Checklist souladu webu: GDPR, CCPA a další předpisy

Proč potřebuješ checklist souladu

Regulace ochrany osobních údajů jsou dnes globálním standardem. Pro slovenské firmy, které působí online, to znamená, že musíš dodržet nejen GDPR, ale potenciálně i předpisy zemí, ze kterých přicházejí tvoji návštěvníci a zákazníci.

Jeden e-shop na Slovensku, který prodává do Německa, Rakouska a Česka, musí splnit požadavky GDPR (celá EU), DSGVO (německá specifika) a případně další místní předpisy. Pokud expanduješ do USA, přidává se CCPA/CPRA pro Kalifornii, VCDPA pro Virginii a další státní zákony.

Tento checklist pokrývá klíčové oblasti, které musíš mít pod kontrolou.

GDPR Checklist

GDPR platí pro každou firmu, která zpracovává osobní údaje rezidentů EU, bez ohledu na to, kde firma sídlí.

Právní základ zpracování

• [ ] Máš identifikovaný právní základ pro každý typ zpracování (souhlas, smlouva, oprávněný zájem, právní povinnost)
• [ ] Souhlasy se sbírají před zahájením zpracování, ne zpětně
• [ ] Máš mechanismus pro odvolání souhlasu, který je stejně jednoduchý jako jeho udělení
• [ ] Oprávněný zájem je zdokumentován prostřednictvím balančního testu (LIA)

Informační povinnost

• [ ] Zásady ochrany osobních údajů jsou přístupné z každé stránky (typicky v patičce)
• [ ] Zásady ochrany osobních údajů obsahují všechny povinné informace podle článků 13 a 14 GDPR
• [ ] Jazyk zásad ochrany osobních údajů je srozumitelný běžným uživatelům (ne jen právnický)
• [ ] Zásady ochrany osobních údajů jsou aktuální, odrážejí skutečný stav zpracování

Cookie consent

• [ ] Cookie banner se zobrazí před načtením nepotřebných cookies
• [ ] Banner nabízí možnost „Odmítnout vše“ se stejnou viditelností jako „Přijmout vše“
• [ ] Uživatelé mohou vybírat konkrétní kategorie cookies
• [ ] Každý souhlas se loguje s časovým razítkem, verzí a rozsahem
• [ ] Odvolání souhlasu je dostupné kdykoli (typicky přes ikonu nebo odkaz v patičce)
• [ ] Cookies se skutečně nenačítají před souhlasem (technická verifikace)

Práva subjektů údajů

• [ ] Máš proces pro vyřízení žádosti o přístup k údajům (článek 15)
• [ ] Máš proces pro výmaz údajů (článek 17, právo být zapomenut)
• [ ] Máš proces pro opravu údajů (článek 16)
• [ ] Máš proces pro přenositelnost údajů (článek 20)
• [ ] Žádosti vyřizuješ do 30 dnů
• [ ] Máš způsob ověření totožnosti žadatele

Technická opatření

• [ ] HTTPS na celém webu (žádný mixed content)
• [ ] Údaje jsou šifrované při přenosu i v klidu
• [ ] Přístup k osobním údajům je omezen na minimum (princip need-to-know)
• [ ] Máš zásady uchovávání údajů, údaje se neuchovávají déle, než je nutné
• [ ] Máš plán reakce na bezpečnostní incident (data breach response plan)
• [ ] Pravidelně zálohuješ údaje

Třetí strany

• [ ] Máš smlouvu o zpracování údajů (DPA) s každým zpracovatelem
• [ ] Víš, kam se údaje přenášejí (země, servery)
• [ ] Pro přenosy mimo EU máš právní základ (SCC, adequacy decision)
• [ ] Pravidelně přehodnocuješ dodavatele třetích stran

CCPA/CPRA Checklist (Kalifornie)

CCPA (California Consumer Privacy Act) a jeho rozšíření CPRA platí, pokud zpracováváš údaje kalifornských rezidentů a splňuješ alespoň jedno z těchto kritérií: roční obrat nad 25 milionů USD, zpracování údajů 100 000+ spotřebitelů, nebo 50+ procent příjmů z prodeje osobních údajů.

I když tyto prahy nesplňuješ, implementace požadavků CCPA je dobrá praxe.

• [ ] Na webu je odkaz „Do Not Sell or Share My Personal Information“
• [ ] Máš mechanismus pro opt-out z prodeje osobních údajů
• [ ] Zásady ochrany osobních údajů obsahují informace specifické pro CCPA (kategorie údajů, účely, práva)
• [ ] Máš proces pro vyřízení žádostí podle CCPA (přístup, výmaz, opt-out)
• [ ] Nerozlišuješ mezi uživateli, kteří uplatnili práva, a těmi, kteří je neuplatnili (anti-diskriminace)
• [ ] Dokážeš určit, zda prodáváš, nebo sdílíš osobní údaje podle definice CCPA

UK GDPR Checklist

Po brexitu má Velká Británie vlastní verzi GDPR, UK GDPR v kombinaci s Data Protection Act 2018.

• [ ] Pokud cílíš na britský trh, máš určeného zástupce v UK (pokud nemáš provozovnu v UK)
• [ ] Zásady ochrany osobních údajů odkazují na ICO (Information Commissioner's Office) jako dozorový orgán
• [ ] Cookie consent splňuje požadavky PECR (Privacy and Electronic Communications Regulations)
• [ ] Přenosy údajů mezi EU a UK jsou pokryty adequacy decision Evropské komise (obnovené 19. 12. 2025, platné do 27. 12. 2031)

DSGVO, německý trh

Německo má v rámci EU jedny z nejpřísnějších výkladů GDPR. Pokud cílíš na německý trh:

• [ ] Cookie banner splňuje požadavky německých dozorových orgánů (doporučení DSK)
• [ ] Máš Impressum na webu (zákonná povinnost pro německý trh)
• [ ] Datenschutzerklärung (zásady ochrany osobních údajů) je v němčině a splňuje německé požadavky
• [ ] Pokud máš více než 20 zaměstnanců zpracovávajících osobní údaje, máš jmenovaného Datenschutzbeauftragten (DPO)
• [ ] Google Fonts a další externí zdroje se načítají lokálně (rozhodnutí LG München z roku 2022)

Český trh

Česká republika podléhá GDPR stejně jako Slovensko. Dozorovým orgánem je ÚOOÚ (Úřad pro ochranu osobních údajů).

• [ ] Zásady ochrany osobních údajů jsou dostupné v češtině, pokud cílíš na český trh
• [ ] Máš identifikovaný právní základ podle českého výkladu GDPR
• [ ] Cookie consent splňuje standard pokynů EDPB

Běžné mezery v souladu

Na základě auditů webových stránek se tyto problémy opakují nejčastěji:

1. Neúplné zásady ochrany osobních údajů

Mnohé zásady ochrany osobních údajů jsou zkopírované šablony, které neodrážejí skutečný stav zpracování. Chybí konkrétní kategorie údajů, třetí strany, doby uchování nebo kontaktní informace.

2. Technické selhání blokování cookies

Banner je vizuálně v pořádku, ale skripty se načtou před souhlasem. Tohle je nejčastější technická chyba a je detekovatelná automatizovanými nástroji dozorových orgánů.

3. Chybějící DPA se zpracovateli

Google Analytics, Mailchimp, CRM systémy, všechno jsou to zpracovatelé tvých údajů. Bez písemné smlouvy (DPA) porušuješ článek 28 GDPR.

4. Neexistující proces pro práva subjektů údajů

Pokud tě zákazník požádá o výmaz údajů a ty nemáš proces, porušuješ GDPR. Proces nemusí být komplexní, ale musí existovat a být zdokumentovaný.

5. Zastaralé informace po změnách

Přidal jsi nový analytický nástroj, změnil jsi poskytovatele e-mailů nebo spustil jsi nový marketingový kanál? Pokud jsi neaktualizoval zásady ochrany osobních údajů a seznam cookies, jsi v nesouladu.

Jak udržet soulad dlouhodobě

Jednorázový audit nestačí. Soulad je kontinuální proces.

Čtvrtletní audit cookies: zkontroluj, zda seznam cookies odpovídá realitě.

Roční revize zásad ochrany osobních údajů: i bez změn je dobré zásady zkontrolovat a potvrdit jejich aktuálnost.

Monitoring regulačních změn: sleduj rozhodnutí EDPB, místních dozorových orgánů a soudů.

Školení týmu: každý, kdo pracuje s osobními údaji, musí rozumět základním pravidlům.

Automatizovaný monitoring: nástroje, které kontinuálně kontrolují, zda tvůj web dodržuje pravidla.

Začni s Consetem

Conseto ti pomůže s částí o souhlasu: kontrola najde cookies a třetí strany, které se spustí před souhlasem, lišta žádá o souhlas po kategoriích a každé rozhodnutí se zaznamená. Je to technická kontrola, ne právní posouzení.

Spusť bezplatnou kontrolu svého webu na conseto.io a zjisti, kde máš mezery v souladu.