GDPR pro e-shopy: praktický checklist 2026

GDPR platí od května 2018 a většina e-shopů má v patičce „Zásady ochrany osobních údajů“. To ale neznamená, že splňuje pravidla. Při auditech vidíme pořád stejné díry: zapomenuté zpracovatelské smlouvy, newsletter rozesílaný lidem bez souhlasu, nástroje přidané marketingem, o kterých nikdo neví, a žádný plán pro případ úniku dat.

Tenhle článek je praktický checklist. Není to právní rada. Nejsme advokátní kancelář, a pokud potřebujete právní posouzení konkrétní situace, obraťte se na advokáta. My pomáháme s technickou a procesní stránkou: kde data tečou, kdo k nim má přístup a jak to doložit.

Právní rámec v kostce

Pro český e-shop platí tři vrstvy:

• Obecné nařízení o ochraně osobních údajů (GDPR), nařízení EU 2016/679. Přímo použitelné ve všech státech EU.
• Zákon č. 110/2019 Sb., o zpracování osobních údajů. Doplňuje GDPR v Česku. Mimo jiné stanoví, že souhlas se zpracováním v souvislosti se službami informační společnosti může dítě udělit samo od 15 let.
• Zákon č. 480/2004 Sb., o některých službách informační společnosti. Upravuje obchodní sdělení, tedy newslettery a marketingové e-maily.

Dozor vykonává Úřad pro ochranu osobních údajů (ÚOOÚ). Ten dozoruje i obchodní sdělení a cookies. Ve svém kontrolním plánu na rok 2026 má mimo jiné kontrolní akci zaměřenou na rozesílání obchodních sdělení ve formě hodnoticích dotazníků. Pokud posíláte po nákupu „Jak jste byli spokojeni?“, čtěte dál.

Právní tituly: proč data vůbec zpracováváte

Každé zpracování musí mít právní titul podle čl. 6 GDPR. V e-shopu se typicky potkáte s těmito:

Nejčastější chyba je „souhlas na všechno“. Souhlas s obchodními podmínkami není souhlas se zpracováním pro marketing. A pro vyřízení objednávky souhlas naopak nepotřebujete, takže ho po zákaznících nechtějte.

Obchodní sdělení podle zákona 480/2004 Sb.

Newsletter můžete posílat buď se souhlasem, nebo zákazníkům v režimu § 7 odst. 3. Tahle výjimka má tři podmínky: e-mail jste získali v souvislosti s prodejem, nabízíte vlastní obdobné produkty nebo služby a zákazník měl jasnou možnost zasílání odmítnout, a to při získání kontaktu i v každé další zprávě.

Prakticky to znamená:

• checkbox „nechci dostávat novinky“ v košíku, nebo jasný text s možností odmítnout,
• odkaz na odhlášení v každém e-mailu, funkční a bez přihlašování,
• evidence, kdo a kdy souhlasil nebo se odhlásil, a to i při změně e-mailového nástroje nebo migraci e-shopu,
• hodnoticí dotazníky a žádosti o recenzi považujte za obchodní sdělení, pokud vaše situace nepotvrdí opak. Tak na ně podle své praxe nahlíží i ÚOOÚ.

Kontakty zákazníků z marketplace do newsletteru nepatří. Důvody popisujeme v článku Marketplace jako akviziční kanál.

Záznamy o činnostech zpracování

Článek 30 GDPR ukládá vést záznamy o činnostech zpracování. Výjimka pro firmy do 250 zaměstnanců se neuplatní, pokud zpracování není příležitostné. U e-shopu, který přijímá objednávky každý den, s výjimkou nepočítejte.

Záznam nemusí být složitý. Stačí tabulka: účel, kategorie údajů a subjektů, příjemci a zpracovatelé, přenosy mimo EU, doby uchování a bezpečnostní opatření. Důležité je, aby odpovídala skutečnosti. Tu zjistíte nejlépe inventurou nástrojů: projděte skripty na webu, napojené aplikace a exporty z administrace.

Zpracovatelé a smlouvy

Každý, kdo pro vás zpracovává osobní údaje, je zpracovatel a potřebujete s ním smlouvu podle čl. 28 GDPR. U e-shopu to bývá:

• e-shopová platforma a hosting,
• e-mailingový nástroj a CRM, například HubSpot,
• dopravci a výdejní sítě, platební brána (ta bývá v některých ohledech samostatným správcem),
• účetní software, ERP, helpdesk, chatbot,
• AI nástroje, kterým posíláte data zákazníků, například přes API GPT modelů.

Velcí poskytovatelé mají smlouvu (DPA) ve standardních podmínkách. Vaším úkolem je vědět, že existuje, a mít ji založenou. U menších dodavatelů a freelancerů ji často musíte podepsat zvlášť.

Přenosy do USA: stav v září 2026

Pro přenos do USA dnes platí rozhodnutí Evropské komise o odpovídající ochraně z roku 2023, tzv. EU-US Data Privacy Framework (DPF). Tribunál EU v září 2025 zamítl žalobu, která ho napadala (věc Latombe). Žalobce se proti rozsudku odvolal k Soudnímu dvoru EU a odvolání je k září 2026 stále projednáváno.

Co z toho plyne:

• ověřte, že je americký poskytovatel certifikovaný v rámci DPF (seznam vede americké ministerstvo obchodu na dataprivacyframework.gov),
• ve smlouvě mějte i standardní smluvní doložky jako záložní mechanismus, pokud je poskytovatel nabízí,
• u nových nástrojů preferujte možnost uložení dat v EU, pokud ji nabízejí,
• přenosy uveďte v záznamech o zpracování i v informacích pro zákazníky.

Předchozí dva rámce Soudní dvůr zrušil. Nemusí se to opakovat, ale mít záložní plán je levnější než ho narychlo hledat.

Únik dat: 72 hodin

Porušení zabezpečení osobních údajů musíte ohlásit ÚOOÚ do 72 hodin od chvíle, kdy jste se o něm dozvěděli, pokud je pravděpodobné, že představuje riziko pro práva a svobody lidí (čl. 33 GDPR). Při vysokém riziku informujete i dotčené osoby (čl. 34). Každý incident si zaznamenejte, i ten, který nehlásíte.

72 hodin je málo, když nevíte, kdo má jaký přístup a kde jsou logy. Připravte si postup předem. Návod najdete v článku Krizový plán při úniku dat, technická opatření v článku Ochrana zákaznických dat.

Co se může změnit: Digital Omnibus

Evropská komise 19. listopadu 2025 navrhla balíček Digital Omnibus. Pro e-shopy jsou z něj zajímavé hlavně tyto návrhy:

• přesun pravidel pro cookies ze směrnice ePrivacy přímo do GDPR a jednodušší souhlas, včetně signálů z prohlížeče,
• ohlašování úniku úřadu jen při pravděpodobném vysokém riziku a lhůta 96 hodin místo 72,
• jednotné místo pro hlášení incidentů napříč předpisy.

Jde o návrh. K září 2026 je stále v legislativním procesu v Evropském parlamentu a Radě a nic z toho zatím neplatí. Řiďte se současnými pravidly a změny sledujte.

Jak na to prakticky: checklist GDPR pro e-shop

• Máte aktuální informace o zpracování osobních údajů, které odpovídají skutečně používaným nástrojům?
• Má každý účel zpracování určený právní titul?
• Vedete záznamy o činnostech zpracování a aktualizujete je při přidání nového nástroje?
• Máte zpracovatelskou smlouvu s každým, kdo pro vás data zpracovává?
• Víte, kteří poskytovatelé přenášejí data do USA, a jsou certifikovaní v DPF?
• Máte evidenci souhlasů a odhlášení z newsletteru a funguje odhlášení jedním klikem?
• Máte nastavené doby uchování a mažete neaktivní účty a staré exporty?
• Víte, kdo má přístup do administrace, a má každý vlastní účet? Viz správa přístupů týmu.
• Máte sepsaný postup pro únik dat včetně kontaktu na ÚOOÚ?
• Máte cookie lištu s volbou odmítnout v první vrstvě? Viz Cookie lišty a consent management.

Pokud nevíte, kam všude data zákazníků tečou, začněte inventurou. V rámci auditů projdeme skripty, integrace a exporty, včetně toho, co odchází přes server-side tracking, a připravíme podklad pro vašeho právníka. Pokud potřebujete jen poradit s konkrétním technickým krokem, využijte konzultaci.