Praktický prehľad povinností bez zbytočného právneho žargónu — na čo sa kontroly zameriavajú v roku 2026
Prečo GDPR platí aj pre malé firmy
Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 (GDPR) sa vzťahuje na každého, kto spracúva osobné údaje fyzických osôb — bez ohľadu na veľkosť firmy, odvetvie alebo krajinu so sídlom v EÚ. Ak váš e-shop eviduje zákazníkov, ak máte zamestnancov alebo ak zaznamenávate akýkoľvek kontakt na fyzickú osobu, spracúvate osobné údaje a vzťahuje sa na vás GDPR. Osobitnú kapitolu tvorí GDPR v pracovnoprávnych vzťahoch, ktoré rieši každý zamestnávateľ.
Malé firmy nemajú všetky povinnosti, ktoré platia pre veľké organizácie — napríklad povinnosť menovať zodpovednú osobu (DPO) sa na väčšinu malých prevádzkovateľov nevzťahuje. Základné povinnosti však platia pre všetkých.
Čo sú osobné údaje a čo je spracúvanie
Osobný údaj je akákoľvek informácia, ktorá identifikuje fyzickú osobu alebo umožňuje jej identifikáciu: meno, adresa, e-mail, telefónne číslo, IP adresa, poloha, fotografický záznam alebo číslo faktúry priradené ku konkrétnej osobe. Spracúvanie je akákoľvek operácia s týmito údajmi — ich zhromažďovanie, ukladanie, úprava, zasielanie alebo výmaz.
Zákonné dôvody spracúvania — musí existovať právny základ
Každé spracúvanie osobných údajov musí mať zákonný právny základ. GDPR vymedzuje šesť právnych základov — pre malé firmy sú najrelevantnejšie štyri: plnenie zmluvy (spracúvanie údajov zákazníka v rámci objednávky), právna povinnosť (spracúvanie údajov zamestnancov pre mzdovú a odvodovú agendu), oprávnený záujem (napr. zasielanie marketingových e-mailov existujúcim zákazníkom za zákonom stanovených podmienok) a súhlas (napr. pri newsletteri alebo cookies).
Súhlas musí byť slobodný, konkrétny, informovaný a jednoznačný. Vopred zaškrtnuté políčko alebo mlčanie sa za súhlas nepovažuje. Súhlas možno kedykoľvek odvolať a odobratie súhlasu nesmie mať pre dotknutú osobu negatívne dôsledky.
Čo musí firma v praxi zabezpečiť
Register spracovateľských činností. Väčšina prevádzkovateľov je povinná viesť záznamy o spracovateľských činnostiach. Ide o interný dokument, ktorý opisuje, aké osobné údaje spracúvate, na aký účel, kto k nim má prístup, kde sú uložené a ako dlho sa uchovávajú. Pre malú firmu môže ísť o jednoduchú tabuľku pokrývajúcu napr. zákazníkov, zamestnancov, dodávateľov a webovú analytiku. Výnimka z vedenia záznamu platí iba pre prevádzkovateľov s menej ako 250 zamestnancami, ktorí spracúvajú len príležitostne — v praxi je to veľmi úzka výnimka a väčšina malých firiem záznamy viesť musí. Prehľad toho, čo treba mať z GDPR dokumentácie písomne pripravené, sme spracovali samostatne.
Informačné povinnosti. Každá fyzická osoba, ktorej údaje spracúvate, musí byť o tom informovaná. Zákazníkov informujete pri zbere údajov (napr. pri registrácii, objednávke alebo kontaktnom formulári) prostredníctvom zásad ochrany osobných údajov (privacy policy). Zamestnancov informujete pri nástupe do práce.
Ochrana osobných údajov. Firma musí prijať primerané technické a organizačné opatrenia na ochranu osobných údajov. Pri malých firmách ide najmä o: heslá k počítačom a systémom, šifrovaný prenos dát (HTTPS na webe), obmedzenie prístupu k údajom len pre oprávnených zamestnancov a pravidelnú zálohu dát.
Zmluvy so sprostredkovateľmi. Ak na spracúvanie osobných údajov využívate externé služby — cloudové úložiská, e-mailový marketing, účtovný softvér, HR systémy — musíte s týmito poskytovateľmi uzatvoriť zmluvu o spracúvaní osobných údajov (DPA). Týka sa to aj situácie, keď vaše účtovníctvo vedie externý účtovník, ktorý pre vás spracúva mzdovú agendu. Mnohí poskytovatelia túto zmluvu ponúkajú automaticky v podmienkach používania alebo na požiadanie.
Cookies a webová analytika
Ak vaša webstránka používa cookies na analytiku, remarketing alebo sociálne siete, musíte mať implementovaný cookie consent banner, ktorý umožňuje návštevníkovi prijať alebo odmietnuť jednotlivé kategórie cookies. Analytické nástroje ako Google Analytics nastavte tak, aby nespracúvali osobné údaje bez súhlasu. Európsky výbor pre ochranu údajov (EDPB) sa dlhodobo venuje tejto oblasti a Úrad na ochranu osobných údajov SR má oprávnenie kontrolovať dodržiavanie pravidiel aj pri webových stránkach.
Porušenie GDPR: aké sú pokuty
Sankcie za porušenie GDPR sú dvojúrovňové. Menej závažné porušenia (napr. nedostatočná informačná povinnosť) hrozia pokutou až do 10 miliónov eur alebo 2 percent celosvetového obratu. Závažnejšie porušenia (napr. spracúvanie bez právneho základu alebo závažné narušenie bezpečnosti) hrozia pokutou až 20 miliónov eur alebo 4 percent obratu. Pre malé firmy sú pokuty proporčné — Úrad na ochranu osobných údajov SR zohľadňuje veľkosť firmy, charakter porušenia a jeho dopad.
GDPR nevyžaduje od malých firiem stovky strán dokumentácie — vyžaduje pochopenie základných princípov a ich implementáciu. Register spracovateľských činností, informačné povinnosti voči zákazníkom a zamestnancom, zmluvy so sprostredkovateľmi a funkčné cookie riešenie na webe pokrývajú základ toho, čo Úrad na ochranu osobných údajov pri kontrolách sleduje. Systematický prístup — nie dokonalá dokumentácia — je tým, čo prevádzkovateľa chráni.
Nie ste si istí, či vaša firma spĺňa základné povinnosti podľa GDPR? Pomôžeme vám nastaviť dokumentáciu aj procesy.
Časté otázky
Musím menovať zodpovednú osobu (DPO), ak mám malú firmu?
Vo väčšine prípadov nie. Povinnosť menovať DPO vzniká len pri spracúvaní osobitných kategórií údajov vo veľkom rozsahu (napr. zdravotné údaje), pri systematickom monitorovaní verejných priestorov alebo pri spracúvaní, ktoré si vyžaduje pravidelné a systematické sledovanie dotknutých osôb vo veľkom rozsahu. Bežný e-shop, účtovná kancelária alebo reštaurácia DPO menovať nemusí.
Zákazník sa pýta, aké jeho údaje spracúvam. Čo musím urobiť?
Ide o právo na prístup k osobným údajom podľa článku 15 GDPR. Musíte mu do 30 dní bezplatne poskytnúť potvrdenie, či jeho údaje spracúvate, a ak áno, aktuálny zoznam spracúvaných údajov, na aký účel, aký je právny základ, komu sa prenášajú a ako dlho sa uchovávajú. Súčasťou odpovede je aj informácia o jeho ďalších právach (oprava, vymazanie, námietka).
Zamestnanec odišiel. Ako dlho môžem uchovávať jeho osobné údaje?
Záleží od kategórie údajov. Mzdové a odvodové doklady musíte uchovávať podľa zákona o sociálnom poistení a zákona o účtovníctve — zvyčajne 10 rokov. Pracovnú zmluvu a dokumenty súvisiace s ukončením pracovného pomeru tiež odporúčame uchovávať aspoň 10 rokov (z dôvodu možných pracovnoprávnych sporov). Po uplynutí zákonom stanovenej lehoty treba údaje bezpečne vymazať alebo zlikvidovať.