Je souhlas vždy nutný ke zpracování osobních údajů?

Ne. Souhlas je pouze jedním ze šesti právních titulů. Podle účelu a okolností může správce použít také plnění smlouvy, právní povinnost, životně důležité zájmy, úkol ve veřejném zájmu nebo oprávněné zájmy. Titul musí zvolit před zpracováním a doložit splnění jeho vlastních podmínek, nikoli dodatečně vybrat nejpohodlnější možnost [1][2].

Lze právní titul změnit po zahájení zpracování?

Ne jako běžnou opravu nevyhovujícího rozhodnutí. Původní titul musí být platný už při zahájení zpracování. Pokud se podstatně změní účel nebo okolnosti, správce provede nové posouzení, upraví informace pro subjekty údajů a změnu zdokumentuje. Titul nelze zpětně přepsat jen proto, že původní přestal být výhodný nebo člověk odvolal souhlas [1][3].

Je oprávněný zájem totéž co obchodní zájem?

Ne. Obchodní prospěch může být legitimním cílem, ale sám právní titul nevytvoří. Správce musí popsat konkrétní zájem, prokázat nezbytnost zpracování a vyvážit jej proti právům, očekáváním a možné újmě lidí. V Evropské unii nemá žádný vyjmenovaný obchodní účel automatickou výjimku z tohoto tříčástového testu [3][4].

Pokrývá jeden právní titul všechny údaje v organizaci?

Ne. Právní titul patří ke konkrétnímu účelu zpracování, nikoli k organizaci, databázi nebo osobě jako celku. Mzdové údaje mohou být potřebné pro právní povinnost, dodací adresa pro smlouvu a zabezpečení účtu pro samostatně posouzený oprávněný zájem. Evidence proto spojuje každý účel, kategorie údajů, operace a titul v jednom srozumitelném záznamu [1][3].

Řeší právní titul také cookies a e-mailový marketing?

Jen jednu vrstvu. Vedle GDPR se na elektronické komunikace a technologie v zařízení vztahuje směrnice ePrivacy a její provedení v právu příslušného členského státu. Zvláštní pravidlo může vyžadovat souhlas bez ohledu na to, který titul by správce jinak zvažoval pro navazující zpracování osobních údajů. Obě otázky se proto posuzují samostatně [1][5].

Právní titul podle GDPR: co znamená a jak jej zvolit

Když formulář žádá právní titul, nehledá souhlas se vším. Ptá se, proč smí správce provádět přesně popsané zpracování. Právní titul podle GDPR se proto volí pro konkrétní účel ještě před sběrem nebo použitím osobních údajů, nikoli dodatečně jako nálepka na hotové rozhodnutí.

Stručná odpověď.

Právní titul podle GDPR je zákonný důvod pro konkrétní zpracování osobních údajů. Článek 6 nabízí šest titulů a souhlas je pouze jedním z nich. Správce musí předem zvolit titul odpovídající skutečnému účelu, splnit jeho podmínky, informovat subjekty údajů a uchovat důkaz o rozhodnutí ¹^,2.

Šest cest k zákonnému zpracování

Článek 6 GDPR obsahuje šest titulů. Nejsou seřazeny od nejlepšího k nejslabšímu; správný je ten, jehož podmínky odpovídají skutečné činnosti ¹.

Právní titul	Skutečnosti, pro které může odpovídat	Varování před zneužitím
Souhlas	Člověk má skutečnou, konkrétní a informovanou volbu, kterou projeví potvrzujícím úkonem.	Odmítnutí nesmí způsobit újmu a odvolání musí být stejně snadné; pouhé mlčení nebo předem zaškrtnuté pole nestačí.
Plnění smlouvy	Operace je objektivně nezbytná pro smlouvu s člověkem nebo pro krok na jeho žádost před uzavřením.	Uvedení operace ve smlouvě z ní nedělá nezbytnost; doplňková analytika či marketing se tím nepokryjí.
Právní povinnost	Konkrétní právo Unie nebo členského státu ukládá správci zpracovat přesně vymezené údaje.	Interní pravidlo, přání vedení ani obecná obchodní potřeba nejsou právní povinností.
Životně důležité zájmy	Zpracování je nezbytné k ochraně života nebo tělesné integrity a situaci nelze rozumně řešit jiným titulem.	Úzký ochranný titul se nemění v běžnou cestu pro preventivní či pohodlné zpracování.
Veřejný zájem nebo výkon veřejné moci	Právo Unie či členského státu svěřuje konkrétní veřejný úkol nebo úřední pravomoc.	Obecná společenská užitečnost ani běžné podnikání nenahradí právní základ daného úkolu.
Oprávněné zájmy	Správce sleduje konkrétní dovolený účel, prokáže nezbytnost a vyváží jej s právy, očekáváním a dopadem na lidi.	Neexistuje automaticky schválená obchodní kategorie; účinná méně invazivní možnost nebo nepřiměřený dopad může test ukončit.

Tabulka není seznamem volitelných nálepek, ale šest různých skutkových testů. Není-li odmítnutí skutečně svobodné, souhlas odpadá; lze-li smlouvu splnit bez dané operace stejně účinně, odpadá smluvní nezbytnost. Právní povinnost a veřejný úkol potřebují dohledatelné právo Unie nebo členského státu, zatímco životně důležité zájmy patří k ochranným situacím, v nichž rozumně nestačí jiná cesta. Oprávněný zájem přichází až s doloženým účelem, nezbytností a vyvážením.

Jeden zákaznický účet proto může nést několik oddělených rozhodnutí. Doručení objednávky může být nezbytné pro smlouvu, přiměřená ochrana účtu může po testu spočívat na oprávněném zájmu a volitelná kampaň potřebuje vlastní titul i kontrolu pravidel ePrivacy pro použitý kanál. Zakoupený nástroj s dalšími funkcemi sám neprokazuje, že jsou tyto funkce nezbytné; méně invazivní způsob se porovnává podle skutečného výsledku, nikoli podle již utracených nákladů.

Účel musí být jasný před volbou titulu

Právní titul odpovídá na otázku, proč je určité zpracování dovoleno. Internetový obchod potřebuje adresu, aby doručil zaplacenou objednávku; zaměstnavatel používá část mzdových údajů kvůli povinnosti stanovené právem. Obě činnosti pracují s osobními údaji, ale jejich účel, titul i dokumentace se liší ¹.

Rozdíl je podstatný i u stejného údaje. E-mailová adresa může být nezbytná pro potvrzení objednávky, její pozdější použití k jiné kampani je však nový účel. Správce nemůže pokračování automaticky opřít o původní smlouvu. Nejdříve popíše novou operaci, její příjemce, dobu a očekávání člověka, teprve potom zvolí odpovídající titul.

Volba se zapisuje vedle účelu v evidenci činností zpracování a promítá se do informací poskytovaných lidem. Nestačí uvést „GDPR“ nebo „souhlas“. Čtenář záznamu má poznat, jaké údaje se používají, co se s nimi děje, proč je to nezbytné a kdy účel skončí. Vágní „správa zákazníků“ nerozlišuje vyřízení objednávky, reklamaci a analýzu nákupního chování.

Výsledek se uzavře a zdokumentuje před zahájením zpracování. Správce jej propojí s informacemi podle článků 13 nebo 14 a při použití čl. 6 odst. 1 písm. f) v nich uvede sledovaný oprávněný zájem. Nový účel vyvolá nové posouzení; starý titul se bez ověření nepřenáší.

Jedna databáze může obsahovat více titulů, protože slouží více účelům, ale k jednomu účelu nelze uvést všech šest možností „pro jistotu“ a později mezi nimi volit podle výsledku sporu. Rozhoduje účel. Jednotkou posouzení je konkrétní důvod, pro který lidé v organizaci údaje otevírají, mění, předávají nebo jinak používají.

Souhlas a oprávněné zájmy nejsou synonyma

Souhlas funguje pouze tehdy, když je svobodný, konkrétní, informovaný, jednoznačný a odvolatelný. Člověk musí mít reálnou možnost odmítnout bez újmy a odvolání musí být stejně snadné jako udělení. Předem zaškrtnuté pole, mlčení ani obecné přijetí podmínek platný souhlas nevytvářejí ¹^,2.

Pokud správce musí zpracování provést kvůli smlouvě nebo právní povinnosti, nemá předstírat volbu, kterou nemůže respektovat. Po odvolání končí budoucí zpracování založené na souhlasu; dřívější zákonné operace se zpětně nestávají nezákonnými. Systém musí změnu propsat do všech seznamů a dodavatelských nástrojů, nikoli jen do jednoho formuláře.

Oprávněné zájmy nejsou náhradní souhlas. Tříčástový test nejprve pojmenuje legitimní účel, potom zkoumá, zda stejného cíle lze rozumně dosáhnout méně invazivně, a nakonec váží očekávání, povahu údajů, zranitelnost, možnou újmu a záruky. Pokud existuje účinná mírnější cesta nebo by člověk použití rozumně neočekával, může test skončit záporně ³^,4.

Rozdíl se ukáže na plánované funkci produktu. Pokud může zákazník její použití odmítnout bez ztráty služby, správce mu vysvětlí konkrétní účel, získá doložitelnou volbu a připraví stejně dostupné odvolání pro budoucí zpracování. Jestliže chce místo toho použít oprávněný zájem, musí sám popsat dovolený cíl, prokázat, proč ho stejně účinně nedosáhne menším zásahem, a zaznamenat očekávání člověka, dopad i ochranná opatření. Jedna větev tedy není volnější verzí druhé.

Současná britská úprava se v jednom bodě liší: pro vyjmenované uznané oprávněné zájmy dovoluje stanovenou cestu bez vyvažovací části, i když nezbytnost zůstává. Evropské GDPR takovou výjimku nemá. Správce v Unii proto vždy provede běžný tříčástový test podle čl. 6 odst. 1 písm. f), i kdyby se podobný účel v britském režimu objevil na zvláštním seznamu ¹^,3.

U kampaně rozhodnutí nekončí volbou mezi těmito dvěma tituly. Kladný závěr podle článku 6 nepřepíše požadavek na souhlas, který pro cookie, přístup k zařízení nebo elektronickou zprávu stanoví ePrivacy a právo příslušného členského státu. Obě vrstvy se proto vyřeší před spuštěním. Po odvolání souhlasu nebo oprávněné námitce systém provede odpovídající budoucí změnu; správce nesmí zpětně přejmenovat titul jen proto, aby stejná nevyhovující operace pokračovala.

Citlivé údaje vyžadují další podmínku

Titul z článku 6 není jedinou podmínkou zákonnosti. U zvláštních kategorií, například údajů o zdraví, biometrických údajů používaných k jedinečné identifikaci nebo údajů o politických názorech, je potřebná také samostatná podmínka z článku 9. Osobní údaje týkající se rozsudků v trestních věcech a trestných činů podléhají článku 10. Evidence musí tyto vrstvy rozlišit ¹.

Samostatně se posuzuje i komunikační kanál. Směrnice ePrivacy a právo členského státu, které ji provádí, mohou u cookies nebo elektronického marketingu vyžadovat souhlas, i když by pro navazující zpracování osobních údajů připadal v úvahu oprávněný zájem. Nejdříve se ověří pravidlo pro technologii či zprávu a potom titul podle GDPR ⁵.

Titul mění práva kolem zpracování

Právní titul mění následný pracovní postup, nikoli jen text v evidenci. U oprávněných zájmů a úkolu ve veřejném zájmu se uplatní právo vznést námitku podle článku 21; u přímého marketingu musí správce po námitce zpracování pro tento účel ukončit. Přenositelnost se naopak mimo jiné váže na souhlas nebo smlouvu při automatizovaném zpracování. Tým vyřizující práva proto musí u každé operace vidět účel, titul i navázaný důkaz ¹^,3.

Ani správně zvolený titul nenahrazuje minimalizaci, přesnost, omezení uložení, bezpečnost a transparentnost. Smlouva může umožnit použít adresu k doručení, nedává však volnou ruku k uchování navždy nebo k nesouvisejícímu profilování. Stejně tak kladný test oprávněného zájmu neobchází pravidlo ePrivacy pro konkrétní kanál. Pokud člověk napadne postup správce, může se obrátit na Úřad pro ochranu osobních údajů, jehož kontaktní cesta je uvedena na oficiálním webu.

Záznam musí být použitelný pro dalšího člověka

Použitelný záznam nezačíná názvem titulu, ale přesnou větou o účelu. Následují lidé, údaje, operace, nezbytnost, vybraný titul, podmínky a odkazy na informace pro subjekty údajů. U oprávněných zájmů se přikládá celý test; u souhlasu způsob získání, verze textu a cesta odvolání ²^,3.

Pole rozhodovacího záznamu	Co má být zřejmé	Co spustí opravu
Účel a vlastník	Jaký konkrétní výsledek činnost sleduje a kdo za něj odpovídá.	Nový obchodní cíl nebo změna odpovědnosti.
Lidé a údaje	Koho se činnost týká a která pole skutečně používá.	Nová skupina osob nebo další datové pole.
Operace a příjemci	Co se s údaji děje a kdo je dostává.	Nový dodavatel, sdílení nebo technologie.
Nezbytnost	Proč cíle nelze rozumně dosáhnout s menším zásahem.	Dostupná méně invazivní alternativa.
Titul a podmínky	Který ze šesti titulů platí a jak byly splněny jeho požadavky.	Změna okolností nebo nesplněná podmínka.
Další právní vrstvy	Zda se uplatní článek 9 či 10, ePrivacy nebo odvětvové pravidlo.	Nový druh údajů nebo komunikační kanál.
Informace, práva a přezkum	Co člověk dostává, jak uplatní právo a kdy se závěr znovu otevře.	Stížnost, námitka, odvolání nebo stanovené datum.

Záznam musí přežít výměnu kolegy. Nový vlastník z něj bez domýšlení zjistí, proč byl titul vybrán, které podmínky byly ověřeny, kde je volba vysvětlena, jaké technické nastavení na ní závisí a která změna účelu, příjemce, datového pole nebo očekávání člověka musí vyvolat další kontrolu. Pouhý název nestačí.

Začněte jedním běžným procesem, například vyřízením objednávky. Popište účel bez slov „protože GDPR“, připojte osoby, údaje, nezbytnost a titul a porovnejte záznam s tím, co člověk skutečně dostává. Právní titul je použitelný teprve tehdy, když odpovídá realitě a změna procesu jej znovu otevře.

Naposledy aktualizováno: srpen 2026.