Najčastejšie mýty a chyby v GDPR: čo firmy robia zle

Okolo GDPR sa za roky nazbieralo viac mýtov než okolo hociktorého iného predpisu. Časť z nich firmy zbytočne straší a núti robiť prácu, ktorú robiť nemusia. Časť naopak vedie k falošnému pocitu, že „to máme vyriešené“, ktorý pri prvej kontrole alebo úniku vyprchá. Oboje stojí zbytočné peniaze a stres.

Väčšina chýb v GDPR nevzniká úmyselne ani z nevedomosti, ale práve z týchto rozšírených poloprávd. Nasledujúci prehľad zhŕňa mýty, s ktorými sa stretávam najčastejšie, a pri každom nájdete odkaz na článok, kde je téma rozobraná dopodrobna.

Pätnásť mýtov, ktoré vás môžu stáť pokutu alebo zbytočnú prácu

Mýtus 1: „GDPR je hlavne o hrozbe pokút.“ Pokuta je hrozba, nie podstata. GDPR je o dôvere a o poriadku vo vlastných údajoch, a firma, ktorá má v procesoch a údajoch poriadok, pristupuje ku kontrole ako k bežnej situácii, nie ako ku kríze. Celý rámec sme zhrnuli v úvodnom článku série.

Mýtus 2: „Sme malá firma, GDPR sa nás prakticky netýka.“ GDPR sa neuplatňuje podľa veľkosti, ale podľa činností. Ak máte zamestnancov, zákazníkov alebo dodávateľov, spracúvate osobné údaje a vzťahuje sa na vás, len v rozsahu primeranom vašej veľkosti a riziku. Prečo je to tak, vysvetľujeme v pilierovom článku.

Mýtus 3: „Na spracúvanie osobných údajov treba vždy súhlas.“ Súhlas je len jeden zo šiestich právnych základov, ale často ten najproblematickejší. Väčšinu spracúvania kryje zmluva, zákonná povinnosť alebo oprávnený záujem, kde súhlas netreba a je dokonca nesprávny. Rozoberáme to v článku o právnych základoch.

Mýtus 4: „Raz daný súhlas platí navždy a predzaškrtnuté políčko stačí.“ Súhlas sa dá kedykoľvek odvolať, musí byť daný aktívnym úkonom a musíte ho vedieť preukázať. Predzaškrtnuté políčko ani mlčanie súhlasom nie sú. Viac v článku o súhlase.

Mýtus 5: „Na zdravotné a iné citlivé údaje stačí súhlas.“ Pri osobitných kategóriách údajov potrebujete dve vrstvy súčasne: právny základ podľa čl. 6 a k tomu výnimku zo zákazu podľa čl. 9. Ak sa opierate o súhlas, musí byť výslovný. Ktorý základ kedy použiť, rozoberáme v článku o právnych základoch.

Mýtus 6: „Keď niekto žiada výmaz, musíme vymazať všetko.“ Právo na výmaz nie je absolútne. Ak vám zákon ukladá údaje uchovávať, napríklad účtovné doklady, výmazu nevyhoviete a dôvod vysvetlíte. Práva dotknutých osôb a lehoty rozoberáme tu.

Mýtus 7: „Malá firma nemusí viesť záznam o spracúvaní.“ Výnimka pre subjekty do 250 zamestnancov znie jednoducho, v skutočnosti je však postavená na viacerých podmienkach, ktoré musia platiť súčasne a v bežnej firme sa takmer nikdy neuplatní v plnom rozsahu, lebo mzdy a zákazníkov spracúvate pravidelne. Tam, kde platí, sa záznam vedie len pre činnosti spĺňajúce niektorú z podmienok. Prečo sa oplatí viesť ho tak či tak, píšeme v článku o ROPA.

Mýtus 8: „Posúdenie vplyvu potrebujú len veľké firmy.“ Rozhoduje riziko, nie veľkosť. Posúdenie je povinné, keď spracúvanie pravdepodobne predstavuje vysoké riziko pre práva a slobody osôb, a monitorovanie zamestnancov na pracovisku je uvedené v zozname, ktorý takéto spracúvania vymenúva. Kedy ho robiť a ako, píšeme v článku o posúdení vplyvu.

Mýtus 9: „S bežným dodávateľom ako účtovník netreba osobitnú zmluvu.“ Účtovník aj poskytovateľ cloudu spracúvajú údaje podľa vášho zadania, takže sú spravidla sprostredkovatelia a zmluvu podľa čl. 28 s nimi potrebujete. Rolu však treba určiť, nie predpokladať: advokát pri výkone advokácie je samostatný prevádzkovateľ a taká zmluva by s ním bola vecne nesprávna. Vysvetľujeme to v článku o prevádzkovateľovi a sprostredkovateľovi.

Mýtus 10: „Máme antivírus a firewall, bezpečnosť pre GDPR je vyriešená.“ GDPR nechápe bezpečnosť ako nákupný zoznam, ale ako primeranosť k riziku a najmä organizačné opatrenia, ktoré technika sama nepokryje. Rozoberáme to v článku o bezpečnosti spracúvania.

Mýtus 11: „Únik znamená hackerský útok a nám nič neunikne.“ V mojej praxi býva príčinou skôr ľudská chyba než útok, teda zle poslaný e-mail alebo stratený telefón. A ak porušenie pravdepodobne predstavuje riziko pre práva a slobody dotknutých osôb, máte od jeho zistenia 72 hodín na ohlásenie úradu. Ak riziko nehrozí, porušenie sa neohlasuje, ale evidujete ho. Postup nájdete v článku o porušení ochrany údajov.

Mýtus 12: „Zodpovednú osobu môže robiť konateľ alebo šéf IT.“ Nemôže, bol by v konflikte záujmov, lebo zároveň rozhoduje o účeloch spracúvania. Určenie sa tým nestáva neplatným, ide o porušenie čl. 38 ods. 6 a zodpovedná osoba neplní účel, pre ktorý existuje. Zabúda sa aj na druhú stranu: kontaktné údaje zodpovednej osoby musíte zverejniť a oznámiť úradu (čl. 37 ods. 7). Kedy a kto ju môže vykonávať, píšeme v článku o zodpovednej osobe.

Mýtus 13: „Na kamery a monitorovanie zamestnancov stačí ich súhlas.“ Súhlas zamestnanca je pre nerovnováhu spravidla neplatný. Monitorovanie stojí na Zákonníku práce a oprávnenom záujme a vyžaduje prerokovanie a informovanie vopred. Podrobne v článku o monitorovaní zamestnancov.

Mýtus 14: „My nič do zahraničia neposielame.“ Prenos nevzniká odoslaním ani sídlom dodávateľa, ale sprístupnením údajov mimo Európskeho hospodárskeho priestoru. Stane sa to aj pri nástrojoch, ktoré ste za zahraničné nepovažovali, napríklad keď k údajom pristupuje podpora dodávateľa z tretej krajiny. Európsky región amerického poskytovateľa preto pomáha len vtedy, keď je európsky celý reťazec. Čo s tým, rozoberáme v článku o prenose do tretích krajín.

Mýtus 15: „Počkáme, kým sa GDPR zjednoduší, a dovtedy nič nerobíme.“ Zo zmien, ktoré sa dotýkajú GDPR, zatiaľ neplatí nič a nariadenie platí v plnom rozsahu (stav k júlu 2026). Zjednodušenia sú pripravované v balíku dvoch samostatných návrhov a časť týkajúca sa umelej inteligencie už prijatá bola. Základné povinnosti budete musieť plniť tak či tak. Čo sa pripravuje, zhŕňame v článku o zjednodušení GDPR.

Čo majú tieto mýty spoločné

Keď sa na ne pozriete spolu, majú jednu príčinu. Vychádzajú z predstavy, že GDPR je jednorazová papierovačka pre úrad, ktorú treba raz vybaviť a viac sa jej nedotknúť. Firmy, ktoré takto uvažujú, buď robia zbytočnú prácu zo strachu, alebo si namýšľajú súlad, ktorý nemajú.

Firmy, ktoré GDPR vzali ako poriadok vo vlastných údajoch, sa väčšine týchto mýtov vyhnú prirodzene, lebo majú prehľad a vedia, na akom základe čo robia. Nejde o dokonalú znalosť nariadenia, ale o poriadok, z ktorého odpovede vyplynú samy.

Ak si nie ste istí, ktorý z týchto mýtov sa týka práve vás, a chcete mať istotu bez toho, aby ste GDPR museli sami detailne poznať, vašu situáciu posúdime a prípadne prevezmeme rolu zodpovednej osoby. Ako externá zodpovedná osoba pritom pôsobíme nezávisle a bez konfliktu záujmov, ako to vyžaduje čl. 38 GDPR. Viac informácií nájdete na našej stránke o ochrane osobných údajov. Celý rámec GDPR pre firmy a organizácie sme zhrnuli v úvodnom článku série.