GDPR na webu: musí mít firma zásady ochrany osobních údajů?
Někdo vyplní na Vašem webu kontaktní formulář – jméno, e-mail, telefon – a svěří tím firmě své osobní údaje. Kdo osobní údaje získává, musí podle GDPR říct, co s nimi udělá. Ukážeme, kdy musí mít web zásady ochrany osobních údajů, co v nich má být a jestli formulář potřebuje políčko se souhlasem.
Zjistěte, jestli Váš web měří návštěvnost nebo sbírá kontakty – a jestli u toho najdeme odkaz na zásady.
Zdarma – bez registrace – bez instalace
Kdy web zásady ochrany osobních údajů potřebuje
Povinnost vzniká tím, že firma přes web zpracovává osobní údaje. Najděte situaci, která odpovídá Vašemu webu:
Web má kontaktní formulář, objednávky nebo přihlášku k odběru
- Údaje zadává člověk sám, a proto má informace dostat hned u formuláře – nejčastěji jako odkaz na zásady.
- Platí to stejně pro živnostníka jako pro velkou firmu.
Web měří návštěvnost nebo má reklamní kódy
- Zásady mají popsat i měření: jaké nástroje web používá, kdo data dostává a jestli odcházejí mimo EU.
- Zvlášť k tomu potřebuje souhlas s cookies, pokud nástroje ukládají do zařízení víc, než je nutné.
Web je jen vizitka bez formuláře a bez měření
- Server i takového webu obvykle zaznamenává IP adresy návštěvníků a ty ÚOOÚ považuje za osobní údaj, když se vztahují k určitelné osobě.
- Proto se vyplatí mít i tady krátkou stránku se zásadami.
Jak je to se souhlasem s cookies, rozebírá náš článek o cookie liště. Souhlas a zásady jsou dvě různé věci: podle ÚOOÚ web, který používá jen technické cookies, lištu mít nemusí, informační povinnost ale splnit musí i tak, když přitom zpracovává osobní údaje. A evropské pokyny k transparentnosti, které převzal Evropský sbor pro ochranu osobních údajů, doporučují zásady zveřejnit každé organizaci, která provozuje web, s odkazem viditelným z každé stránky.
Co musí zásady ochrany osobních údajů obsahovat
Co má informace obsahovat, vyjmenovává článek 13 GDPR. Firma, která o údajích rozhoduje, je podle GDPR . U malé firmy to vypadá takhle:
| Co uvést | Příklad pro malou firmu |
|---|---|
| Kdo je správce údajů a jak ho kontaktovat | Název firmy, IČO, adresa a e-mail |
| Kontakt na pověřence pro ochranu osobních údajů | Jen pokud ho firma má |
| Proč údaje zpracovává a na jakém právním základě | Odpověď na poptávku, vyřízení objednávky, zasílání novinek, měření návštěvnosti – u každého účelu jeho důvod podle GDPR |
| Oprávněný zájem | Když se zpracování opírá o oprávněný zájem firmy, napsat jaký – třeba zabezpečení webu |
| Kdo údaje dostane | Hosting, nástroj na rozesílání e-mailů, měření návštěvnosti, účetní |
| Předání mimo EU | Třeba nástrojům amerických firem – a na jakém základě se to děje |
| Jak dlouho se údaje uchovávají | Konkrétní doba, nebo podle čeho se určí |
| Jaká má člověk práva | Přístup k údajům, oprava, výmaz, omezení zpracování, námitka a přenositelnost; u souhlasu jeho odvolání |
| Stížnost u úřadu | Že si člověk může stěžovat u ÚOOÚ |
| Povinnost údaje poskytnout | Jestli je poskytnutí povinné a co se stane, když údaje člověk nedá |
| Automatizované rozhodování | Jen pokud o lidech rozhoduje program bez člověka, třeba při profilování |
Článek 13 odst. 1 a 2 nařízení (EU) 2016/679 (GDPR), konsolidované znění na EUR-Lex, ověřeno 25. 10. 2026.
Informace má být podle článku 12 stručná, srozumitelná a snadno přístupná. ÚOOÚ k tomu dodává, že na webu v češtině mají být informace i česky a nemají člověka nutit proklikávat se přes řadu stránek. U objednávek doporučuje dát zákazníkovi informace před odesláním objednávky, klidně odkazem – to nejdůležitější napřed, další v rozkliknutelné vrstvě – a mít je i jako obecnou stránku s odkazem třeba z patičky.
U předání americkým firmám zapojeným do rámce EU a USA pro ochranu osobních údajů je základem rozhodnutí Evropské komise z roku 2023. Rozhodnutí platí; Tribunál EU ho už potvrdil, proti tomu rozsudku ale běží odvolání u Soudního dvora EU.
Potřebuje kontaktní formulář souhlas se zpracováním osobních údajů?
Zpravidla ne. GDPR zná šest právních důvodů zpracování a souhlas je jen jeden z nich. Dotaz z formuláře firma zpracuje buď podle článku 6 odst. 1 písm. b) GDPR jako kroky před uzavřením smlouvy, o které člověk sám žádá, nebo podle písm. f) ze svého oprávněného zájmu. ÚOOÚ obecně uvádí, že kde je jiný právní základ, souhlas se vyžadovat nesmí; zbytečně vyžádaný souhlas může úřad posoudit jako porušení základních zásad GDPR.
Vzor zásad ochrany osobních údajů: proč ho nestačí stáhnout
Vzor, který by seděl na každý web, neexistuje. Zásady mají popisovat, co dělá právě Váš web: které formuláře má, jaké nástroje na něm běží, kdo údaje dostává a jak dlouho je firma drží. Stažený vzor snadno popisuje něco jiného, než se na webu děje, nebo vynechá nástroj, který na něm běží. Pozor i na vzory, které se odvolávají na zákon č. 101/2000 Sb.: ten zrušil zákon č. 110/2019 Sb., o zpracování osobních údajů.
Jak na to postupně:
- Sepište, co web sbírá. Každý formulář, objednávky, odběr novinek, měření návštěvnosti, chat, reklamní kódy.
- Ke každé věci připište účel a důvod. Proč údaje potřebujete a na jakém právním základě je zpracováváte.
- Zjistěte, kdo údaje dostává. , rozesílání e-mailů, nástroj na měření – a jestli některý z nich údaje posílá mimo EU.
- Určete, jak dlouho údaje držíte. Třeba poptávku, ze které nebyla zakázka.
- Napište zásady česky a srozumitelně. Odkaz dejte do patičky každé stránky a k formuláři.
- Když na web přibude nástroj nebo formulář, zásady upravte. Každý nový nástroj znamená nový řádek v zásadách.
Mění se GDPR?
Zatím ne. Evropská komise v listopadu 2025 navrhla takzvaný digitální omnibus, který by mimo jiné ulehčil informační povinnost tam, kde je vztah s člověkem jasný a zpracování není náročné na data – jako příklad uvádí vztah řemeslníka a jeho zákazníků. Rada EU svůj postoj schválila 21. října 2026, Evropský parlament o návrhu zatím nehlasoval a jednání Rady s Parlamentem ještě nezačalo.
Dokud se změna neschválí a nezačne platit, zůstávají dnešní pravidla celá v platnosti – informační povinnost i souhlas s cookies. Nové procesní nařízení k GDPR, které se uplatní od 2. dubna 2027, mění jen postup úřadů u přeshraničních případů; povinnosti firem na webu nemění.
Co z toho pozná náš audit
Audit hledá měření návštěvnosti na úvodní stránce a formuláře, které sbírají kontakty, na úvodní stránce i na stránce s kontakty. Když je najde, hledá odkaz na zásady na úvodní stránce a na stránce s kontakty. Ve studii Stav českých firemních webů 2026 jsme 10. srpna 2026 takhle prošli weby malých firem z celého Česka:
Informace o ochraně osobních údajůOdkaz na zásady ochrany osobních údajů jsme nenašli na úvodní stránce ani na stránce s kontakty
Časté dotazy
Musí mít firemní web zásady ochrany osobních údajů?
Ano, pokud přes web získáváte osobní údaje – kontaktním formulářem, objednávkou, přihláškou k odběru nebo měřením návštěvnosti. Článek 13 GDPR ukládá dát lidem informace o zpracování v okamžiku, kdy údaje získáváte. I u jednoduché vizitky se krátká stránka se zásadami vyplatí, protože server obvykle zaznamenává IP adresy návštěvníků.
Existuje vzor zásad ochrany osobních údajů?
Vzor, který by seděl na každý web, neexistuje. Zásady mají popisovat, co dělá právě Váš web: formuláře, nástroje, příjemce údajů a dobu uchování. Stažený vzor je třeba podle toho přepsat. Pozor také na vzory, které se odvolávají na zrušený zákon č. 101/2000 Sb.
Potřebuje kontaktní formulář souhlas se zpracováním osobních údajů?
Zpravidla ne. Údaje z dotazu se zpracovávají kvůli krokům před uzavřením smlouvy nebo z oprávněného zájmu firmy. ÚOOÚ uvádí, že tam, kde je jiný právní základ, se souhlas vyžadovat nesmí. K formuláři patří odkaz na zásady ochrany osobních údajů.
Kde mají být zásady ochrany osobních údajů na webu?
Obvykle na samostatné stránce, na kterou vede odkaz z patičky každé stránky a přímo od formuláře, kde lidé údaje vyplňují. Informace má být stručná, srozumitelná, snadno přístupná a na webu v češtině i česky.
Platí GDPR i pro živnostníka a malou firmu?
Ano. Informační povinnost podle článku 13 GDPR nemá výjimku podle velikosti firmy. Úlevu mají firmy s méně než 250 zaměstnanci jen u jiné povinnosti, vedení záznamů o zpracování, a i tam jen za určitých podmínek.
Je souhlas s cookies totéž co zásady ochrany osobních údajů?
Ne. Souhlas s cookies vyžaduje zákon o elektronických komunikacích, když web ukládá do zařízení návštěvníka víc, než je nutné. Zásady ochrany osobních údajů ukládá GDPR a popisují celé zpracování údajů, včetně měření návštěvnosti. Web s měřením obvykle potřebuje obojí.
Mění se GDPR v roce 2026?
Zatím ne. K návrhu takzvaného digitálního omnibusu, který by ulehčil informační povinnost tam, kde je vztah s člověkem jasný a zpracování není náročné na data, přijala Rada EU 21. října 2026 svůj postoj; Evropský parlament o něm zatím nehlasoval. Dokud změna nezačne platit, zůstávají dnešní pravidla celá v platnosti.
Potřebuje firma pověřence pro ochranu osobních údajů?
Většinou ne. Podle čl. 37 GDPR ho musí jmenovat orgány veřejné moci a veřejné subjekty a firmy, jejichž hlavní činností je rozsáhlé pravidelné a systematické sledování lidí nebo rozsáhlé zpracování zvláštních kategorií údajů, třeba o zdraví. Běžný firemní web s kontaktním formulářem a měřením návštěvnosti sám o sobě pověřence nevyžaduje. Když ho firma má, uvede na něj v zásadách kontakt.
Zdroje
- Nařízení (EU) 2016/679 (GDPR) – články 6, 12, 13 a 30, konsolidované zněníInformace v okamžiku získání údajů (čl. 13), stručně a snadno přístupně (čl. 12), právní důvody zpracování (čl. 6).
- Cookies – otázky a odpovědiI web jen s technickými cookies plní informační povinnost; informace česky a bez proklikávání.
- Vyžadování souhlasuKde je jiný právní základ, souhlas se vyžadovat nesmí.
- Informace pro e-shopyInformace před odesláním objednávky, odkaz v zápatí; nadužívání souhlasu.
- Desatero omylůIP adresa je osobním údajem, když se vztahuje k určené nebo určitelné osobě.
- Tisková zpráva ÚOOÚ o pokutách provozovatelům webů (2. 8. 2023)Pokuty provozovatelům webů (2. 8. 2023); mezi nedostatky nedostatečná informační povinnost.
- Guidelines on transparency under Regulation 2016/679 (WP260 rev.01)Každá organizace s webem má zveřejnit zásady s odkazem viditelným z každé stránky; sbor pokyny převzal (Endorsement 1/2018).
- Zákon č. 110/2019 Sb., o zpracování osobních údajůNavazuje na GDPR, zrušil zákon č. 101/2000 Sb.
- Prováděcí rozhodnutí Komise (EU) 2023/1795 – rámec EU a USA pro ochranu osobních údajůRozhodnutí o odpovídající ochraně; platí.
- Věc C-703/25 P – odvolání proti rozsudku Tribunálu ve věci T-553/23 (Latombe)Odvolání podané 31. 10. 2025; rozsudek zatím nepadl.
- Návrh Komise COM(2025) 837 – digitální omnibusÚleva v informační povinnosti při jasném vztahu a zpracování, které není náročné na data; příklad řemeslníka a jeho zákazníků.
- Digital Omnibus, 2025/0360(COD)Návrh Komise z 19. 11. 2025; Parlament zatím nehlasoval.
- Digital rulebook: Council agrees position (21. 10. 2026)Postoj Rady k digitálnímu omnibusu; jednání s Parlamentem začne po jeho postoji.
- Nařízení (EU) 2025/2518 – procesní pravidla k GDPRPoužije se od 2. dubna 2027; procesní pravidla pro přeshraniční případy.
Právní stav ověřen k 25. října 2026. Článek je obecný přehled, ne právní posouzení Vaší konkrétní situace.
Najde audit na Vašem webu odkaz na zásady?
Audit prověří rychlost, SEO, mobilní zobrazení, důvěryhodnost i povinné údaje a vrátí skóre 0 až 100 s konkrétními zjištěními – rovnou tady na stránce.
Zdarma – bez registrace – bez instalace
Raději to proberete s námi?
Ve studiu clevante weby navrhujeme, stavíme i opravujeme. Nechte nám kontakt a nezávazně spolu probereme, co Vašemu webu pomůže nejvíc.
Nebo se nejdřív podívejte na naši práci na clevante.cz.