Súhlas so spracúvaním osobných údajov: kedy ho naozaj potrebujete

Spustili ste newsletter, pridali na web cookies lištu alebo zbierate kontakty na podujatí a všade pribudlo zaškrtávacie políčko so súhlasom. Pôsobí to zodpovedne, veď si pýtate povolenie. Lenže súhlas nie je zdvorilostné gesto, je to právny základ s vlastnými, dosť prísnymi pravidlami. A väčšina firiem ho používa tak, že by pri kontrole neobstál.

Súhlas totiž nie je najbezpečnejšia predvolená voľba, ako sa mnohí nazdávajú. Je to najnáročnejší zo šiestich právnych základov: musí splniť štyri podmienky, dá sa kedykoľvek odvolať a vy musíte vedieť preukázať, že ste ho platne získali. Keď ho použijete tam, kde ste ho nepotrebovali, len si skomplikujete život. Keď ho použijete zle tam, kde ho naozaj treba, spracúvanie stojí na vode.

Čo robí súhlas platným?

GDPR v článku 4 definuje súhlas ako slobodný, konkrétny, informovaný a jednoznačný prejav vôle, ktorým dotknutá osoba jasným potvrdzujúcim úkonom vyjadrí, že súhlasí so spracúvaním svojich údajov. V tej definícii je ukrytých niekoľko podmienok, ktoré musia platiť naraz.

Slobodný znamená, že človek mal reálnu možnosť odmietnuť bez toho, aby ho to niečo stálo. Konkrétny znamená na konkrétny účel, nie jeden hromadný súhlas na všetko naraz. Informovaný znamená, že pred udelením vedel, kto a na čo bude údaje spracúvať a že súhlas môže kedykoľvek odvolať. A jednoznačný znamená aktívny úkon, teda zaškrtnutie políčka, kliknutie, podpis. Práve preto predzaškrtnuté políčko súhlasom nie je, čo potvrdil aj Súdny dvor Európskej únie v rozhodnutí vo veci Planet49 z roku 2019. Mlčanie, nečinnosť ani „kto neodpovie, súhlasí“ sa za súhlas nepovažujú.

K tomu pristupuje požiadavka, na ktorú sa zabúda. Podľa čl. 7 ods. 2 musí byť žiadosť o súhlas, ak je súčasťou dokumentu týkajúceho sa aj iných záležitostí, jasne odlíšiteľná, zrozumiteľná a v jednoduchom jazyku. Súhlas ukrytý v obchodných podmienkach je popri predzaškrtnutom políčku druhá najčastejšia chyba a časť dokumentu, ktorá túto požiadavku porušuje, nie je záväzná.

Prečo musí byť súhlas slobodný?

Toto je podmienka, ktorú firmy porušujú najčastejšie, a to nevedomky. Podľa čl. 7 ods. 4 GDPR sa pri posudzovaní slobodnosti v čo najväčšej miere prihliada na to, či sa plnenie zmluvy podmieňuje súhlasom so spracúvaním, ktoré na tú zmluvu nie je nevyhnutné. Ak teda zákazníkovi nedodáte tovar, kým vám nepotvrdí aj marketingový súhlas, taký súhlas sa spravidla nepovažuje za slobodný, a teda ani za platný.

Druhá pasca je nerovnováha medzi stranami. Klasickým príkladom je zamestnanec: jeho súhlas voči zamestnávateľovi sa len zriedka považuje za skutočne slobodný, lebo podriadený sa fakticky nemôže bez následkov odmietnuť. Preto sa spracúvanie údajov zamestnancov opiera o zmluvu, zákon alebo oprávnený záujem, nie o súhlas, čomu sa venujeme v článku o monitorovaní zamestnancov. Rovnaká nerovnováha platí pri orgánoch verejnej moci voči občanom.

Ako sa súhlas odvoláva a čo to pre vás znamená?

Súhlas má jednu vlastnosť, ktorá je jeho podstatou aj jeho slabinou: dá sa kedykoľvek odvolať. GDPR pritom žiada, aby odvolanie bolo rovnako ľahké ako udelenie. Ak sa teda prihlásenie na newsletter spraví jedným klikom, odhlásenie nesmie vyžadovať telefonát ani vypisovanie žiadosti.

Dve veci sa okolo odvolania často pletú. Odvolanie nemá spätný účinok, spracúvanie, ktoré prebehlo na základe súhlasu pred jeho odvolaním, ostáva zákonné. Ale od okamihu odvolania musíte spracúvanie na tomto základe zastaviť. A práve tu je dôvod, prečo súhlas nie je vhodný na spracúvanie, ktoré musíte robiť tak či tak. Ak ste si ako základ na fakturáciu alebo zákonom povinné uchovávanie zvolili súhlas, po jeho odvolaní sa dostanete do slepej uličky. Správny základ pre takéto prípady rozoberáme v článku o právnych základoch.

Ako súhlas preukážete?

GDPR kladie dôkazné bremeno na vás: musíte vedieť preukázať, že dotknutá osoba súhlas dala. Ústny súhlas alebo „veď si to odklikol“ pri kontrole neobstoja. Potrebujete evidenciu súhlasu, teda záznam o tom, kto, kedy, na aký účel a akým spôsobom súhlasil a aké bolo presné znenie, s ktorým súhlasil.

V praxi sa osvedčuje takzvaný double opt-in, teda potvrdenie súhlasu cez overovací e-mail. GDPR ho výslovne nevyžaduje, ale je to najčistejší spôsob, ako preukázateľnosť doložiť, a zároveň chráni pred prihlasovaním cudzích adries. Toto je jeden z najčastejšie sa opakujúcich nedorozumení, na ktoré v praxi narážam: firma súhlas získa, ale nevie ho doložiť, takže pri kontrole je to, akoby ho nemala.

Dôsledok býva závažnejší, než firmy čakajú. Ak súhlas neobstojí, spracúvanie prebiehalo bez právneho základu a je nezákonné od začiatku. Právny základ pritom nemožno dodatočne vymeniť za iný, ako vysvetľujeme pri právnych základoch. Riešením preto nie je doplniť chýbajúci papier, ale spracúvanie zastaviť a údaje spravidla vymazať.

Kedy súhlas naozaj potrebujete a kedy nie?

Poďme k praktickému jadru. Súhlas naozaj potrebujete na zopár typov spracúvania.

Na cookies a podobné technológie okrem nevyhnutných, čo na Slovensku vyplýva z § 109 ods. 8 zákona č. 452/2021 Z. z. o elektronických komunikáciách. Tu sú dve veci, ktoré bývajú zdrojom omylu. Súhlas sa viaže na samotné ukladanie informácií do koncového zariadenia a na prístup k nim, teda platí bez ohľadu na to, či ide o osobné údaje. Úvaha „naša analytika je anonymizovaná, takže súhlas netreba“ je preto nesprávna. A od účinnosti tohto zákona sa za súhlas nepovažuje nastavenie webového prehliadača, hoci to staršie návody stále uvádzajú.

Na marketingové oslovenie nových kontaktov, čomu sa pre jeho zložitosť venujeme v samostatnej časti nižšie.

Na zverejnenie fotografií konkrétnych osôb na propagáciu. Tu pozor, uplatnia sa dva režimy naraz: popri GDPR aj ochrana osobnosti podľa Občianskeho zákonníka, ktorá má vlastné pravidlá aj vlastné zákonné licencie. Súhlas podľa GDPR nenahrádza súhlas s použitím podobizne a spor spravidla vzniká práve z druhého režimu.

Výslovný súhlas je potrebný aj v dvoch situáciách, ktoré sa prehliadajú: pri automatizovanom rozhodovaní vrátane profilovania podľa čl. 22 ods. 2 písm. c) a ako jedna z ciest pri prenose do tretej krajiny podľa čl. 49 ods. 1 písm. a). Pri prenosoch ide o úzku výnimku, ktorá sa nehodí na bežné prevádzkové prenosy, takže americký cloud sa súhlasom nevyrieši, podrobnosti sú v článku o prenosoch do tretích krajín.

Osobitné kategórie údajov fungujú inak, než sa zdá. Ich spracúvanie je podľa čl. 9 zakázané, pokiaľ sa neuplatní niektorá z výnimiek v odseku 2. Jednou z nich je výslovný súhlas, teda prísnejší štandard než ten, ktorý sme opísali vyššie. Ďalšími sú najmä plnenie povinností v oblasti pracovného práva a sociálneho zabezpečenia, pracovné lekárstvo, ochrana životne dôležitých záujmov alebo uplatnenie právnych nárokov. V praxi to znamená, že súhlas často nie je tou správnou cestou: zamestnávateľ spracúva údaje o zdravotnom stave zamestnanca pri práceneschopnosti alebo pri pracovnej zdravotnej službe na základe pracovnoprávnych povinností. Keby si naň pýtal súhlas, dostane sa do tej istej slepej uličky ako pri fakturácii, teda zamestnanec ho odvolá a povinnosť zostane.

Naopak, súhlas nepotrebujete tam, kde spracúvanie kryje iný základ: plnenie zmluvy, zákonná povinnosť alebo oprávnený záujem. Rozdiel medzi „na toto treba súhlas“ a „toto pokryje iný základ“ je presne tá čiara, ktorú väčšina firiem nemá jasne vytýčenú.

Čo platí pri marketingu?

Toto je častá otázka a odpoveď má dve vrstvy, ktoré si firmy pletú.

Prvou vrstvou je GDPR a rieši právny základ pre spracúvanie kontaktu. Priamy marketing voči existujúcim zákazníkom sa tu často dá postaviť na oprávnenom záujme spolu s právom kedykoľvek namietať.

Druhou vrstvou je zákon č. 452/2021 Z. z. o elektronických komunikáciách a rieši samotné oslovenie, teda e-mail, SMS, správu v aplikácii alebo telefonát. Prvú vrstvu nenahrádza, dopĺňa ju, a je prísnejšia. Kto sa zastaví po prvej vrstve, poruší druhú.

Podľa § 116 tohto zákona je na priamy marketing e-mailom, SMS alebo správou v aplikácii potrebný predchádzajúci preukázateľný súhlas. Výnimkou je najmä marketing vlastných podobných tovarov a služieb voči existujúcim zákazníkom, ktorých kontakt ste získali v súvislosti s predajom, pričom musia mať možnosť takéto použitie odmietnuť pri získaní kontaktu aj v každej ďalšej správe.

Od 12. novembra 2025 sú tieto pravidlá prísnejšie, lebo § 116 zmenila novela č. 297/2025 Z. z. Tri zmeny menia zabehnutú prax:

• Kontakty získané pri predaji sa dajú na marketing bez súhlasu použiť len jeden rok od skončenia zmluvného vzťahu. Potom potrebujete platný súhlas alebo nový obchodný vzťah.
• Súhlas sa už nesmie získavať telefonicky ani cez SMS, takzvané navolávanie súhlasov skončilo.
• Za priamy marketing sa výslovne považujú aj prieskumy a dotazníky, ktoré ponuke predchádzajú. Servisné správy, napríklad potvrdenie objednávky alebo upozornenie na nezaplatenú faktúru, priamym marketingom nie sú, pokiaľ ich cieľom nie je propagácia.

Dozor nad týmito pravidlami nevykonáva Úrad na ochranu osobných údajov, ale Úrad pre reguláciu elektronických komunikácií a poštových služieb. Ten zároveň vedie zoznam telefónnych čísel, na ktoré si ľudia marketingové volania neprajú, a pred telefonickou kampaňou ho treba preveriť.

Prakticky z toho vyplýva jeden krok: databázu marketingových kontaktov si prejdite podľa dátumu poslednej objednávky, nie podľa toho, či ste kedysi mali súhlas.

Platí niečo osobitné pri súhlase detí?

Áno, ale úzko. Osobitný režim podľa čl. 8 GDPR sa vzťahuje na služby informačnej spoločnosti ponúkané priamo dieťaťu, nie na každú online službu. Bežný e-shop alebo firemný web určený dospelým pod tento režim nespadá, aj keď ho dieťa navštívi.

Tam, kde sa uplatní, je súhlas dieťaťa platný, až keď dovŕši určitý vek. GDPR necháva tento vek na členské štáty v rozpätí 13 až 16 rokov a slovenský zákon č. 18/2018 Z. z. ho v § 15 stanovil na 16 rokov. Ak je dieťa mladšie, spracúvanie na základe súhlasu je zákonné len vtedy, keď súhlas poskytol alebo schválil jeho zákonný zástupca, a vy ste povinní vynaložiť primerané úsilie, aby ste si to overili.

Ako postupovať

Najdôležitejší krok, ktorý by som odporučil, nie je vylepšovať znenie súhlasu, ale najprv zistiť, kde ho vôbec potrebujete. Prejdite si spracúvania, ktoré vo firme máte, a pri každom rozhodnite právny základ, presne tak, ako sme to opísali pri právnych základoch. Súhlas nechajte len tam, kde je naozaj namieste, a tam ho spravte poriadne: aktívny úkon, konkrétny účel, oddelený od ostatných dojednaní, jednoduché odvolanie a evidencia, ktorá ho doloží.

Ak posielate marketing, prejdite si k tomu ešte databázu kontaktov podľa pravidiel účinných od 12. novembra 2025. Je to najčastejšie miesto, kde sa dnes firmy dostanú do rozporu so zákonom bez toho, aby o tom vedeli.

Zaznieva pritom obľúbená námietka: „nie je jednoduchšie vypýtať si súhlas na všetko a mať pokoj?“ Nie je, a je to kontraproduktívne. Súhlas na všetko vám paradoxne pridá prácu, lebo každý súhlas musíte vedieť preukázať a umožniť jeho odvolanie, a zároveň oslabí vaše postavenie tam, kde ste mali k dispozícii pevnejší základ. Menej súhlasov, ale poriadne, je takmer vždy lepšia stratégia než súhlas na všetko.

Ak si nie ste istí, kde súhlas naozaj potrebujete a či ten váš obstojí, a nechcete to riešiť sami, vašu situáciu posúdime a prípadne prevezmeme rolu zodpovednej osoby. Ako externá zodpovedná osoba pritom pôsobíme nezávisle a bez konfliktu záujmov, ako to vyžaduje čl. 38 GDPR. Viac informácií nájdete na našej stránke o ochrane osobných údajov. Celý rámec GDPR pre firmy a organizácie sme zhrnuli v úvodnom článku série.