GDPR a ochrana osobních údajů – jaká máte práva a jak žádat o výmaz dat

Interaktivní nástroj: generátor žádosti podle GDPR

GDPR (General Data Protection Regulation, obecné nařízení o ochraně osobních údajů) je evropské nařízení platné od května 2018, které výrazně posílilo práva jednotlivců nad jejich osobními údaji. Řada lidí ale pořád přesně neví, jaká konkrétní práva GDPR dává, jak si o výmaz dat skutečně zažádat, nebo co dělat, když se dozví, že jejich data unikla při kybernetickém útoku na nějakou firmu. Tento článek shrnuje GDPR z pohledu běžného uživatele, ne firmy nebo správce dat.

Jaká práva podle GDPR jednotlivec má

GDPR dává každému, o jehož osobní údaje jde (tzv. subjektu údajů), několik konkrétních práv vůči každé firmě nebo instituci, která jeho data zpracovává (správci údajů):

• Právo na informace – zjistit, jaká konkrétní data o vás firma zpracovává, za jakým účelem a jak dlouho.

• Právo na přístup – vyžádat si kopii svých osobních údajů, které firma zpracovává.

• Právo na opravu – požádat o opravu nepřesných nebo neúplných údajů.

• Právo na výmaz ("právo být zapomenut", čl. 17 GDPR) – za určitých podmínek požádat o úplné vymazání svých údajů.

• Právo na omezení zpracování – požádat, aby firma vaše data dočasně nezpracovávala, aniž by je rovnou mazala (např. při probíhajícím spotu o přesnost údajů).

• Právo na přenositelnost údajů – získat svá data ve strukturovaném, strojově čitelném formátu a přenést je k jinému poskytovateli.

• Právo vznést námitku – zejména proti zpracování pro marketingové účely.

Jak podat žádost o výmaz osobních údajů

GDPR nepředepisuje konkrétní formu žádosti, ale pro pozdější dokazování je rozumné žádost podat písemně (e-mailem nebo přes kontaktní formulář firmy) a ponechat si důkaz o jejím odeslání. Žádost by měla obsahovat:

1. jasnou identifikaci, že jde o žádost podle čl. 17 GDPR o výmaz osobních údajů,

2. vaše identifikační údaje potřebné k tomu, aby vás firma v systému dohledala,

3. upřesnění rozsahu – zda chcete výmaz úplně všech dat, nebo jen konkrétní kategorie.

Správce má na vyřízení žádosti zhruba jeden měsíc od obdržení; ve složitějších případech lze lhůtu výjimečně prodloužit, o čemž vás ale musí informovat. Pokud žádosti nevyhoví, musí sdělit konkrétní důvod a informovat vás o možnosti podat stížnost u dozorového úřadu.

Výmaz je možné požadovat i u dat, která firma předala třetím stranám – správce má povinnost tyto strany o vaší žádosti informovat.

Kdy firma výmazu nemusí vyhovět

GDPR počítá i s výjimkami, kdy právo na výmaz neplatí bezvýhradně – typicky pokud je zpracování nezbytné pro splnění právní povinnosti (např. firma musí uchovávat účetní dokumenty po zákonem stanovenou dobu), z důvodu svobody projevu a informací, nebo pro určení, výkon či obhajobu právních nároků.

Stížnost na Úřad pro ochranu osobních údajů (ÚOOÚ)

Pokud firma na žádost nereaguje, odmítá ji bez uvedení důvodu, nebo máte podezření na jiné porušení GDPR, máte právo podat stížnost na Úřad pro ochranu osobních údajů (ÚOOÚ, uoou.gov.cz). Úřad v takových případech obvykle danou firmu osloví a vyžádá si vysvětlení, jak se žádostí naložila; pokud zjistí porušení, může udělit pokutu.

Co dělat při úniku osobních údajů

Úniky dat (data breach) z firem a institucí bohužel nejsou ojedinělé – unikají hesla, e-maily, čísla platebních karet i citlivější údaje. Pokud se dozvíte, že vaše data unikla (ať od samotné firmy, z médií, nebo přes kontrolní nástroje typu "haveibeenpwned"):

1. Okamžitě změňte heslo k dotčenému účtu – a pokud jste stejné heslo použili i jinde, změňte ho i tam (viz náš článek o správci hesel).

2. Zapněte dvoufaktorovou autentizaci všude, kde je dostupná.

3. Vyžádejte si od firmy informace, jaká konkrétně data unikla a jaká opatření přijala.

4. Sledujte neobvyklou aktivitu na navazujících účtech, zejména pokud mezi uniklými daty byly finanční údaje – v takovém případě kontaktujte i svou banku.

5. Pokud vám vznikla škoda, zvažte stížnost na ÚOOÚ, případně trestní oznámení nebo žalobu o náhradu škody.

Firma, u které k úniku došlo, má zákonnou povinnost nahlásit únik Úřadu pro ochranu osobních údajů do 72 hodin od zjištění, a v závažnějších případech (kdy hrozí vysoké riziko pro práva a svobody dotčených osob) musí informovat i přímo vás.

Příklady vysokých pokut za porušení GDPR

Od zavedení GDPR udělily evropské dozorové úřady řadu vysokých pokut, které ukazují, jak vážně se nařízení vymáhá. Dosud nejvyšší pokutou je 1,2 miliardy eur, kterou irský dozorový úřad v roce 2023 udělil společnosti Meta (Facebook) za nezákonný přenos osobních údajů evropských uživatelů do USA v rozporu s pravidly o mezinárodním přenosu dat. Francouzský úřad CNIL v minulosti pokutoval i Google a Amazon za nedostatečné informování uživatelů o cookies a cílené reklamě. V České republice ukládá pokuty tuzemský Úřad pro ochranu osobních údajů, obvykle v nižších částkách než u nadnárodních gigantů, ale i tak v řádu statisíců až milionů korun u opakovaných nebo závažných porušení, typicky za nezabezpečení databáze klientů, nevyžádaný marketing bez právního titulu nebo nevyřízení žádostí o výmaz v zákonné lhůtě.

Právo na přenositelnost údajů v praxi

Právo na přenositelnost (čl. 20 GDPR) umožňuje získat svá data ve strukturovaném, běžně používaném a strojově čitelném formátu (typicky XML, JSON nebo CSV) a buď si je stáhnout, nebo požádat o jejich přímý přenos k jinému poskytovateli, pokud je to technicky možné. V praxi se s tímto právem nejčastěji setkáte u velkých platforem - například Facebook, Google nebo Instagram mají ve svém nastavení soukromí přímo funkci "stáhnout si svá data", která exportuje historii aktivity, zprávy, fotky a další obsah. Právo na přenositelnost se ale vztahuje jen na data, která jste sami poskytli na základě souhlasu nebo smlouvy - ne na údaje, které si o vás firma sama odvodila analýzou (např. reklamní profil zájmů).

GDPR a cookies na webových stránkách

Souhlas s cookies, který vyskakuje na téměř každém webu, souvisí s GDPR jen částečně - přímo ho upravuje spíše směrnice o soukromí a elektronických komunikacích (tzv. ePrivacy), GDPR se uplatní v okamžiku, kdy jsou cookies použity ke zpracování osobních údajů, například k vytvoření reklamního profilu konkrétní osoby. Platí, že nezbytné technické cookies (např. pro fungování košíku v e-shopu) souhlas nepotřebují, zatímco analytické a reklamní cookies ano - a souhlas musí být podle výkladu úřadů i soudů stejně snadné odmítnout jako přijmout, ne schovaný za více kliknutí než tlačítko "souhlasím".

Jak zjistit, jaká data o vás firma zpracovává

Nejrychlejší cestou je najít v nastavení soukromí dané aplikace nebo webu sekci "moje data"/"stáhnout data" - velké platformy (Google, Meta, Microsoft) ji mají přímo integrovanou a vygenerují export během několika minut až dnů. U menších firem bez takové funkce je nutné podat formální žádost o přístup podle čl. 15 GDPR, na kterou mají ze zákona stejnou měsíční lhůtu jako u žádosti o výmaz.

Pověřenec pro ochranu osobních údajů (DPO)

Větší firmy, orgány veřejné správy a firmy zpracovávající citlivé údaje ve velkém rozsahu musí podle GDPR jmenovat pověřence pro ochranu osobních údajů (Data Protection Officer, DPO) - nezávislou osobu, na kterou se mohou obrátit jak zaměstnanci, tak veřejnost s dotazy ohledně zpracování osobních údajů. Kontakt na DPO bývá povinně zveřejněn v zásadách ochrany osobních údajů na webu firmy, a je to často nejrychlejší cesta, jak žádost o výmaz nebo přístup k datům vyřídit přímo, bez nutnosti hned podávat stížnost na ÚOOÚ.

Nejčastější dotazy k GDPR (FAQ)

Musím za žádost o výmaz dat platit?

Ne, uplatnění práv podle GDPR je pro jednotlivce bezplatné. Poplatek si firma může účtovat jen u zjevně nedůvodných nebo nadměrně se opakujících žádostí.

Platí GDPR i na malé firmy a živnostníky?

Ano, GDPR se vztahuje na všechny, kdo zpracovávají osobní údaje v rámci podnikatelské nebo jiné organizované činnosti, bez ohledu na velikost firmy.

Můžu zažádat o výmaz dat i u sociálních sítí a velkých zahraničních firem?

Ano, GDPR platí pro jakoukoli firmu zpracovávající data obyvatel EU, bez ohledu na to, kde má sídlo. Velké platformy mají na tyto žádosti obvykle dedikované formuláře v nastavení soukromí účtu.

Co když firma na žádost nereaguje vůbec?

Po uplynutí zákonné lhůty (zhruba měsíc) můžete bez dalšího čekání podat stížnost na ÚOOÚ.

Mohu žádost o výmaz podat anonymně?

Ne zcela - firma potřebuje vás v systému identifikovat, aby mohla správná data dohledat a smazat. Identifikační údaje v žádosti ale slouží výhradně k tomuto účelu.

Je rozdíl mezi "výmazem účtu" a "výmazem dat podle GDPR"?

Běžné smazání účtu v nastavení aplikace často jen deaktivuje viditelnost profilu, zatímco některá data mohou zůstat uložená na pozadí. Formální žádost podle čl. 17 GDPR je silnější nástroj, který vyžaduje skutečné odstranění dat, pokud neplatí zákonná výjimka.