Jaký je rozdíl mezi článkem 13 a článkem 14 GDPR?

Článek 13 platí, když osobní údaje získáte přímo od subjektu údajů, například ve formuláři. Článek 14 se použije na údaje získané jinde, třeba od pořadatele akce nebo z veřejného zdroje. Společné jádro je podobné, ale článek 14 navíc vyžaduje kategorie údajů a skutečný zdroj jejich získání. Zvolenou větev evidujte u činnosti.

Kdy se mají informace předat?

Při přímém sběru je předejte při získání údajů. U nepřímého získání je poskytněte v přiměřené době, nejpozději do jednoho měsíce. Pokud dříve nastane první komunikace s člověkem nebo první zpřístupnění údajů dalšímu příjemci, musí být informační povinnost splněna už při této dřívější události. Datum i událost uchovejte jako důkaz.

Může jedno oznámení pokrýt více činností zpracování?

Ano, pokud zůstane jasné, které údaje, účely, právní základy, příjemci, lhůty a zdroje patří ke konkrétní činnosti. Univerzální odstavec označující vše jen jako marketing nebo administrativu nestačí. Vrstvené oznámení může spojit více činností, ale čtenář musí snadno najít úplnou informaci vztahující se právě k jeho situaci. Každou cestu otestujte samostatně.

Je vrstvené oznámení v souladu s GDPR?

Vrstvený formát může zlepšit srozumitelnost, pokud první vrstva ukáže nejdůležitější skutečnosti a zřetelnou cestu k podrobnostem. Hlubší vrstva nesmí skrýt informaci potřebnou už u formuláře nebo při prvním nepřímém kontaktu. Všechny vrstvy musí mít společného vlastníka verze, odpovídat skutečnému zpracování a být navzájem konzistentní. Změny schvalujte pro všechny vrstvy.

Jak doložit, že člověk informace obdržel?

Uchovejte důkaz spojující činnost zpracování, schválené znění a verzi s kanálem a událostí doručení. U formuláře to může být verze zobrazená při odeslání, u prvního e-mailu záznam o přiložené nebo odkazované vrstvě. Pravidelně ověřujte, zda odkaz, kontaktní cesta a mechanismus pro uplatnění práv skutečně fungují. Výsledek musí být reprodukovatelný.

Co musí obsahovat informace o zpracování osobních údajů

Q: Co musí obsahovat informace o zpracování osobních údajů?

Musí určit správce, účely a právní základy, příjemce, předávání, dobu uložení nebo její kritéria a práva subjektu údajů. Podle situace doplní kontakt pověřence, oprávněné zájmy, automatizované rozhodování a původ údajů. Přesný rozsah závisí hlavně na tom, zda údaje získáváte přímo od člověka, nebo z jiného zdroje. Vždy jej vztáhněte ke konkrétní činnosti.

Informace o zpracování osobních údajů nezačíná univerzální šablonou, ale původem údajů. Jména, kontakty, nákupy nebo obchodní příležitosti mohou přijít přímo od člověka, od pořadatele akce či kombinací obou cest. Původ určí větev článku 13 nebo 14, zatímco článek 12 řídí způsob podání.

Dne 19. března 2026 zahájil Evropský sbor pro ochranu osobních údajů svou pátou koordinovanou donucovací akci. Zapojilo se 25 dozorových úřadů a zjištění se očekávala ve druhé polovině roku 2026. Zahájení je důvodem prověřit vlastní informace, nikoli důkazem jakéhokoli výsledku kontroly ¹^,2.

Stručná odpověď: Informace o zpracování osobních údajů musí jasně spojit správce, účel, právní základ, příjemce, uložení a práva s konkrétní činností. U přímého sběru použijte článek 13, u nepřímého článek 14; vše podejte srozumitelně, včas a uchovejte důkaz o správné verzi a doručení pro každou jednotlivou činnost ³.

Naposledy aktualizováno: 22. září 2026

Začněte skutečným původem údajů

Vyberte jednu reálnou činnost zpracování, ne celé podnikání. Určete používané údaje, jejich zdroj, konkrétní účel a příjemce. Tím se informační povinnost připoutá ke skutečnosti namísto širokého interního názvu.

Článek 13 patří k údajům získaným od subjektu údajů. Článek 14 upravuje údaje získané jinde a článek 12 způsob podání obou větví ³. Základní mapa má tři řádky:

Trasa	Praktická situace	Informační režim
Přímý formulář	Člověk sám zadá jméno a e-mail při objednávce	Článek 13 při získání údajů
Dodavatel, veřejný či jiný zdroj	Pořadatel akce předá povolený seznam kontaktů	Článek 14 a uvedení skutečného zdroje
Smíšená cesta	Člověk se přihlásí k newsletteru a záznam se později spojí se seznamem účastníků	Obě větve podle původu jednotlivých údajů

U smíšené cesty nestačí označit vše jako marketing. Přihlášení k newsletteru dokládá přímý původ jedné sady, zatímco seznam účastníků má jiný zdroj, datum získání a očekávání člověka. Jedno rozhraní může obě části zobrazit, nesmí však vymazat odlišný obsah a čas informační povinnosti.

Poznamenejte datum příjmu i první plánovanou komunikaci. Bez těchto událostí nelze určit včasnost. Užitečným výstupem není právní esej, ale dohledatelný řádek propojující činnost, původ, účel a okamžik předání.

Řádek doplňte vlastníkem, který dokáže nesprávné použití zastavit. Dostane-li obchodní tým nový seznam, musí před importem vědět, zda jde o přímou nebo nepřímou větev a která verze se použije. U smíšeného profilu může být nutné rozlišit původ jednotlivých polí. Technické sloučení záznamů totiž samo o sobě nevytváří jediný způsob sběru ani jednu lhůtu.

Článek 12 řídí způsob předání

Úplný seznam položek nestačí, když jej člověk nenajde nebo mu nerozumí. Informace musí být stručné, transparentní, srozumitelné, snadno přístupné a podané jasnými a jednoduchými prostředky, obvykle písemně včetně elektronické podoby ³.

Čtenář má bez znalosti interních zkratek pochopit, co se stane s jeho údaji. Přívětivé označení „zlepšování služeb“ neříká, zda jde o analýzu nákupů, průzkum spokojenosti nebo segmentaci. Srozumitelnost proto ověřujte z pohledu člověka mimo tým, který proces navrhl.

Důkaz o předání spojuje obsah, kanál, verzi a spouštěcí událost. U webového formuláře zachytí verzi dostupnou při odeslání. U nepřímo získaného kontaktu propojí první zprávu s konkrétní vrstvou. Samotný soubor bez události nedokládá správný čas ani skutečné použití.

Projděte živou cestu jako běžný uživatel: odkaz se otevře, text je čitelný na používaném zařízení a kontaktní adresa přijímá zprávy. Výsledek musí být reprodukovatelný v reálném provozu. Standardizované ikony mohou navigovat, ale pouze doplňují informace; účel, právní základ ani práva nenahradí.

Zkouška pokračuje za načtením stránky. Recenzent má najít konkrétní činnost, rozlišit správce od příjemce a vlastními slovy popsat, co se s údaji děje. Poté odešle otázku uvedenou kontaktní cestou a ověří její doručení odpovědnému týmu. Záznam uvádí zařízení, kanál, verzi a pozorovaný výsledek; samotný snímek obrazovky nedokládá funkčnost celé cesty.

Přímý sběr vyžaduje obsah článku 13

Při získání údajů přímo od člověka se informace poskytují v okamžiku získání ³. Pro danou činnost pokryjte přesně těchto dvanáct oblastí:

totožnost a kontaktní údaje správce a případného zástupce;
kontakt pověřence pro ochranu osobních údajů, pokud byl jmenován;
účely zpracování a právní základ každého účelu;
sledované oprávněné zájmy, pokud se používají;
příjemce nebo kategorie příjemců;
předání mimo příslušný rámec a použité záruky;
dobu uložení nebo kritéria pro její určení;
použitelná práva subjektu údajů;
možnost odvolat souhlas bez dopadu na dřívější zákonnost;
právo podat stížnost u příslušného vnitrostátního dozorového úřadu;
zákonnou či smluvní povahu poskytnutí a následky neposkytnutí;
automatizované rozhodování včetně profilování, jeho logiku a předpokládané důsledky.

Každá položka má mít konkrétní obsah nebo evidované vysvětlení, proč se nepoužije. Pokud například nedochází k předání mimo Evropský hospodářský prostor, interní záznam může neaplikovatelnost potvrdit. Schválený text pak nemusí vytvářet falešný dojem, že předání probíhá.

Dobu uložení vyjádřete pevným časem jen tehdy, když jej skutečně znáte. Jinak použijte srozumitelné kritérium, například trvání smlouvy a omezené období potřebné pro řešení nároků. Informaci o dalším účelu poskytněte ještě před zahájením nového zpracování ³.

Jediná výjimka článku 13 platí v rozsahu, v němž člověk informaci už má. Nelze jen předpokládat, že kdysi četl všeobecné podmínky. Záznam ukáže konkrétní informace, verzi a událost předání; výjimky článku 14 se do přímého sběru nepřenášejí.

Při revizi porovnejte každou položku se skutečným provozem. Nový dodavatel rozesílky mění příjemce, nový model může změnit informaci o automatizaci a přepracovaný formulář následky neposkytnutí. Kontrola názvu a data dokumentu tyto odchylky neodhalí. Změnový záznam proto jmenuje pole, činnost, novou verzi, vlastníka a první událost, při níž se má opravený obsah zobrazit.

Nepřímý sběr přidává kategorie a zdroj

U nepřímo získaných údajů zůstává společné jádro: správce, účely, právní základy, příjemci, předávání, uložení, práva a případné automatizované rozhodování. Navíc se uvádějí kategorie osobních údajů a skutečný zdroj včetně informace, zda byl veřejně přístupný ³.

Věta „údaje jsme získali od třetích stran“ je příliš vágní. U seznamu z akce uveďte poskytovatele či akci, pole v předaném souboru, případné obohacení a účel párování. Člověk pak pochopí, odkud pochází jeho e-mail i jak se dostal do určité kampaně.

Původ každé nově doplněné kategorie musí zůstat dohledatelný. Veřejná dostupnost neznamená, že lze zdroj zamlčet nebo že je každý další účel dovolený. Popište třeba konkrétní veřejný profesní registr a interně zachyťte datum, použitá pole a způsob spojení.

Nový účel se nesmí oznámit až po svém spuštění. Příslušné informace musí člověk dostat před dalším zpracováním ³. Udržujte řetězec původ a kategorie → účel → lhůta → cesta doručení. Chybějící článek znemožní doložit správný text, osoby nebo okamžik.

U obohacování oddělte okamžik získání původního seznamu od okamžiku přidání nové kategorie, protože každá změna může mít jiný zdroj, účel a první použití; pracovní záznam proto zachytí, která pole přišla od pořadatele, která vznikla vlastním pozorováním a která doplnil další poskytovatel, aby veřejná informace neproměnila několik různých cest v neurčité tvrzení o třetích stranách. Vlastník před spuštěním kampaně porovná tuto mapu se skutečnými poli v nástroji a pozastaví použití každé kategorie, pro niž chybí doložený původ nebo včasná verze informace.

Stejná kontrola se týká příjemců a předávání: služba přidaná po schválení oznámení nesmí zůstat skrytá jen proto, že ji technický tým považuje za infrastrukturu, a změna místa nebo způsobu zpracování může vyžadovat úpravu popisu záruk. Rozhodující není název smlouvy, ale skutečný tok údajů, který musí čtenář pochopit a správce později reprodukovat z evidence bez spoléhání na paměť jednotlivce.

Lhůtu určuje první relevantní událost

Při přímém sběru informujete při získání. U nepřímého získání platí přiměřená doba, nejvýše jeden měsíc; dřívější první komunikace nebo první zpřístupnění příjemci posouvá povinnost na tento okamžik ³.

Událost	Nejzazší okamžik	Důkaz
Přímé odeslání formuláře	Při získání údajů	Verze spojená s odesláním
Nepřímé údaje jsou zatím pouze drženy	Přiměřeně, nejpozději do měsíce	Datum příjmu a naplánované předání
První komunikace nastane dříve	Nejpozději při první komunikaci	Zpráva s konkrétní verzí oznámení
První zpřístupnění nastane dříve	Nejpozději při prvním zpřístupnění	Příjemce, datum a předané informace

Lhůtu nelze řídit jen datem importu. Systém zachytí i první použití a zpřístupnění, protože mohou přijít před koncem měsíce. Ve smíšené dávce mají záznamy různé vstupní dny; společný časovač může část lidí informovat pozdě.

Také verze je podstatná. Když se stránka mezi příjmem seznamu a prvním e-mailem změní, důkaz ukáže, co člověk skutečně dostal, nikoli jen současný obsah. Přehled otevřených lhůt odhalí záznamy bez naplánované akce ³.

U dávkového importu sledujte lhůtu pro každý zdrojový přírůstek. Sloučí-li se starší a nový seznam, zachovejte původní data a první události. Vlastník pak vidí, že část kontaktů stále čeká na informaci, zatímco jiná ji obdržela. Stejná granularita chrání historii verzí: nový text lze přiřadit budoucím kontaktům, aniž by se přepsal důkaz o obsahu dřívější komunikace.

Výjimky jsou úzké a konkrétní

Článek 13 připouští jen rozsah informace, kterou člověk už má. Článek 14 má čtyři větve: člověk už informace má; předání je nemožné nebo by v daném kontextu vyžadovalo nepřiměřené úsilí se zárukami; získání či sdělení stanoví právo Unie nebo členského státu s ochrannými opatřeními; nebo údaje podléhají regulované profesní či zákonné mlčenlivosti ³.

Velký objem není samostatná výjimka. Nestačí ani štítek „dodržování předpisů“ nebo nepodložená důvěrnost. U nepřiměřeného úsilí zaznamenejte okolnosti, vyčíslenou zátěž a záruky včetně veřejného zpřístupnění informací, pokud je vyžadováno.

Právní větev pojmenuje skutečné ustanovení a ochranná opatření. Mlčenlivost musí vyplývat z použitelné profesní nebo zákonné povinnosti a vztahovat se na dotčené údaje; běžná smluvní doložka ji sama nevytvoří ³.

Rozsah výjimky evidujte po činnosti a položce. Znalost totožnosti správce neznamená znalost nového účelu či příjemce. Běžné předání zůstává výchozím pravidlem a výjimka ubírá pouze doloženou část.

Každé použití výjimky má datum nového přezkumu. Okolnost, která dnes činí individuální předání nepřiměřeným, se může změnit po zavedení nového kontaktu nebo rozdělení databáze. Záruky také potřebují živou kontrolu: veřejně dostupná informace musí být opravdu dohledatelná a srozumitelná. Výjimka bez vlastníka a přezkumu se snadno promění v trvalou zkratku pro činnost, která by už běžné informování zvládla.

Jednu činnost slaďte od zdroje k důkazu

Auditujte například oslovení kontaktů ze seznamu účastníků. Každý řádek musí skončit rozhodnutím. Pět chybných nebo nepodložených bodů se pozastaví a opraví; projde jediný bod s reprodukovatelným důkazem.

Kontrolní bod	Zjištění	Rozhodnutí
Zdroj od pořadatele	Smlouva neurčuje pole ani datum předání	Pozastavit a doplnit původ
Konkrétní účel oslovení	Registr uvádí pouze marketing	Pozastavit a upřesnit účel
Rozesílací služba jako příjemce	Oznámení ji nezahrnuje ani kategorií	Pozastavit a opravit příjemce
Kritérium uložení	Text používá neurčité „dokud je třeba“	Pozastavit a určit měřitelné kritérium
První e-mail před měsícem	Zpráva odešla bez přiřazené verze	Pozastavit a opravit doručení
Funkční cesta práv a stížnosti	Odkaz, kontakt a verze prošly živým testem	Projít s důkazem

Oprava dokumentu není konec. Znovu projděte cestu člověka: najděte první kontakt, otevřete odkaz, ověřte zdroj a účel, odešlete testovací požadavek a sledujte její zaznamenání. Teprve tento průchod spojuje text s provozem ³.

Výsledek dostane vlastníka a termín. Pozastavení znamená, že činnost nepokračuje v neověřené podobě. Po opravě uchovejte nový test vedle původního nálezu, aby byla změna i schválení dohledatelné.

Oprava zahrnuje také lidi zasažené minulou chybou. Pokud první e-mail odešel bez správné verze, budoucí šablona minulost sama neopraví; vlastník rozhodne o přiměřeném dodatečném informování a zaznamená jeho rozsah. Chyběl-li příjemce, prověří se období, kdy služba data zpracovávala. Audit se tak stává nápravou konkrétní činnosti, nikoli jen úpravou tabulky.

Při změně účelu porovnejte starou a novou činnost po jednotlivých rozhodovacích bodech, ne pouze podle názvu kampaně: jaké údaje vstupují, kdo je poskytl, jaký právní základ se používá, komu se zpřístupní, jak dlouho se uchovají a která událost spustí novou informaci. Takové srovnání odhalí i zdánlivě malou změnu, která ve skutečnosti vytváří nové očekávání člověka a vyžaduje informování dříve, než systém začne data používat.

Vrstvy zkracují cestu, ne povinnost

První vrstva okamžitě ukáže správce, účel, původ, důležité následky a jasnou cestu dál. Hlubší vrstva nese právní základy, příjemce, předávání, uložení, práva a fakta o činnostech ³. Obě musí popisovat stejnou skutečnost.

Důležitý fakt u přímého formuláře nesmí být schován za řadou kliknutí. Totéž platí pro první nepřímý kontakt: původ a účel musí být dostupné v okamžiku, kdy člověk potřebuje zprávu pochopit. Hlubší vrstva odpověď rozšiřuje, ale nenahradí prázdnou první vrstvu.

Jeden vlastník verze kontroluje vrstvy, kanály i jazykové varianty. Po změně účelu nestačí opravit hlavní stránku, když e-mailová šablona odkazuje na staré znění. Schválení proto jmenuje všechny dotčené části a datum účinnosti ³.

Text přečte také člověk, který jej nepsal a nezná interní názvy. Vlastními slovy vysvětlí zdroj, účel a cestu k právům. Pokud potřebuje pomoc autora, vrstva ještě není dostatečně srozumitelná.

Při předání mezi týmy ověřte, že pracovní registr a veřejná vrstva používají dohledatelně stejnou činnost, protože rozdílné interní názvy mohou skrýt chybějící účel, příjemce nebo lhůtu a znemožnit novému vlastníkovi spojit doručený text se skutečným provozem.

Důkaz musí zůstat aktuální

Revizi spouští změna účelu, zdroje, kategorie, příjemce, předávání, uložení, automatizace nebo doručení. Tyto události patří do běžného řízení změn, nikoli jen do roční kontroly.

Malé organizaci stačí řízená složka nebo registr, jestliže spojuje činnost, schválené znění, verzi, důkaz doručení, výjimky a podpis. Z jediného záznamu má být zjistitelné, co platilo v daný den a kterým kanálem informace odešla ³.

Kontaktní a právní cesty pravidelně testujte. E-mail do neobsluhované schránky nefunguje a současný odkaz nedokládá starší obsah. Výsledek testu proto obsahuje datum, verzi, pozorovaný stav a vlastníka případné opravy.

Registr musí umožnit obnovit rozhodnutí i po personální změně. Nový vlastník potřebuje vidět, proč platil článek 13 nebo 14, které výjimky byly odmítnuty a jak dopadl živý test. Jestli musí odpověď skládat ze soukromých e-mailů bývalých kolegů, důkaz není řízený. Jednoduchost tedy neznamená méně faktů, ale jedno spolehlivé místo, z něhož lze celý postup zopakovat.

Zveřejnit: činnost, obsah, lhůta i živá cesta jsou sladěné a doložené.
Pozastavit: chybí podstatný fakt, právní posouzení nebo reprodukovatelný důkaz.
Opravit a znovu otestovat: vlastník odstraní konkrétní chybu a zopakuje cestu uživatele.

Dobrá informace není univerzální odstavec. Vychází z konkrétní činnosti, volí správnou větev podle původu, mluví jasně a včas a zanechává důkaz použitelný i po další změně.

Součástí předání je také seznam otevřených lhůt a neuzavřených oprav, u něhož každá položka uvádí dotčené osoby nebo dávku, poslední skutečně doručenou verzi, další spouštěcí událost a člověka oprávněného činnost pozastavit; bez tohoto kontextu může nový tým sice převzít aktuální stránku, ale nevědomky pokračovat ve staré kampani, která používá jiný zdroj, zastaralého příjemce nebo nefunkční kontaktní cestu.

Jednou ročně provedená kontrola takovou změnu nemusí zachytit včas, proto se revize propojí s nákupem služby, změnou formuláře, přidáním datového pole a spuštěním nového účelu, aby informace následovala skutečný provoz od okamžiku změny a nebyla pouze archivním popisem toho, jak organizace pracovala při posledním schválení.