--- title: Povinnosti podle GDPR pod drobnohledem | Svět neziskovek description: V minulém článku jsme uvedli na pravou míru nejčastější mýty týkající se GDPR. Teď se prakticky podíváme na základní povinnosti, které z nového obecného… url: "https://www.svetneziskovek.cz/inovace/povinnosti-podle-gdpr-pod-drobnohledem" type: static generatedAt: "2026-08-03T07:13:40.525Z" --- ![Povinnosti podle GDPR pod drobnohledem](https://cdn.nuasite.com/cdn-cgi/image/quality=85,format=auto,width=1600/assets/svet-neziskovek-prod/61a8249aa0-1121-original.jpg) article inovace David Horn Povinnosti podle GDPR pod drobnohledem V minulém článku jsme uvedli na pravou míru nejčastější mýty týkající se GDPR. Teď se prakticky podíváme na základní povinnosti, které z nového obecného nařízení o ochraně osobních údajů plynou. Jaká konkrétní opatření musíte do konce května letošního roku provést? *Unikl vám první článek GDPR série? [Připomeňte si ho.](https://svetneziskovek.cz/management/gdpr-tahne-evropou-aneb-myty-je-treba-mytit-2)* ## Univerzální návod neexistuje, ale… Úvodem je třeba zmínit, že v oblasti ochrany osobních údajů nové nařízení stanovuje pouze cíle, jichž je třeba dosáhnout. Volbu vhodných prostředků k jejich dosažení ale ponechává na vůli a uvážení jednotlivých správců (tj. na vás). Vzhledem k tomu, že správci zpracovávají různé druhy údajů v různém rozsahu, neexistuje univerzální návod, jak v procesu příprav postupovat. Níže uvedenými body se proto vaše organizace může inspirovat, zároveň ale může přijmout i zcela jiná opatření, která se ve vaší situaci mohou jevit vhodnější. Rozhodnutí o konkrétních opatřeních by každopádně měla vycházet z pečlivě provedeného auditu osobních údajů v rámci organizace. ## Stanovte účel zpracování a dodržujte zákonné zásady… Na základě vnitřního auditu si ujasněte, jaké osobní údaje zpracováváte, za jakým účelem, jak jsou data zabezpečena a kdo k nim má přístup. To vám umožní zjistit, zda ke zpracování údajů budete potřebovat souhlas klientů, nebo zda budete moci zpracování opřít o některý ze zbylých zákonných důvodů - například plnění smlouvy, plnění právní povinnosti či ochranu oprávněných zájmů vaší organizace (v těchto případech souhlas klientů nebude potřeba). Protože operací s osobními údaji vaše organizace samozřejmě provádí vícero, účel zpracování a jemu odpovídající zákonný důvod bude třeba stanovit pro každou z nich. Vaší povinností bude také zpracovávat **pouze ty údaje, které jsou vzhledem ke stanovenému účelu nezbytné** – za účelem registrace na workshop například nemůžete po účastnících žádat rodná čísla, čísla pasu apod. Údaje můžete rovněž **ukládat pouze po nezbytnou dobu** – přihlásí-li se někdo k odběru vašeho newsletteru a po čase svůj odběr odhlásí, budete muset jeho údaje vymazat z databáze, neboť účel, pro který byla data užívána, odpadl. Nutno poznamenat, že internetové služby typu MailChimp, které zasílání newsletterů realizují, toto mohou (a měly by) provádět automaticky. ## …a buďte připraveni to dokázat Jako správci budete muset v případě kontroly prokázat, že při zpracování osobních údajů postupujete v souladu se zákonnými zásadami. Za tímto účelem bude více než vhodné **vypracovat v rámci organizace interní směrnici**, v níž bude jasně popsáno, jak s osobními údaji zacházíte, jak jsou ochráněny před neoprávněným přístupem, zcizením či ztrátou a rovněž stanovit pravidla pro zaměstnance týkající se práce s osobními údaji. Budete-li schopni prokázat, že jste zavedli vhodná organizační a technická opatření, vyhnete se případným sankcím. ## Získejte od klientů platný souhlas V oblasti udělení souhlasu se zpracováním osobních údajů **přináší GDPR podstatné změny**. Pro určité druhy zpracování (například za účelem zasílání reklamních sdělení, nabídek apod.), budete muset od klientů získat jejich souhlas. Aby byl takový souhlas platný, musí být svobodný, konkrétní, informovaný a jednoznačný. Co tyhle neurčité výrazy znamenají v praxi? Řekněte klientům, co se s jejich daty bude dít, a nesnažte se nic zatajit. Oddělte souhlas se zpracováním od ostatních souhlasů (např. souhlasu s obchodními podmínkami – taktika „pokud nebudete odebírat náš newsletter, neodešleme vám zboží“ zkrátka neprojde). Potřebujete-li souhlas pro více účelů, získejte souhlas pro každý z nich zvlášť. A konečně: **mlčení klienta neznamená souhlas**. ## Double opt-in jako pojistka Budete rovněž muset být připraveni prokázat, že vám klient svůj souhlas udělil. Nejpraktičtější cestou, jak toho docílit, je získávat souhlas metodou tzv. double opt-in. V případě sběru údajů přes internet klient vyplní své osobní údaje a zaškrtnutím políčka vyjádří svůj souhlas s jejich zpracováním. Následně mu na uvedenou adresu přijde e-mail, v němž bude muset souhlas ještě potvrdit kliknutím na vygenerovaný odkaz. Tím dojde ke spojení osoby klienta s jeho e-mailovým účtem a vy budete moci prokázat, že vám dotyčný svůj souhlas skutečně udělil. Možnost double opt-inu by měla být standardním doplňkem webových redakčních systémů. I v případě „offline“ sběru dat (formuláře a dotazníky na ulici) bude žádoucí na poskytnuté e-mailové adresy následně zaslat potvrzující e-mail, aby bylo možné dokázat, že souhlas byl opravdu poskytnut. Zároveň je doporučeno zrevidovat doposud udělené souhlasy a zkontrolovat, zda byly uděleny v souladu s kritérii stanovenými GDPR. Dojdete-li k opačnému názoru, bude třeba předmětné souhlasy získat znovu a tentokrát již platně. ## Informací raději více než méně GDPR rovněž přináší podrobnější pravidla týkající se informací, které musíte lidem v souvislosti s ochranou osobních údajů poskytnout. S touto povinností se dobře popasujete například vytvořením **sekce „Ochrana osobních údajů“ na vašem webu**, v níž uvedete veškeré nezbytné informace, a na kterou poté v případě potřeby odkážete. V této sekci by lidé měli najít: - kontaktní údaje na vaši organizaci jakožto na správce, - účely a právní důvody zpracování, - subjekty či kategorie subjektů, které k údajům budou mít přístup, - dobu uložení údajů, - poučení o právech garantovaných GDPR a další povinné informace. GDPR v rámci transparentnosti nařizuje, aby jazyk sdělení byl srozumitelný a jednoduchý, ideálně přizpůsobený vaší cílové skupině. S překladem zákonných ustanovení do laického jazyka může kromě právníka pomoci šikovný copywriter. ## Záznamy o činnostech zpracování nemusí být trnem v oku U povinnosti vést tzv. záznamy o činnostech zpracování je třeba mít na paměti, že obecná výjimka pro společnosti s méně než 250 zaměstnanci není ultimátní a její reálný dosah vyjasní teprve následná praxe. Může se tedy stát, že i menší organizace budou povinny vést a v případě potřeby též aktualizovat. Po účinnosti GDPR tak vaše organizace pravděpodobně bude muset vést a v případě potřeby též aktualizovat dokumentaci obsahující informace o operacích, které s údaji provádí. Ničeho se však nelekejte – pokud data zpracováváte (na rozdíl od mobilních operátorů či bank) pouze běžným způsobem a v menším rozsahu, lze si představit, že této povinnosti vyhovíte například vyplněním formuláře, do něhož zanesete požadované informace, tedy například popis kategorií zpracovávaných údajů, subjektů údajů či případných příjemců údajů, plánované lhůty pro výmaz jednotlivých kategorií údajů, obecný popis technických a organizačních opatření apod. ## Na ohlášení bezpečnostních incidentů máte 72 hodin Takzvaná ohlašovací povinnost je důležitou povinností správců a v praxi bude vyžadovat rychlou reakci. V případě, že nastane únik osobních údajů či porušení jejich zabezpečení (například hackerský útok na databázi klientů či odcizení hardwaru nesoucího osobní údaje), budete muset ohlásit tuto skutečnost Úřadu pro ochranu osobních údajů (ÚOOÚ), a to do 72 hodin od okamžiku, kdy se o incidentu dozvíte. V ohlášení poté budete muset uvést doplňující údaje, kterými jsou například: - popis povahy incidentu, - popis přibližného počtu dotčených osob, - popis kategorií ohrožených údajů, - pravděpodobné důsledky incidentu či popis opatření, která jste přijali či navrhli k řešení situace (blokace webu apod.). V případě méně vážných incidentů, kdy pravděpodobnost ohrožení práv dotčených osob není vysoká, nebude ohlášení třeba. Naopak v případě vysokého rizika pro práva občanů budete povinni bezpečnostní incident nejen ohlásit ÚOOÚ, ale také oznámit osobám, kterých se týká, a to bez zbytečného odkladu. Vzhledem k relativně krátkým reakčním lhůtám lze organizacím doporučit, aby nastavily efektivní interní mechanismy vyřizování bezpečnostních incidentů, proškolily zaměstnance o tom, jak v případě incidentů reagovat, a rovněž připravily ohlašovací formuláře a oznamovací zprávy, které budou v případě potřeby jednoduše vyplněny a odeslány ÚOOÚ, případně dotčeným občanům. ## Připravte se na rozmanité žádosti klientů GDPR přiznává občanům širokou paletu práv, která mohou uplatňovat nejen vůči dozorovým úřadům, ale též vůči správcům samotným. Míra, v jaké budou tato práva uplatňována, bude samozřejmě záležet na celkové „GDPR gramotnosti“ společnosti, organizace by se však rozhodně měly připravit v maximální možné míře, neboť tím ušetří do budoucna spoustu času i prostředků. V první řadě mají občané právo přístupu ke zpracovávaným osobním údajům. V praxi to znamená, že si od vás lidé budou moci vyžádat informaci o tom, jaké jejich údaje zpracováváte, a případně obdržet jejich výpis. Rovněž budou moci požádat o opravu údajů, budou-li se domnívat, že vámi zpracovávané údaje jsou nepřesné. **Novinkou je „právo být zapomenut“**, kdy lidé mohou po správci žádat výmaz jejich osobních údajů, pokud již nejsou dále potřebné pro účel, pro který byly shromážděny. Nejprve bude vaše organizace muset umožnit lidem podávání uvedených žádostí (například uvedením kontaktní e-mailové adresy či publikací on-line kontaktního formuláře na webu) a zadruhé bude muset mít připraveny mechanismy pro jejich vyřizování. Základním předpokladem úspěchu budou dobře utříděné databáze, v nichž bude snadné konkrétní údaje najít a provádět jejich změny či bezpečný výmaz. Bezpečný „výmaz“ může být proveden i mimo virtuální prostředí, například skartováním papírových dokumentů s osobními údaji. **V článku jsme shrnuli základní povinnosti, které se neziskových organizací s účinností GDPR v praxi dotknou. Nejedná se o kompletní výčet - obecné nařízení obsahuje některé další povinnosti, které jsou často podpůrného či doplňkového charakteru. Lze očekávat, že s vývojem praxe budou povinnosti správců Úřadem pro ochranu osobních údajů upřesňovány a dodatečně interpretovány.** --- V dalším článku si rozebereme, jak v průběhu příprav postupovat, aby vaše organizace byla na GDPR připravena. [Poradna](/hledat?q=Poradna) | [Právo](/hledat?q=Pr%C3%A1vo) O autorovi DH [![](https://cdn.nuasite.com/cdn-cgi/image/quality=85,format=auto,width=288/assets/svet-neziskovek-prod/8df3796667-1117.png.webp)](/autori/david-horn) [David Horn](/autori/david-horn) Advokátní kancelář Slaninová Vokál V Advokátní kanceláři Slaninová Vokál se mimo jiné věnuje problematice ochrany osobních údajů ve vztahu k novému nařízení (tzv. GDPR). Neziskovým organizacím připravuje posouzení vlivu GDPR na míru a zavádějí nezbytné procesy a dokumenty do jejich každodenního života. [Všechny články autora](/autori/david-horn) ### Zůstaňte v obraze To nejzajímavější ze Světa neziskovek vám ve správnou chvíli pošleme e-mailem. ## Související kurzy ![](https://cdn.nuasite.com/cdn-cgi/image/quality=85,format=auto,width=1200/assets/svet-neziskovek-prod/0b681da170-6212-original.jpg) ### [Cesta k efektivní a fungující organizaci: jak řídit a upravovat procesy](/kurzy/cesta-k-efektivni-a-fungujici-organizaci-jak-ridit-a-upravovat-procesy) 12.10.2026 9:30 - 16:00 Praha (místo bude upřesněno) Kateřina Švidrnochová … 3 690 Kč [Rezervovat místo](/kurzy/cesta-k-efektivni-a-fungujici-organizaci-jak-ridit-a-upravovat-procesy/prihlasit?term=c475ed8f-8e13-4df0-9448-7a964695eeff) ![](https://cdn.nuasite.com/cdn-cgi/image/quality=85,format=auto,width=1200/assets/svet-neziskovek-prod/d0913f8ac6-7453-original.jpeg) ### [PR v nezisku: Mission Impossible? Co má smysl dělat v malém týmu a na co se zaměřit](/kurzy/pr-v-nezisku-mission-impossible-co-ma-smysl-delat-v-malem-tymu-a-na-co-se-zamerit) 20.10.2026 9:30 - 16:30 Praha (místo bude upřesněno) Ivo Mareš 3 690 Kč [Rezervovat místo](/kurzy/pr-v-nezisku-mission-impossible-co-ma-smysl-delat-v-malem-tymu-a-na-co-se-zamerit/prihlasit?term=14026135-45b5-494f-ac58-9d616c765157) ![](https://data.eu.cntmbr.com/svet-neziskovek/svet-neziskovek/assets/4493df30-b5ba-4d2c-a573-35ebe62cf15f.jpeg) ### [Základy finančního řízení pro neziskové organizace](/kurzy/zaklady-financniho-rizeni-pro-neziskove-organizace) 17.9.2026 9:30 - 15:30 Praha (místo bude upřesněno) Standa Kutáček 3 690 Kč [Rezervovat místo](/kurzy/zaklady-financniho-rizeni-pro-neziskove-organizace/prihlasit?term=f20d42df-9629-4cc1-a4b4-d3d439f570ee) ## Související články [![Na koho se obrátit v tíživé situaci? Pomůže nový adresář služeb](https://cdn.nuasite.com/cdn-cgi/image/quality=85,format=auto,width=1200/assets/svet-neziskovek-prod/000a56acee-5365.jpg)](/aktualne-z-nezisku/nevite-na-koho-se-obratit-v-tizive-situaci-vyuzijte-novy-adresar-sluzeb) ### [Na koho se obrátit v tíživé situaci? Pomůže nový adresář služeb](/aktualne-z-nezisku/nevite-na-koho-se-obratit-v-tizive-situaci-vyuzijte-novy-adresar-sluzeb) 22.9.2021Hana Štiková Centrum sociálních služeb Praha vydává aktualizovaný „Pražský adresář služeb pro osoby v tíživé životní situaci“. [Aktuálně z nezisku](/aktualne-z-nezisku)|[Legislativa](/hledat?q=Legislativa)|[Poradna](/hledat?q=Poradna)|[Právo](/hledat?q=Pr%C3%A1vo) [![Online právní poradna otevřena! Zeptejte se právníků na vše, co vás aktuálně zajímá](https://cdn.nuasite.com/cdn-cgi/image/quality=85,format=auto,width=1200/assets/svet-neziskovek-prod/6cbeb283f5-kopie-navrhu-personalistika-pro-neziskovky-4.png)](/aktualne-z-nezisku/online-pravni-poradna-zeptejte-se-pravniku-na-vsechno-co-vas-aktualne-zajima) ### [Online právní poradna otevřena! Zeptejte se právníků na vše, co vás aktuálně zajímá](/aktualne-z-nezisku/online-pravni-poradna-zeptejte-se-pravniku-na-vsechno-co-vas-aktualne-zajima) 22.5.2020Redakce Světa neziskovek "Jak se vládní opatření aktuálně dotýkají situace v neziskových organizacích? Co můžete, co ne a jak se s tím vypořádat?" Přijďte si 2. 6. od 9 do 12 hodin pro odpovědi na otázky spjaté s dopady pandemie a uvolnění opatření, na které marně hledáte odpověď. [Aktuálně z nezisku](/aktualne-z-nezisku)|[Poradna](/hledat?q=Poradna)|[Právo](/hledat?q=Pr%C3%A1vo) [![Pracovní právo v době koronavirové. Co musí vědět zaměstnavatelé a zaměstnanci?](https://cdn.nuasite.com/cdn-cgi/image/quality=85,format=auto,width=1200/assets/svet-neziskovek-prod/0cb854f0dd-1942-original.jpg)](/lide/pracovni-pravo-v-dobe-koronavirove-prekazky-4) ### [Pracovní právo v době koronavirové. Co musí vědět zaměstnavatelé a zaměstnanci?](/lide/pracovni-pravo-v-dobe-koronavirove-prekazky-4) 8.4.2020Martin Židlický Současná pandemie nemoci COVID-19 vážným způsobem atakovala pracovníky, zaměstnance i zaměstnavatele po celé České republice. Jaký dopad má nouzový stav a mimořádná opatření vlády a dalších orgánů veřejné správy na vaši práci v neziskové organizaci? [Lidé](/lide)|[Poradna](/hledat?q=Poradna)|[Legislativa](/hledat?q=Legislativa)|[Právo](/hledat?q=Pr%C3%A1vo)