Práva dotknutých osôb: ako zvládnuť žiadosti podľa GDPR

Môže vám prísť e-mail: „Žiadam o výmaz všetkých mojich údajov“ alebo „chcem vedieť, čo o mne evidujete“. V tej chvíli sa vo firmách dejú dve veci. Buď sa e-mail odloží v nádeji, že to odosielateľ nechá tak, alebo nastane malá panika a začnete hľadať, kde všade tie údaje sú.

Pritom žiadosť dotknutej osoby nie je útok ani zbytočná byrokracia. Je to svojím spôsobom test, či máte poriadok v osobných údajoch, ktoré spracúvate. Firma, ktorá vie, aké údaje spracúva a kde, ich dohľadá bez problémov. Firma, ktorá to nevie, strávi týždeň v strese hľadaním a aj tak si nie je istá, či niečo neprehliadla. Prehľad ale rieši len hľadanie, zvyšok vybavenia si čas vyžiada tak či tak.

Aké práva má dotknutá osoba podľa GDPR?

GDPR dáva každému človeku súbor konkrétnych práv voči prevádzkovateľovi, ktorý spracúva jeho osobné údaje. V praxi nejde o memorovanie paragrafov, ale o schopnosť rýchlo rozpoznať typ žiadosti, priradiť jej správny postup a nezmeškať zákonnú lehotu.

Právo na prístup (čl. 15) znamená, že človek sa môže spýtať, či a aké údaje o ňom spracúvate, a má nárok na ich kópiu aj na sprievodné informácie. Čo presne do odpovede patrí, rozoberáme v nasledujúcej sekcii.

Právo na opravu (čl. 16) rieši nesprávne alebo neúplné údaje.

Právo na výmaz (čl. 17), známe aj ako právo na zabudnutie, umožňuje za istých podmienok žiadať odstránenie údajov.

Právo na obmedzenie (čl. 18) je dočasné zastavenie ďalšieho použitia údajov, nie ich výmaz. Uplatní sa napríklad počas sporu o správnosť údajov alebo počas posudzovania námietky. Počas obmedzenia údaje naďalej uchovávate a ďalej ich smiete spracúvať len so súhlasom dotknutej osoby, na uplatnenie právnych nárokov, na ochranu práv inej osoby alebo z dôvodov dôležitého verejného záujmu. Prakticky to znamená označiť záznam v systéme, nie ho zmazať.

Právo na prenosnosť (čl. 20) sa týka údajov, ktoré človek sám poskytol a ktoré spracúvate automatizovane na základe súhlasu alebo zmluvy, a umožňuje mu preniesť ich inam.

Právo namietať (čl. 21) dovoľuje človeku namietať proti spracúvaniu založenému na oprávnenom záujme alebo verejnom záujme. Má dve podoby s odlišným priebehom, venujeme sa im nižšie.

Právo na ľudský zásah pri automatizovanom rozhodovaní (čl. 22) sa uplatní tam, kde o človeku rozhoduje systém bez zásahu človeka a rozhodnutie má preňho právne účinky alebo ho podobne významne ovplyvňuje, napríklad automatické zamietnutie úveru alebo automatizovaný výber uchádzačov o prácu. Človek má právo na ľudský zásah, na vyjadrenie svojho stanoviska a na napadnutie rozhodnutia. Ak takéto rozhodovanie zavádzate, patrí spravidla aj do posúdenia vplyvu.

K tomu pristupuje oznamovacia povinnosť podľa čl. 19, ktorá sa prehliada najčastejšie, lebo to nie je právo, ktoré niekto uplatní, ale vaša povinnosť po vybavení žiadosti. Ak údaje opravíte, vymažete alebo obmedzíte ich spracúvanie, musíte to oznámiť každému príjemcovi, ktorému ste ich poskytli. A ak sa dotknutá osoba spýta, kto tí príjemcovia sú, musíte jej to povedať. Bez tohto kroku firma vymaže zákazníka z vlastného systému, ale údaje ostanú u účtovníka, v mailingovej platforme aj u obchodného zástupcu a výmaz je nedokončený.

Čo všetko patrí do odpovede na žiadosť o prístup

Odpoveď nie je len zoznam údajov. Podľa čl. 15 do nej patrí:

• účel spracúvania,
• kategórie spracúvaných údajov,
• príjemcovia alebo kategórie príjemcov,
• doba uchovávania alebo kritériá na jej určenie,
• poučenie o právach vrátane možnosti podať sťažnosť úradu,
• zdroj údajov, ak neboli získané od dotknutej osoby,
• existencia automatizovaného rozhodovania vrátane profilovania,
• pri prenose do tretej krajiny informácia o primeraných zárukách.

Kto vyplní len prvé tri body, odpovie neúplne. Tento zoznam sa dá použiť ako kontrolný zoznam pred odoslaním odpovede.

Pri vybavovaní žiadosti treba brať do úvahy, že právo na prístup k informáciám má svoje hranice. Podľa čl. 15 ods. 4 ním nesmú byť dotknuté práva a slobody iných osôb. Pred odoslaním treba informácie prejsť a prekryť údaje tretích osôb, teda mená iných zamestnancov, obsah komunikácie s inými zákazníkmi alebo vyjadrenia kolegov.

Je to najčastejší spôsob, akým sa firma pri vybavovaní žiadosti dostane do problémov, a paradoxom je, že snaha vyhovieť rýchlo a v plnom rozsahu spôsobí nové porušenie voči ľuďom, ktorí o nič nežiadali. Najčastejšie ide o žiadosť zamestnanca o prístup k jeho osobným údajom, ktorá sa dotýka aj e-mailovej komunikácie obsahujúcej vyjadrenia kolegov. Prítomnosť údajov tretích osôb v takomto prípade nezakladá právo žiadosť odmietnuť, zakladá povinnosť poskytnúť ju v upravenej podobe, napríklad s prekrytými identifikačnými údajmi kolegov.

Dokedy musíte na žiadosť odpovedať?

GDPR žiada reagovať bez zbytočného odkladu, najneskôr do jedného mesiaca od doručenia žiadosti. Reagovať pritom neznamená len vyhovieť, znamená to aj oznámiť, ako ste žiadosť vybavili, prípadne prečo ste jej nevyhoveli.

Lehotu možno predĺžiť najviac o ďalšie dva mesiace, teda spolu na tri, ale len ak je to odôvodnené zložitosťou alebo počtom žiadostí, a musíte o predĺžení a jeho dôvode informovať dotknutú osobu do jedného mesiaca. Nemôžete teda mlčky nechať ubehnúť mesiac a potom si „dobrať“ ďalšie dva. Tri mesiace celkovo sú absolútny strop.

Premeškaná lehota patrí k formálnym chybám, ktoré sa preukazujú najľahšie, keďže stačí porovnať dátum doručenia s dátumom odpovede.

Je vybavenie žiadosti spoplatnené?

Spravidla nie, žiadosti sa vybavujú bezplatne. GDPR ale myslí aj na zneužitie. Ak je žiadosť zjavne neopodstatnená alebo neprimeraná, najmä ak sa bezdôvodne opakuje, môžete buď účtovať primeraný poplatok, ktorý pokrýva náklady, alebo žiadosť odmietnuť. Táto výnimka je úzka a dôkazné bremeno, že žiadosť naozaj bola neprimeraná, je na vás, takže sa na ňu nespoliehajte ako na bežnú prax.

Ak máte dôvodné pochybnosti o totožnosti žiadateľa, môžete si vyžiadať dodatočné informácie na jej overenie. Má to vplyv aj na lehotu: podľa usmernenia Európskeho výboru pre ochranu údajov k právu na prístup sa plynutie lehoty pozastaví, kým na doplnenie čakáte, ale len ak ste oň požiadali bez zbytočného odkladu. Odložiť žiadosť o overenie o tri týždne a potom sa odvolávať na pozastavenie neobstojí. Overenie totožnosti je ochrana údajov, nie zdržiavacia taktika.

Tu je na mieste aj poznámka o pripravovaných zmenách. Návrh Európskej komisie z 19. novembra 2025 sa dotýka priamo dvoch tém tohto článku, teda obmedzenia práva na prístup a spresnenia, kedy je žiadosť zjavne neopodstatnená alebo neprimeraná. Patrí k najspornejším častiam balíka a rozoberáme ho v samostatnom článku. Stav k júlu 2026: ide o návrh v rokovaní, platia súčasné pravidlá.

Musíte vždy vymazať údaje, keď o to niekto požiada?

Začnime tým, kedy vymazať musíte. Čl. 17 ods. 1 uvádza dôvody, z ktorých sú v praxi najbežnejšie tieto: údaje už nie sú potrebné na účel, na ktorý boli získané; dotknutá osoba odvolala súhlas a iný právny základ neexistuje; spracúvanie bolo nezákonné; alebo bola úspešná námietka.

Právo na výmaz ale nie je absolútne, a to je asi najväčšie nedorozumenie okolo práv. GDPR pozná situácie, keď údaje vymazať nemusíte, ba dokonca nesmiete, aj keď o to dotknutá osoba žiada.

Typickým prípadom je zákonná povinnosť údaje uchovávať, napríklad účtovné a daňové doklady musíte držať stanovený počet rokov bez ohľadu na to, že vás zákazník žiada o výmaz. Ďalším je situácia, keď údaje potrebujete na uplatnenie alebo obhajobu právnych nárokov. V takom prípade žiadosti nevyhoviete v plnom rozsahu, ale musíte človeku vysvetliť, prečo. Firma, ktorá rozumie právu na vymazanie, nikdy nepovie jednoducho „vymažeme všetko“. Povie „toto musíme zo zákona uchovať, zvyšok vymažeme“, a presne táto schopnosť rozlíšiť medzi oboma kategóriami je znakom zrelého prístupu k spracúvaniu osobných údajov, nie paniky pri prvej žiadosti. To, ktorý údaj a na akom základe uchovávate, vám ukáže váš záznam o spracovateľských činnostiach.

Ako reagovať na námietku?

Námietky sú dve a často sa zamieňajú. Rozdiel je zásadný: pri jednej rozhodujete, pri druhej nie.

Námietka proti priamemu marketingu je absolútna. Ak dotknutá osoba namietne proti spracúvaniu na účely priameho marketingu, musíte prestať, bez výnimky a bez posudzovania. V praxi to znamená funkčné a jednoduché odhlásenie z každého marketingového e-mailu. Súvisí to s tým, čo sme rozobrali pri súhlase: marketing často staviate na oprávnenom záujme, ale právo namietať proti nemu má človek vždy.

Všeobecná námietka podľa čl. 21 ods. 1 má mechanizmus. Vzťahuje sa na spracúvanie založené na oprávnenom záujme alebo na verejnom záujme a platia pri nej tri veci:

1. Dotknutá osoba ju musí odôvodniť dôvodmi týkajúcimi sa jej konkrétnej situácie. Nestačí teda, že spracúvanie odmieta.
2. Do posúdenia sa spracúvanie neuskutočňuje.
3. Pokračovať smiete len vtedy, ak preukážete nevyhnutné oprávnené dôvody, ktoré prevažujú nad záujmami, právami a slobodami dotknutej osoby, alebo ak ide o uplatnenie právnych nárokov. Preukázať znamená doložiť, nie tvrdiť.

Tu využite test vyváženosti, ktorý ste spravili pri určení právneho základu. Bez neho nemáte čím prevahu svojich dôvodov doložiť.

Čo ak žiadosť nevybavíte?

Dotknutá osoba, ktorá nie je spokojná s tým, ako ste jej žiadosť vybavili alebo nevybavili, sa môže obrátiť na Úrad na ochranu osobných údajov Slovenskej republiky so sťažnosťou (čl. 77 GDPR). Úrad to môže prešetriť a v krajnom prípade uložiť pokutu.

Sťažnosť úradu ale nie je jediná cesta. Dotknutá osoba sa môže obrátiť aj na súd a podľa čl. 82 sa domáhať náhrady majetkovej aj nemajetkovej ujmy. Súdny dvor v rozsudku zo 4. mája 2023 vo veci C-300/21 upresnil, že samotné porušenie nariadenia na priznanie náhrady nestačí, dotknutá osoba musí preukázať aj vzniknutú ujmu a príčinnú súvislosť. Zároveň ale nestanovil hranicu závažnosti, pod ktorou by sa nemajetková ujma nenahrádzala. Ide teda o riziko, ktoré je nezávislé od toho, či úrad koná.

Z dlhodobého hľadiska býva drahšia strata dôvery než samotná pokuta. Ignorovaná žiadosť pôsobí na zákazníka ako dôkaz nedbanlivosti pri zaobchádzaní s jeho údajmi, a takáto skúsenosť sa medzi klientmi rozšíri rýchlejšie, než čo dokáže spôsobiť aj prísne rozhodnutie úradu.

Čo je potrebné vyriešiť najskôr

Kľúčové je pripraviť sa skôr, než príde prvá žiadosť, nie improvizovať, keď už lehota začala plynúť. V pokoji si prejdite, kde všade máte osobné údaje, teda systémy, tabuľky, e-maily, papierové zložky, a popíšte si jednoduchý postup:

1. Prijatie a zaznamenanie. Kto žiadosť prevezme a kam sa zapíše dátum doručenia.
2. Overenie totožnosti, ak sú dôvodné pochybnosti, a to bez zbytočného odkladu.
3. Dohľadanie údajov, a to aj u dodávateľov. Časť údajov máte v cloude, v mzdovom systéme alebo u externého účtovníka a sprostredkovateľ je povinný poskytnúť pri vybavovaní žiadostí súčinnosť. Dojednané to má byť v zmluve podľa čl. 28.
4. Posúdenie rozsahu a prekrytie údajov tretích osôb pred odoslaním kópie.
5. Odpoveď v lehote, vrátane odôvodnenia, ak ste nevyhoveli v plnom rozsahu.
6. Oznámenie príjemcom podľa čl. 19, ak ste údaje opravili, vymazali alebo obmedzili.
7. Zápis do evidencie žiadostí. Práve ňou sa pri kontrole preukazuje, kedy žiadosť prišla, ako bola vybavená a prečo sa jej prípadne nevyhovelo.

Tento prehľad je v podstate ten istý, ktorý potrebujete do záznamu o spracovateľských činnostiach, takže prácu spravíte raz a poslúži opakovane.

V praxi počúvam námietku: „nám žiadosti neprichádzajú, tak prečo sa tým zaoberať?“ Problém je, že na spustenie lehoty postačí jediný nespokojný zákazník alebo zamestnanec, a nezáleží, či na to má firma pripravený proces. Opakovane vidím, že prvá žiadosť prichádza presne vtedy, keď ju firma najmenej očakáva, a snaha riešiť ju improvizovane pod tlakom mesačnej lehoty je hlavným zdrojom následných chýb a sťažností.

Ak si chcete nastaviť jednoduchý a funkčný postup na vybavovanie žiadostí a nechcete to riešiť sami, vašu situáciu posúdime a prípadne prevezmeme rolu zodpovednej osoby. Ako externá zodpovedná osoba pritom pôsobíme nezávisle a bez konfliktu záujmov, ako to vyžaduje čl. 38 GDPR. Viac informácií nájdete na našej stránke o ochrane osobných údajov. Celý rámec GDPR pre firmy a organizácie sme zhrnuli v úvodnom článku série.