\u0159en\u00ed. Organizace s m\u00e9n\u011b ne\u017e 250 zam\u011bstnanci maj\u00ed omezenou v\u00fdjimku, kter\u00e1 je v\u0161ak u\u017e\u0161\u00ed, ne\u017e se zd\u00e1: neplat\u00ed, pokud zpracov\u00e1n\u00ed nen\u00ed p\u0159\u00edle\u017eitostn\u00e9, pokud pravd\u011bpodobn\u011b povede k riziku pro pr\u00e1va a svobody nebo pokud se t\u00fdk\u00e1 zvl\u00e1\u0161tn\u00edch kategori\u00ed \u00fadaj\u016f \u2013 tedy podm\u00ednek, kter\u00e9 popisuj\u00ed v\u011bt\u0161inu komer\u010dn\u00edho zpracov\u00e1n\u00ed dat.<\/p>\n<p>Z\u00e1znam je jen tak dobr\u00fd jako mapov\u00e1n\u00ed dat, kter\u00e9 za n\u00edm stoj\u00ed. U\u017eite\u010dn\u00e1 mapa vznik\u00e1 syst\u00e9mov\u00fdm pr\u016fzkumem, nikoli z rozhovor\u016f. M\u011bla by u ka\u017ed\u00e9ho pole osobn\u00edch \u00fadaj\u016f odpov\u00eddat: kter\u00fd syst\u00e9m je obsahuje, kdo je vlastn\u00edkem, jak\u00fd je \u00fa\u010del, kter\u00fd pr\u00e1vn\u00ed z\u00e1klad plat\u00ed, kdo m\u00e1 p\u0159\u00edstup, kam se p\u0159ed\u00e1vaj\u00ed, jak dlouho se uchov\u00e1vaj\u00ed a jak se ma\u017eou. Ve v\u011bt\u0161in\u011b organizac\u00ed jde o nejv\u011bt\u0161\u00ed d\u00edl pr\u00e1ce v cel\u00e9m programu \u2013 a o z\u00e1klad pro v\u0161e ostatn\u00ed.<\/p>\n<h3>Ochrana \u00fadaj\u016f ji\u017e ve f\u00e1zi n\u00e1vrhu a ve v\u00fdchoz\u00edm nastaven\u00ed \u2013 \u010dl\u00e1nek 25<\/h3>\n<p>\u010cl\u00e1nek 25 vy\u017eaduje, aby byla ochrana \u00fadaj\u016f zabudov\u00e1na do zpracov\u00e1n\u00ed od po\u010d\u00e1tku a ve v\u00fdchoz\u00edm nastaven\u00ed se uplat\u0148ovala nastaven\u00ed nejv\u00edce chr\u00e1n\u00edc\u00ed soukrom\u00ed, ani\u017e by subjekt \u00fadaj\u016f musel cokoli d\u011blat. Pr\u00e1v\u011b klauzule o v\u00fdchoz\u00edm nastaven\u00ed organizace zasko\u010d\u00ed: aplikace, kter\u00e1 zve\u0159ej\u0148uje profilov\u00e9 \u00fadaje, dokud u\u017eivatel nenajde nastaven\u00ed, test nesplnila \u2013 bez ohledu na to, jak dob\u0159e je nastaven\u00ed zdokumentov\u00e1no.<\/p>\n<p>Zaveden\u00ed \u010dl\u00e1nku 25 znamen\u00e1, \u017ee po\u017eadavky na ochranu \u00fadaj\u016f vstupuj\u00ed do \u017eivotn\u00edho cyklu v\u00fdvoje jako testovateln\u00e1 krit\u00e9ria, nikoli jako pr\u00e1vn\u00ed p\u0159\u00edloha. Typick\u00e9 n\u00e1vrhov\u00e9 vzory zahrnuj\u00ed minimalizaci na \u00farovni sch\u00e9matu, pseudonymizaci jako v\u00fdchoz\u00ed stav pro analytick\u00e9 vyu\u017eit\u00ed, tokeny pro p\u0159\u00edstup v\u00e1zan\u00fd na \u00fa\u010del, automatizovan\u00e9 vym\u00e1h\u00e1n\u00ed uchov\u00e1v\u00e1n\u00ed, stav souhlasu jako prvot\u0159\u00eddn\u00ed atribut datov\u00e9ho modelu a nastaven\u00ed chr\u00e1n\u00edc\u00ed soukrom\u00ed v u\u017eivatelsk\u00fdch rozhran\u00edch.<\/p>\n<h3>Posouzen\u00ed vlivu na ochranu osobn\u00edch \u00fadaj\u016f \u2013 \u010dl\u00e1nek 35<\/h3>\n<p>DPIA je vy\u017eadov\u00e1na, pokud druh zpracov\u00e1n\u00ed pravd\u011bpodobn\u011b povede k vysok\u00e9mu riziku pro pr\u00e1va a svobody fyzick\u00fdch osob. \u010cl. 35 odst. 3 uv\u00e1d\u00ed t\u0159i p\u0159\u00edpady, kter\u00e9 t\u00e9m\u011b\u0159 v\u017edy DPIA spou\u0161t\u011bj\u00ed: systematick\u00e9 a rozs\u00e1hl\u00e9 vyhodnocov\u00e1n\u00ed osobn\u00edch aspekt\u016f na z\u00e1klad\u011b automatizovan\u00e9ho zpracov\u00e1n\u00ed, v\u010detn\u011b profilov\u00e1n\u00ed, na jeho\u017e z\u00e1klad\u011b jsou p\u0159ij\u00edm\u00e1na rozhodnut\u00ed s pr\u00e1vn\u00edmi nebo obdobn\u011b v\u00fdznamn\u00fdmi \u00fa\u010dinky; rozs\u00e1hl\u00e9 zpracov\u00e1n\u00ed zvl\u00e1\u0161tn\u00edch kategori\u00ed nebo \u00fadaj\u016f o trestn\u00fdch \u010dinech; a systematick\u00e9 rozs\u00e1hl\u00e9 sledov\u00e1n\u00ed ve\u0159ejn\u011b p\u0159\u00edstupn\u00fdch prostor.<\/p>\n<p>Dozorov\u00e9 \u00fa\u0159ady zve\u0159ej\u0148uj\u00ed seznamy \u010dinnost\u00ed zpracov\u00e1n\u00ed vy\u017eaduj\u00edc\u00edch DPIA a krit\u00e9ria EDPB \u2013 vyhodnocov\u00e1n\u00ed nebo sk\u00f3rov\u00e1n\u00ed, automatizovan\u00e9 rozhodov\u00e1n\u00ed s pr\u00e1vn\u00edm nebo obdobn\u00fdm \u00fa\u010dinkem, systematick\u00e9 sledov\u00e1n\u00ed, citliv\u00e9 \u00fadaje, zpracov\u00e1n\u00ed ve velk\u00e9m rozsahu, p\u00e1rov\u00e1n\u00ed nebo spojov\u00e1n\u00ed datov\u00fdch sad, \u00fadaje o zraniteln\u00fdch osob\u00e1ch, inovativn\u00ed vyu\u017eit\u00ed technologi\u00ed a zpracov\u00e1n\u00ed br\u00e1n\u00edc\u00ed subjekt\u016fm \u00fadaj\u016f ve v\u00fdkonu pr\u00e1va \u2013 se pou\u017e\u00edvaj\u00ed pro ur\u010den\u00ed, zda byl pr\u00e1h p\u0159ekro\u010den. Dv\u011b nebo v\u00edce krit\u00e9ri\u00ed obvykle znamenaj\u00ed, \u017ee DPIA je nutn\u00e1.<\/p>\n<p>Obhajiteln\u00e1 DPIA je strukturovan\u00e9 posouzen\u00ed rizik, nikoli formul\u00e1\u0159. M\u011bla by systematicky popsat zpracov\u00e1n\u00ed, posoudit nezbytnost a p\u0159im\u011b\u0159enost vzhledem k \u00fa\u010delu, identifikovat rizika pro subjekty \u00fadaj\u016f, definovat zm\u00edr\u0148uj\u00edc\u00ed opat\u0159en\u00ed, zaznamenat stanovisko DPO, pokud je ur\u010den, a zdokumentovat p\u0159ijat\u00e9 rozhodnut\u00ed \u2013 v\u010detn\u011b rozhodnut\u00ed pokra\u010dovat se zbytkov\u00fdm rizikem, co\u017e mus\u00ed b\u00fdt zaznamen\u00e1no a p\u0159i p\u0159etrv\u00e1vaj\u00edc\u00edm vysok\u00e9m riziku vy\u017eaduje konzultaci s dozorov\u00fdm \u00fa\u0159adem podle \u010dl\u00e1nku 36.<\/p>\n<h3>Pot\u0159ebujete pov\u011b\u0159ence pro ochranu osobn\u00edch \u00fadaj\u016f? \u2013 \u010dl\u00e1nky 37\u201339<\/h3>\n<p>DPO je povinn\u00fd ve t\u0159ech situac\u00edch podle \u010dl. 37 odst. 1: pokud zpracov\u00e1n\u00ed prov\u00e1d\u00ed org\u00e1n ve\u0159ejn\u00e9 moci nebo ve\u0159ejn\u00fd subjekt s v\u00fdjimkou soud\u016f v soudn\u00ed \u010dinnosti; pokud hlavn\u00ed \u010dinnosti spr\u00e1vce nebo zpracovatele spo\u010d\u00edvaj\u00ed ve zpracov\u00e1n\u00ed, kter\u00e9 svou povahou, rozsahem nebo \u00fa\u010delem vy\u017eaduje pravideln\u00e9 a systematick\u00e9 rozs\u00e1hl\u00e9 sledov\u00e1n\u00ed subjekt\u016f \u00fadaj\u016f; a pokud hlavn\u00ed \u010dinnosti spo\u010d\u00edvaj\u00ed v rozs\u00e1hl\u00e9m zpracov\u00e1n\u00ed zvl\u00e1\u0161tn\u00edch kategori\u00ed \u00fadaj\u016f nebo \u00fadaj\u016f o odsouzen\u00edch a trestn\u00fdch \u010dinech.<\/p>\n<p>DPO mus\u00ed b\u00fdt \u0159\u00e1dn\u011b zapojen, mus\u00ed se zodpov\u00eddat nejvy\u0161\u0161\u00edmu veden\u00ed, nesm\u00ed dost\u00e1vat pokyny k v\u00fdkonu sv\u00fdch \u00fakol\u016f, nesm\u00ed b\u00fdt odvol\u00e1n ani posti\u017een za jejich pln\u011bn\u00ed a mus\u00ed m\u00edt odpov\u00eddaj\u00edc\u00ed zdroje. DPO m\u016f\u017ee b\u00fdt extern\u00ed na z\u00e1klad\u011b smlouvy o poskytov\u00e1n\u00ed slu\u017eeb, co\u017e je b\u011b\u017en\u00e9 u st\u0159edn\u011b velk\u00fdch organizac\u00ed, kter\u00e9 pot\u0159ebuj\u00ed nez\u00e1vislost bez pln\u00e9ho \u00favazku. \u00dakoly stanov\u00ed \u010dl\u00e1nek 39: informovat a radit, sledovat soulad v\u010detn\u011b \u0161kolen\u00ed a audit\u016f, radit k DPIA, spolupracovat s dozorov\u00fdm \u00fa\u0159adem a p\u016fsobit jako kontaktn\u00ed bod. DPO, kter\u00fd je z\u00e1rove\u0148 vedouc\u00edm IT, CISO nebo marketingov\u00fdm \u0159editelem, vytv\u00e1\u0159\u00ed struktur\u00e1ln\u00ed st\u0159et z\u00e1jm\u016f, kter\u00fd dozorov\u00e9 \u00fa\u0159ady opakovan\u011b kritizovaly.<\/p>\n<h3>Smlouvy se zpracovateli a due diligence \u2013 \u010dl\u00e1nek 28<\/h3>\n<p>Pokud je zpracov\u00e1n\u00ed prov\u00e1d\u011bno jm\u00e9nem spr\u00e1vce, vy\u017eaduje \u010dl\u00e1nek 28 p\u00edsemnou smlouvu, kter\u00e1 zpracovatele zavazuje ke konkr\u00e9tn\u00edm podm\u00ednk\u00e1m: zpracov\u00e1n\u00ed pouze na z\u00e1klad\u011b zdokumentovan\u00fdch pokyn\u016f, d\u016fv\u011brnost, bezpe\u010dnostn\u00ed opat\u0159en\u00ed podle \u010dl\u00e1nku 32, povolen\u00ed p\u0159ed zapojen\u00edm subdodavatel\u016f, pomoc s pr\u00e1vy subjekt\u016f \u00fadaj\u016f a DPIA, hl\u00e1\u0161en\u00ed poru\u0161en\u00ed zabezpe\u010den\u00ed spr\u00e1vci, v\u00fdmaz nebo vr\u00e1cen\u00ed \u00fadaj\u016f na konci spolupr\u00e1ce a pr\u00e1va na audit a kontrolu. Smlouva mus\u00ed rovn\u011b\u017e stanovit p\u0159edm\u011bt, dobu trv\u00e1n\u00ed, povahu a \u00fa\u010del zpracov\u00e1n\u00ed, druh osobn\u00edch \u00fadaj\u016f a kategorie subjekt\u016f \u00fadaj\u016f.<\/p>\n<p>Smlouvy samy o sob\u011b nejsou due diligence. \u010cl. 28 odst. 1 vy\u017eaduje pou\u017e\u00edvat pouze zpracovatele poskytuj\u00edc\u00ed dostate\u010dn\u00e9 z\u00e1ruky, co\u017e znamen\u00e1 posoudit bezpe\u010dnostn\u00ed stav p\u0159ed zah\u00e1jen\u00edm spolupr\u00e1ce \u2013 certifikace, shrnut\u00ed penetra\u010dn\u00edch test\u016f, transparentnost subdodavatel\u016f, historii poru\u0161en\u00ed zabezpe\u010den\u00ed, mo\u017enosti um\u00edst\u011bn\u00ed dat a z\u00e1vazky v oblasti reakce na incidenty. Toto posouzen\u00ed se mus\u00ed pravideln\u011b opakovat, proto\u017ee se stav zpracovatele m\u011bn\u00ed s jeho r\u016fstem, akvizic\u00ed nebo zav\u00e1d\u011bn\u00edm nov\u00fdch funkc\u00ed AI, kter\u00e9 znovu vyu\u017e\u00edvaj\u00ed data z\u00e1kazn\u00edk\u016f.<\/p>\n<h3>Zabezpe\u010den\u00ed zpracov\u00e1n\u00ed a hl\u00e1\u0161en\u00ed poru\u0161en\u00ed \u2013 \u010dl\u00e1nky 32\u201334<\/h3>\n<p>\u010cl\u00e1nek 32 vy\u017eaduje technick\u00e1 a organiza\u010dn\u00ed opat\u0159en\u00ed odpov\u00eddaj\u00edc\u00ed riziku a v\u00fdslovn\u011b uv\u00e1d\u00ed pseudonymizaci a \u0161ifrov\u00e1n\u00ed, schopnost zajistit trvalou d\u016fv\u011brnost, integritu, dostupnost a odolnost, schopnost obnovit dostupnost a p\u0159\u00edstup po incidentu a proces pravideln\u00e9ho testov\u00e1n\u00ed a vyhodnocov\u00e1n\u00ed \u00fa\u010dinnosti opat\u0159en\u00ed. Umo\u017e\u0148uje tak\u00e9 vyu\u017e\u00edt soulad se schv\u00e1len\u00fdm certifika\u010dn\u00edm mechanismem jako prvek prokazov\u00e1n\u00ed souladu.<\/p>\n<p>\u010cl\u00e1nek 33 vy\u017eaduje ozn\u00e1men\u00ed poru\u0161en\u00ed osobn\u00edch \u00fadaj\u016f p\u0159\u00edslu\u0161n\u00e9mu dozorov\u00e9mu \u00fa\u0159adu bez zbyte\u010dn\u00e9ho odkladu a pokud mo\u017eno <strong>nejpozd\u011bji do 72 hodin<\/strong> od okam\u017eiku, kdy se o n\u011bm spr\u00e1vce dozv\u011bd\u011bl. Ozn\u00e1men\u00ed mus\u00ed popsat povahu poru\u0161en\u00ed, kategorie a p\u0159ibli\u017en\u00fd po\u010det dot\u010den\u00fdch subjekt\u016f \u00fadaj\u016f a z\u00e1znam\u016f, DPO nebo kontaktn\u00ed bod, pravd\u011bpodobn\u00e9 d\u016fsledky a p\u0159ijat\u00e1 nebo navr\u017een\u00e1 opat\u0159en\u00ed. Pokud ozn\u00e1men\u00ed nen\u00ed provedeno do 72 hodin, mus\u00ed b\u00fdt dopln\u011bno od\u016fvodn\u011bn\u00edm zpo\u017ed\u011bn\u00ed. Pokud poru\u0161en\u00ed pravd\u011bpodobn\u011b nepovede k riziku pro pr\u00e1va a svobody, ozn\u00e1men\u00ed se nevy\u017eaduje \u2013 rozhodnut\u00ed v\u0161ak mus\u00ed b\u00fdt intern\u011b zdokumentov\u00e1no a zpracovatel\u00e9 mus\u00ed informovat spr\u00e1vce bez zbyte\u010dn\u00e9ho odkladu podle \u010dl. 33 odst. 2.<\/p>\n<p>\u010cl\u00e1nek 34 vy\u017eaduje informovat subjekty \u00fadaj\u016f bez zbyte\u010dn\u00e9ho odkladu, pokud poru\u0161en\u00ed pravd\u011bpodobn\u011b povede k vysok\u00e9mu riziku pro jejich pr\u00e1va a svobody, leda\u017ee byly \u00fadaje u\u010din\u011bny nesrozumiteln\u00fdmi \u0161ifrov\u00e1n\u00edm, n\u00e1sledn\u00e1 opat\u0159en\u00ed vysok\u00e9 riziko odstranila nebo by informov\u00e1n\u00ed znamenalo nep\u0159im\u011b\u0159en\u00e9 \u00fasil\u00ed. V posledn\u00edm p\u0159\u00edpad\u011b je nutn\u00e9 ve\u0159ejn\u00e9 sd\u011blen\u00ed.<\/p>\n<p>Lh\u016fta 72 hodin je po\u017eadavek na schopnost, ne na pap\u00edrov\u00e1n\u00ed. Jej\u00ed dodr\u017een\u00ed znamen\u00e1 m\u00edt p\u0159edem p\u0159ipraven\u00e9 a nacvi\u010den\u00e9 detekci, krit\u00e9ria triage, klasifikaci z\u00e1va\u017enosti, eskala\u010dn\u00ed cesty, pr\u00e1vn\u00ed posouzen\u00ed i \u0161ablony ozn\u00e1men\u00ed. Organizace, kter\u00e9 reakci na poru\u0161en\u00ed testuj\u00ed formou tabletop cvi\u010den\u00ed a simulovan\u00fdch incident\u016f, lh\u016ftu b\u011b\u017en\u011b dodr\u017e\u00ed. Organizace, kter\u00e9 nap\u00ed\u0161\u00ed politiku a nikdy ji neprocvi\u010d\u00ed, nikoli.<\/p>\n<h3>Mezin\u00e1rodn\u00ed p\u0159ed\u00e1v\u00e1n\u00ed \u00fadaj\u016f po rozsudku Schrems II<\/h3>\n<p>Kapitola V omezuje p\u0159ed\u00e1v\u00e1n\u00ed osobn\u00edch \u00fadaj\u016f mimo EHP. P\u0159ed\u00e1v\u00e1n\u00ed je z\u00e1konn\u00e9, pokud Komise p\u0159ijala rozhodnut\u00ed o odpov\u00eddaj\u00edc\u00ed ochran\u011b, nebo pokud p\u0159i absenci odpov\u00eddaj\u00edc\u00ed ochrany plat\u00ed vhodn\u00e9 z\u00e1ruky. Hlavn\u00edmi z\u00e1rukami jsou standardn\u00ed smluvn\u00ed dolo\u017eky (SCC), z\u00e1vazn\u00e1 podnikov\u00e1 pravidla, schv\u00e1len\u00e9 kodexy chov\u00e1n\u00ed a certifika\u010dn\u00ed mechanismy. SCC z roku 2021 vy\u017eaduj\u00ed posouzen\u00ed dopad\u016f p\u0159ed\u00e1v\u00e1n\u00ed, kter\u00e9 analyzuje pr\u00e1vn\u00ed \u00fapravu a praxi c\u00edlov\u00e9 zem\u011b a v p\u0159\u00edpad\u011b pot\u0159eby zav\u00e1d\u00ed dopl\u0148kov\u00e1 opat\u0159en\u00ed.<\/p>\n<p>Oblast odpov\u00eddaj\u00edc\u00ed ochrany se zkomplikovala. R\u00e1mec EU\u2013USA pro ochranu soukrom\u00ed nab\u00edz\u00ed cestu pro organizace, kter\u00e9 se podle n\u011bj certifikuj\u00ed, zat\u00edmco d\u0159\u00edv\u011bj\u0161\u00ed Privacy Shield Soudn\u00ed dv\u016fr v roce 2020 zru\u0161il v rozsudku Schrems II. Proto\u017ee rozhodnut\u00ed o odpov\u00eddaj\u00edc\u00ed ochran\u011b lze napadnout, vysp\u011bl\u00e9 programy se vyh\u00fdbaj\u00ed tomu, aby pova\u017eovaly jedin\u00fd mechanismus p\u0159ed\u00e1v\u00e1n\u00ed za trvale vy\u0159e\u0161en\u00fd. Praktick\u00e9 kroky: v\u00e9st registr p\u0159ed\u00e1v\u00e1n\u00ed, kontrolovat um\u00edst\u011bn\u00ed dat a \u0159et\u011bzce subdodavatel\u016f, uplat\u0148ovat \u0161ifrov\u00e1n\u00ed a \u00faschovu kl\u00ed\u010d\u016f, kter\u00e9 kl\u00ed\u010de ponech\u00e1vaj\u00ed v EHP tam, kde to riziko vy\u017eaduje, a dokumentovat posouzen\u00ed dopad\u016f p\u0159ed\u00e1v\u00e1n\u00ed podle c\u00edlov\u00e9 zem\u011b a druhu \u00fadaj\u016f.<\/p>\n<h3>Kl\u00ed\u010dov\u00e9 provozn\u00ed povinnosti v p\u0159ehledu<\/h3>\n<table>\n<thead>\n<tr>\n<th>Povinnost<\/th>\n<th>\u010cl\u00e1nek<\/th>\n<th>Spou\u0161t\u011b\u010d<\/th>\n<th>Po\u017eadovan\u00fd v\u00fdstup<\/th>\n<th>Typick\u00fd vlastn\u00edk<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Z\u00e1znamy o \u010dinnostech zpracov\u00e1n\u00ed<\/td>\n<td>30<\/td>\n<td>Jak\u00e9koli zpracov\u00e1n\u00ed (v\u00fdjimka je \u00fazk\u00e1)<\/td>\n<td>Veden\u00fd a aktu\u00e1ln\u00ed z\u00e1znam o \u010dinnostech zpracov\u00e1n\u00ed<\/td>\n<td>Kancel\u00e1\u0159 pro ochranu \u00fadaj\u016f s vlastn\u00edky syst\u00e9m\u016f<\/td>\n<\/tr>\n<tr>\n<td>Ochrana \u00fadaj\u016f ji\u017e ve f\u00e1zi n\u00e1vrhu a ve v\u00fdchoz\u00edm nastaven\u00ed<\/td>\n<td>25<\/td>\n<td>Ka\u017ed\u00e9 nov\u00e9 nebo zm\u011bn\u011bn\u00e9 zpracov\u00e1n\u00ed<\/td>\n<td>Po\u017eadavky na ochranu \u00fadaj\u016f v n\u00e1vrhu; v\u00fdchoz\u00ed nastaven\u00ed chr\u00e1n\u00edc\u00ed soukrom\u00ed<\/td>\n<td>Vedouc\u00ed architektury a v\u00fdvoje<\/td>\n<\/tr>\n<tr>\n<td>Posouzen\u00ed vlivu na ochranu osobn\u00edch \u00fadaj\u016f<\/td>\n<td>35<\/td>\n<td>Rizikov\u00e9 zpracov\u00e1n\u00ed; p\u0159\u00edpady podle \u010dl. 35 odst. 3; seznamy \u00fa\u0159ad\u016f<\/td>\n<td>Zdokumentovan\u00e1 DPIA s riziky, opat\u0159en\u00edmi a rozhodnut\u00edm<\/td>\n<td>Vlastn\u00edk procesu s poradenstv\u00edm DPO<\/td>\n<\/tr>\n<tr>\n<td>Pov\u011b\u0159enec pro ochranu osobn\u00edch \u00fadaj\u016f<\/td>\n<td>37\u201339<\/td>\n<td>Org\u00e1n ve\u0159ejn\u00e9 moci, rozs\u00e1hl\u00e9 sledov\u00e1n\u00ed, rozs\u00e1hl\u00e9 zvl\u00e1\u0161tn\u00ed kategorie<\/td>\n<td>Ur\u010den\u00fd, nez\u00e1visl\u00fd a vybaven\u00fd DPO<\/td>\n<td>Veden\u00ed spole\u010dnosti<\/td>\n<\/tr>\n<tr>\n<td>Smlouvy se zpracovateli<\/td>\n<td>28<\/td>\n<td>Ka\u017ed\u00e9 zapojen\u00ed zpracovatele<\/td>\n<td>Smlouva v souladu s \u010dl. 28 plus z\u00e1znam o due diligence<\/td>\n<td>N\u00e1kup s pr\u00e1vn\u00edm odd\u011blen\u00edm<\/td>\n<\/tr>\n<tr>\n<td>Zabezpe\u010den\u00ed zpracov\u00e1n\u00ed<\/td>\n<td>32<\/td>\n<td>V\u0161echno zpracov\u00e1n\u00ed<\/td>\n<td>Opat\u0159en\u00ed odpov\u00eddaj\u00edc\u00ed riziku plus d\u016fkazy o pravideln\u00e9m testov\u00e1n\u00ed<\/td>\n<td>CISO a v\u00fdvoj<\/td>\n<\/tr>\n<tr>\n<td>Hl\u00e1\u0161en\u00ed poru\u0161en\u00ed zabezpe\u010den\u00ed<\/td>\n<td>33\u201334<\/td>\n<td>Zji\u0161t\u011bn\u00ed poru\u0161en\u00ed osobn\u00edch \u00fadaj\u016f<\/td>\n<td>Ozn\u00e1men\u00ed \u00fa\u0159adu do 72 hodin; informov\u00e1n\u00ed subjekt\u016f p\u0159i vysok\u00e9m riziku<\/td>\n<td>Reakce na incidenty s DPO<\/td>\n<\/tr>\n<tr>\n<td>Mezin\u00e1rodn\u00ed p\u0159ed\u00e1v\u00e1n\u00ed<\/td>\n<td>44\u201349<\/td>\n<td>P\u0159ed\u00e1v\u00e1n\u00ed mimo EHP<\/td>\n<td>Odpov\u00eddaj\u00edc\u00ed ochrana nebo z\u00e1ruky plus posouzen\u00ed dopad\u016f p\u0159ed\u00e1v\u00e1n\u00ed<\/td>\n<td>Pr\u00e1vn\u00ed odd\u011blen\u00ed s architekturou<\/td>\n<\/tr>\n<tr>\n<td>P\u0159edchoz\u00ed konzultace<\/td>\n<td>36<\/td>\n<td>Vysok\u00e9 zbytkov\u00e9 riziko po DPIA<\/td>\n<td>Konzultace s dozorov\u00fdm \u00fa\u0159adem p\u0159ed zpracov\u00e1n\u00edm<\/td>\n<td>DPO s vlastn\u00edkem procesu<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Jak se soulad s GDPR li\u0161\u00ed od jin\u00fdch z\u00e1kon\u016f na ochranu \u00fadaj\u016f?<\/h2>\n<p>Nadn\u00e1rodn\u00ed organizace se z\u0159\u00eddka setk\u00e1vaj\u00ed s jedin\u00fdm re\u017eimem ochrany \u00fadaj\u016f. Pochopen\u00ed toho, kde GDPR stoj\u00ed v\u016f\u010di sv\u00fdm soused\u016fm, zabra\u0148uje \u010dast\u00e9 chyb\u011b vybudovat jednu sadu kontrol a p\u0159edpokl\u00e1dat, \u017ee bude fungovat v\u0161ude.<\/p>\n<h3>GDPR vs. CCPA\/CPRA<\/h3>\n<p>California Consumer Privacy Act ve zn\u011bn\u00ed California Privacy Rights Act je z\u00e1kon o soukrom\u00ed spot\u0159ebitel\u016f s odli\u0161nou architekturou. Vztahuje se na ziskov\u00e9 podniky spl\u0148uj\u00edc\u00ed prahy obratu nebo objemu dat, kter\u00e9 jednaj\u00ed s obyvateli Kalifornie, a je postaven na pr\u00e1vech k \u201epersonal information&#8221; a \u201esensitive personal information&#8221;. Vy\u017eaduje informace p\u0159i shrom\u00e1\u017ed\u011bn\u00ed, pr\u00e1va na informace, v\u00fdmaz, opravu, odm\u00edtnut\u00ed prodeje nebo sd\u00edlen\u00ed a omezen\u00ed pou\u017eit\u00ed citliv\u00fdch \u00fadaj\u016f a vym\u00e1haj\u00ed jej p\u0159edev\u0161\u00edm California Privacy Protection Agency a gener\u00e1ln\u00ed prokur\u00e1tor formou ob\u010danskopr\u00e1vn\u00edch sankc\u00ed, nikoli spr\u00e1vn\u00edch pokut odvozen\u00fdch od glob\u00e1ln\u00edho obratu.<\/p>\n<p>Praktick\u00e9 rozd\u00edly, kter\u00e9 jsou d\u016fle\u017eit\u00e9 pro v\u00fdvojov\u00e9 t\u00fdmy, spo\u010d\u00edvaj\u00ed v modelu opt-out (CCPA\/CPRA umo\u017e\u0148uje prodej a sd\u00edlen\u00ed, dokud spot\u0159ebitel neodm\u00edtne, zat\u00edmco GDPR vy\u017eaduje pr\u00e1vn\u00ed z\u00e1klad p\u0159ed zah\u00e1jen\u00edm zpracov\u00e1n\u00ed), v absenci obecn\u00e9ho r\u00e1mce pr\u00e1vn\u00edch z\u00e1klad\u016f v Kalifornii, v u\u017e\u0161\u00ed definici citliv\u00fdch \u00fadaj\u016f a v odli\u0161n\u00e9m p\u0159\u00edstupu k \u00fadaj\u016fm zam\u011bstnanc\u016f a B2B, kter\u00e9 GDPR pokr\u00fdv\u00e1 pln\u011b. Dob\u0159e postaven\u00fd program GDPR obvykle napl\u0148uje mnoho z CCPA\/CPRA, ale architektura souhlasu je skute\u010dn\u011b odli\u0161n\u00e1 a nelze ji jednodu\u0161e znovu pou\u017e\u00edt.<\/p>\n<h3>GDPR vs. UK GDPR<\/h3>\n<p>Po odchodu Spojen\u00e9ho kr\u00e1lovstv\u00ed z EU p\u0159evzala zem\u011b GDPR do vnitrost\u00e1tn\u00edho pr\u00e1va jako UK GDPR, ve spojen\u00ed s Data Protection Act 2018. Oba texty byly v okam\u017eiku divergence v podstat\u011b toto\u017en\u00e9, tak\u017ee jeden program souladu m\u016f\u017ee pokr\u00fdt oba. Divergence se v\u0161ak s\u010d\u00edt\u00e1: Spojen\u00e9 kr\u00e1lovstv\u00ed sleduje vlastn\u00ed reformn\u00ed agendu, vlastn\u00ed r\u00e1mec mezin\u00e1rodn\u00edho p\u0159ed\u00e1v\u00e1n\u00ed s vlastn\u00edmi pravidly odpov\u00eddaj\u00edc\u00ed ochrany, vlastn\u00ed p\u0159\u00edstup k n\u011bkter\u00fdm ot\u00e1zk\u00e1m souhlasu a soubor\u016f cookie a vlastn\u00ed regul\u00e1tor v podob\u011b Information Commissioner&#8217;s Office. Pro organizace p\u016fsob\u00edc\u00ed na obou trz\u00edch je praktick\u00fdm p\u0159\u00edstupem spole\u010dn\u00e1 z\u00e1kladn\u00ed sada kontrol s dokumentovan\u00fdm registrem odchylek podle jurisdikce.<\/p>\n<h3>GDPR vs. LGPD, PIPL a dal\u0161\u00ed re\u017eimy<\/h3>\n<p>Brazilsk\u00e1 LGPD siln\u011b vych\u00e1z\u00ed ze struktury GDPR \u2013 pr\u00e1vn\u00ed z\u00e1klady, pr\u00e1va subjekt\u016f \u00fadaj\u016f, n\u00e1rodn\u00ed \u00fa\u0159ad ANPD a spr\u00e1vn\u00ed sankce \u2013 obsahuje v\u0161ak samostatn\u00fd pr\u00e1vn\u00ed z\u00e1klad ochrany \u00fav\u011bru a odli\u0161n\u00e1 pravidla pro opr\u00e1vn\u011bn\u00fd z\u00e1jem. \u010c\u00ednsk\u00fd PIPL kombinuje koncepty podobn\u00e9 GDPR s r\u00e1mov\u00e1n\u00edm st\u00e1tn\u00ed bezpe\u010dnosti, vy\u017eaduje samostatn\u00fd souhlas ve v\u00edce situac\u00edch, ukl\u00e1d\u00e1 lokalizaci dat a bezpe\u010dnostn\u00ed posouzen\u00ed u ur\u010dit\u00fdch p\u0159ed\u00e1v\u00e1n\u00ed a nem\u00e1 nez\u00e1visl\u00fd dozorov\u00fd \u00fa\u0159ad v evropsk\u00e9m smyslu. Indick\u00fd DPDP Act vol\u00ed jin\u00fd p\u0159\u00edstup s modelem spr\u00e1vce souhlas\u016f a vl\u00e1dou ur\u010den\u00fdmi v\u00fdznamn\u00fdmi spr\u00e1vci dat. Revidovan\u00fd \u0161v\u00fdcarsk\u00fd FADP je GDPR natolik bl\u00edzk\u00fd, \u017ee jej lze v\u00e9st v r\u00e1mci t\u00e9ho\u017e programu, s vlastn\u00edmi nuancemi v registraci a oznamov\u00e1n\u00ed.<\/p>\n<p>Strategick\u00fdm z\u00e1v\u011brem pro CTO je, \u017ee glob\u00e1ln\u00ed architektura ochrany soukrom\u00ed m\u00e1 b\u00fdt modul\u00e1rn\u00ed: spole\u010dn\u00e1 inventura dat, spole\u010dn\u00fd engine pro pr\u00e1va a spole\u010dn\u00fd bezpe\u010dnostn\u00ed z\u00e1klad, s rozhodovac\u00edmi vrstvami specifick\u00fdmi pro jurisdikci pro pr\u00e1vn\u00ed z\u00e1klad, souhlas, p\u0159ed\u00e1v\u00e1n\u00ed a uchov\u00e1v\u00e1n\u00ed. Snaha o jedinou glob\u00e1ln\u00ed politiku vede bu\u010f k n\u00e1kladn\u00e9mu nadm\u011brn\u00e9mu souladu, nebo k n\u00e1kladn\u00e9mu nedostate\u010dn\u00e9mu souladu.<\/p>\n<h3>Srovn\u00e1n\u00ed nap\u0159\u00ed\u010d jurisdikcemi<\/h3>\n<table>\n<thead>\n<tr>\n<th>Dimenze<\/th>\n<th>GDPR (EU)<\/th>\n<th>UK GDPR<\/th>\n<th>CCPA\/CPRA (Kalifornie)<\/th>\n<th>LGPD (Braz\u00edlie)<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Z\u00e1kladn\u00ed model<\/td>\n<td>Zalo\u017een\u00fd na pr\u00e1vech a odpov\u011bdnosti<\/td>\n<td>V podstat\u011b slad\u011bn\u00fd s GDPR EU<\/td>\n<td>Pr\u00e1va spot\u0159ebitel\u016f a model opt-out<\/td>\n<td>Zalo\u017een\u00fd na pr\u00e1vech, inspirovan\u00fd GDPR<\/td>\n<\/tr>\n<tr>\n<td>Kdo je pokryt<\/td>\n<td>Ka\u017ed\u00e1 organizace zpracov\u00e1vaj\u00edc\u00ed \u00fadaje subjekt\u016f v EU, i mimo EU<\/td>\n<td>Zpracov\u00e1n\u00ed britsk\u00fdmi spr\u00e1vci a zpracovateli<\/td>\n<td>Ziskov\u00e9 podniky spl\u0148uj\u00edc\u00ed obratov\u00e9 nebo datov\u00e9 prahy<\/td>\n<td>Zpracov\u00e1n\u00ed v Braz\u00edlii nebo \u00fadaj\u016f shrom\u00e1\u017ed\u011bn\u00fdch v Braz\u00edlii<\/td>\n<\/tr>\n<tr>\n<td>Pr\u00e1vn\u00ed z\u00e1klady<\/td>\n<td>\u0160est z\u00e1klad\u016f podle \u010dl. 6, plus \u010dl. 9 pro zvl\u00e1\u0161tn\u00ed kategorie<\/td>\n<td>\u0160est z\u00e1klad\u016f, t\u011bsn\u011b podle \u010dl. 6<\/td>\n<td>\u017d\u00e1dn\u00fd obecn\u00fd r\u00e1mec pr\u00e1vn\u00edch z\u00e1klad\u016f; informace a opt-out<\/td>\n<td>Deset pr\u00e1vn\u00edch z\u00e1klad\u016f v\u010detn\u011b ochrany \u00fav\u011bru a opr\u00e1vn\u011bn\u00e9ho z\u00e1jmu<\/td>\n<\/tr>\n<tr>\n<td>Model souhlasu<\/td>\n<td>Opt-in, svobodn\u00fd, konkr\u00e9tn\u00ed, odvolateln\u00fd<\/td>\n<td>Opt-in, obdobn\u00fd standard<\/td>\n<td>Opt-out pro prodej a sd\u00edlen\u00ed; opt-in u \u00fadaj\u016f nezletil\u00fdch<\/td>\n<td>Opt-in se zvl\u00e1\u0161tn\u00edmi po\u017eadavky pro citliv\u00e9 \u00fadaje<\/td>\n<\/tr>\n<tr>\n<td>Citliv\u00e9 \u00fadaje<\/td>\n<td>Zvl\u00e1\u0161tn\u00ed kategorie podle \u010dl. 9 se z\u00e1kazem a v\u00fdjimkami<\/td>\n<td>Stejn\u00e1 struktura jako GDPR EU<\/td>\n<td>\u201eSensitive personal information&#8221; s pr\u00e1vem omezit pou\u017eit\u00ed<\/td>\n<td>Citliv\u00e9 \u00fadaje s p\u0159\u00edsn\u011bj\u0161\u00edmi z\u00e1klady<\/td>\n<\/tr>\n<tr>\n<td>Povinnost DPO<\/td>\n<td>Povinn\u00fd ve t\u0159ech definovan\u00fdch situac\u00edch<\/td>\n<td>Obdobn\u00e9 spou\u0161t\u011b\u010de<\/td>\n<td>\u017d\u00e1dn\u00fd DPO; \u017e\u00e1dn\u00e1 obdobn\u00e1 role<\/td>\n<td>Pov\u011b\u0159enec vy\u017eadov\u00e1n v definovan\u00fdch p\u0159\u00edpadech<\/td>\n<\/tr>\n<tr>\n<td>Hl\u00e1\u0161en\u00ed poru\u0161en\u00ed<\/td>\n<td>72 hodin dozorov\u00e9mu \u00fa\u0159adu; subjekty p\u0159i vysok\u00e9m riziku<\/td>\n<td>72 hodin ICO; subjekty p\u0159i vysok\u00e9m riziku<\/td>\n<td>\u017d\u00e1dn\u00e9 obecn\u00e9 hl\u00e1\u0161en\u00ed; plat\u00ed z\u00e1kony jednotliv\u00fdch st\u00e1t\u016f<\/td>\n<td>P\u0159im\u011b\u0159en\u00e1 lh\u016fta pro ANPD a subjekty \u00fadaj\u016f<\/td>\n<\/tr>\n<tr>\n<td>Maxim\u00e1ln\u00ed sankce<\/td>\n<td>20 mil. EUR nebo 4 % celosv\u011btov\u00e9ho ro\u010dn\u00edho obratu, podle vy\u0161\u0161\u00ed hodnoty<\/td>\n<td>17,5 mil. GBP nebo 4 % celosv\u011btov\u00e9ho obratu<\/td>\n<td>2 500 USD za poru\u0161en\u00ed, 7 500 USD u \u00fadaj\u016f nezletil\u00fdch<\/td>\n<td>2 % brazilsk\u00e9ho obratu, maxim\u00e1ln\u011b 50 mil. R$ za p\u0159estupek<\/td>\n<\/tr>\n<tr>\n<td>Regul\u00e1tor<\/td>\n<td>N\u00e1rodn\u00ed dozorov\u00e9 \u00fa\u0159ady plus EDPB<\/td>\n<td>Information Commissioner&#8217;s Office<\/td>\n<td>California Privacy Protection Agency a gener\u00e1ln\u00ed prokur\u00e1tor<\/td>\n<td>ANPD<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Jak zav\u00e9st program souladu s GDPR krok za krokem?<\/h2>\n<p>Programy souladu s GDPR selh\u00e1vaj\u00ed z p\u0159edv\u00eddateln\u00fdch d\u016fvod\u016f: za\u010d\u00ednaj\u00ed psan\u00edm politik m\u00edsto pr\u016fzkumem, nemaj\u00ed ur\u010den\u00e9 vlastn\u00edky, pova\u017euj\u00ed pr\u00e1ci za jednor\u00e1zov\u00fd projekt a nikdy neprodukuj\u00ed d\u016fkazy. F\u00e1zovan\u00fd program, kter\u00fd stav\u00ed pr\u016fzkum na za\u010d\u00e1tek a kon\u010d\u00ed provozn\u00edmi rutinami, se v\u0161em \u010dty\u0159em vyh\u00fdb\u00e1.<\/p>\n<h3>F\u00e1ze 1 \u2013 Zjistit a posoudit (dny 0\u201390)<\/h3>\n<p>Prvn\u00ed f\u00e1ze odpov\u00edd\u00e1 na t\u0159i ot\u00e1zky: jak\u00e9 osobn\u00ed \u00fadaje existuj\u00ed, kam proud\u00ed a kde jsou nejvy\u0161\u0161\u00ed rizika. Dokud na n\u011b neexistuj\u00ed odpov\u011bdi, nelze nic dal\u0161\u00edho spolehliv\u011b napl\u00e1novat.<\/p>\n<ul>\n<li><strong>Ur\u010den\u00ed p\u016fsobnosti.<\/strong> Ov\u011b\u0159te, zda plat\u00ed \u010dl. 3 odst. 1, \u010dl. 3 odst. 2 nebo oboj\u00ed, a ur\u010dete vedouc\u00ed dozorov\u00fd \u00fa\u0159ad p\u0159i p\u0159eshrani\u010dn\u00edm zpracov\u00e1n\u00ed.<\/li>\n<li><strong>Mapov\u00e1n\u00ed rol\u00ed.<\/strong> Ur\u010dete postaven\u00ed spr\u00e1vce, spole\u010dn\u00e9ho spr\u00e1vce a zpracovatele podle toku dat \u2013 nikoli podle pr\u00e1vnick\u00e9 osoby.<\/li>\n<li><strong>Pr\u016fzkum a inventura dat.<\/strong> Zkombinujte automatizovan\u00e9 n\u00e1stroje pro objevov\u00e1n\u00ed dat se strukturovan\u00fdmi rozhovory s vlastn\u00edky syst\u00e9m\u016f. Pokryjte produk\u010dn\u00ed syst\u00e9my, datov\u00e9 sklady, logy, z\u00e1lohy, SaaS aplikace, tabulky, n\u00e1stroje podpory a st\u00ednov\u00e9 IT. Zaznamenejte kategorii \u00fadaj\u016f, \u00fa\u010del, pr\u00e1vn\u00ed z\u00e1klad, uchov\u00e1v\u00e1n\u00ed, p\u0159\u00edjemce a p\u0159ed\u00e1v\u00e1n\u00ed.<\/li>\n<li><strong>Anal\u00fdza mezer.<\/strong> Porovnejte sou\u010dasn\u00fd stav se sedmi z\u00e1sadami a kl\u00ed\u010dov\u00fdmi povinnostmi a ohodno\u0165te ka\u017edou mezeru podle pravd\u011bpodobnosti a dopadu na subjekty \u00fadaj\u016f.<\/li>\n<li><strong>Inventura vysok\u00fdch rizik.<\/strong> Identifikujte zpracov\u00e1n\u00ed, kter\u00e9 pravd\u011bpodobn\u011b vy\u017eaduje DPIA, a jak\u00e9koli zpracov\u00e1n\u00ed vy\u017eaduj\u00edc\u00ed p\u0159edchoz\u00ed konzultaci.<\/li>\n<li><strong>Nastaven\u00ed spr\u00e1vy.<\/strong> Ur\u010dete sponzora z veden\u00ed, vedouc\u00edho programu, vlastn\u00edky na \u00farovni syst\u00e9m\u016f a rozhodnut\u00ed o DPO se zaznamenan\u00fdm od\u016fvodn\u011bn\u00edm.<\/li>\n<\/ul>\n<h3>F\u00e1ze 2 \u2013 Napravit a zdokumentovat (dny 90\u2013180)<\/h3>\n<p>Druh\u00e1 f\u00e1ze m\u011bn\u00ed zji\u0161t\u011bn\u00ed v kontroly a vytv\u00e1\u0159\u00ed d\u016fkazy o odpov\u011bdnosti, jejich\u017e absenci odhalila f\u00e1ze 1.<\/p>\n<ul>\n<li><strong>Dokon\u010dete z\u00e1znam podle \u010dl\u00e1nku 30<\/strong> a za\u0159a\u010fte jej pod \u0159\u00edzen\u00ed zm\u011bn, aby nov\u00e9 zpracov\u00e1n\u00ed bylo p\u0159id\u00e1no p\u0159ed spu\u0161t\u011bn\u00edm.<\/li>\n<li><strong>Uzav\u0159ete nejprve rizikov\u00e9 mezery.<\/strong> Up\u0159ednostn\u011bte zvl\u00e1\u0161tn\u00ed kategorie, rozs\u00e1hl\u00e9 sledov\u00e1n\u00ed, p\u0159eshrani\u010dn\u00ed p\u0159ed\u00e1v\u00e1n\u00ed a jak\u00e9koli zpracov\u00e1n\u00ed s nevy\u0159e\u0161enou DPIA.<\/li>\n<li><strong>Zave\u010fte vym\u00e1h\u00e1n\u00ed uchov\u00e1v\u00e1n\u00ed.<\/strong> P\u0159eve\u010fte pl\u00e1n uchov\u00e1v\u00e1n\u00ed do automatizovan\u00fdch \u00faloh v\u00fdmazu, archivace a expirace z\u00e1loh a ov\u011b\u0159te, \u017ee funguj\u00ed.<\/li>\n<li><strong>P\u0159estavte proces pr\u00e1v.<\/strong> Zve\u0159ejn\u011bte vstupn\u00ed kan\u00e1l, definujte rozsah vyhled\u00e1v\u00e1n\u00ed pro ka\u017ed\u00fd syst\u00e9m, vytvo\u0159te workflow pro z\u00edsk\u00e1n\u00ed dat a za\u010dn\u011bte protokolovat \u017e\u00e1dosti a doby uzav\u0159en\u00ed.<\/li>\n<li><strong>Opravte smlouvy.<\/strong> Uve\u010fte smlouvy se zpracovateli do souladu s \u010dl\u00e1nkem 28, identifikujte subdodavatele a uzav\u0159ete mezery v z\u00e1ruk\u00e1ch p\u0159ed\u00e1v\u00e1n\u00ed.<\/li>\n<li><strong>Zpevn\u011bte zabezpe\u010den\u00ed.<\/strong> Zave\u010fte opat\u0159en\u00ed podle \u010dl\u00e1nku 32 identifikovan\u00e1 v anal\u00fdze mezer, v\u010detn\u011b \u0161ifrov\u00e1n\u00ed, \u0159\u00edzen\u00ed p\u0159\u00edstupu, logov\u00e1n\u00ed, monitoringu a spr\u00e1vy zranitelnost\u00ed.<\/li>\n<li><strong>Vytvo\u0159te runbook pro hl\u00e1\u0161en\u00ed.<\/strong> Definujte detekci, triage, klasifikaci z\u00e1va\u017enosti, eskalaci, pr\u00e1vn\u00ed posouzen\u00ed, \u0161ablony ozn\u00e1men\u00ed a pl\u00e1n cvi\u010den\u00ed.<\/li>\n<li><strong>\u0160kolte.<\/strong> \u0160kolen\u00ed podle rol\u00ed pro v\u00fdvoj, marketing, HR, obchod a podporu s uchovan\u00fdmi z\u00e1znamy o absolvov\u00e1n\u00ed.<\/li>\n<\/ul>\n<h3>F\u00e1ze 3 \u2013 Provozovat a prokazovat (dny 180\u2013365, pot\u00e9 trval\u00fd stav)<\/h3>\n<p>Posledn\u00ed f\u00e1ze m\u011bn\u00ed soulad z projektu na rutinu. Pr\u00e1v\u011b tato f\u00e1ze rozhoduje, zda program p\u0159e\u017eije prvn\u00ed zm\u011bnu veden\u00ed nebo prvn\u00ed velk\u00e9 uveden\u00ed produktu na trh.<\/p>\n<ul>\n<li><strong>Zakotv\u011bte ochranu \u00fadaj\u016f v dod\u00e1vce.<\/strong> P\u0159idejte po\u017eadavky na ochranu \u00fadaj\u016f do definice hotov\u00e9ho a screening DPIA do proces\u016f pro p\u0159\u00edjem po\u017eadavk\u016f a zm\u011bnov\u00e9 \u0159\u00edzen\u00ed.<\/li>\n<li><strong>Provozujte monitorovac\u00ed cyklus.<\/strong> M\u011bs\u00ed\u010dn\u00ed metriky objemu \u017e\u00e1dost\u00ed a dob uzav\u0159en\u00ed, p\u0159\u00edpad\u016f poru\u0161en\u00ed zabezpe\u010den\u00ed, m\u00edry souhlasu, \u00fasp\u011b\u0161nosti \u00faloh v\u00fdmazu, absolvovan\u00fdch \u0161kolen\u00ed a reviz\u00ed dodavatel\u016f.<\/li>\n<li><strong>Testujte.<\/strong> Ro\u010dn\u00ed penetra\u010dn\u00ed testy, pravideln\u00e9 testy obnovy a alespo\u0148 ro\u010dn\u00ed tabletop cvi\u010den\u00ed reakce na poru\u0161en\u00ed s zdokumentovan\u00fdmi poznatky.<\/li>\n<li><strong>Auditujte.<\/strong> Intern\u00ed audit nebo extern\u00ed hodnocen\u00ed proti sedmi z\u00e1sad\u00e1m a kl\u00ed\u010dov\u00fdm povinnostem se sledov\u00e1n\u00edm zji\u0161t\u011bn\u00ed do uzav\u0159en\u00ed.<\/li>\n<li><strong>Revizujte dodavatele.<\/strong> Pravideln\u011b p\u0159ehodnocujte stav zpracovatel\u016f, seznamy subdodavatel\u016f a uspo\u0159\u00e1d\u00e1n\u00ed p\u0159ed\u00e1v\u00e1n\u00ed a v\u017edy, kdy\u017e dodavatel podstatn\u011b zm\u011bn\u00ed svou slu\u017ebu.<\/li>\n<li><strong>Reportujte veden\u00ed.<\/strong> Kr\u00e1tk\u00e1 zpr\u00e1va pro veden\u00ed o stavu souladu, zbytkov\u00fdch rizic\u00edch a pot\u0159ebn\u00fdch rozhodnut\u00edch.<\/li>\n<\/ul>\n<p>Pokud mus\u00ed va\u0161e organizace provozovat tento program soub\u011b\u017en\u011b s dod\u00e1vkou produktu \u2013 a v\u011bt\u0161ina mus\u00ed \u2013, <a href=\"https:\/\/greyson.eu\/cs\/consulting\/\">konzulta\u010dn\u00ed t\u00fdm Greyson<\/a> spolupracuje s IT veden\u00edm na na\u010dasov\u00e1n\u00ed pr\u016fzkumu, n\u00e1pravy a provozn\u00edch rutin tak, aby se roadmapa nezastavila.<\/p>\n<h3>Dvan\u00e1ctim\u011bs\u00ed\u010dn\u00ed pl\u00e1n programu souladu s GDPR<\/h3>\n<table>\n<thead>\n<tr>\n<th>F\u00e1ze<\/th>\n<th>Obdob\u00ed<\/th>\n<th>Kl\u00ed\u010dov\u00e9 aktivity<\/th>\n<th>V\u00fdstupy<\/th>\n<th>Vlastn\u00edk<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Zjistit a posoudit<\/td>\n<td>Dny 0\u201390<\/td>\n<td>Ur\u010den\u00ed p\u016fsobnosti a rol\u00ed; pr\u016fzkum dat; anal\u00fdza mezer; inventura vysok\u00fdch rizik; nastaven\u00ed spr\u00e1vy<\/td>\n<td>Inventura dat a mapa tok\u016f; mapa rol\u00ed; registr mezer; pipeline DPIA; charta programu<\/td>\n<td>Vedouc\u00ed programu s vlastn\u00edky syst\u00e9m\u016f<\/td>\n<\/tr>\n<tr>\n<td>Napravit a zdokumentovat<\/td>\n<td>Dny 90\u2013180<\/td>\n<td>Z\u00e1znam podle \u010dl. 30; vym\u00e1h\u00e1n\u00ed uchov\u00e1v\u00e1n\u00ed; stavba procesu pr\u00e1v; sanace smluv; zpevn\u011bn\u00ed zabezpe\u010den\u00ed; runbook pro hl\u00e1\u0161en\u00ed; \u0161kolen\u00ed<\/td>\n<td>Z\u00e1znamy o \u010dinnostech zpracov\u00e1n\u00ed; pl\u00e1ny uchov\u00e1v\u00e1n\u00ed v k\u00f3du; workflow \u017e\u00e1dost\u00ed o p\u0159\u00edstup; smlouvy se zpracovateli v souladu; runbook pro incidenty; z\u00e1znamy o \u0161kolen\u00edch<\/td>\n<td>Kancel\u00e1\u0159 pro ochranu \u00fadaj\u016f s v\u00fdvojem, n\u00e1kupem a HR<\/td>\n<\/tr>\n<tr>\n<td>Provozovat a prokazovat<\/td>\n<td>Dny 180\u2013365<\/td>\n<td>Ochrana \u00fadaj\u016f v definici hotov\u00e9ho; monitorovac\u00ed metriky; testov\u00e1n\u00ed; intern\u00ed audit; p\u0159ehodnocen\u00ed dodavatel\u016f; reporting veden\u00ed<\/td>\n<td>Monitorovac\u00ed dashboard; zpr\u00e1vy z test\u016f; protokol zji\u0161t\u011bn\u00ed auditu; z\u00e1znamy o reviz\u00edch dodavatel\u016f; zpr\u00e1vy pro veden\u00ed<\/td>\n<td>DPO s CISO a vedouc\u00edmi v\u00fdvoje<\/td>\n<\/tr>\n<tr>\n<td>Trval\u00fd stav<\/td>\n<td>Od 2. roku<\/td>\n<td>Pr\u016fb\u011b\u017en\u00fd p\u0159\u00edjem nov\u00fdch zpracov\u00e1n\u00ed; ro\u010dn\u00ed aktualizace DPIA; sledov\u00e1n\u00ed regulatorn\u00edch zm\u011bn; konvergence s AI Act<\/td>\n<td>Aktualizovan\u00e9 registry; aktualizovan\u00e9 DPIA; briefy k regulatorn\u00edmu v\u00fdvoji<\/td>\n<td>Kancel\u00e1\u0159 pro ochranu \u00fadaj\u016f se sponzorem z veden\u00ed<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Jak soulad s GDPR m\u011bn\u00ed v\u00fdvoj softwaru a testov\u00e1n\u00ed?<\/h2>\n<p>Toto je oblast, kde je soulad s GDPR nej\u010dast\u011bji nespr\u00e1vn\u011b ch\u00e1p\u00e1n jako pr\u00e1vn\u00ed z\u00e1le\u017eitost a nej\u010dast\u011bji selh\u00e1v\u00e1 jako in\u017een\u00fdrsk\u00e1 \u00faloha. Povinnosti podle \u010dl\u00e1nk\u016f 25 a 32 jsou n\u00e1vrhov\u00e9 a testovac\u00ed povinnosti. Nelze je splnit dokumentem s politikou napsan\u00fdm po vyd\u00e1n\u00ed.<\/p>\n<h3>Ochrana \u00fadaj\u016f ji\u017e ve f\u00e1zi n\u00e1vrhu nap\u0159\u00ed\u010d \u017eivotn\u00edm cyklem v\u00fdvoje<\/h3>\n<p>Ochrana \u00fadaj\u016f ji\u017e ve f\u00e1zi n\u00e1vrhu funguje jen tehdy, kdy\u017e se po\u017eadavky na ochranu \u00fadaj\u016f chovaj\u00ed jako ka\u017ed\u00fd jin\u00fd nefunk\u010dn\u00ed po\u017eadavek: zachycen\u00e9 v\u010das, testovateln\u00e9, sledovan\u00e9 do spln\u011bn\u00ed a ov\u011b\u0159en\u00e9 p\u0159ed vyd\u00e1n\u00edm.<\/p>\n<p><strong>F\u00e1ze po\u017eadavk\u016f.<\/strong> Ka\u017ed\u00e1 funkce, kter\u00e1 se dot\u00fdk\u00e1 osobn\u00edch \u00fadaj\u016f, by m\u011bla deklarovat \u00fa\u010del, pr\u00e1vn\u00ed z\u00e1klad, kategorie \u00fadaj\u016f, dobu uchov\u00e1v\u00e1n\u00ed, p\u0159\u00edjemce a p\u0159\u00edslu\u0161n\u00e1 pr\u00e1va subjekt\u016f \u00fadaj\u016f. Screeningov\u00e1 ot\u00e1zka p\u0159i p\u0159\u00edjmu po\u017eadavku \u2013 zpracov\u00e1v\u00e1 tento z\u00e1m\u011br osobn\u00ed \u00fadaje a spl\u0148uje n\u011bkter\u00e9 krit\u00e9rium DPIA? \u2013 zachyt\u00ed p\u0159\u00edpady, kter\u00e9 vy\u017eaduj\u00ed posouzen\u00ed d\u0159\u00edve, ne\u017e je architektura zamrzl\u00e1.<\/p>\n<p><strong>F\u00e1ze n\u00e1vrhu.<\/strong> Minimalizace \u00fadaj\u016f se uplat\u0148uje na \u00farovni sch\u00e9matu a API, nejen ve formul\u00e1\u0159i. Pseudonymizace, p\u0159\u00edstup v\u00e1zan\u00fd na \u00fa\u010del, \u0161ifrov\u00e1n\u00ed a spr\u00e1va kl\u00ed\u010d\u016f jsou navr\u017eeny p\u0159edem. V\u00fdchoz\u00ed nastaven\u00ed chr\u00e1n\u00ed soukrom\u00ed a napl\u0148uj\u00ed klauzuli o v\u00fdchoz\u00edm nastaven\u00ed podle \u010dl\u00e1nku 25.<\/p>\n<p><strong>F\u00e1ze v\u00fdvoje.<\/strong> Stav souhlasu, zna\u010dky \u00fa\u010delu a metadata o uchov\u00e1v\u00e1n\u00ed se modeluj\u00ed jako prvot\u0159\u00eddn\u00ed datov\u00e9 atributy, nikoli se p\u0159id\u00e1vaj\u00ed dodate\u010dn\u011b. Logov\u00e1n\u00ed je ve v\u00fdchoz\u00edm stavu konfigurov\u00e1no tak, aby osobn\u00ed \u00fadaje vylu\u010dovalo nebo redigovalo, proto\u017ee logovac\u00ed \u00falo\u017ei\u0161t\u011b pat\u0159\u00ed mezi nej\u010dast\u011bji p\u0159ehl\u00ed\u017een\u00e9 zdroje osobn\u00edch \u00fadaj\u016f.<\/p>\n<p><strong>F\u00e1ze testov\u00e1n\u00ed.<\/strong> Po\u017eadavky na ochranu \u00fadaj\u016f se testuj\u00ed jako funk\u010dn\u00ed po\u017eadavky: \u017ee v\u00fdmaz skute\u010dn\u011b ma\u017ee ve v\u0161ech \u00falo\u017ei\u0161t\u00edch v\u010detn\u011b odvozen\u00fdch datov\u00fdch sad a vyhled\u00e1vac\u00edch index\u016f, \u017ee \u00falohy uchov\u00e1v\u00e1n\u00ed se spou\u0161t\u011bj\u00ed, \u017ee odvol\u00e1n\u00ed souhlasu potla\u010d\u00ed zpracov\u00e1n\u00ed v navazuj\u00edc\u00edch syst\u00e9mech, \u017ee \u0159\u00edzen\u00ed p\u0159\u00edstupu omezuje podle \u00fa\u010delu, \u017ee export vytv\u00e1\u0159\u00ed \u00fapln\u00fd a strojov\u011b \u010diteln\u00fd z\u00e1znam a \u017ee automatizovan\u00e1 rozhodnut\u00ed poskytuj\u00ed vysv\u011btlen\u00ed a sm\u011b\u0159uj\u00ed k lidsk\u00e9 kontrole.<\/p>\n<p><strong>F\u00e1ze vyd\u00e1n\u00ed.<\/strong> Kontroly ochrany \u00fadaj\u016f se st\u00e1vaj\u00ed sou\u010d\u00e1st\u00ed definice hotov\u00e9ho. Vyd\u00e1n\u00ed, kter\u00e9 m\u011bn\u00ed zp\u016fsob zpracov\u00e1n\u00ed osobn\u00edch \u00fadaj\u016f bez aktualizace z\u00e1znamu v registru nebo bez dokon\u010den\u00ed screeningu DPIA, by nem\u011blo proj\u00edt branou.<\/p>\n<p><strong>F\u00e1ze provozu.<\/strong> Vym\u00e1h\u00e1n\u00ed uchov\u00e1v\u00e1n\u00ed, revize p\u0159\u00edstup\u016f, monitoring a pravideln\u00e9 p\u0159ehodnocov\u00e1n\u00ed DPIA podle v\u00fdvoje zpracov\u00e1n\u00ed. \u010cl. 32 odst. 1 p\u00edsm. d) v\u00fdslovn\u011b vy\u017eaduje pravideln\u00e9 testov\u00e1n\u00ed \u00fa\u010dinnosti bezpe\u010dnostn\u00edch opat\u0159en\u00ed, co\u017e z kontinu\u00e1ln\u00edho testov\u00e1n\u00ed \u010din\u00ed pr\u00e1vn\u00ed o\u010dek\u00e1v\u00e1n\u00ed, nikoli in\u017een\u00fdrskou preferenci.<\/p>\n<h3>Spr\u00e1va testovac\u00edch dat \u2013 pseudonymizace versus anonymizace<\/h3>\n<p>Testov\u00e1n\u00ed je m\u00edstem, kde se soulad s GDPR a in\u017een\u00fdrsk\u00e1 praxe nejviditeln\u011bji st\u0159et\u00e1vaj\u00ed. V\u00fdvojov\u00e1 a testovac\u00ed prost\u0159ed\u00ed pot\u0159ebuj\u00ed realistick\u00e1 data, aby odhalila realistick\u00e9 chyby, ale produk\u010dn\u00ed osobn\u00ed \u00fadaje nesm\u00ed b\u00fdt kop\u00edrov\u00e1ny do prost\u0159ed\u00ed se slab\u0161\u00edmi kontrolami. GDPR nab\u00edz\u00ed dv\u011b cesty a nejsou zam\u011bniteln\u00e9.<\/p>\n<p><strong>Anonymizace<\/strong> odstra\u0148uje identifikovatelnost do t\u00e9 m\u00edry, \u017ee \u00fadaje zcela opou\u0161t\u011bj\u00ed p\u016fsobnost GDPR. Aby toho bylo dosa\u017eeno, mus\u00ed \u00fadaje odolat osamocen\u00ed (izolace jednotlivce), propojitelnosti (spojen\u00ed z\u00e1znam\u016f o stejn\u00e9 osob\u011b) a inferenci (odvozen\u00ed atribut\u016f z jin\u00fdch dat), s p\u0159ihl\u00e9dnut\u00edm ke v\u0161em pravd\u011bpodobn\u011b pou\u017eiteln\u00fdm prost\u0159edk\u016fm. Skute\u010dn\u00e1 anonymizace je obt\u00ed\u017en\u00e1 a u mnoha podnikov\u00fdch datov\u00fdch sad \u2013 zejm\u00e9na t\u011bch s bohat\u00fdmi kvazi-identifik\u00e1tory, jako je PS\u010c, datum narozen\u00ed a transak\u010dn\u00ed vzorce \u2013 nen\u00ed dosa\u017eiteln\u00e1 bez zni\u010den\u00ed analytick\u00e9ho p\u0159\u00ednosu.<\/p>\n<p><strong>Pseudonymizace<\/strong> nahrazuje p\u0159\u00edm\u00e9 identifik\u00e1tory um\u011bl\u00fdmi, p\u0159i\u010dem\u017e op\u011btovn\u00e1 identifikace z\u016fst\u00e1v\u00e1 mo\u017en\u00e1 prost\u0159ednictv\u00edm odd\u011blen\u011b ulo\u017een\u00e9ho kl\u00ed\u010dov\u00e9ho materi\u00e1lu. Pseudonymizovan\u00e9 \u00fadaje z\u016fst\u00e1vaj\u00ed osobn\u00edmi \u00fadaji a v p\u016fsobnosti na\u0159\u00edzen\u00ed, ale \u010dl\u00e1nek 32 v\u00fdslovn\u011b uzn\u00e1v\u00e1 pseudonymizaci jako bezpe\u010dnostn\u00ed opat\u0159en\u00ed a \u010dl\u00e1nek 25 jako n\u00e1vrhovou techniku. Pro v\u011bt\u0161inu testovac\u00edch prost\u0159ed\u00ed je pseudonymizace s p\u0159\u00edsn\u00fdm odd\u011blen\u00edm kl\u00ed\u010d\u016f praktickou a obhajitelnou volbou: zachov\u00e1v\u00e1 referen\u010dn\u00ed integritu a realisti\u010dnost dat, odstra\u0148uje p\u0159\u00edmou identifikovatelnost a napl\u0148uje technick\u00e9 opat\u0159en\u00ed podle \u010dl\u00e1nku 32.<\/p>\n<p>A\u0165 zvol\u00edte kteroukoli cestu, n\u011bkolik kontrol je nep\u0159ekro\u010diteln\u00fdch. Testovac\u00ed prost\u0159ed\u00ed nesm\u00ed b\u00fdt dostupn\u00e1 s produk\u010dn\u00edmi p\u0159ihla\u0161ovac\u00edmi \u00fadaji. Data mus\u00ed b\u00fdt maskov\u00e1na v m\u00edst\u011b extrakce, nikoli v c\u00edlov\u00e9m prost\u0159ed\u00ed. Referen\u010dn\u00ed integrita mus\u00ed b\u00fdt zachov\u00e1na, aby testy z\u016fstaly smyslupln\u00e9 \u2013 stejn\u00fd syntetick\u00fd identifik\u00e1tor mus\u00ed b\u00fdt konzistentn\u00ed nap\u0159\u00ed\u010d souvisej\u00edc\u00edmi tabulkami. Mus\u00ed b\u00fdt pokryta voln\u00e1 textov\u00e1 pole, p\u0159\u00edlohy, pozn\u00e1mky a metadata dokument\u016f, proto\u017ee pr\u00e1v\u011b tam osobn\u00ed \u00fadaje maskov\u00e1n\u00ed nej\u010dast\u011bji p\u0159e\u017eij\u00ed. A samotn\u00fd proces maskov\u00e1n\u00ed mus\u00ed b\u00fdt testov\u00e1n: vzorkov\u00e1n\u00ed maskovan\u00fdch datov\u00fdch sad na zbytkov\u00e9 identifik\u00e1tory je legitimn\u00ed a o\u010dek\u00e1van\u00e1 kontrola.<\/p>\n<h3>Cloud, dodavatel\u00e9 a zaji\u0161t\u011bn\u00ed zpracovatel\u016f<\/h3>\n<p>P\u0159esun do cloudu nep\u0159en\u00e1\u0161\u00ed odpov\u011bdnost. Podle \u010dl\u00e1nku 28 z\u016fst\u00e1v\u00e1 spr\u00e1vce odpov\u011bdn\u00fd za v\u00fdb\u011br zpracovatele poskytuj\u00edc\u00edho dostate\u010dn\u00e9 z\u00e1ruky a za to, \u017ee smlouva pokr\u00fdv\u00e1 po\u017eadovan\u00e9 podm\u00ednky. Speci\u00e1ln\u011b u cloudu si zaslou\u017e\u00ed pozornost \u010dty\u0159i oblasti.<\/p>\n<p><strong>Um\u00edst\u011bn\u00ed dat a \u0159et\u011bzce p\u0159ed\u00e1v\u00e1n\u00ed.<\/strong> Cloudov\u00e1 slu\u017eba m\u016f\u017ee replikovat data mezi regiony a vyu\u017e\u00edvat subdodavatele v n\u011bkolika jurisdikc\u00edch. Mapov\u00e1n\u00ed p\u0159ed\u00e1v\u00e1n\u00ed mus\u00ed sledovat skute\u010dnou cestu dat v\u010detn\u011b p\u0159\u00edstupu podpory ze t\u0159et\u00edch zem\u00ed, co\u017e je samo o sob\u011b p\u0159ed\u00e1v\u00e1n\u00edm.<\/p>\n<p><strong>Transparentnost subdodavatel\u016f.<\/strong> \u010cl. 28 odst. 2 vy\u017eaduje povolen\u00ed subdodavatel\u016f. V praxi to znamen\u00e1 sledovat zve\u0159ejn\u011bn\u00e9 seznamy subdodavatel\u016f, m\u00edt mechanismus pro n\u00e1mitku proti zm\u011bn\u00e1m a zdokumentovan\u00fd postup pro p\u0159\u00edpad, \u017ee n\u00e1mitku skute\u010dn\u011b vznesete.<\/p>\n<p><strong>V\u00fdmaz a ukon\u010den\u00ed.<\/strong> \u010cl. 28 odst. 3 p\u00edsm. g) vy\u017eaduje v\u00fdmaz nebo vr\u00e1cen\u00ed \u00fadaj\u016f na konci spolupr\u00e1ce. V multi-tenant architektur\u00e1ch s velk\u00fdm objemem z\u00e1loh ov\u011b\u0159te, co \u201ev\u00fdmaz&#8221; konkr\u00e9tn\u011b znamen\u00e1, jak\u00e9 jsou lh\u016fty a zda zbytkov\u00e9 kopie p\u0159etrv\u00e1vaj\u00ed v z\u00e1loh\u00e1ch nebo analytick\u00fdch \u00falo\u017ei\u0161t\u00edch.<\/p>\n<p><strong>Roz\u0161i\u0159ov\u00e1n\u00ed funkc\u00ed a sekund\u00e1rn\u00ed vyu\u017eit\u00ed.<\/strong> Mnoho cloudov\u00fdch platforem dnes nab\u00edz\u00ed funkce s podporou AI, kter\u00e9 mohou zpracov\u00e1vat data z\u00e1kazn\u00edk\u016f. Ka\u017edou takovou funkci je t\u0159eba posoudit: vyu\u017e\u00edv\u00e1 data pro tr\u00e9nink model\u016f, a pokud ano, na jak\u00e9m pr\u00e1vn\u00edm z\u00e1klad\u011b a s jakou smluvn\u00ed ochranou?<\/p>\n<h3>Kontroly ochrany \u00fadaj\u016f podle f\u00e1z\u00ed \u017eivotn\u00edho cyklu v\u00fdvoje<\/h3>\n<table>\n<thead>\n<tr>\n<th>F\u00e1ze SDLC<\/th>\n<th>C\u00edl ochrany \u00fadaj\u016f<\/th>\n<th>Konkr\u00e9tn\u00ed kontroly<\/th>\n<th>Vytvo\u0159en\u00fd d\u016fkaz<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Po\u017eadavky<\/td>\n<td>Identifikovat a ohrani\u010dit zpracov\u00e1n\u00ed osobn\u00edch \u00fadaj\u016f<\/td>\n<td>Screening ochrany \u00fadaj\u016f p\u0159i p\u0159\u00edjmu po\u017eadavku; deklarace \u00fa\u010delu a pr\u00e1vn\u00edho z\u00e1kladu; kontrola spou\u0161t\u011b\u010d\u016f DPIA; klasifikace kategori\u00ed \u00fadaj\u016f<\/td>\n<td>Vypln\u011bn\u00e9 z\u00e1znamy o screeningu; rozhodnut\u00ed o DPIA<\/td>\n<\/tr>\n<tr>\n<td>N\u00e1vrh<\/td>\n<td>Uplatnit ochranu \u00fadaj\u016f ji\u017e ve f\u00e1zi n\u00e1vrhu a ve v\u00fdchoz\u00edm nastaven\u00ed<\/td>\n<td>Minimalizace na \u00farovni sch\u00e9matu; n\u00e1vrh pseudonymizace; n\u00e1vrh \u0161ifrov\u00e1n\u00ed a spr\u00e1vy kl\u00ed\u010d\u016f; model p\u0159\u00edstupu v\u00e1zan\u00e9ho na \u00fa\u010del; v\u00fdchoz\u00ed nastaven\u00ed chr\u00e1n\u00edc\u00ed soukrom\u00ed<\/td>\n<td>N\u00e1vrhov\u00e9 dokumenty se sekc\u00ed o ochran\u011b \u00fadaj\u016f; z\u00e1znamy z reviz\u00ed architektury<\/td>\n<\/tr>\n<tr>\n<td>V\u00fdvoj<\/td>\n<td>Ukotvit atributy ochrany \u00fadaj\u016f jako prvot\u0159\u00eddn\u00ed v datov\u00e9m modelu<\/td>\n<td>Stav souhlasu jako modelovan\u00fd atribut; zna\u010dky \u00fa\u010delu na toc\u00edch dat; metadata o uchov\u00e1v\u00e1n\u00ed; v\u00fdchoz\u00ed redakce log\u016f; spr\u00e1va tajemstv\u00ed<\/td>\n<td>Z\u00e1znamy z reviz\u00ed k\u00f3du; dokumentace datov\u00e9ho modelu<\/td>\n<\/tr>\n<tr>\n<td>Testov\u00e1n\u00ed<\/td>\n<td>Ov\u011b\u0159it chov\u00e1n\u00ed v oblasti ochrany \u00fadaj\u016f, nejen funk\u010dn\u00ed chov\u00e1n\u00ed<\/td>\n<td>Ov\u011b\u0159en\u00ed v\u00fdmazu ve v\u0161ech \u00falo\u017ei\u0161t\u00edch; testy \u00faloh uchov\u00e1v\u00e1n\u00ed; testy \u0161\u00ed\u0159en\u00ed odvol\u00e1n\u00ed souhlasu; testy \u0159\u00edzen\u00ed p\u0159\u00edstupu a \u00fa\u010delu; testy \u00faplnosti exportu pro \u017e\u00e1dosti o p\u0159\u00edstup; vzorkov\u00e1n\u00ed zbytkov\u00fdch identifik\u00e1tor\u016f v maskovan\u00fdch datech<\/td>\n<td>Zpr\u00e1vy z test\u016f uchovan\u00e9 jako d\u016fkaz podle \u010dl. 32; zpr\u00e1vy o validaci maskov\u00e1n\u00ed<\/td>\n<\/tr>\n<tr>\n<td>Vyd\u00e1n\u00ed<\/td>\n<td>Zabr\u00e1nit vyd\u00e1n\u00ed nedokumentovan\u00e9ho zpracov\u00e1n\u00ed<\/td>\n<td>Kontroly ochrany \u00fadaj\u016f v definici hotov\u00e9ho; br\u00e1na aktualizace registru; br\u00e1na dokon\u010den\u00ed DPIA; schv\u00e1len\u00ed vyd\u00e1n\u00ed<\/td>\n<td>Kontroln\u00ed seznamy vyd\u00e1n\u00ed; aktualizovan\u00e9 z\u00e1znamy o \u010dinnostech zpracov\u00e1n\u00ed<\/td>\n<\/tr>\n<tr>\n<td>Provoz<\/td>\n<td>Udr\u017eovat \u00fa\u010dinnost v \u010dase<\/td>\n<td>Monitoring \u00faloh uchov\u00e1v\u00e1n\u00ed; pravideln\u00e9 revize p\u0159\u00edstup\u016f; spou\u0161t\u011b\u010de aktualizace DPIA; cvi\u010den\u00ed reakce na incidenty; testov\u00e1n\u00ed zranitelnost\u00ed a penetra\u010dn\u00ed testy<\/td>\n<td>Monitorovac\u00ed zpr\u00e1vy; z\u00e1pisy z reviz\u00ed; z\u00e1znamy z test\u016f a cvi\u010den\u00ed<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Jak\u00e9 jsou nej\u010dast\u011bj\u0161\u00ed m\u00fdty o GDPR?<\/h2>\n<p>V\u011bt\u0161ina zaseknut\u00fdch program\u016f nen\u00ed blokov\u00e1na slo\u017eitost\u00ed. Blokuje je mal\u00e1 skupina p\u0159etrv\u00e1vaj\u00edc\u00edch p\u0159esv\u011bd\u010den\u00ed, kter\u00e1 vedou t\u00fdmy k vynakl\u00e1d\u00e1n\u00ed \u00fasil\u00ed na \u0161patn\u00e9m m\u00edst\u011b.<\/p>\n<h3>Dev\u011bt m\u00fdt\u016f, kter\u00e9 brzd\u00ed programy souladu<\/h3>\n<p><strong>\u201eNejsme v EU, tak\u017ee se n\u00e1s GDPR net\u00fdk\u00e1.&#8221;<\/strong> \u010cl. 3 odst. 2 vztahuje na\u0159\u00edzen\u00ed na organizace nab\u00edzej\u00edc\u00ed zbo\u017e\u00ed nebo slu\u017eby osob\u00e1m v EU nebo sleduj\u00edc\u00ed jejich chov\u00e1n\u00ed, bez po\u017eadavku na provozovnu.<\/p>\n<p><strong>\u201eNa\u0161e data jsou anonymizovan\u00e1, tak\u017ee nejsou v p\u016fsobnosti.&#8221;<\/strong> Mimo p\u016fsobnost jsou pouze nevratn\u011b anonymizovan\u00e1 data. Pseudonymizovan\u00e1 data a data, kter\u00e1 lze reidentifikovat kombinac\u00ed s jin\u00fdmi datov\u00fdmi sadami, z\u016fst\u00e1vaj\u00ed osobn\u00edmi \u00fadaji.<\/p>\n<p><strong>\u201eSouhlas je jedin\u00fd pr\u00e1vn\u00ed z\u00e1klad, kter\u00fd pot\u0159ebujeme.&#8221;<\/strong> Existuje dal\u0161\u00edch p\u011bt z\u00e1klad\u016f. Pou\u017eit\u00ed souhlasu tam, kde plat\u00ed smlouva nebo pr\u00e1vn\u00ed povinnost, vytv\u00e1\u0159\u00ed zbyte\u010dn\u00e9 riziko, proto\u017ee souhlas lze kdykoli odvolat.<\/p>\n<p><strong>\u201eZ\u00e1znam jsme smazali, tak\u017ee jsme v souladu.&#8221;<\/strong> V\u00fdmaz mus\u00ed zas\u00e1hnout z\u00e1lohy, odvozen\u00e9 datov\u00e9 sady, analytick\u00e1 \u00falo\u017ei\u0161t\u011b, vyhled\u00e1vac\u00ed indexy, cache a zpracovatele. V\u00fdmaz, kter\u00fd skon\u010d\u00ed u prim\u00e1rn\u00ed datab\u00e1ze, je ne\u00fapln\u00fd.<\/p>\n<p><strong>\u201eDPIA je formalita pro pr\u00e1vn\u00ed odd\u011blen\u00ed.&#8221;<\/strong> DPIA je posouzen\u00ed rizik, kter\u00e9 informuje n\u00e1vrhov\u00e1 rozhodnut\u00ed, mus\u00ed b\u00fdt vytvo\u0159eno p\u0159ed zah\u00e1jen\u00edm zpracov\u00e1n\u00ed, se zaznamenan\u00fdm stanoviskem DPO a p\u0159ijet\u00edm zbytkov\u00e9ho rizika na spr\u00e1vn\u00e9 \u00farovni.<\/p>\n<p><strong>\u201eN\u00e1\u0161 poskytovatel cloudu vy\u0159e\u0161\u00ed GDPR za n\u00e1s.&#8221;<\/strong> Zpracovatel\u00e9 poskytuj\u00ed z\u00e1ruky a smluvn\u00ed z\u00e1vazky; odpov\u011bdnost podle \u010dl. 5 odst. 2 a \u010dl\u00e1nku 24 z\u016fst\u00e1v\u00e1 na spr\u00e1vci, v\u010detn\u011b p\u0159ed\u00e1v\u00e1n\u00ed a subdodavatel\u016f.<\/p>\n<p><strong>\u201eM\u00e1me na webu z\u00e1sady ochrany osobn\u00edch \u00fadaj\u016f, tak\u017ee jsme pokryti.&#8221;<\/strong> Z\u00e1sady ochrany osobn\u00edch \u00fadaj\u016f pln\u00ed jednu povinnost transparentnosti. Pro vym\u00e1h\u00e1n\u00ed uchov\u00e1v\u00e1n\u00ed, pln\u011bn\u00ed pr\u00e1v, bezpe\u010dnostn\u00ed testy nebo p\u0159ipravenost na hl\u00e1\u0161en\u00ed ned\u011blaj\u00ed nic.<\/p>\n<p><strong>\u201eSoulad je jednor\u00e1zov\u00fd projekt.&#8221;<\/strong> Ka\u017ed\u00fd nov\u00fd syst\u00e9m, dodavatel, integrace, marketingov\u00fd kan\u00e1l a funkce AI m\u011bn\u00ed podobu zpracov\u00e1n\u00ed. Soulad bez vstupu \u0159\u00edzen\u00ed zm\u011bn se rozpadne do jednoho \u010dtvrtlet\u00ed.<\/p>\n<p><strong>\u201eGDPR a AI Act jsou odd\u011blen\u00e9 probl\u00e9my.&#8221;<\/strong> Syst\u00e9my AI, kter\u00e9 zpracov\u00e1vaj\u00ed osobn\u00ed \u00fadaje, mus\u00ed spl\u0148ovat oboj\u00ed. Minimalizace \u00fadaj\u016f, omezen\u00ed \u00fa\u010delu a anal\u00fdza pr\u00e1vn\u00edho z\u00e1kladu se vztahuj\u00ed na tr\u00e9ninkov\u00e1 data a \u010dl\u00e1nek 22 omezuje automatizovan\u00e1 rozhodnut\u00ed, kter\u00e1 v\u00fdznamn\u011b ovliv\u0148uj\u00ed jednotlivce.<\/p>\n<h3>M\u00fdtus versus realita<\/h3>\n<table>\n<thead>\n<tr>\n<th>M\u00fdtus<\/th>\n<th>Realita<\/th>\n<th>Rozhoduj\u00edc\u00ed ustanoven\u00ed<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>GDPR plat\u00ed jen pro organizace se s\u00eddlem v EU<\/td>\n<td>Plat\u00ed pro organizace mimo EU, kter\u00e9 nab\u00edzej\u00ed zbo\u017e\u00ed nebo slu\u017eby osob\u00e1m v EU nebo je sleduj\u00ed<\/td>\n<td>\u010cl. 3 odst. 2; body od\u016fvodn\u011bn\u00ed 23\u201324<\/td>\n<\/tr>\n<tr>\n<td>Pseudonymizovan\u00e1 data nejsou v p\u016fsobnosti GDPR<\/td>\n<td>Pseudonymizovan\u00e1 data z\u016fst\u00e1vaj\u00ed osobn\u00edmi \u00fadaji; mimo p\u016fsobnost je vyj\u00edm\u00e1 jen nevratn\u00e1 anonymizace<\/td>\n<td>\u010cl. 4 odst. 1 a 5; bod od\u016fvodn\u011bn\u00ed 26<\/td>\n<\/tr>\n<tr>\n<td>Souhlas je v\u017edy nejbezpe\u010dn\u011bj\u0161\u00ed pr\u00e1vn\u00ed z\u00e1klad<\/td>\n<td>Souhlas je k\u0159ehk\u00fd a odvolateln\u00fd; spr\u00e1vn\u00fd z\u00e1klad z\u00e1vis\u00ed na \u00fa\u010delu zpracov\u00e1n\u00ed<\/td>\n<td>\u010cl. 6 odst. 1; \u010dl. 7<\/td>\n<\/tr>\n<tr>\n<td>Smazat prim\u00e1rn\u00ed z\u00e1znam sta\u010d\u00ed<\/td>\n<td>V\u00fdmaz mus\u00ed pokr\u00fdt z\u00e1lohy, odvozen\u00e1 data, analytiku, indexy a zpracovatele<\/td>\n<td>\u010cl. 17; \u010dl. 19<\/td>\n<\/tr>\n<tr>\n<td>DPIA je pr\u00e1vn\u00ed dokument<\/td>\n<td>DPIA je posouzen\u00ed rizik, kter\u00e9 mus\u00ed p\u0159edch\u00e1zet rizikov\u00e9mu zpracov\u00e1n\u00ed a informovat n\u00e1vrh<\/td>\n<td>\u010cl. 35; \u010dl. 36<\/td>\n<\/tr>\n<tr>\n<td>Za soulad odpov\u00edd\u00e1 poskytovatel cloudu<\/td>\n<td>Odpov\u011bdnost z\u016fst\u00e1v\u00e1 na spr\u00e1vci; zpracovatel\u00e9 poskytuj\u00ed z\u00e1ruky a pomoc<\/td>\n<td>\u010cl. 5 odst. 2, 24, 28<\/td>\n<\/tr>\n<tr>\n<td>Zve\u0159ejn\u011bn\u00e9 z\u00e1sady ochrany \u00fadaj\u016f znamenaj\u00ed soulad<\/td>\n<td>Transparentnost je jedna z mnoha povinnost\u00ed; pot\u0159ebn\u00e9 jsou i provozn\u00ed kontroly<\/td>\n<td>\u010cl. 5, 12\u201314, 24, 30, 32<\/td>\n<\/tr>\n<tr>\n<td>Soulad je jednor\u00e1zov\u00fd projekt<\/td>\n<td>Je to udr\u017eovan\u00fd stav, kter\u00fd mus\u00ed pojmout ka\u017ed\u00fd nov\u00fd syst\u00e9m, dodavatele a tok dat<\/td>\n<td>\u010cl. 5 odst. 2, 24, 32 odst. 1 p\u00edsm. d)<\/td>\n<\/tr>\n<tr>\n<td>Poru\u0161en\u00ed se mus\u00ed v\u017edy hl\u00e1sit do 72 hodin<\/td>\n<td>Hl\u00e1\u0161en\u00ed se vy\u017eaduje p\u0159i riziku; pokud riziko nehroz\u00ed, rozhodnut\u00ed mus\u00ed b\u00fdt p\u0159esto zdokumentov\u00e1no<\/td>\n<td>\u010cl. 33, 34<\/td>\n<\/tr>\n<tr>\n<td>DPO pot\u0159ebuje ka\u017ed\u00e1 organizace<\/td>\n<td>DPO je povinn\u00fd ve t\u0159ech definovan\u00fdch situac\u00edch; ostatn\u00ed jej mohou ur\u010dit dobrovoln\u011b<\/td>\n<td>\u010cl. 37 odst. 1<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Kolik stoj\u00ed nedodr\u017een\u00ed p\u0159edpis\u016f?<\/h2>\n<p>Diskusi dominuj\u00ed pokuty, ale ty z\u0159\u00eddka b\u00fdvaj\u00ed nejv\u011bt\u0161\u00edm n\u00e1kladem. Pochopen\u00ed jak z\u00e1konn\u00e9 struktury, tak provozn\u00edch d\u016fsledk\u016f pom\u00e1h\u00e1 postavit obchodn\u00ed p\u0159\u00edpad, kter\u00fd obstoj\u00ed p\u0159i kontrole rozpo\u010dtu.<\/p>\n<h3>Dvoustup\u0148ov\u00e1 struktura pokut podle \u010dl\u00e1nku 83<\/h3>\n<p>\u010cl\u00e1nek 83 stanov\u00ed dv\u011b \u00farovn\u011b spr\u00e1vn\u00edch pokut. Ni\u017e\u0161\u00ed \u00farove\u0148 pokr\u00fdv\u00e1 povinnosti v\u010detn\u011b obecn\u00fdch z\u00e1sad, povinnost\u00ed spr\u00e1vc\u016f a zpracovatel\u016f, certifika\u010dn\u00edch org\u00e1n\u016f a povinnost\u00ed kontroln\u00edch subjekt\u016f. Umo\u017e\u0148uje pokuty a\u017e do v\u00fd\u0161e <strong>10 milion\u016f EUR nebo 2 % celkov\u00e9ho celosv\u011btov\u00e9ho ro\u010dn\u00edho obratu za p\u0159edchoz\u00ed finan\u010dn\u00ed rok, podle toho, kter\u00e1 hodnota je vy\u0161\u0161\u00ed<\/strong>.<\/p>\n<p>Vy\u0161\u0161\u00ed \u00farove\u0148 pokr\u00fdv\u00e1 poru\u0161en\u00ed z\u00e1kladn\u00edch z\u00e1sad, pr\u00e1v subjekt\u016f \u00fadaj\u016f, pravidel mezin\u00e1rodn\u00edho p\u0159ed\u00e1v\u00e1n\u00ed a nepln\u011bn\u00ed p\u0159\u00edkazu dozorov\u00e9ho \u00fa\u0159adu. Umo\u017e\u0148uje pokuty a\u017e do v\u00fd\u0161e <strong>20 milion\u016f EUR nebo 4 % celkov\u00e9ho celosv\u011btov\u00e9ho ro\u010dn\u00edho obratu, podle toho, kter\u00e1 hodnota je vy\u0161\u0161\u00ed<\/strong>.<\/p>\n<p>Skute\u010dnou v\u00fd\u0161i ur\u010duje n\u011bkolik faktor\u016f: povaha, z\u00e1va\u017enost a doba trv\u00e1n\u00ed poru\u0161en\u00ed, nedbalost nebo \u00famysl, n\u00e1pravn\u00e1 opat\u0159en\u00ed, m\u00edra odpov\u011bdnosti, p\u0159edchoz\u00ed poru\u0161en\u00ed, spolupr\u00e1ce s \u00fa\u0159adem a kategorie dot\u010den\u00fdch osobn\u00edch \u00fadaj\u016f. Pokuty mus\u00ed b\u00fdt v ka\u017ed\u00e9m p\u0159\u00edpad\u011b \u00fa\u010dinn\u00e9, p\u0159im\u011b\u0159en\u00e9 a odrazuj\u00edc\u00ed. Dozorov\u00e9 \u00fa\u0159ady mohou rovn\u011b\u017e ulo\u017eit n\u00e1pravn\u00e1 opat\u0159en\u00ed \u2013 varov\u00e1n\u00ed, napomenut\u00ed, p\u0159\u00edkazy k n\u00e1prav\u011b, do\u010dasn\u00e9 nebo trval\u00e9 z\u00e1kazy zpracov\u00e1n\u00ed a pozastaven\u00ed tok\u016f dat \u2013, kter\u00e1 mohou b\u00fdt obchodn\u011b \u0161kodliv\u011bj\u0161\u00ed ne\u017e pokuta.<\/p>\n<h3>Co ukazuj\u00ed data o vym\u00e1h\u00e1n\u00ed<\/h3>\n<p>Agregovan\u00e1 data o vym\u00e1h\u00e1n\u00ed ukazuj\u00ed, jak aktivn\u011b je re\u017eim uplat\u0148ov\u00e1n. Nap\u0159\u00ed\u010d v\u0161emi sledovan\u00fdmi p\u0159\u00edpady v EU a EHP jde celkov\u00fd po\u010det p\u0159\u00edpad\u016f do tis\u00edc\u016f a kumulovan\u00e9 pokuty p\u0159esahuj\u00ed 7,5 miliardy EUR, p\u0159i\u010dem\u017e nejvy\u0161\u0161\u00ed jednotliv\u00e1 pokuta ve v\u00fd\u0161i 1,2 miliardy EUR byla ulo\u017eena v Irsku. \u0160pan\u011blsko je dlouhodob\u011b mezi nejaktivn\u011bj\u0161\u00edmi \u00fa\u0159ady podle po\u010dtu p\u0159\u00edpad\u016f, co\u017e odr\u00e1\u017e\u00ed vysok\u00fd pod\u00edl men\u0161\u00edch p\u0159\u00edpad\u016f t\u00fdkaj\u00edc\u00edch se st\u00ed\u017enost\u00ed spot\u0159ebitel\u016f a souhlasu se soubory cookie.<\/p>\n<p>Rozlo\u017een\u00ed je d\u016fle\u017eit\u011bj\u0161\u00ed ne\u017e titulky. Celkov\u00e9 hodnot\u011b dominuje mal\u00fd po\u010det velmi vysok\u00fdch pokut, zat\u00edmco v\u011bt\u0161ina p\u0159\u00edpad\u016f se t\u00fdk\u00e1 st\u0159edn\u011b velk\u00fdch a men\u0161\u00edch organizac\u00ed s podstatn\u011b ni\u017e\u0161\u00edmi \u010d\u00e1stkami. Tento vzorec m\u00e1 jasn\u00fd strategick\u00fd d\u016fsledek: riziko \u0161et\u0159en\u00ed nen\u00ed soust\u0159ed\u011bno na nadn\u00e1rodn\u00ed spole\u010dnosti. Sleduje viditelnost \u2013 st\u00ed\u017enosti spot\u0159ebitel\u016f, \u0161patn\u011b vy\u0159\u00edzen\u00e9 \u017e\u00e1dosti subjekt\u016f \u00fadaj\u016f, hl\u00e1\u0161en\u00ed poru\u0161en\u00ed zabezpe\u010den\u00ed a st\u00ed\u017enosti konkurent\u016f nebo zam\u011bstnanc\u016f. Organizace, kter\u00e9 \u0161patn\u011b zareaguj\u00ed na jedinou \u017e\u00e1dost o p\u0159\u00edstup nebo hl\u00e1\u0161en\u00ed poru\u0161en\u00ed, skon\u010d\u00ed ve spisu o vym\u00e1h\u00e1n\u00ed mnohem pravd\u011bpodobn\u011bji ne\u017e ty s plynul\u00fdm a zdokumentovan\u00fdm procesem.<\/p>\n<p>Dva vzorce vym\u00e1h\u00e1n\u00ed jsou pro IT veden\u00ed obzvl\u00e1\u0161t\u011b relevantn\u00ed. Za prv\u00e9, souhlas se soubory cookie a sledov\u00e1n\u00ed z\u016fst\u00e1vaj\u00ed v cel\u00e9 Evrop\u011b trval\u00fdm zdrojem pokut, co\u017e stav\u00ed marketingov\u00fd technologick\u00fd stack p\u0159\u00edmo do p\u016fsobnosti. Za druh\u00e9, p\u0159\u00edpady nedostate\u010dn\u00fdch technick\u00fdch a organiza\u010dn\u00edch opat\u0159en\u00ed podle \u010dl\u00e1nku 32 jsou \u010dast\u00e9 a vznikaj\u00ed \u010dasto ze selh\u00e1n\u00ed, kter\u00e1 by v\u00fdvojov\u00e9 t\u00fdmy pova\u017eovaly za z\u00e1kladn\u00ed: neaktualizovan\u00e9 syst\u00e9my, nadm\u011brn\u00e1 p\u0159\u00edstupov\u00e1 pr\u00e1va, ne\u0161ifrovan\u00e9 z\u00e1lohy, exponovan\u00e9 datab\u00e1ze a p\u0159ihla\u0161ovac\u00ed \u00fadaje v k\u00f3du.<\/p>\n<h3>N\u00e1klady, kter\u00e9 se v pokut\u011b nikdy neobjev\u00ed<\/h3>\n<p>Pro v\u011bt\u0161inu organizac\u00ed je pokuta tou men\u0161\u00ed \u010d\u00e1stkou. Podstatn\u00e9 n\u00e1klady jsou provozn\u00ed:<\/p>\n<ul>\n<li><strong>N\u00e1klady na n\u00e1pravu.<\/strong> Krizov\u00e1 bezpe\u010dnostn\u00ed pr\u00e1ce, forenzn\u00ed vy\u0161et\u0159ov\u00e1n\u00ed, p\u0159estavba syst\u00e9m\u016f a extern\u00ed poradci, obvykle pod \u010dasov\u00fdm tlakem a za pr\u00e9miov\u00e9 sazby.<\/li>\n<li><strong>P\u0159eru\u0161en\u00ed provozu.<\/strong> Pozastaven\u00e9 zpracov\u00e1n\u00ed, zmrazen\u00e9 toky dat, vypnut\u00e1 marketingov\u00e1 schopnost a zablokovan\u00e1 uveden\u00ed produkt\u016f.<\/li>\n<li><strong>Ztr\u00e1ta z\u00e1kazn\u00edk\u016f a smluv.<\/strong> Vy\u0159azen\u00ed v n\u00e1kupn\u00edch procesech, pr\u00e1va na ukon\u010den\u00ed smlouvy, ne\u00fasp\u011b\u0161n\u00e1 due diligence a zpo\u017ed\u011bn\u00e9 podnikov\u00e9 zak\u00e1zky.<\/li>\n<li><strong>Pr\u00e1vn\u00ed expozice.<\/strong> N\u00e1roky na n\u00e1hradu \u0161kody podle \u010dl\u00e1nku 82 za hmotnou i nehmotnou \u00fajmu, v\u010detn\u011b hromadn\u00fdch \u017ealob.<\/li>\n<li><strong>Pozornost veden\u00ed.<\/strong> \u010cas veden\u00ed a p\u0159edstavenstva odveden\u00fd k vy\u0161et\u0159ov\u00e1n\u00ed, komunikaci s \u00fa\u0159ady a \u0159\u00edzen\u00ed n\u00e1pravy.<\/li>\n<li><strong>Trvaj\u00edc\u00ed reputa\u010dn\u00ed dopad.<\/strong> Rozhodnut\u00ed o vym\u00e1h\u00e1n\u00ed jsou ve\u0159ejn\u00e1 a trval\u00e1 a objevuj\u00ed se v ka\u017ed\u00e9 n\u00e1sledn\u00e9 n\u00e1kupn\u00ed revizi.<\/li>\n<\/ul>\n<h3>Spr\u00e1vn\u00ed pokuty v p\u0159ehledu<\/h3>\n<table>\n<thead>\n<tr>\n<th>\u00darove\u0148<\/th>\n<th>Maximum<\/th>\n<th>Rozsah poru\u0161en\u00ed<\/th>\n<th>Ilustrativn\u00ed p\u0159\u00edklady<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Ni\u017e\u0161\u00ed \u00farove\u0148 \u2013 \u010dl. 83 odst. 4<\/td>\n<td>10 mil. EUR nebo 2 % celosv\u011btov\u00e9ho ro\u010dn\u00edho obratu, podle vy\u0161\u0161\u00ed hodnoty<\/td>\n<td>Obecn\u00e9 povinnosti spr\u00e1vc\u016f a zpracovatel\u016f, ochrana \u00fadaj\u016f ji\u017e ve f\u00e1zi n\u00e1vrhu, smlouvy se zpracovateli, z\u00e1znamy o zpracov\u00e1n\u00ed, certifikace, \u00fakoly DPO, zabezpe\u010den\u00ed zpracov\u00e1n\u00ed<\/td>\n<td>Chyb\u011bj\u00edc\u00ed z\u00e1znamy o \u010dinnostech zpracov\u00e1n\u00ed; smlouvy se zpracovateli v rozporu s p\u0159edpisy; nedostate\u010dn\u00e1 opat\u0159en\u00ed podle \u010dl. 32; nezapojen\u00ed DPO<\/td>\n<\/tr>\n<tr>\n<td>Vy\u0161\u0161\u00ed \u00farove\u0148 \u2013 \u010dl. 83 odst. 5<\/td>\n<td>20 mil. EUR nebo 4 % celosv\u011btov\u00e9ho ro\u010dn\u00edho obratu, podle vy\u0161\u0161\u00ed hodnoty<\/td>\n<td>Z\u00e1kladn\u00ed z\u00e1sady, pr\u00e1va subjekt\u016f \u00fadaj\u016f, podm\u00ednky souhlasu, mezin\u00e1rodn\u00ed p\u0159ed\u00e1v\u00e1n\u00ed, nepln\u011bn\u00ed p\u0159\u00edkaz\u016f dozorov\u00e9ho \u00fa\u0159adu<\/td>\n<td>Zpracov\u00e1n\u00ed bez pr\u00e1vn\u00edho z\u00e1kladu; ignorovan\u00e9 \u017e\u00e1dosti o v\u00fdmaz; protipr\u00e1vn\u00ed p\u0159ed\u00e1v\u00e1n\u00ed; nepln\u011bn\u00ed p\u0159\u00edkazu<\/td>\n<\/tr>\n<tr>\n<td>N\u00e1pravn\u00e1 opat\u0159en\u00ed \u2013 \u010dl. 58 odst. 2<\/td>\n<td>Nepen\u011b\u017en\u00ed<\/td>\n<td>Mo\u017en\u00e1 vedle pokuty nebo m\u00edsto n\u00ed<\/td>\n<td>Varov\u00e1n\u00ed, napomenut\u00ed, p\u0159\u00edkazy k n\u00e1prav\u011b, z\u00e1kazy zpracov\u00e1n\u00ed, pozastaven\u00ed tok\u016f dat<\/td>\n<\/tr>\n<tr>\n<td>Individu\u00e1ln\u00ed n\u00e1hrada \u0161kody \u2013 \u010dl. 82<\/td>\n<td>Nen\u00ed na\u0159\u00edzen\u00edm omezena<\/td>\n<td>Hmotn\u00e1 i nehmotn\u00e1 \u00fajma subjekt\u016f \u00fadaj\u016f<\/td>\n<td>N\u00e1roky na zadostiu\u010din\u011bn\u00ed; hromadn\u00e9 \u017ealoby; zastoupen\u00e9 \u017ealoby<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Jak vypad\u00e1 budoucnost souladu s GDPR?<\/h2>\n<p>GDPR je v platnosti dost dlouho na to, aby se praxe vym\u00e1h\u00e1n\u00ed ust\u00e1lila a aby se technologick\u00e1 krajina v\u00fdrazn\u011b zm\u011bnila. Dal\u0161\u00ed f\u00e1zi budou utv\u00e1\u0159et t\u0159i v\u00fdvoje.<\/p>\n<h3>Konvergence s aktem EU o um\u011bl\u00e9 inteligenci<\/h3>\n<p>Akt EU o um\u011bl\u00e9 inteligenci zav\u00e1d\u00ed rizikov\u00fd re\u017eim pro syst\u00e9my AI s povinnostmi, kter\u00e9 se u syst\u00e9m\u016f zpracov\u00e1vaj\u00edc\u00edch osobn\u00ed \u00fadaje v\u00fdrazn\u011b p\u0159ekr\u00fdvaj\u00ed s GDPR. Poskytovatel\u00e9 i u\u017eivatel\u00e9 vysoce rizikov\u00fdch syst\u00e9m\u016f mus\u00ed \u0159e\u0161it spr\u00e1vu dat v\u010detn\u011b kvality tr\u00e9ninkov\u00fdch dat a sledov\u00e1n\u00ed biasu, v\u00e9st technickou dokumentaci a logov\u00e1n\u00ed, zajistit lidsk\u00fd dohled a poskytovat transparentnost dot\u010den\u00fdm osob\u00e1m. Mnoh\u00e9 z t\u011bchto povinnost\u00ed posiluj\u00ed po\u017eadavky GDPR, ale nejsou toto\u017en\u00e9 a vztahuj\u00ed se na organizace v r\u016fzn\u00fdch rol\u00edch.<\/p>\n<p>Pro IT veden\u00ed z toho plyne, \u017ee spr\u00e1va AI a spr\u00e1va ochrany \u00fadaj\u016f by m\u011bly konvergovat, nikoli b\u011b\u017eet jako paraleln\u00ed programy. Jedin\u00fd proces p\u0159\u00edjmu po\u017eadavk\u016f by m\u011bl v\u00e9st iniciativy v oblasti AI jak p\u0159es screening DPIA, tak p\u0159es klasifikaci podle aktu o AI. Jedin\u00e1 inventura dat by m\u011bla zaznamen\u00e1vat p\u016fvod tr\u00e9ninkov\u00fdch dat, pr\u00e1vn\u00ed z\u00e1klad a uchov\u00e1v\u00e1n\u00ed. Jedin\u00e1 sada dokumentace model\u016f by m\u011bla slou\u017eit ob\u011bma re\u017eim\u016fm. Organizace, kter\u00e9 to postav\u00ed odd\u011blen\u011b, zdvojn\u00e1sob\u00ed \u00fasil\u00ed a vytvo\u0159\u00ed nekonzistence, kter\u00fdch si regul\u00e1to\u0159i v\u0161imnou.<\/p>\n<h3>Souhlas se soubory cookie, ePrivacy a \u00fanava ze souhlas\u016f<\/h3>\n<p>Rozhran\u00ed pro souhlas z\u016fst\u00e1vaj\u00ed nejviditeln\u011bj\u0161\u00ed \u010d\u00e1st\u00ed souladu s GDPR a jedn\u00edm z nej\u010dast\u011bji soudn\u011b \u0159e\u0161en\u00fdch t\u00e9mat. Dozorov\u00e9 \u00fa\u0159ady v cel\u00e9 Evrop\u011b nad\u00e1le prov\u011b\u0159uj\u00ed souhlasov\u00e9 bannery, symetrii odm\u00edtnut\u00ed, temn\u00e9 vzorce, p\u0159edza\u0161krtnut\u00e1 pol\u00ed\u010dka a sou\u010dinnost souhlasu s pravidly sm\u011brnice ePrivacy o ukl\u00e1d\u00e1n\u00ed informac\u00ed do koncov\u00fdch za\u0159\u00edzen\u00ed. Trend sm\u011b\u0159uje k p\u0159\u00edsn\u011bj\u0161\u00edmu vym\u00e1h\u00e1n\u00ed z\u00e1sady \u201eodm\u00edtnout mus\u00ed b\u00fdt stejn\u011b snadn\u00e9 jako p\u0159ijmout&#8221; a k jasn\u011bj\u0161\u00edmu rozli\u0161en\u00ed mezi nezbytn\u00fdmi a nezbytn\u00fdmi technologiemi.<\/p>\n<p>Z\u00e1rove\u0148 jsou u\u017eivatel\u00e9 v\u016f\u010di \u017e\u00e1dostem o souhlas st\u00e1le odoln\u011bj\u0161\u00ed, co\u017e vytv\u00e1\u0159\u00ed tlak na organizace, aby tam, kde je to vhodn\u00e9, pou\u017e\u00edvaly alternativn\u00ed pr\u00e1vn\u00ed z\u00e1klady a omezily sledov\u00e1n\u00ed na skute\u010dn\u011b nezbytn\u00e9. Serverov\u00e9 a na soukrom\u00ed ohledupln\u00e9 m\u011b\u0159en\u00ed se st\u00e1v\u00e1 mainstreamem pr\u00e1v\u011b proto, \u017ee sni\u017euje jak pr\u00e1vn\u00ed expozici, tak t\u0159en\u00ed kolem souhlasu. V tomto p\u0159\u00edpad\u011b minimalizace \u00fadaj\u016f slou\u017e\u00ed pr\u00e1vn\u00edmu souladu i obchodn\u00edm v\u00fdsledk\u016fm sou\u010dasn\u011b.<\/p>\n<h3>Nejistota re\u017eimu p\u0159ed\u00e1v\u00e1n\u00ed a cesta vp\u0159ed<\/h3>\n<p>Mezin\u00e1rodn\u00ed p\u0159ed\u00e1v\u00e1n\u00ed z\u016fst\u00e1vaj\u00ed nejvolatiln\u011bj\u0161\u00ed oblast\u00ed re\u017eimu. Rozhodnut\u00ed o odpov\u00eddaj\u00edc\u00ed ochran\u011b lze napadnout a historie Safe Harbour a Privacy Shield ukazuje, \u017ee mechanismus platn\u00fd dnes m\u016f\u017ee b\u00fdt z\u00edtra zru\u0161en. R\u00e1mec EU\u2013USA pro ochranu soukrom\u00ed nab\u00edz\u00ed cestu pro certifikovan\u00e9 organizace, byl v\u0161ak ji\u017e napaden u soudu a jeho dlouhodob\u00e1 stabilita nen\u00ed zaru\u010dena.<\/p>\n<p>Vysp\u011bl\u00e9 organizace reaguj\u00ed sn\u00ed\u017een\u00edm z\u00e1vislosti na jedin\u00e9m mechanismu p\u0159ed\u00e1v\u00e1n\u00ed: minimalizuj\u00ed objem osobn\u00edch \u00fadaj\u016f p\u0159ekra\u010duj\u00edc\u00edch hranice, udr\u017euj\u00ed \u0161ifrovac\u00ed kl\u00ed\u010de v \u00faschov\u011b v EU tam, kde to riziko vy\u017eaduje, strukturuj\u00ed zpracov\u00e1n\u00ed tak, aby citliv\u00e9 operace z\u016fstaly v EHP, a vedou posouzen\u00ed dopad\u016f p\u0159ed\u00e1v\u00e1n\u00ed, kter\u00e1 lze rychle aktualizovat, pokud mechanismus padne. Nejv\u00edce exponovan\u00e9 jsou organizace, jejich\u017e architektura p\u0159edpokl\u00e1d\u00e1, \u017ee pr\u00e1vn\u00ed mechanismus z\u016fstane platn\u00fd neomezen\u011b.<\/p>\n<h2>\u010casto kladen\u00e9 ot\u00e1zky o souladu s GDPR<\/h2>\n<h3>Co je soulad s GDPR jednodu\u0161e \u0159e\u010deno?<\/h3>\n<p>Soulad s GDPR znamen\u00e1 plnit po\u017eadavky na\u0159\u00edzen\u00ed (EU) 2016\/679 v\u017edy, kdy\u017e zpracov\u00e1v\u00e1te osobn\u00ed \u00fadaje osob v EU. V praxi to znamen\u00e1 m\u00edt pr\u00e1vn\u00ed z\u00e1klad pro ka\u017edou \u010dinnost zpracov\u00e1n\u00ed, jasn\u011b informovat osoby o tom, co s jejich \u00fadaji d\u011bl\u00e1te, plnit jejich pr\u00e1va ve lh\u016ft\u00e1ch, p\u0159im\u011b\u0159en\u011b zabezpe\u010dit \u00fadaje, hl\u00e1sit ur\u010dit\u00e1 poru\u0161en\u00ed do 72 hodin a um\u011bt to v\u0161e prok\u00e1zat dozorov\u00e9mu \u00fa\u0159adu.<\/p>\n<h3>Plat\u00ed GDPR i pro spole\u010dnosti mimo EU?<\/h3>\n<p>Ano. Podle \u010dl. 3 odst. 2 se GDPR vztahuje na organizace bez provozovny v EU, kter\u00e9 nab\u00edzej\u00ed zbo\u017e\u00ed nebo slu\u017eby osob\u00e1m v EU nebo sleduj\u00ed jejich chov\u00e1n\u00ed, v\u010detn\u011b webov\u00e9 analytiky nebo c\u00edlen\u00e9 reklamy. Pouh\u00e1 dostupnost webu nesta\u010d\u00ed \u2013 mus\u00ed existovat d\u016fkaz o \u00famyslu c\u00edlit na trh EU, nap\u0159\u00edklad jazykov\u00e9 verze pro EU, ceny v eurech nebo mo\u017enosti doru\u010den\u00ed do EU. \u010cl\u00e1nek 27 zpravidla vy\u017eaduje ur\u010den\u00ed z\u00e1stupce v Unii.<\/p>\n<h3>Jak\u00fdch je sedm z\u00e1sad souladu s GDPR?<\/h3>\n<p>\u010cl\u00e1nek 5 stanov\u00ed sedm z\u00e1sad: z\u00e1konnost, korektnost a transparentnost; omezen\u00ed \u00fa\u010delu; minimalizace \u00fadaj\u016f; p\u0159esnost; omezen\u00ed ulo\u017een\u00ed; integrita a d\u016fv\u011brnost; a odpov\u011bdnost. Odpov\u011bdnost je meta-z\u00e1sadou \u2013 spr\u00e1vce mus\u00ed b\u00fdt schopen prok\u00e1zat soulad s ostatn\u00edmi \u0161esti, a proto je dokumentace, evidence a d\u016fkazy z test\u016f \u00fast\u0159edn\u00edm prvkem ka\u017ed\u00e9ho d\u016fv\u011bryhodn\u00e9ho programu.<\/p>\n<h3>Jak\u00fd je rozd\u00edl mezi spr\u00e1vcem a zpracovatelem?<\/h3>\n<p>Spr\u00e1vce ur\u010duje \u00fa\u010dely a prost\u0159edky zpracov\u00e1n\u00ed; zpracovatel zpracov\u00e1v\u00e1 osobn\u00ed \u00fadaje jm\u00e9nem spr\u00e1vce na z\u00e1klad\u011b zdokumentovan\u00fdch pokyn\u016f. Rozli\u0161en\u00ed je faktick\u00e9, nikoli smluvn\u00ed, a stejn\u00e1 organizace m\u016f\u017ee m\u00edt pro r\u016fzn\u00e9 \u010dinnosti ob\u011b role. Zpracovatel, kter\u00fd data z\u00e1kazn\u00edk\u016f znovu vyu\u017eije pro vlastn\u00ed \u00fa\u010dely, nap\u0159\u00edklad pro tr\u00e9nink vlastn\u00edch AI model\u016f, se pro tuto \u010dinnost st\u00e1v\u00e1 spr\u00e1vcem a pot\u0159ebuje vlastn\u00ed pr\u00e1vn\u00ed z\u00e1klad.<\/p>\n<h3>Kdy je vy\u017eadov\u00e1n pov\u011b\u0159enec pro ochranu osobn\u00edch \u00fadaj\u016f?<\/h3>\n<p>\u010cl. 37 odst. 1 \u010din\u00ed DPO povinn\u00fdm ve t\u0159ech situac\u00edch: pokud zpracov\u00e1n\u00ed prov\u00e1d\u00ed org\u00e1n ve\u0159ejn\u00e9 moci nebo ve\u0159ejn\u00fd subjekt (s v\u00fdjimkou soud\u016f v soudn\u00ed \u010dinnosti); pokud hlavn\u00ed \u010dinnosti zahrnuj\u00ed pravideln\u00e9 a systematick\u00e9 rozs\u00e1hl\u00e9 sledov\u00e1n\u00ed subjekt\u016f \u00fadaj\u016f; a pokud hlavn\u00ed \u010dinnosti zahrnuj\u00ed rozs\u00e1hl\u00e9 zpracov\u00e1n\u00ed zvl\u00e1\u0161tn\u00edch kategori\u00ed \u00fadaj\u016f nebo \u00fadaj\u016f o trestn\u00fdch \u010dinech. DPO mus\u00ed b\u00fdt nez\u00e1visl\u00fd, zodpov\u00eddat se nejvy\u0161\u0161\u00edmu veden\u00ed, m\u00edt odpov\u00eddaj\u00edc\u00ed zdroje a b\u00fdt chr\u00e1n\u011bn p\u0159ed odvol\u00e1n\u00edm nebo postihem za pln\u011bn\u00ed sv\u00fdch \u00fakol\u016f.<\/p>\n<h3>Kdy je posouzen\u00ed vlivu na ochranu osobn\u00edch \u00fadaj\u016f povinn\u00e9?<\/h3>\n<p>DPIA je vy\u017eadov\u00e1na u zpracov\u00e1n\u00ed, kter\u00e9 pravd\u011bpodobn\u011b povede k vysok\u00e9mu riziku pro pr\u00e1va a svobody osob. \u010cl. 35 odst. 3 uv\u00e1d\u00ed t\u0159i p\u0159\u00edpady: systematick\u00e9 a rozs\u00e1hl\u00e9 automatizovan\u00e9 vyhodnocov\u00e1n\u00ed v\u010detn\u011b profilov\u00e1n\u00ed, na jeho\u017e z\u00e1klad\u011b se p\u0159ij\u00edmaj\u00ed rozhodnut\u00ed s pr\u00e1vn\u00edmi nebo obdobn\u011b v\u00fdznamn\u00fdmi \u00fa\u010dinky; rozs\u00e1hl\u00e9 zpracov\u00e1n\u00ed zvl\u00e1\u0161tn\u00edch kategori\u00ed nebo \u00fadaj\u016f o trestn\u00fdch \u010dinech; a systematick\u00e9 rozs\u00e1hl\u00e9 sledov\u00e1n\u00ed ve\u0159ejn\u011b p\u0159\u00edstupn\u00fdch prostor. Podle krit\u00e9ri\u00ed EDPB dv\u011b nebo v\u00edce rizikov\u00fdch indici\u00ed obvykle znamen\u00e1, \u017ee DPIA je nutn\u00e1.<\/p>\n<h3>Jak dlouho m\u00e1te na nahl\u00e1\u0161en\u00ed poru\u0161en\u00ed zabezpe\u010den\u00ed podle GDPR?<\/h3>\n<p>Mus\u00edte informovat p\u0159\u00edslu\u0161n\u00fd dozorov\u00fd \u00fa\u0159ad bez zbyte\u010dn\u00e9ho odkladu a pokud mo\u017eno do 72 hodin od okam\u017eiku, kdy se o poru\u0161en\u00ed osobn\u00edch \u00fadaj\u016f dozv\u00edte, v souladu s \u010dl\u00e1nkem 33. Pokud ozn\u00e1m\u00edte pozd\u011bji, mus\u00edte zpo\u017ed\u011bn\u00ed od\u016fvodnit. Pokud poru\u0161en\u00ed pravd\u011bpodobn\u011b povede k vysok\u00e9mu riziku pro pr\u00e1va a svobody subjekt\u016f \u00fadaj\u016f, \u010dl\u00e1nek 34 nav\u00edc vy\u017eaduje informovat tyto osoby bez zbyte\u010dn\u00e9ho odkladu. Zpracovatel\u00e9 mus\u00ed informovat spr\u00e1vce bez zbyte\u010dn\u00e9ho odkladu.<\/p>\n<h3>Jak vysok\u00e9 mohou b\u00fdt pokuty podle GDPR?<\/h3>\n<p>\u010cl\u00e1nek 83 stanov\u00ed dv\u011b \u00farovn\u011b. Poru\u0161en\u00ed ni\u017e\u0161\u00ed \u00farovn\u011b mohou v\u00e9st k pokut\u011b a\u017e 10 milion\u016f EUR nebo 2 % celkov\u00e9ho celosv\u011btov\u00e9ho ro\u010dn\u00edho obratu, podle vy\u0161\u0161\u00ed hodnoty. Poru\u0161en\u00ed vy\u0161\u0161\u00ed \u00farovn\u011b \u2013 v\u010detn\u011b poru\u0161en\u00ed z\u00e1kladn\u00edch z\u00e1sad, pr\u00e1v subjekt\u016f \u00fadaj\u016f a pravidel mezin\u00e1rodn\u00edho p\u0159ed\u00e1v\u00e1n\u00ed \u2013 a\u017e 20 milion\u016f EUR nebo 4 % celosv\u011btov\u00e9ho ro\u010dn\u00edho obratu, podle vy\u0161\u0161\u00ed hodnoty. Dozorov\u00e9 \u00fa\u0159ady mohou rovn\u011b\u017e ulo\u017eit nepen\u011b\u017en\u00ed n\u00e1pravn\u00e1 opat\u0159en\u00ed, jako jsou z\u00e1kazy zpracov\u00e1n\u00ed, a jednotlivci mohou po\u017eadovat n\u00e1hradu \u0161kody podle \u010dl\u00e1nku 82.<\/p>\n<h3>Jak se GDPR li\u0161\u00ed od CCPA?<\/h3>\n<p>GDPR je re\u017eim zalo\u017een\u00fd na pr\u00e1vech, kter\u00fd vy\u017eaduje pr\u00e1vn\u00ed z\u00e1klad p\u0159ed zpracov\u00e1n\u00edm a vztahuje se na ka\u017edou organizaci zpracov\u00e1vaj\u00edc\u00ed \u00fadaje subjekt\u016f \u00fadaj\u016f v EU. CCPA ve zn\u011bn\u00ed CPRA je kalifornsk\u00fd z\u00e1kon o soukrom\u00ed spot\u0159ebitel\u016f, kter\u00fd se vztahuje na kvalifikuj\u00edc\u00ed ziskov\u00e9 podniky a sleduje model opt-out pro prodej a sd\u00edlen\u00ed osobn\u00edch informac\u00ed, bez obecn\u00e9ho r\u00e1mce pr\u00e1vn\u00edch z\u00e1klad\u016f. Oba z\u00e1kony p\u0159izn\u00e1vaj\u00ed pr\u00e1va k osobn\u00edm \u00fadaj\u016fm, ale architektura souhlasu a modely vym\u00e1h\u00e1n\u00ed se z\u00e1sadn\u011b li\u0161\u00ed.<\/p>\n<h3>Jak dos\u00e1hnout souladu s GDPR?<\/h3>\n<p>Soulad sleduje posloupnost, nikoli dokument. Nejprve ur\u010dete p\u016fsobnost a svou roli pro ka\u017ed\u00fd tok dat a pot\u00e9 sestavte inventuru dat a mapu tok\u016f. Posu\u010fte mezery v\u016f\u010di sedmi z\u00e1sad\u00e1m a kl\u00ed\u010dov\u00fdm povinnostem a identifikujte rizikov\u00e9 zpracov\u00e1n\u00ed vy\u017eaduj\u00edc\u00ed DPIA. Pot\u00e9 napravte: dokon\u010dete z\u00e1znam podle \u010dl\u00e1nku 30, zave\u010fte vym\u00e1h\u00e1n\u00ed uchov\u00e1v\u00e1n\u00ed, postavte funguj\u00edc\u00ed proces pr\u00e1v, opravte smlouvy se zpracovateli, zpevn\u011bte zabezpe\u010den\u00ed a vytvo\u0159te otestovan\u00fd runbook pro hl\u00e1\u0161en\u00ed. Nakonec provozujte a prokazujte \u2013 zakotv\u011bte ochranu \u00fadaj\u016f v definici hotov\u00e9ho, sledujte metriky, pravideln\u011b testujte a reportujte veden\u00ed. Soulad je udr\u017eovan\u00fd stav, nikoli miln\u00edk.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Soulad s GDPR: Kompletn\u00ed pr\u016fvodce pro IT mana\u017eery a vedouc\u00ed digit\u00e1ln\u00ed transformace Soulad s GDPR ozna\u010duje stav, kdy organizace prokazateln\u011b pln\u00ed povinnosti podle na\u0159\u00edzen\u00ed (EU) 2016\/679 \u2013 obecn\u00e9ho na\u0159\u00edzen\u00ed o ochran\u011b osobn\u00edch \u00fadaj\u016f \u2013 v\u017edy, kdy\u017e shroma\u017e\u010fuje, ukl\u00e1d\u00e1, pou\u017e\u00edv\u00e1, sd\u00edl\u00ed nebo ma\u017ee osobn\u00ed \u00fadaje osob v Evropsk\u00e9 unii. V praxi to znamen\u00e1 m\u00edt pr\u00e1vn\u00ed z\u00e1klad [&hellip;]<\/p>\n","protected":false},"author":7,"featured_media":0,"parent":0,"template":"","glossary-cat":[],"class_list":["post-21090","glossary","type-glossary","status-publish","hentry"],"yoast_head":"<!-- This site is optimized with the Yoast SEO plugin v27.0 - https:\/\/yoast.com\/product\/yoast-seo-wordpress\/ -->\n<title>Soulad s GDPR - Greyson<\/title>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/greyson.eu\/cs\/glossary\/soulad-s-gdpr\/\" \/>\n<meta property=\"og:locale\" content=\"cs_CZ\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Soulad s GDPR - Greyson\" \/>\n<meta property=\"og:description\" content=\"Soulad s GDPR: Kompletn\u00ed pr\u016fvodce pro IT mana\u017eery a vedouc\u00ed digit\u00e1ln\u00ed transformace Soulad s GDPR ozna\u010duje stav, kdy organizace prokazateln\u011b pln\u00ed povinnosti podle na\u0159\u00edzen\u00ed (EU) 2016\/679 \u2013 obecn\u00e9ho na\u0159\u00edzen\u00ed o ochran\u011b osobn\u00edch \u00fadaj\u016f \u2013 v\u017edy, kdy\u017e shroma\u017e\u010fuje, ukl\u00e1d\u00e1, pou\u017e\u00edv\u00e1, sd\u00edl\u00ed nebo ma\u017ee osobn\u00ed \u00fadaje osob v Evropsk\u00e9 unii. V praxi to znamen\u00e1 m\u00edt pr\u00e1vn\u00ed z\u00e1klad [&hellip;]\" \/>\n<meta property=\"og:url\" content=\"https:\/\/greyson.eu\/cs\/glossary\/soulad-s-gdpr\/\" \/>\n<meta property=\"og:site_name\" content=\"Greyson\" \/>\n<meta property=\"article:modified_time\" content=\"2026-10-15T11:33:17+00:00\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"Odhadovan\u00e1 doba \u010dten\u00ed\" \/>\n\t<meta name=\"twitter:data1\" content=\"62 minut\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"WebPage\",\"@id\":\"https:\/\/greyson.eu\/cs\/glossary\/soulad-s-gdpr\/\",\"url\":\"https:\/\/greyson.eu\/cs\/glossary\/soulad-s-gdpr\/\",\"name\":\"Soulad s GDPR - Greyson\",\"isPartOf\":{\"@id\":\"https:\/\/greyson.eu\/cs\/#website\"},\"datePublished\":\"2026-10-15T11:32:40+00:00\",\"dateModified\":\"2026-10-15T11:33:17+00:00\",\"breadcrumb\":{\"@id\":\"https:\/\/greyson.eu\/cs\/glossary\/soulad-s-gdpr\/#breadcrumb\"},\"inLanguage\":\"cs\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\/\/greyson.eu\/cs\/glossary\/soulad-s-gdpr\/\"]}]},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\/\/greyson.eu\/cs\/glossary\/soulad-s-gdpr\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Domovsk\u00e1 str\u00e1nka\",\"item\":\"https:\/\/greyson.eu\/cs\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"Glossary Terms\",\"item\":\"https:\/\/greyson.eu\/cs\/glossary\/\"},{\"@type\":\"ListItem\",\"position\":3,\"name\":\"Soulad s GDPR\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\/\/greyson.eu\/cs\/#website\",\"url\":\"https:\/\/greyson.eu\/cs\/\",\"name\":\"Greyson\",\"description\":\"Let\u2019s make future GREYT together\",\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\/\/greyson.eu\/cs\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"cs\"}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"Soulad s GDPR - Greyson","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/greyson.eu\/cs\/glossary\/soulad-s-gdpr\/","og_locale":"cs_CZ","og_type":"article","og_title":"Soulad s GDPR - Greyson","og_description":"Soulad s GDPR: Kompletn\u00ed pr\u016fvodce pro IT mana\u017eery a vedouc\u00ed digit\u00e1ln\u00ed transformace Soulad s GDPR ozna\u010duje stav, kdy organizace prokazateln\u011b pln\u00ed povinnosti podle na\u0159\u00edzen\u00ed (EU) 2016\/679 \u2013 obecn\u00e9ho na\u0159\u00edzen\u00ed o ochran\u011b osobn\u00edch \u00fadaj\u016f \u2013 v\u017edy, kdy\u017e shroma\u017e\u010fuje, ukl\u00e1d\u00e1, pou\u017e\u00edv\u00e1, sd\u00edl\u00ed nebo ma\u017ee osobn\u00ed \u00fadaje osob v Evropsk\u00e9 unii. V praxi to znamen\u00e1 m\u00edt pr\u00e1vn\u00ed z\u00e1klad [&hellip;]","og_url":"https:\/\/greyson.eu\/cs\/glossary\/soulad-s-gdpr\/","og_site_name":"Greyson","article_modified_time":"2026-10-15T11:33:17+00:00","twitter_card":"summary_large_image","twitter_misc":{"Odhadovan\u00e1 doba \u010dten\u00ed":"62 minut"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"WebPage","@id":"https:\/\/greyson.eu\/cs\/glossary\/soulad-s-gdpr\/","url":"https:\/\/greyson.eu\/cs\/glossary\/soulad-s-gdpr\/","name":"Soulad s GDPR - Greyson","isPartOf":{"@id":"https:\/\/greyson.eu\/cs\/#website"},"datePublished":"2026-10-15T11:32:40+00:00","dateModified":"2026-10-15T11:33:17+00:00","breadcrumb":{"@id":"https:\/\/greyson.eu\/cs\/glossary\/soulad-s-gdpr\/#breadcrumb"},"inLanguage":"cs","potentialAction":[{"@type":"ReadAction","target":["https:\/\/greyson.eu\/cs\/glossary\/soulad-s-gdpr\/"]}]},{"@type":"BreadcrumbList","@id":"https:\/\/greyson.eu\/cs\/glossary\/soulad-s-gdpr\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Domovsk\u00e1 str\u00e1nka","item":"https:\/\/greyson.eu\/cs\/"},{"@type":"ListItem","position":2,"name":"Glossary Terms","item":"https:\/\/greyson.eu\/cs\/glossary\/"},{"@type":"ListItem","position":3,"name":"Soulad s GDPR"}]},{"@type":"WebSite","@id":"https:\/\/greyson.eu\/cs\/#website","url":"https:\/\/greyson.eu\/cs\/","name":"Greyson","description":"Let\u2019s make future GREYT together","potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/greyson.eu\/cs\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"cs"}]}},"related_terms":"","external_url":"","internal_reference_id":"","_links":{"self":[{"href":"https:\/\/greyson.eu\/cs\/wp-json\/wp\/v2\/glossary\/21090","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/greyson.eu\/cs\/wp-json\/wp\/v2\/glossary"}],"about":[{"href":"https:\/\/greyson.eu\/cs\/wp-json\/wp\/v2\/types\/glossary"}],"author":[{"embeddable":true,"href":"https:\/\/greyson.eu\/cs\/wp-json\/wp\/v2\/users\/7"}],"version-history":[{"count":1,"href":"https:\/\/greyson.eu\/cs\/wp-json\/wp\/v2\/glossary\/21090\/revisions"}],"predecessor-version":[{"id":21091,"href":"https:\/\/greyson.eu\/cs\/wp-json\/wp\/v2\/glossary\/21090\/revisions\/21091"}],"wp:attachment":[{"href":"https:\/\/greyson.eu\/cs\/wp-json\/wp\/v2\/media?parent=21090"}],"wp:term":[{"taxonomy":"glossary-cat","embeddable":true,"href":"https:\/\/greyson.eu\/cs\/wp-json\/wp\/v2\/glossary-cat?post=21090"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}