Stručná odpověď: Soulad s GDPR vyžaduje, aby každá organizace, která zpracovává osobní údaje obyvatel EU, dodržovala přísná pravidla týkající se souhlasu, minimalizace dat, oznamování narušení a práv jednotlivců, bez ohledu na to, kde se podnik nachází. V roce 2026 je vymáhání agresivnější než kdy jindy: kumulativní pokuty od roku 2018 přesáhly 7,1 miliardy eur a denní oznámení o narušení dosahují průměrně 443 denně [1]. Spuštění strukturovaného kontrolního seznamu souladu s GDPR je nejspolehlivějším způsobem, jak identifikovat mezery dříve, než to udělají regulátoři.
Klíčové poznatky
- GDPR se vztahuje na jakoukoli firmu zpracovávající osobní údaje obyvatel EU/EHP, nejen na evropské společnosti.
- Kumulativní pokuty za GDPR přesáhly do konce roku 2025 7,1 miliardy eur, přičemž jen v roce 2025 bylo vydáno přibližně 1,2 miliardy eur [1].
- Kompletní kontrolní seznam souladu s GDPR zahrnuje mapování dat, právní základy, mechanismy souhlasu, reakci na narušení, smlouvy s dodavateli a pravidelné audity [5][6].
- Sankce dosahují až 20 milionů eur nebo 4 % celkového ročního obratu, podle toho, co je vyšší.
- Dohoda EU z června 2025 zjednoduší přeshraniční vymáhání, což usnadní stíhání porušení ve více jurisdikcích [2].
- Malé podniky a velké podniky čelí stejným právním povinnostem, ačkoli v některých rozhodnutích o vymáhání se uplatňuje proporcionalita.
- 44 % britských maloobchodních pracovníků si není jisto správným zacházením s daty zákazníků a 19 % nikdy neabsolvovalo formální školení GDPR [4].
- Soulad není jednorázový projekt, jsou vyžadovány roční audity a průběžné monitorování.
Co je soulad s GDPR a proč je důležitý pro vaši firmu
GDPR (General Data Protection Regulation) je primární zákon EU o ochraně osobních údajů, platný od května 2018. Upravuje, jak organizace shromažďují, ukládají, zpracovávají a přenášejí osobní údaje patřící obyvatelům EU a EHP. Nedodržení vystavuje podniky značným pokutám, poškození pověsti a ztrátě důvěry zákazníků.
Nařízení je důležité, protože vymáhání se rok od roku zintenzivňuje. V roce 2025 dosáhla denní oznámení o narušení 443, což je 22% nárůst oproti předchozímu roku, a samotná irská Komise pro ochranu údajů vydala kumulativní pokuty ve výši 4,04 miliardy eur, včetně pokuty 530 milionů eur proti TikToku za nezákonné mezinárodní přenosy dat [1]. Zpráva od regulátorů je jednoznačná: procedurální soulad je očekáván, nikoli volitelný.
Kdo musí dodržovat: Jakákoli organizace, bez ohledu na umístění, která nabízí zboží nebo služby obyvatelům EU/EHP nebo monitoruje jejich chování (např. prostřednictvím webové analytiky nebo cookies).
Kontrolní seznam souladu s GDPR 2026: Co musíte udělat
Aktuální kontrolní seznam souladu s GDPR pokrývá nejméně devět operačních oblastí. Systematické procházení každé z nich je nejúčinnějším způsobem, jak posoudit a odstranit mezery [5][6][8].
Klíčové oblasti kontrolního seznamu:
- Mapování dat a záznamy o činnostech zpracování (ROPA): Dokumentujte každou kategorii osobních údajů, které shromažďujete, jejich zdroj, účel, právní základ, dobu uchovávání a příjemce.
- Identifikace právního základu: Potvrďte platný právní základ (souhlas, smlouva, oprávněný zájem, právní povinnost, životně důležitý zájem nebo veřejný úkol) pro každou činnost zpracování.
- Oznámení o ochraně osobních údajů: Zajistěte, aby všechna oznámení byla jasná, vrstvená a dostupná v místě shromažďování dat.
- Správa souhlasu: Implementujte mechanismus, který zaznamenává, ukládá a umožňuje odvolání souhlasu. Vyhrazená platforma pro správu souhlasu (CMP), jako je Biscotti CMP, dokáže zpracovat souhlas s cookies, záznamy preferencí a auditní stopy v jediném řešení.
- Postupy pro práva subjektů údajů (DSR): Vytvořte pracovní postupy pro žádosti o přístup, opravu, výmaz, přenositelnost, omezení a námitky v rámci 30denní zákonné lhůty.
- Posouzení dopadu na ochranu údajů (DPIA): Proveďte DPIA před jakoukoli vysoce rizikovou činností zpracování (např. rozsáhlé profilování, biometrická data, systematické monitorování).
- Správa dodavatelů a zpracovatelů: Zajistěte, aby byly s každým zpracovatelem třetí strany uzavřeny dohody o zpracování dat (DPA).
- Plán reakce na narušení: Udržujte zdokumentovaný postup pro detekci, omezení a oznamování narušení příslušnému dozorovému úřadu do 72 hodin.
- Školení a povědomí: Poskytujte pravidelné, pro danou roli specifické školení GDPR. Zpráva z června 2026 zjistila, že 19 % britských maloobchodních pracovníků nikdy neabsolvovalo formální školení o souladu [4], což je mezera, kterou regulátoři považují za přitěžující faktor.
Jak zjistím, zda je moje firma v souladu s GDPR
Firma může posoudit svůj stav souladu prostřednictvím strukturovaného interního auditu mapovaného proti výše uvedeným oblastem kontrolního seznamu. Skutečný soulad vyžaduje zdokumentované důkazy, nikoli jen dobré úmysly.
Tři ukazatele mezery v souladu:
- Žádná ROPA nebo zastaralá (naposledy revidovaná před více než 12 měsíci).
- Záznamy o souhlasu, které nelze na požádání získat nebo prokázat.
- Žádné podepsané DPA s poskytovateli cloudu, dodavateli analytiky nebo e-mailovými platformami.
Pokud platí cokoli z výše uvedeného, je pravděpodobné, že firma není v souladu alespoň v jedné podstatné oblasti.
Požadavky na soulad s GDPR: Malé podniky vs. velké podniky
Jak malé podniky, tak velké podniky podléhají stejným povinnostem GDPR. Nařízení nevytváří formální výjimku pro malé a střední podniky, ačkoli dozorové orgány mohou zohlednit proporcionalitu při určování sankcí.
Klíčové rozdíly v praxi:
| Oblast | Malý podnik | Velký podnik |
|---|---|---|
| Požadavek DPO | Obvykle není povinný | Povinný při rozsáhlém zpracování |
| Frekvence DPIA | Nižší objem, méně spouštěčů | Časté; komplexní činnosti zpracování |
| Smlouvy s dodavateli | Méně zpracovatelů k řízení | Vyžadovány desítky až stovky DPA |
| Reakce na narušení | Jednodušší interní proces | Potřebný formální tým pro reakci na incidenty |
| Školení | Základní roční školení | Průběžné, programy rozdělené podle rolí |
Podniky zpracovávající data ve velkém měřítku, zejména platformy SaaS, provozovatelé e-commerce a agentury zpracovávající klientská data, čelí nejvyšší kontrole auditu a měly by soulad považovat spíše za nepřetržitou provozní funkci než za periodický projekt.
Jaké jsou sankce za nedodržení GDPR
Pokuty GDPR fungují na dvoustupňové struktuře. Méně závažná porušení (např. nevedení záznamů) přitahují pokuty až do výše 10 milionů eur nebo 2 % celkového ročního obratu. Závažnější porušení (např. nezákonné zpracování, porušení práv subjektů údajů) přitahují pokuty až do výše 20 milionů eur nebo 4 % celkového ročního obratu, podle toho, co je vyšší.
Nedávné vymáhání v dubnu 2026 ilustruje rozsah: YOTI obdržela pokutu 950 000 eur za zpracování biometrických dat bez právního základu; Enel Energia dostala pokutu 563 052 eur za nedodržení žádostí o odhlášení z marketingu; a Renault Commercial Roumanie byl potrestán za nedostatečná bezpečnostní opatření po kybernetickém útoku [3]. Jedná se o středně velké pokuty, nikoli o výjimky vyhrazené pro technologické giganty.
Kromě pokut mohou regulátoři také vydávat zákazy zpracování, které mohou být pro podniky závislé na datech provozně katastrofální.
Potřebuji soulad s GDPR, pokud nejsem v Evropě
Ano. GDPR má výslovnou extrateritoriální působnost podle článku 3. Jakákoli organizace mimo EU, která nabízí zboží nebo služby obyvatelům EU nebo monitoruje jejich chování (včetně prostřednictvím webových cookies, analytiky nebo behaviorální reklamy), musí dodržovat.
To znamená, že společnost SaaS se sídlem ve Spojených státech, Kanadě nebo Austrálii s evropskými zákazníky podléhá GDPR. Pokuta TikToku ve výši 530 milionů eur v roce 2025, vydaná irskou DPC proti společnosti se sídlem mimo EU, potvrzuje, že regulátoři aktivně stíhají přeshraniční porušení [1].
Praktický důsledek: Pokud je váš web přístupný uživatelům z EU a používáte sledovací technologie, potřebujete mechanismus souhlasu v souladu s předpisy a oznámení o ochraně osobních údajů, které splňuje standardy GDPR.
Soulad s GDPR pro e-commerce vs. SaaS vs. agentury
Každý obchodní model má odlišné tlakové body souladu.
E-commerce: Vysoký objem transakčních a behaviorálních dat. Klíčová rizika zahrnují nezákonné použití historie nákupů pro profilování, nedostatečné bannery pro souhlas s cookies a nedodržení žádostí o výmaz pro bývalé zákazníky.
SaaS: Obvykle funguje jako zpracovatel dat pro klienty (kteří jsou správci). Musí udržovat robustní DPA, nabízet přenositelnost dat a podporovat pracovní postupy DSR klientů. Pokud platforma SaaS zpracovává data i pro své vlastní účely (např. analytiku produktů), stává se správcem pro tuto podmnožinu.
Agentury: Často zpracovávají osobní údaje jménem více klientů současně. Každý vztah s klientem vyžaduje samostatnou DPA. Agentury musí také zajistit, aby subdodavatelé (např. reklamní platformy, analytické nástroje) byli pokryti příslušnými smluvními podmínkami.
Běžné chyby v souladu s GDPR, kterých se firmy dopouštějí
Nejčastější selhání v souladu jsou spíše strukturální než technické. Jejich znalost předem zabraňuje nákladné nápravě.
- Předem zaškrtnutá políčka souhlasu: Stále široce používána, přestože jsou GDPR výslovně zakázána.
- Sdružený souhlas: Kombinace souhlasu pro více účelů do jednoho zaškrtávacího políčka.
- Ignorování posouzení oprávněného zájmu: Tvrzení oprávněného zájmu bez provedení zdokumentovaného testu vyvážení.
- Zastaralá oznámení o ochraně osobních údajů: Oznámení, která odkazují na činnosti zpracování, které se již nepoužívají, nebo vynechávají nové.
- Žádná auditní stopa dodavatele: Předpoklad, že dodavatel je v souladu bez podepsané DPA nebo pravidelné kontroly.
- Považování souladu za jednorázový projekt: Soulad s GDPR se časem zhoršuje, jak se mění systémy, dodavatelé a činnosti zpracování.
Nástroje pro soulad s GDPR a kolik to stojí
Nástroje pro soulad s GDPR spadají do několika kategorií: platformy pro správu souhlasu, software pro mapování dat, nástroje pro správu DPA a systémy pro reakci na narušení. Biscotti CMP řeší vrstvu správy souhlasu, zaznamenává, ukládá a spravuje souhlas s cookies a sledováním s ověřitelnou auditní stopou, což je jedna z nejčastěji auditovaných oblastí souladu.
Odhad nákladů (přibližný, nezaručený):
- Malý podnik, základní soulad: 1 000–5 000 € za počáteční nastavení (právní posouzení, návrh oznámení o ochraně osobních údajů, implementace CMP).
- Střední trh: 10 000–50 000 € ročně, včetně poradenských služeb DPO, školení zaměstnanců a nástrojů.
- Velký podnik: 100 000 €+ ročně za vyhrazeného DPO, právní poradenství, softwarový balík pro soulad a průběžné audity.
Jedná se o orientační rozsahy. Skutečné náklady závisí na složitosti dat, počtu zpracovatelů a na tom, zda jsou použity interní zdroje nebo externí konzultanti.
Jak často bych měl auditovat svůj soulad s GDPR
Kompletní audit souladu s GDPR by měl být prováděn minimálně jednou ročně, s vyvolanými kontrolami vždy, když dojde k podstatné změně, jako je spuštění nového produktu, zapojení nového zpracovatele dat, vstup na nový trh nebo zkušenost s narušením dat.
Dohoda EU z června 2025 o posílení přeshraniční spolupráce v oblasti vymáhání [2] zvyšuje pravděpodobnost, že porušení zjištěná v jednom členském státě budou eskalována napříč jurisdikcemi. Podniky působící ve více zemích EU by měly považovat vystavení více úřadům za skutečné riziko, nikoli teoretické.
Frekvence auditu podle události:
- Roční: Kompletní revize ROPA, aktualizace oznámení o ochraně osobních údajů, kontrola obnovení DPA dodavatele.
- Vyvolané: Nová činnost zpracování, nový nástroj třetí strany, změny personálu ovlivňující přístup k datům.
- Po incidentu: Kompletní revize po jakémkoli bezpečnostním incidentu nebo téměř incidentu.
Soulad s GDPR pro vzdálené týmy a zpracování dat
Vzdálená práce přináší specifická rizika GDPR: osobní údaje přístupné na osobních zařízeních, přeshraniční přenosy dat v rámci distribuovaných týmů a neformální používání nástrojů pro spolupráci, které nemusí mít odpovídající DPA.
Organizace se vzdálenými týmy by měly prosazovat jasnou politiku Bring Your Own Device (BYOD), zajistit, aby všechny platformy pro spolupráci (videokonference, řízení projektů, zasílání zpráv) byly pokryty DPA, a uplatňovat kontroly přístupu, aby zaměstnanci zpracovávali pouze data nezbytná pro jejich roli (princip minimalizace dat).
Co se stane, když zákazník podá stížnost na vaši firmu kvůli GDPR
Zákazník (subjekt údajů) může podat stížnost přímo u svého národního dozorového úřadu (např. ICO ve Spojeném království, CNIL ve Francii nebo BfDI v Německu). Úřad poté provede šetření a může si vyžádat dokumentaci, provést rozhovory nebo zahájit formální audit.
Firma musí plně spolupracovat a poskytnout důkazy o souladu, proto jsou tak důležité zdokumentované záznamy, protokoly souhlasu a stopy reakcí DSR. Neposkytnutí důkazů je samo o sobě porušením. Výsledky se pohybují od formálního varování přes závazný příkaz k nápravě až po finanční sankci.
Jak dlouho trvá implementace plného souladu s GDPR
Pro malý podnik s omezeným zpracováním dat lze základního souladu dosáhnout za čtyři až osm týdnů s cíleným úsilím. Pro středně velkou organizaci je realistických tři až šest měsíců. Podniky s komplexními datovými ekosystémy, více jurisdikcemi a staršími systémy by měly počítat se šesti až osmnácti měsíci na komplexní program souladu.
Nejčasově náročnějšími prvky jsou obvykle mapování dat (vytvoření ROPA od nuly), audity dodavatelů (kontrola a aktualizace DPA u všech zpracovatelů) a programy školení zaměstnanců. Použití fázovaného přístupu, kdy se nejprve upřednostňují vysoce rizikové činnosti zpracování, je účinnější než pokus o plný soulad v jediném sprintu.
Závěr
Kontrolní seznam souladu s GDPR není byrokratická formalita, je to živý operační rámec, který se musí vyvíjet spolu s vaším podnikáním. S kumulativními pokutami přesahujícími 7,1 miliardy eur, denními zprávami o narušení rostoucími o 22 % ročně [1] a novými mechanismy přeshraničního vymáhání [2] nebyly náklady na nečinnost nikdy vyšší.
Akční kroky pro rok 2026:
- Proveďte cvičení mapování dat a vytvořte nebo aktualizujte svou ROPA do 30 dnů.
- Auditujte všechny dodavatele třetích stran a zajistěte, aby byly podepsány DPA.
- Implementujte řešení pro správu souhlasu v souladu s předpisy, Biscotti CMP poskytuje strukturovaný způsob správy souhlasu s cookies a udržování ověřitelných auditních protokolů.
- Naplánujte roční kontroly souladu a definujte spouštěče pro průběžné audity.
- Poskytněte školení GDPR specifické pro danou roli všem zaměstnancům, kteří nakládají s osobními údaji.
Soulad není cíl. Je to nepřetržitý proces, který vyžaduje zdokumentované důkazy, pravidelné kontroly a organizační závazek na všech úrovních.
Často kladené otázky
Vztahuje se GDPR na B2B společnosti, které zpracovávají pouze obchodní kontaktní údaje? Ano, pokud se obchodní kontaktní údaje týkají identifikovatelných fyzických osob (např. jmenovaných zaměstnanců), kvalifikují se jako osobní údaje podle GDPR. B2B společnosti nejsou vyňaty.
Co je dohoda o zpracování dat (DPA) a potřebuji ji? DPA je právně závazná smlouva mezi správcem dat a zpracovatelem dat. Článek 28 GDPR ji vyžaduje vždy, když sdílíte osobní údaje s poskytovatelem služeb třetí strany. Bez ní jsou obě strany v rozporu.
Stačí banner pro souhlas s cookies pro soulad s GDPR? Ne. Banner pro souhlas je jednou součástí souladu. Musí být spárován s úplným oznámením o ochraně osobních údajů, mechanismem pro odvolání souhlasu a záznamy prokazujícími, že souhlas byl svobodně udělen, konkrétní, informovaný a jednoznačný.
Co je pověřenec pro ochranu osobních údajů (DPO) a kdy je vyžadován? DPO je určený odborník na soulad. Je vyžadován, pokud vaše organizace zpracovává data ve velkém měřítku jako hlavní činnost, systematicky zpracovává zvláštní kategorie dat nebo je veřejným orgánem. Mnoho menších podniků jmenuje DPO dobrovolně.
Mohu použít oprávněný zájem místo souhlasu pro marketingové e-maily? Pouze v omezených případech, jako je pravidlo „soft opt-in“ pro stávající zákazníky v některých jurisdikcích. Pro studený marketing novým kontaktům je obecně vyžadován souhlas. Pokud se na tento základ spoléháte, je povinné zdokumentované posouzení oprávněného zájmu.
Jak se vypořádám s narušením dat podle GDPR? Omezte narušení, posuďte jeho rozsah a riziko pro subjekty údajů a oznamte příslušnému dozorovému úřadu do 72 hodin, pokud narušení představuje riziko pro jednotlivce. Pokud je riziko vysoké, musí být dotčené osoby rovněž bez zbytečného odkladu informovány.
Co jsou standardní smluvní doložky (SCC) a kdy je potřebuji? SCC jsou předem schválené smluvní podmínky pro přenos osobních údajů do zemí mimo EHP, které nemají rozhodnutí o odpovídající ochraně. Jsou vyžadovány při používání dodavatelů nebo přenosu dat do USA, Indie nebo jiných nedostatečných třetích zemí.
Vztahuje se GDPR na data uložená v cloudových službách? Ano. Poskytovatelé cloudu fungují jako zpracovatelé dat. Musíte mít DPA s vaším poskytovatelem cloudu a zajistit, aby data byla uložena na vyhovujících místech nebo chráněna vhodnými mechanismy přenosu (např. SCC nebo rozhodnutí o odpovídající ochraně).
Interaktivní sebehodnocení souladu s GDPR
Reference
[1] Pokuty GDPR přesahují 1 miliardu, denní zprávy o narušení přesahují 400 - https://www.isec.news/2026/01/23/gdpr-fines-pass-1-billion-as-daily-breach-reports-top-400/?utm_source=openai
[2] consilium.europa.eu - https://www.consilium.europa.eu/en/press/press-releases/2025/06/16/data-protection-council-and-european-parliament-reach-deal-to-make-cross-border-gdpr-enforcement-work-better-for-citizens/pdf/?utm_source=openai
[3] Pokuta GDPR duben 2026 Renault Yoti Enel Bakeca Středně velké kybernetické - https://www.securitytoday.de/en/2026/04/25/gdpr-fine-april-2026-renault-yoti-enel-bakeca-midsized-cyber/?utm_source=openai
[4] Téměř polovina britských maloobchodních pracovníků si není jista, jak nakládat s daty v souladu s GDPR - https://www.techradar.com/pro/almost-half-of-uk-retail-workers-unsure-of-how-to-handle-data-in-line-with-gdpr?utm_source=openai
[5] Kontrolní seznam souladu - https://provahq.io/frameworks/gdpr/compliance-checklist/?utm_source=openai
[6] Kontrolní seznam souladu s GDPR - https://www.legiscope.com/blog/gdpr-compliance-checklist.html?utm_source=openai
[7] Kontrolní seznam souladu s GDPR - https://genechecklist.com/checklist/gdpr-compliance-checklist?utm_source=openai
[8] Kontrolní seznam souladu s GDPR - https://visioncompliance.eu/en/blog/gdpr-compliance-checklist?utm_source=openai