Checklist súladu webstránky: GDPR, CCPA a ďalšie predpisy

Prečo potrebuješ checklist súladu

Regulácie o ochrane osobných údajov sú dnes globálnym štandardom. Pre slovenské firmy, ktoré pôsobia online, to znamená, že musíš dodržať nielen GDPR, ale potenciálne aj predpisy krajín, z ktorých prichádzajú tvoji návštevníci a zákazníci.

Jeden e-shop na Slovensku, ktorý predáva do Nemecka, Rakúska a Česka, musí splniť požiadavky GDPR (celá EÚ), DSGVO (nemecké špecifiká) a prípadne ďalšie lokálne predpisy. Ak expanduješ do USA, pridáva sa CCPA/CPRA pre Kaliforniu, VCDPA pre Virgíniu a ďalšie štátne zákony.

Tento checklist pokrýva kľúčové oblasti, ktoré musíš mať pod kontrolou.

GDPR Checklist

GDPR platí pre každú firmu, ktorá spracúva osobné údaje rezidentov EÚ, bez ohľadu na to, kde firma sídli.

Právny základ spracovania

• [ ] Máš identifikovaný právny základ pre každý typ spracovania (súhlas, zmluva, oprávnený záujem, právna povinnosť)
• [ ] Súhlasy sa zbierajú pred začiatkom spracovania, nie spätne
• [ ] Máš mechanizmus na odvolanie súhlasu, ktorý je rovnako jednoduchý ako jeho udelenie
• [ ] Oprávnený záujem je zdokumentovaný cez balančný test (LIA)

Informačná povinnosť

• [ ] Privacy policy je prístupná z každej stránky (typicky v pätičke)
• [ ] Privacy policy obsahuje všetky povinné informácie podľa článkov 13 a 14 GDPR
• [ ] Jazyk privacy policy je zrozumiteľný bežným používateľom (nie len právnický)
• [ ] Privacy policy je aktuálna, odráža skutočný stav spracovania

Cookie consent

• [ ] Cookie banner sa zobrazí pred načítaním nepotrebných cookies
• [ ] Banner ponúka možnosť "Odmietnuť všetko" s rovnakou viditeľnosťou ako "Prijať všetko"
• [ ] Používatelia môžu vyberať konkrétne kategórie cookies
• [ ] Každý súhlas sa loguje s časovou pečiatkou, verziou a rozsahom
• [ ] Odvolanie súhlasu je dostupné kedykoľvek (typicky cez ikonu alebo odkaz v pätičke)
• [ ] Cookies sa skutočne nenačítavajú pred súhlasom (technická verifikácia)

Práva dotknutých osôb

• [ ] Máš proces na vybavenie žiadosti o prístup k údajom (článok 15)
• [ ] Máš proces na vymazanie údajov (článok 17, právo na zabudnutie)
• [ ] Máš proces na opravu údajov (článok 16)
• [ ] Máš proces na prenosnosť údajov (článok 20)
• [ ] Žiadosti vybavuješ do 30 dní
• [ ] Máš spôsob overenia totožnosti žiadateľa

Technické opatrenia

• [ ] HTTPS na celej stránke (žiadny mixed content)
• [ ] Údaje sú šifrované pri prenose aj v pokoji
• [ ] Prístup k osobným údajom je obmedzený na minimum (princíp need-to-know)
• [ ] Máš politiku uchovávania údajov, údaje sa neuchovávajú dlhšie, než je nutné
• [ ] Máš plán reakcie na bezpečnostný incident (data breach response plan)
• [ ] Pravidelne zálohuješ údaje

Tretie strany

• [ ] Máš zmluvu o spracovaní údajov (DPA) s každým spracovateľom
• [ ] Vieš, kam sa prenášajú údaje (krajiny, servery)
• [ ] Pre prenosy mimo EÚ máš právny základ (SCC, adequacy decision)
• [ ] Pravidelne prehodnocuješ dodávateľov z tretích strán

CCPA/CPRA Checklist (Kalifornia)

CCPA (California Consumer Privacy Act) a jeho rozšírenie CPRA platia, ak spracúvaš údaje kalifornských rezidentov a spĺňaš aspoň jedno z týchto kritérií: ročný obrat nad 25 miliónov USD, spracovanie údajov 100 000+ spotrebiteľov, alebo 50+ percent príjmov z predaja osobných údajov.

Aj ak tieto prahy nespĺňaš, implementácia požiadaviek CCPA je dobrá prax.

• [ ] Na stránke je odkaz "Do Not Sell or Share My Personal Information"
• [ ] Máš mechanizmus na opt-out z predaja osobných údajov
• [ ] Privacy policy obsahuje informácie špecifické pre CCPA (kategórie údajov, účely, práva)
• [ ] Máš proces na vybavenie žiadostí podľa CCPA (prístup, vymazanie, opt-out)
• [ ] Nerozlišuješ medzi používateľmi, ktorí uplatnili práva, a tými, ktorí ich neuplatnili (anti-diskriminácia)
• [ ] Vieš identifikovať, či predávaš alebo zdieľaš osobné údaje podľa definície CCPA

UK GDPR Checklist

Po Brexite má Veľká Británia vlastnú verziu GDPR, UK GDPR v kombinácii s Data Protection Act 2018.

• [ ] Ak cieliš na britský trh, máš identifikovaného zástupcu v UK (ak nemáš prevádzku v UK)
• [ ] Privacy policy odkazuje na ICO (Information Commissioner's Office) ako dozorný orgán
• [ ] Cookie consent spĺňa požiadavky PECR (Privacy and Electronic Communications Regulations)
• [ ] Prenosy údajov medzi EÚ a UK sú pokryté adequacy decision Európskej komisie (obnovená 19. 12. 2025, platí do 27. 12. 2031)

DSGVO, nemecký trh

Nemecko má v rámci EÚ jedny z najprísnejších výkladov GDPR. Ak cieliš na nemecký trh:

• [ ] Cookie banner spĺňa požiadavky nemeckých dozorných orgánov (odporúčania DSK)
• [ ] Máš Impressum na stránke (zákonná povinnosť pre nemecký trh)
• [ ] Datenschutzerklärung (privacy policy) je v nemčine a spĺňa nemecké požiadavky
• [ ] Ak máš viac ako 20 zamestnancov spracúvajúcich osobné údaje, máš menovaného Datenschutzbeauftragten (DPO)
• [ ] Google Fonts a ďalšie externé zdroje sa servujú lokálne (rozhodnutie LG München z roku 2022)

Český trh

Česká republika podlieha GDPR rovnako ako Slovensko. Dozorný orgán je ÚOOÚ (Úřad pro ochranu osobních údajů).

• [ ] Privacy policy je dostupná v češtine, ak cieliš na český trh
• [ ] Máš identifikovaný právny základ podľa českého výkladu GDPR
• [ ] Cookie consent spĺňa štandard EDPB guidelines

Spoločné medzery v súlade

Na základe auditov webových stránok sa tieto problémy opakujú najčastejšie:

1. Neúplná privacy policy

Mnohé privacy policy sú skopírované šablóny, ktoré neodrážajú skutočný stav spracovania. Chýbajú konkrétne kategórie údajov, tretie strany, doby uchovania alebo kontaktné informácie.

2. Technické zlyhanie blokovania cookies

Banner je vizuálne v poriadku, ale skripty sa načítajú pred súhlasom. Toto je najčastejšia technická chyba a je detegovateľná automatizovanými nástrojmi dozorných orgánov.

3. Chýbajúce DPA so spracovateľmi

Google Analytics, Mailchimp, CRM systémy, všetci sú spracovatelia tvojich údajov. Bez písomnej zmluvy (DPA) porušuješ článok 28 GDPR.

4. Neexistujúci proces pre práva dotknutých osôb

Ak ťa zákazník požiada o vymazanie údajov a ty nemáš proces, porušuješ GDPR. Proces nemusí byť komplexný, ale musí existovať a byť zdokumentovaný.

5. Zastarané informácie po zmenách

Pridal si nový analytický nástroj, zmenil si poskytovateľa e-mailov alebo spustil si nový marketingový kanál? Ak si neaktualizoval privacy policy a zoznam cookies, si v nesúlade.

Ako udržiavať súlad dlhodobo

Jednorazový audit nestačí. Súlad je kontinuálny proces.

Štvrťročný audit cookies: skontroluj, či zoznam cookies zodpovedá realite.

Ročná revízia privacy policy: aj bez zmien je dobré politiku skontrolovať a potvrdiť jej aktuálnosť.

Monitoring regulačných zmien: sleduj rozhodnutia EDPB, lokálnych dozorných orgánov a súdov.

Školenie tímu: každý, kto pracuje s osobnými údajmi, musí rozumieť základným pravidlám.

Automatizovaný monitoring: nástroje, ktoré kontinuálne kontrolujú, či tvoja stránka dodržiava pravidlá.

Začni s Conseto

Conseto ti pomôže s časťou o súhlase: kontrola nájde cookies a tretie strany, ktoré sa spustia pred súhlasom, lišta pýta súhlas po kategóriách a každé rozhodnutie sa zaznamená. Je to technická kontrola, nie právne posúdenie.

Spusti bezplatnú kontrolu svojej stránky na conseto.io a zisti, kde máš medzery v súlade.