Rýchla odpoveď: Súlad s GDPR vyžaduje, aby akákoľvek organizácia, ktorá spracováva osobné údaje obyvateľov EÚ, dodržiavala prísne pravidlá týkajúce sa súhlasu, minimalizácie údajov, oznamovania porušení a práv jednotlivcov, bez ohľadu na to, kde sa podnik nachádza. V roku 2026 je vymáhanie prísnejšie ako kedykoľvek predtým: kumulatívne pokuty presiahli 7,1 miliardy € od roku 2018 a priemerný počet denných oznámení o porušení dosahuje 443 [1]. Vedenie štruktúrovanej kontroly súladu s GDPR je najspoľahlivejší spôsob, ako identifikovať medzery skôr, ako to urobia regulátori.
Kľúčové poznatky
- GDPR sa vzťahuje na akýkoľvek podnik, ktorý spracováva osobné údaje obyvateľov EÚ/EEA, nielen na európske spoločnosti.
- Kumulatívne pokuty za GDPR presiahli 7,1 miliardy € do roku 2025, pričom približne 1,2 miliardy € bolo uložených len v roku 2025 [1].
- Kompletná kontrola súladu s GDPR pokrýva mapovanie údajov, právne základy, mechanizmy súhlasu, reakciu na porušenia, zmluvy s dodávateľmi a pravidelné audity [5][6].
- Pokuty dosahujú až 20 miliónov € alebo 4% z celkového ročného obratu, podľa toho, čo je vyššie.
- Júnová dohoda EÚ z roku 2025 zjednoduší cezhraničné vymáhanie, čo uľahčí stíhanie porušení v rôznych jurisdikciách [2].
- Malé podniky a veľké podniky čelí rovnakým právnym povinnostiam, hoci proporcionalita sa uplatňuje v niektorých rozhodnutiach o vymáhaní.
- 44% zamestnancov maloobchodu vo Veľkej Británii nemá dôveru v správne zaobchádzanie s údajmi zákazníkov a 19% nikdy nedostalo formálne školenie o GDPR [4].
- Súlad nie je jednorazový projekt, vyžaduje sa ročný audit a nepretržité monitorovanie.
Čo je súlad s GDPR a prečo je dôležitý pre vašu firmu
GDPR (Všeobecné nariadenie o ochrane údajov) je hlavný zákon EÚ o ochrane osobných údajov, ktorý je účinný od mája 2018. Upravuje, ako organizácie zbierajú, ukladajú, spracovávajú a prenášajú osobné údaje, ktoré patria obyvateľom EÚ a EEA. Nedodržanie predpisov vystavuje podniky značným pokutám, poškodeniu reputácie a strate dôvery zákazníkov.
Regulácia je dôležitá, pretože vymáhanie sa každoročne zintenzívňuje. V roku 2025 dosiahli denné oznámenia o porušení 443, čo je 22% nárast v porovnaní s predchádzajúcim rokom, a Írska komisia pre ochranu údajov sama uložila 4,04 miliardy € v kumulatívnych pokutách, vrátane pokuty 530 miliónov € voči TikToku za nezákonné medzinárodné prenosy údajov [1]. Správa od regulátorov je jednoznačná: očakáva sa procedurálny súlad, nie je to voliteľné.
Kto sa musí riadiť: Akákoľvek organizácia, bez ohľadu na umiestnenie, ktorá ponúka tovary alebo služby obyvateľom EÚ/EEA alebo monitoruje ich správanie (napr. prostredníctvom analýzy webových stránok alebo cookies).
Kontrola súladu s GDPR 2026: Čo musíte urobiť
Aktuálna kontrola súladu s GDPR pokrýva najmenej deväť operačných oblastí. Systematické prechádzanie každou z nich je najefektívnejší spôsob, ako posúdiť a uzavrieť medzery [5][6][8].
Hlavné oblasti kontroly:
- Mapovanie údajov a záznamy o spracovateľských činnostiach (ROPA): Dokumentujte každú kategóriu osobných údajov, ktoré zbierate, jej zdroj, účel, právny základ, dobu uchovávania a príjemcov.
- Identifikácia právneho základu: Potvrďte platný právny základ (súhlas, zmluva, oprávnený záujem, právna povinnosť, životný záujem alebo verejná úloha) pre každú spracovateľskú činnosť.
- Oznámenia o ochrane osobných údajov: Zabezpečte, aby boli všetky oznámenia jasné, vrstvené a prístupné v mieste zbierania údajov.
- Správa súhlasu: Implementujte mechanizmus, ktorý zachytáva, ukladá a umožňuje odvolanie súhlasu. Špecializovaná platforma na správu súhlasu (CMP) ako Biscotti CMP môže spravovať súhlas s cookies, záznamy preferencií a audítorské stopy v jednom riešení.
- Postupy práv jednotlivcov (DSR): Vytvorte pracovné postupy pre žiadosti o prístup, opravu, vymazanie, prenos, obmedzenie a námietky v rámci 30-dňového zákonného obdobia.
- Posúdenia vplyvu na ochranu údajov (DPIA): Vykonajte DPIA pred akoukoľvek činnosťou s vysokým rizikom (napr. profilovanie vo veľkom meradle, biometrické údaje, systematické monitorovanie).
- Správa dodávateľov a spracovateľov: Zabezpečte, aby boli uzavreté zmluvy o spracovaní údajov (DPA) s každým spracovateľom tretej strany.
- Plán reakcie na porušenia: Udržujte zdokumentovaný postup na detekciu, obmedzenie a oznámenie porušení príslušnému dozornému orgánu do 72 hodín.
- Školenie a povedomie: Poskytujte pravidelné školenie o GDPR prispôsobené rolám. Správa z júna 2026 zistila, že 19% zamestnancov maloobchodu vo Veľkej Británii nikdy nedostalo formálne školenie o súlade [4], čo je medzera, ktorú regulátori považujú za zhoršujúci faktor.
Ako zistím, či je moja firma v súlade s GDPR
Podnik môže posúdiť svoj stav súladu prostredníctvom štruktúrovaného interného auditu mapovaného proti oblastiam kontroly uvedeným vyššie. Skutočný súlad vyžaduje zdokumentované dôkazy, nie len dobré úmysly.
Tri ukazovatele medzery v súlade:
- Žiadne ROPA alebo zastarané (naposledy preskúmané pred viac ako 12 mesiacmi).
- Záznamy o súhlase, ktoré nie je možné získať alebo preukázať na požiadanie.
- Žiadne podpísané DPA s poskytovateľmi cloudu, dodávateľmi analýz alebo e-mailovými platformami.
Ak sa niektoré z týchto vzťahuje, podnik pravdepodobne nie je v súlade aspoň v jednej podstatnej oblasti.
Požiadavky na súlad s GDPR: Malé podniky vs. Veľké podniky
Malé podniky aj veľké podniky podliehajú rovnakým povinnostiam podľa GDPR. Regulácia nevytvára formálne oslobodenie pre SMB, hoci dozorné orgány môžu zohľadniť proporcionalitu pri určovaní pokút.
Kľúčové rozdiely v praxi:
| Oblasť | Malý podnik | Veľký podnik |
|---|---|---|
| Požiadavka na DPO | Zvyčajne nie je povinná | Povinná, ak ide o spracovanie vo veľkom meradle |
| Frekvencia DPIA | Nižší objem, menej spúšťačov | Časté; komplexné spracovateľské činnosti |
| Zmluvy s dodávateľmi | Menej spracovateľov na správu | Desiatky až stovky DPA potrebných |
| Reakcia na porušenia | Jednoduchší interný proces | Potrebný formálny tím na reakciu na incidenty |
| Školenie | Základné ročné školenie | Priebežné, programy prispôsobené rolám |
Podniky spracovávajúce údaje vo veľkom meradle, najmä SaaS platformy, prevádzkovatelia e-commerce a agentúry zaoberajúce sa údajmi klientov, čelí najvyššiemu auditu a mali by považovať súlad za nepretržitú operačnú funkciu, nie za periodický projekt.
Aké sú pokuty za nedodržanie súladu s GDPR
Pokuty za GDPR fungujú na dvojúrovňovej štruktúre. Menej závažné porušenia (napr. nedodržanie uchovávania záznamov) priťahujú pokuty až do 10 miliónov € alebo 2% z celkového ročného obratu. Závažnejšie porušenia (napr. nezákonné spracovanie, porušenie práv subjektov údajov) priťahujú pokuty až do 20 miliónov € alebo 4% z celkového ročného obratu, podľa toho, čo je vyššie.
Nedávne vymáhanie v apríli 2026 ilustruje rozsah: YOTI dostal pokutu 950 000 € za spracovanie biometrických údajov bez právneho základu; Enel Energia bola pokutovaná 563 052 € za nedodržanie požiadaviek na odhlásenie z marketingu; a Renault Commercial Roumanie bol potrestaný za nedostatočné bezpečnostné opatrenia po kybernetickom útoku [3]. Tieto pokuty sú stredne veľké, nie sú to výnimky vyhradené pre technologických gigantov.
Okrem pokút môžu regulátori tiež vydávať zákazy spracovania, čo môže byť pre podniky závislé na údajoch katastrofálne.
Potrebujem súlad s GDPR, ak nie som v Európe
Áno. GDPR má explicitný extraterritoriálny rozsah podľa článku 3. Akákoľvek organizácia mimo EÚ, ktorá ponúka tovary alebo služby obyvateľom EÚ alebo monitoruje ich správanie (vrátane prostredníctvom cookies na webových stránkach, analýz alebo behaviorálnej reklamy), sa musí riadiť.
To znamená, že SaaS spoločnosť so sídlom v Spojených štátoch, Kanade alebo Austrálii s klientmi v EÚ podlieha GDPR. Pokuta TikToku vo výške 530 miliónov € v roku 2025, ktorú uložila írska DPC proti spoločnosti so sídlom mimo EÚ, potvrdzuje, že regulátori aktívne sledujú cezhraničné porušenia [1].
Praktická implikácia: Ak je vaša webová stránka prístupná používateľom z EÚ a používate sledovacie technológie, potrebujete mechanizmus súhlasu, ktorý je v súlade s GDPR, a oznámenie o ochrane osobných údajov, ktoré spĺňa štandardy GDPR.
Súlad s GDPR pre e-commerce vs. SaaS vs. agentúry
Každý obchodný model má odlišné tlakové body na súlad.
E-commerce: Vysoký objem transakčných a behaviorálnych údajov. Kľúčové riziká zahŕňajú nezákonné použitie histórie nákupov na profilovanie, nedostatočné bannery na súhlas s cookies a nedodržanie požiadaviek na vymazanie pre bývalých zákazníkov.
SaaS: Zvyčajne pôsobí ako spracovateľ údajov pre klientov (ktorí sú správcami). Musí udržiavať robustné DPA, ponúkať prenosnosť údajov a podporovať pracovné postupy DSR klientov. Ak SaaS platforma spracováva údaje aj na vlastné účely (napr. analýza produktov), stáva sa správcov pre tento podset.
Agentúry: Často spracovávajú osobné údaje v mene viacerých klientov súčasne. Každý vzťah s klientom vyžaduje samostatné DPA. Agentúry musia tiež zabezpečiť, aby subdodávatelia (napr. reklamné platformy, analytické nástroje) boli pokrytí vhodnými zmluvnými podmienkami.
Bežné chyby v súlade s GDPR, ktorých sa podniky dopúšťajú
Najčastejšie zlyhania v súlade sú štrukturálne, nie technické. Poznanie týchto chýb vopred zabraňuje nákladným nápravným opatreniam.
- Predznačené súhlasové políčka: Stále sa široko používajú, aj keď sú výslovne zakázané podľa GDPR.
- Zlúčený súhlas: Kombinovanie súhlasu pre viacero účelov do jedného zaškrtávacieho políčka.
- Ignorovanie posúdení oprávneného záujmu: Tvrdí oprávnený záujem bez vykonania zdokumentovaného vyváženia.
- Zastarané oznámenia o ochrane osobných údajov: Oznámenia, ktoré odkazujú na spracovateľské činnosti, ktoré sa už nepoužívajú, alebo vynechávajú nové.
- Žiadna audítorská stopa dodávateľa: Predpokladanie, že dodávateľ je v súlade bez podpísaného DPA alebo periodickej kontroly.
- Považovanie súladu za jednorazový projekt: Súlad s GDPR sa časom zhoršuje, keď sa menia systémy, dodávatelia a spracovateľské činnosti.
Nástroje na súlad s GDPR a koľko to stojí
Nástroje na súlad s GDPR spadajú do niekoľkých kategórií: platformy na správu súhlasu, softvér na mapovanie údajov, nástroje na správu DPA a systémy reakcie na porušenia. Biscotti CMP sa zaoberá vrstvou správy súhlasu, zachytáva, ukladá a spravuje súhlas s cookies a sledovaním s overiteľnou audítorskou stopou, čo je jedna z najčastejšie auditovaných oblastí súladu.
Odhady nákladov (približné, nie zaručené):
- Malý podnik, základný súlad: 1 000 €, 5 000 € za počiatočné nastavenie (právne preskúmanie, vypracovanie oznámenia o ochrane osobných údajov, implementácia CMP).
- Stredný trh: 10 000 €, 50 000 € ročne, vrátane poradenstva DPO, školenia zamestnancov a nástrojov.
- Podnik: 100 000 €+ ročne za dedikovaného DPO, právne poradenstvo, softvérový balík na súlad a priebežné audity.
Toto sú orientačné rozsahy. Skutočné náklady závisia od zložitosti údajov, počtu spracovateľov a toho, či sa používajú interné zdroje alebo externí konzultanti.
Ako často by som mal/a auditovať svoj súlad s GDPR
Úplný audit súladu s GDPR by sa mal vykonávať minimálne raz ročne, s vyvolanými kontrolami vždy, keď dôjde k podstatnej zmene, ako je spustenie nového produktu, onboardovanie nového spracovateľa údajov, vstup na nový trh alebo skúsenosť s porušením údajov.
Júnová dohoda EÚ z roku 2025 na posilnenie spolupráce pri cezhraničnom vymáhaní [2] zvyšuje pravdepodobnosť, že porušenia identifikované v jednom členskom štáte budú eskalované naprieč jurisdikciami. Podniky pôsobiace v viacerých krajinách EÚ by mali považovať vystavenie viacerým autoritám za reálne riziko, nie teoretické.
Frekvencia auditu podľa udalosti:
- Ročne: Úplná kontrola ROPA, aktualizácia oznámenia o ochrane osobných údajov, kontrola obnovy DPA dodávateľov.
- Vyvolané: Nová spracovateľská činnosť, nový nástroj tretej strany, zmeny zamestnancov ovplyvňujúce prístup k údajom.
- Po incidente: Úplná kontrola po akomkoľvek bezpečnostnom incidente alebo takmer nehode.
Súlad s GDPR pre vzdialené tímy a spracovanie údajov
Práca na diaľku prináša špecifické riziká GDPR: osobné údaje prístupné na osobných zariadeniach, cezhraničné prenosy údajov v rámci distribuovaných tímov a neformálne používanie nástrojov na spoluprácu, ktoré nemusia mať adekvátne DPA.
Organizácie s vzdialenými tímami by mali presadzovať jasnú politiku Bring Your Own Device (BYOD), zabezpečiť, aby všetky platformy na spoluprácu (videokonferencie, projektový manažment, správy) boli pokryté DPA, a aplikovať kontrolu prístupu, aby zamestnanci spracovávali len údaje potrebné pre svoju rolu (princíp minimalizácie údajov).
Čo sa stane, ak zákazník podá sťažnosť na GDPR proti vašej firme
Zákazník (subjekt údajov) môže podať sťažnosť priamo na svoj národný dozorný orgán (napr. ICO vo Veľkej Británii, CNIL vo Francúzsku alebo BfDI v Nemecku). Orgán potom vyšetruje a môže požadovať dokumentáciu, vykonávať rozhovory alebo iniciovať formálny audit.
Podnik musí plne spolupracovať a poskytnúť dôkazy o súlade, čo je dôvod, prečo sú zdokumentované záznamy, záznamy o súhlase a stopy reakcií DSR také dôležité. Nedodanie dôkazov je samo o sebe porušením. Výsledky sa pohybujú od formálneho varovania po záväzný príkaz na nápravu až po finančnú pokutu.
Ako dlho trvá implementácia úplného súladu s GDPR
Pre malý podnik s obmedzeným spracovaním údajov môže byť základný súlad dosiahnutý za štyri až osem týždňov s cieľavedomým úsilím. Pre stredne veľkú organizáciu je realistické tri až šesť mesiacov. Podniky s komplexnými ekosystémami údajov, viacerými jurisdikciami a zastaranými systémami by mali rozpočítať šesť až osemnásť mesiacov na komplexný program súladu.
Najčasovejšie prvky sú zvyčajne mapovanie údajov (vytvorenie ROPA od nuly), audity dodávateľov (kontrola a aktualizácia DPA naprieč všetkými spracovateľmi) a programy školenia zamestnancov. Použitie fázového prístupu, pričom sa najprv uprednostnia činnosti s vysokým rizikom, je efektívnejšie ako pokus o dosiahnutie úplného súladu v jednom behu.
Záver
Kontrola súladu s GDPR nie je byrokratickou formalitou, je to živý operačný rámec, ktorý sa musí vyvíjať spolu s vašou firmou. S kumulatívnymi pokutami presahujúcimi 7,1 miliardy €, dennými správami o porušeniach stúpajúcimi o 22% ročne [1] a novými mechanizmami cezhraničného vymáhania, ktoré nadobúdajú účinnosť [2], náklady na nečinnosť nikdy neboli vyššie.
Akčné kroky pre rok 2026:
- Vykonajte cvičenie na mapovanie údajov a vybudujte alebo aktualizujte svoje ROPA do 30 dní.
- Auditujte všetkých dodávateľov tretej strany a zabezpečte, aby boli uzavreté podpísané DPA.
- Implementujte riešenie na správu súhlasu, Biscotti CMP poskytuje štruktúrovaný spôsob správy súhlasu s cookies a udržiavania overiteľných audítorských záznamov.
- Naplánujte ročné kontroly súladu a definujte spúšťače pre medzičasové audity.
- Poskytnite školenie o GDPR prispôsobené rolám všetkým zamestnancom, ktorí zaobchádzajú s osobnými údajmi.
Súlad nie je cieľ. Je to nepretržitý proces, ktorý vyžaduje zdokumentované dôkazy, pravidelnú kontrolu a organizačné záväzky na každej úrovni.
FAQ
Vzťahuje sa GDPR na B2B spoločnosti, ktoré spracovávajú len údaje o obchodných kontaktoch? Áno, ak sa obchodné kontaktné údaje týkajú identifikovateľných jednotlivcov (napr. menovaných zamestnancov), kvalifikujú sa ako osobné údaje podľa GDPR. B2B spoločnosti nie sú oslobodené.
Čo je zmluva o spracovaní údajov (DPA) a potrebujem ju? DPA je právne záväzná zmluva medzi správcom údajov a spracovateľom údajov. Článok 28 GDPR vyžaduje jednu vždy, keď zdieľate osobné údaje s poskytovateľom služieb tretej strany. Bez nej sú obe strany v porušení.
Je banner na súhlas s cookies dostatočný na súlad s GDPR? Nie. Banner na súhlas je jednou z komponentov súladu. Musí byť spárovaný s úplným oznámením o ochrane osobných údajov, mechanizmom na odvolanie súhlasu a záznamami dokazujúcimi, že súhlas bol udelený slobodne, konkrétne, informovane a jednoznačne.
Čo je dôstojník na ochranu údajov (DPO) a kedy je potrebný? DPO je určený odborník na súlad. Je potrebný, ak vaša organizácia spracováva údaje vo veľkom meradle ako svoju hlavnú činnosť, spracováva špeciálne kategórie údajov systematicky alebo je verejnou autoritou. Mnohé menšie podniky dobrovoľne vymenúvajú DPO.
Môžem použiť oprávnený záujem namiesto súhlasu na marketingové e-maily? Iba v obmedzených okolnostiach, ako je pravidlo "soft opt-in" pre existujúcich zákazníkov v niektorých jurisdikciách. Pre studené marketingové e-maily pre nové kontakty je zvyčajne potrebný súhlas. Zdokumentované posúdenie oprávneného záujmu je povinné, ak sa na tento základ spoliehate.
Ako mám zaobchádzať s porušením údajov podľa GDPR? Obmedzte porušenie, posúďte jeho rozsah a riziko pre subjekty údajov a oznámte príslušnému dozornému orgánu do 72 hodín, ak porušenie predstavuje riziko pre jednotlivcov. Ak je riziko vysoké, dotknuté osoby musia byť tiež bezodkladne informované.
Čo sú štandardné zmluvné doložky (SCC) a kedy ich potrebujem? SCC sú predschválené zmluvné podmienky na prenos osobných údajov do krajín mimo EEA, ktoré nemajú rozhodnutie o primeranosti. Sú potrebné pri používaní dodávateľov alebo prenose údajov do USA, Indie alebo iných krajín, ktoré nie sú primerané.
Vzťahuje sa GDPR na údaje uložené v cloudových službách? Áno. Poskytovatelia cloudu pôsobia ako spracovatelia údajov. Musíte mať DPA so svojím poskytovateľom cloudu a zabezpečiť, aby boli údaje uložené na súladných miestach alebo chránené vhodnými mechanizmami prenosu (napr. SCC alebo rozhodnutia o primeranosti).
Interaktívne sebahodnotenie súladu s GDPR
Odkazy
[1] Gdpr Fines Pass 1 Billion As Daily Breach Reports Top 400 - https://www.isec.news/2026/01/23/gdpr-fines-pass-1-billion-as-daily-breach-reports-top-400/?utm_source=openai
[2] consilium.europa.eu - https://www.consilium.europa.eu/en/press/press-releases/2025/06/16/data-protection-council-and-european-parliament-reach-deal-to-make-cross-border-gdpr-enforcement-work-better-for-citizens/pdf/?utm_source=openai
[3] Gdpr Fine April 2026 Renault Yoti Enel Bakeca Midsized Cyber - https://www.securitytoday.de/en/2026/04/25/gdpr-fine-april-2026-renault-yoti-enel-bakeca-midsized-cyber/?utm_source=openai
[4] Almost Half Of Uk Retail Workers Unsure Of How To Handle Data In Line With Gdpr - https://www.techradar.com/pro/almost-half-of-uk-retail-workers-unsure-of-how-to-handle-data-in-line-with-gdpr?utm_source=openai
[5] Compliance Checklist - https://provahq.io/frameworks/gdpr/compliance-checklist/?utm_source=openai
[6] Gdpr Compliance Checklist - https://www.legiscope.com/blog/gdpr-compliance-checklist.html?utm_source=openai
[7] Gdpr Compliance Checklist - https://genechecklist.com/checklist/gdpr-compliance-checklist?utm_source=openai
[8] Gdpr Compliance Checklist - https://visioncompliance.eu/en/blog/gdpr-compliance-checklist?utm_source=openai