GDPR a zabezpečení dat: co po vás žádá technická stránka

GDPR po vás chce, abyste osobní údaje skutečně chránili, a žádný konkrétní software nepředepisuje. Článek 32 žádá „vhodná technická a organizační opatření“ podle rizika a článek 33 po úniku dat žádá hlášení úřadu pokud možno do 72 hodin. Nejsme právníci a tohle není právní rada. Díváme se na text GDPR očima správce IT: co z něj plyne pro sítě, hesla, zálohy a testování. Pokud vaše firma spadá i pod kybernetický zákon, platí vedle sebe dvě hlášení s různou lhůtou.

Co článek 32 chce

Podle čl. 32 odst. 1 zavedou správce i zpracovatel ochranu úměrnou riziku. Berou přitom v úvahu stav techniky, cenu, povahu a rozsah práce s daty a to, jak je riziko pravděpodobné a jak vážné pro lidi. Ochrana případně zahrnuje čtyři věci:

• pseudonymy a šifry: oddělit identitu od dat a data zašifrovat,
• systémy a služby, které udrží data před prozrazením, změnou i výpadkem a vydrží zátěž,
• umět údaje a přístup k nim včas obnovit po fyzickém nebo technickém incidentu,
• proces, který pravidelně testuje a hodnotí, jak dobře zavedená opatření fungují.

Odstavec 2 jmenuje, před čím máte data chránit: před náhodným nebo protiprávním zničením, ztrátou, pozměněním, neoprávněným zpřístupněním a neoprávněným přístupem. Odstavec 4 chce, aby každý, kdo k údajům smí, s nimi pracoval jen na váš pokyn. Základní zásadu najdete v čl. 5 odst. 1 písm. f): údaje musí zůstat chráněné před neoprávněným zacházením i před náhodnou ztrátou a poškozením.

Číslo ani konkrétní nástroj tu nenajdete. Kolik znaků má mít heslo, GDPR neříká. Pokud ale vaše služba patří pod zákon č. 264/2025 Sb., tohle číslo vám dá vyhláška č. 410/2025 Sb.: hesla 12, 17 a 22 znaků podle typu účtu (§ 8 odst. 4). Jako měřítko se hodí i těm, kdo pod zákon nepatří, ale je to náš nápad, ne požadavek GDPR.

Co z toho udělat ve firmě o 20 lidech

Tabulka je náš výklad toho, jak se čl. 32 přeloží do práce. Konkrétní opatření GDPR nejmenuje.

Začněte přehledem: jaké osobní údaje máte, kde leží a kdo k nim smí. Teprve pak dává smysl vybírat opatření. Test, který ověří, že opatření drží, popisuje text o průběhu penetračního testu. Většina úniků přitom nezačíná geniálním útokem. Zaměstnanec otevře phishing, nebo firmu zasáhne ransomware , který data nejen zašifruje, ale i ukradne.

Únik dat: 72 hodin a co s nimi

Únik podle GDPR znamená, že se údaje náhodně nebo protiprávně zničily, ztratily, změnily nebo se dostaly k nepovolaným lidem (čl. 4 bod 12). Ztracený notebook s osobními údaji je takový případ stejně jako vykradený server.

• Úřadu: správce ho nahlásí Úřadu pro ochranu osobních údajů bez zbytečného odkladu a pokud možno do 72 hodin od chvíle, kdy se o něm dozvěděl. Nestihnete-li to, připojíte důvody zpoždění. Výjimka platí, když je nepravděpodobné, že by únik ohrozil práva lidí (čl. 33 odst. 1).
• Zpracovatel: pokud data zpracovává pro vás dodavatel, musí vám únik nahlásit bez zbytečného odkladu (čl. 33 odst. 2). Vaše smlouva ho k tomu má zavázat.
• Lidem: pokud únik pravděpodobně znamená vysoké riziko, oznámíte ho bez zbytečného odkladu i dotčeným lidem (čl. 34 odst. 1). Nemusíte, když byla data pro nepovolané nečitelná, například díky šifře (čl. 34 odst. 3 písm. a).
• Záznam: správce zapíše každý únik, i ten, který nehlásí: co se stalo, jaké měl účinky a co se opravilo (čl. 33 odst. 5).

Úřad na svých stránkách uvádí, že správce používá elektronický formulář a že ho lze poslat datovou schránkou nebo poštou. Posílá-li se e-mailem, musí mít uznávaný elektronický podpis, jinak podle úřadu nejde o řádné hlášení.

Příklad: zaměstnanec obchodu ztratí služební notebook. Pokud měl šifrovaný disk, jsou data pro nálezce nečitelná. Lidem to oznamovat nemusíte, ale únik pořád zapíšete a posoudíte, jestli ho musíte hlásit Úřadu. Když disk šifrovaný nebyl, jde o jiný případ a posuzujete ho přísněji.

Spadáte-li pod kybernetický zákon, máte navíc druhou lhůtu: prvotní hlášení kybernetického incidentu odešlete do 24 hodin po zjištění (§ 16 odst. 1 zákona č. 264/2025 Sb.). Hlásí se NÚKIB nebo Národnímu CERT a je to jiný úkol než hlášení podle GDPR. Zákon v § 64 odst. 5 počítá s tím, že si NÚKIB a Úřad pro ochranu osobních údajů vymění údaje, aby týž prohřešek netrestaly dvakrát. Víc o zákonu píše text o NIS2 a novém zákonu.

Pokuty

Za porušené povinnosti z čl. 25 až 39, tedy i z čl. 32 až 34, lze podle čl. 83 odst. 4 uložit pokutu až 10 milionů eur, nebo u podniku až 2 % celosvětového ročního obratu za předchozí rok, podle toho, co je vyšší. Za porušené základní zásady z čl. 5 až 7 a 9 podle odst. 5 hrozí až 20 milionů eur, nebo 4 % obratu. Zásada z čl. 5 odst. 1 písm. f) je právě ta o ochraně údajů. Kolik úřad v konkrétním případě uloží, GDPR neříká. Zjistili jsme jen strop.

Chyby, které se opakují

• Papíry bez ochrany. Zásady a souhlasy jsou potřeba, ale data ochrání jen opatření v systémech.
• Zálohy, které nikdo nezkusil obnovit. Čl. 32 chce umět data včas obnovit, ne jen mít kopii.
• Dodavatel bez pravidel. Pokud vám data zpracovává někdo jiný, musí vás o úniku informovat bez zbytečného odkladu.
• Únik bez záznamu. Čl. 33 odst. 5 chce zapsat každý případ, i ten, který nehlásíte.
• Neznalost, kde data leží. Kdo neví, kde osobní údaje jsou, nemůže ani posoudit, co uniklo.

Zdroje

• GDPR, tedy nařízení (EU) 2016/679, české znění, čl. 4, 5, 32, 33, 34 a 83: https://eur-lex.europa.eu/legal-content/CS/TXT/HTML/?uri=CELEX:32016R0679
• Úřad pro ochranu osobních údajů, únik osobních údajů, zobrazeno 25. 10. 2026: https://uoou.gov.cz/profesional/poruseni-zabezpeceni-osobnich-udaju
• Zákon č. 264/2025 Sb., znění účinné od 1. 11. 2025: https://www.zakonyprolidi.cz/cs/2025-264
• Vyhláška č. 410/2025 Sb., účinná od 1. 11. 2025: https://www.zakonyprolidi.cz/cs/2025-410