GDPR a datová mapa malé firmy: praktický postup bez zbytečných tabulek

Datová mapa ukazuje, při kterých činnostech firma používá osobní údaje, odkud přicházejí, proč je potřebuje, kde jsou uložené, kdo k nim má přístup a kdy se mažou. Není to jednorázový právní formulář. Je to provozní přehled, bez kterého se obtížně odpovídá zákazníkovi, hodnotí dodavatel, řeší incident nebo nastavuje uchování.

Údaje v článku jsou platné k 3. září 2026.

Související průvodce: Článek patří do hubu Procesy a bezpečný provoz malé firmy. Technickou ochranu rozvíjí kyberbezpečnost malé firmy a dostupnost dat řeší zálohování a test obnovy.

Mapujte činnosti, ne jen aplikace

Začněte procesy, kterým lidé rozumějí: poptávka, uzavření smlouvy, vyřízení objednávky, fakturace, reklamace, newsletter, nábor, mzdy, docházka, kamerový systém nebo správa přístupů. Jedna aplikace může sloužit více účelům s různými právními důvody a dobami uchování. Seznam programů proto sám o sobě nestačí.

Ke každé činnosti přizvěte člověka, který ji skutečně provádí. Majitel často netuší, že se export posílá účetní e-mailem, kontakt z formuláře zůstává v poštovní schránce nebo externista kopíruje data do vlastního nástroje. Mapa musí zachytit realitu, ne zamýšlený stav.

Jaká pole do mapy patří

Nepište obecně „zákaznická data navždy“. Uveďte kategorie, účel a spouštěč lhůty: například po skončení smlouvy, vyřízení reklamace nebo odvolání souhlasu, s výjimkou dokumentů, které firma uchovává z jiné právní povinnosti.

Odlište správce, zpracovatele a příjemce

Správce určuje proč a jak se údaje zpracují. Zpracovatel jedná podle jeho pokynů, typicky poskytovatel některých cloudových, mzdových nebo marketingových služeb. Ne každý dodavatel je automaticky zpracovatel a stejné dvě strany mohou mít u různých činností odlišné role. Rozhoduje skutečné rozdělení rozhodování, nikoli nadpis smlouvy.

U zpracovatele evidujte smlouvu, účel, subdodavatele, bezpečnost a postup po skončení služby. EDPB připomíná, že vztah správce a zpracovatele má být upraven závaznou smlouvou a že správce za výběr vhodného partnera nese odpovědnost.

Právní základ určujte pro konkrétní účel

Plnění smlouvy může pokrýt údaje nutné k dodání objednávky, zákonná povinnost účetní doklady a oprávněný zájem některé přiměřené provozní činnosti. Souhlas není univerzální pojistka a nesmí být vynucen tam, kde zpracování potřebujete z jiného důvodu. Každý účel posuzujte samostatně a zaznamenejte stručné odůvodnění.

U zvláštních kategorií údajů, systematického monitorování nebo činnosti s vysokým rizikem potřebujete hlubší posouzení a případně DPIA. Tento návod nenahrazuje právní posouzení konkrétního zpracování.

Malá firma a záznamy o činnostech

Výjimku pro organizace pod 250 zaměstnanců nelze chápat jako obecné osvobození od evidence. Podle EDPB se nevztahuje například na zpracování, které není příležitostné, představuje riziko pro práva lidí nebo zahrnuje zvláštní kategorie údajů. Běžná správa zákazníků, zaměstnanců či mezd se často opakuje, a praktický záznam je proto užitečný i tam, kde firma řeší přesný právní rozsah povinnosti.

Datová mapa může posloužit jako podklad záznamu podle článku 30, ale oba dokumenty nemusí být totožné. Mapa může být provozně podrobnější; formální záznam musí obsahovat požadované náležitosti podle role firmy.

Projděte skutečný tok jednoho případu

1. Vyberte čerstvou objednávku nebo náborový případ.
2. Sledujte, kde údaje vznikly a kam se kopírovaly.
3. Zapište lidi, systémy, e-maily, exporty a papírové složky.
4. Ověřte přístupy a obnovovací kontakty.
5. Najděte okamžik, kdy má dojít k výmazu.
6. Porovnejte realitu se smlouvami a informací pro dotčené osoby.

Vzorek odhalí stínové kopie rychleji než dlouhý dotazník. Stejný postup zopakujte pro zaměstnance, marketing a citlivější agendy. Nalezenou odchylku převeďte na úkol s vlastníkem a termínem.

Uchování musí fungovat i technicky

Lhůta v tabulce nic nezmění, pokud systém neumí data vyhledat a odstranit. U každého úložiště určete, zda se maže automaticky, ručně nebo anonymizací, jak se postup projeví v zálohách a kdo jej kontroluje. Rozlišujte aktivní data, archiv a zálohy; pro každou vrstvu popište přístup a cyklus odstranění.

Nemazat lze jen proto, že „by se to někdy mohlo hodit“. Naopak mechanické smazání účetního dokladu po odvolání marketingového souhlasu může porušit jinou povinnost. Účely, právní základy a kopie je třeba oddělit.

Mapa pomáhá při žádosti a incidentu

Když člověk uplatní právo na přístup nebo výmaz, mapa ukáže systémy, příjemce a vlastníky odpovědi. Veďte záznam žádostí a rozhodnutí. Pokud dojde k úniku, rychleji zjistíte kategorie osob, druh údajů, rozsah, ochranná opatření a kontakty na zpracovatele.

Nejméně jednou ročně a při zavedení nové služby mapu aktualizujte. Kontrolním signálem může být nový formulář, integrace, externista, změna země uložení, nový účel nebo akvizice zákaznické databáze.

Rozdělte mapování do zvládnutelných dílen

První setkání věnujte zákaznickému toku, druhé lidem a dodavatelům, třetí marketingu a webu. Každá dílna má vlastníka, zapisovatele a jasný výstup. Nad konkrétním případem se ptejte „co se stane dál“ tak dlouho, dokud data nezmizí nebo nepřejdou do archivu. Neřešte během mapování všechny právní otázky; označte je k posouzení.

Používejte jednotné názvy systémů a činností. „Cloud“, „disk“ nebo „marketing“ jsou příliš široké. Uveďte konkrétní službu a odpovědnou roli, ale do sdílené mapy nevkládejte hesla ani zbytečné osobní údaje. Verzi a datum změny evidujte stejně jako u jiného provozního dokumentu.

Propojte mapu s informacemi pro lidi

Porovnejte každý účel s informací na webu, ve smlouvě, pro zaměstnance nebo uchazeče. Text má odpovídat skutečným příjemcům, době uchování a právům. Pokud mapa odhalí další marketingové využití nebo nového cloudového dodavatele, nestačí změnit tabulku; posuďte právní základ, smlouvu a transparentnost.

Informace má být srozumitelná a dostupná ve chvíli získání údajů. Dlouhý univerzální dokument může skrýt podstatné sdělení. Rozdělte vrstvy: stručné vysvětlení u formuláře a odkaz na úplné informace, které používají stejné názvy účelů jako interní evidence.

Datová mapa pomůže při změně systému

Před nákupem nové aplikace označte, jaké činnosti převezme, jaké kategorie údajů získá a s čím se propojí. Prověřte výchozí nastavení, role, export, mazání, audit, subdodavatele a země uložení. Služba s nejvíce funkcemi může zvětšit rozsah dat bez provozního důvodu.

Při migraci určete, která historie se přenese a která zůstane v chráněném archivu. Po dokončení ověřte počty záznamů, oprávnění a staré integrace. Původní službu nezrušte bez exportu, ale také ji nenechávejte roky aktivní se všemi uživateli jen pro případ.

Nastavte rizikovou kontrolu přístupů

U každé činnosti spojte roli s nezbytným rozsahem: obchodník potřebuje aktuální kontakt, mzdová účetní jiné údaje a marketing nemusí vidět reklamace. Čtvrtletně zkontrolujte správce a hostující účty; po změně role přístup upravte hned. Mapa ukáže, ve kterých systémech musí offboarding proběhnout.

Citlivost není dána pouze jednotlivým polem. Velký seznam zákazníků, historie chování nebo propojení více zdrojů může zvýšit dopad. Opatření volte podle pravděpodobnosti a následků pro lidi, nikoli jen podle velikosti firmy.

Kontrolní uzávěrka mapy

1. Každá činnost má účel a provozního vlastníka.
2. Kategorie osob a údajů odpovídají skutečnému vzorku.
3. Právní základ je přiřazen ke konkrétnímu účelu.
4. Interní příjemci, dodavatelé a přenosy jsou dohledatelné.
5. Lhůta má spouštěč a technický způsob provedení.
6. Ochranná opatření odpovídají riziku a přístupům.
7. Informace pro lidi a smlouvy nejsou v rozporu.
8. Otevřené mezery mají vlastníka a termín.

Uzávěrku schválí vedení, nikoli proto, aby potvrdilo právní bezchybnost každého řádku, ale aby přijalo zjištěná rizika a zdroje na nápravu. U složitých nebo vysoce rizikových činností zapojte pověřence či odborného právníka.

Marketingové databáze kontrolujte po zdrojích

Rozlište zákazníky, zájemce, stažené kontakty, účastníky akce a adresy získané od partnera. U každého zdroje ověřte účel, právní základ, poskytnutou informaci a možnost doložit vznik záznamu. Sloučení seznamů do jednoho newsletteru může zakrýt, že pro část příjemců firma nemá stejný důvod ani očekávání.

Mapa má zachytit předání do rozesílací služby, analytiku, propojení s reklamními platformami i stažené exporty. Odhlášení musí ovlivnit správný účel ve všech aktivních systémech, ale firma může v omezeném rozsahu uchovat potlačovací záznam, aby adresu znovu neoslovila. Konkrétní nastavení posuďte podle použitého právního režimu elektronické komunikace.

Papír a neformální kanály do mapy patří také

Vizitky, podepsané smlouvy, návštěvní knihy, poznámkové bloky a dokumenty ve skladu obsahují osobní údaje stejně jako databáze. Uveďte fyzické místo, klíče, přístup a likvidaci. Fotografie dokladu v soukromém telefonu nebo příloha v osobním e-mailu představuje další nekontrolovanou kopii.

Stanovte schválené kanály a jednoduchý způsob, jak pracovní kopii převést do řízeného systému a odstranit. Proces musí být použitelný v terénu; zákaz bez praktické alternativy vede k obcházení. Namátková kontrola několika případů ukáže, zda se pravidlo skutečně dodržuje.

Mapa podporuje minimalizaci

U každé kategorie se ptejte, zda je nutná pro uvedený účel a zda ji lze nahradit méně přesným údajem. Datum narození, kopie dokladu nebo dlouhá historie kontaktu mohou být nadbytečné. Odstranění zbytečného pole snižuje dopad incidentu i náklady na vyhledání žádosti.

Minimalizaci ověřte na formulářích a povinných polích, ne pouze v zásadách. Když systém technicky vyžaduje nepotřebný údaj, změňte konfiguraci nebo zdokumentujte důvod. Výchozí nastavení dodavatele není samo o sobě právním ani provozním odůvodněním.

Časté otázky

Co má malá firma skutečně splnit?

Vědět, jaké osobní údaje zpracovává, proč a na jakém právním základě, informovat o tom subjekty údajů, zabezpečit data a být schopna reagovat na jejich žádosti. Rozsáhlou dokumentaci většina malých firem nepotřebuje, přehled zpracování ale ano.

Co je datová mapa?

Přehled toho, jaké kategorie osobních údajů zpracováváte, odkud je máte, proč, jak dlouho je uchováváte a komu je předáváte. Stačí jednoduchá tabulka. Právě tento přehled je základ, protože bez něj nelze splnit ani informační povinnost, ani vyřídit žádost o výmaz.

Jak mapu sestavit?

Projděte místa, kde data reálně jsou, tedy e-mail, fakturační systém, tabulky, cloud, web, kamery a papírové složky. Ke každému napište, čí údaje to jsou, proč je máte a jak dlouho. Nezačínejte šablonou z internetu, ale skutečným obsahem svých systémů.

Potřebuji souhlas od zákazníků?

Zpravidla ne, protože plnění smlouvy a zákonné povinnosti jsou samostatné právní základy. Souhlas potřebujete typicky u marketingového oslovování nad rámec výjimek a u nepovinných cookies. Souhlas vyžádaný tam, kde není potřeba, situaci komplikuje, protože ho lze kdykoli odvolat.

Musím mít záznamy o činnostech zpracování?

Povinnost má výjimky pro menší subjekty, ale ty jsou úzké a neplatí u pravidelného zpracování nebo u citlivých údajů. V praxi je jednodušší jednoduchý přehled vést, než zkoumat, zda výjimka dopadá. Slouží navíc jako podklad pro vše ostatní.

Jak řešit žádost o výmaz?

Ověřte totožnost žadatele, zjistěte, kde všude jeho data máte, a posuďte, zda je můžete vymazat. Právo na výmaz není absolutní: údaje potřebné pro plnění zákonné povinnosti, například daňové doklady, mazat nelze. Odpovězte ve lhůtě a rozhodnutí odůvodněte.

Co s webem a cookies?

Nepovinné cookies smíte nastavit až po souhlasu, který musí být svobodný a odvolatelný. Předvybraná políbka a lišta bez možnosti odmítnout nejsou v souladu. Zároveň patří na web informace o zpracování údajů v čitelné podobě, ne jen odkaz na obecný dokument.

Kdy je únik dat nutné hlásit?

Porušení zabezpečení se hlásí dozorovému úřadu, pokud pravděpodobně znamená riziko pro práva a svobody osob, a při vysokém riziku se informují i dotčené osoby. Lhůta je krátká, proto je nutné mít předem jasné, kdo incident vyhodnotí a kdo hlášení podá.

Potřebuji pověřence?

Malá firma zpravidla ne, povinnost se vztahuje na vymezené případy, například na veřejné subjekty nebo na rozsáhlé zpracování citlivých údajů. Není li povinnost, není důvod pověřence jmenovat. Odpovědnost za soulad ale zůstává na vedení firmy.

Co s dodavateli, kteří data zpracovávají za mě?

S nimi je nutné mít smlouvu o zpracování osobních údajů, typicky s účetní, s poskytovatelem cloudu nebo s marketingovou agenturou. Ověřte také, kde data fyzicky jsou. Bez této smlouvy je zpracování v rozporu s pravidly, i když je jinak vše zabezpečené.

Zdroje

• Doporučení EDPB
• Doporučení EDPB
• Doporučení EDPB