Je súhlas vždy potrebný na spracúvanie osobných údajov?

Nie. Súhlas je iba jeden zo šiestich právnych základov. Prevádzkovateľ môže podľa účelu použiť aj zmluvu, právnu povinnosť, životne dôležité záujmy, úlohu vo verejnom záujme alebo oprávnené záujmy. Základ sa nevyberá podľa pohodlia, ale podľa skutočného účelu, vzťahu s človekom a konkrétnych okolností spracúvania [1].

Môže spoločnosť zmeniť právny základ neskôr?

Nie iba preto, že pôvodný základ prestal vyhovovať. Výber sa robí pred začiatkom spracúvania a musí zodpovedať jeho povahe. Ak sa účel skutočne zmení, spoločnosť posúdi nové spracúvanie samostatne, zdokumentuje dôvod a aktualizuje informácie pre dotknuté osoby. Neskoršia zmena nesmie zakrývať chybný pôvodný výber ani chýbajúce posúdenie [1].

Čo je oprávnený záujem?

Oprávnený záujem je právny základ, pri ktorom prevádzkovateľ identifikuje legitímny účel, preukáže nevyhnutnosť spracúvania a zváži práva, záujmy a odôvodnené očakávania ľudí. Výsledok zachytí v písomnom trojstupňovom posúdení. Nejde o všeobecné povolenie používať údaje vždy, keď je činnosť pre spoločnosť užitočná alebo lacnejšia [3] [4].

Kedy je vhodný právny základ zmluvy?

Zmluva je vhodná, keď je spracúvanie objektívne potrebné na splnenie zmluvy s konkrétnou osobou alebo na kroky, ktoré táto osoba žiada pred jej uzavretím. Nestačí, že spoločnosť vloží spracúvanie do obchodných podmienok. Doplnkové analytické či marketingové použitie údajov potrebuje vlastný účel, vlastné posúdenie a zodpovedajúci základ [1].

Vzťahuje sa jeden právny základ na celý systém?

Nie nevyhnutne. Jeden systém môže podporovať viac účelov a každý môže mať iný právny základ. Fakturačný nástroj napríklad spracúva údaje pre zmluvu, zákonné účtovné povinnosti aj bezpečnostné záznamy. Spoločnosť preto mapuje jednotlivé účely, dotknuté osoby a operácie, nie iba názvy aplikácií, dodávateľov alebo databáz [1].

Nahrádza právny základ ostatné povinnosti GDPR?

Nie. Aj správne zvolený základ necháva v platnosti zásady transparentnosti, minimalizácie, presnosti, obmedzenia uchovávania a bezpečnosti. Spoločnosť musí ľudí zrozumiteľne informovať, rešpektovať ich práva a uchovať dôkaz svojho rozhodnutia. Pri marketingových správach alebo cookies sa navyše posudzujú pravidlá elektronickej komunikácie vykonané v práve príslušného členského štátu [5].

Čo je právny základ GDPR a ako ho správne zvoliť

Právny základ je zákonný dôvod, ktorý prevádzkovateľovi umožňuje spracúvať osobné údaje na konkrétny účel. Ak sa pýtate, čo je právny základ GDPR, nejde o všeobecné povolenie pre databázu ani o synonymum súhlasu. Je to odpoveď na otázku, prečo je každá jednotlivá činnosť s údajmi zákonná podľa nariadenia GDPR ¹.

Rýchla odpoveď

Právny základ vysvetľuje, prečo smiete osobné údaje spracúvať. Na otázku, čo je právny základ GDPR, právo EÚ ponúka šesť možností: súhlas, zmluvu, právnu povinnosť, životne dôležité záujmy, verejnú úlohu a oprávnené záujmy. Správny základ vyberte pred začiatkom každej činnosti, zdokumentujte ho a oznámte ľuďom ¹.

Predstavte si objednávku v internetovom obchode. Adresa je potrebná na doručenie zmluvného plnenia, účtovný doklad sa uchováva pre právnu povinnosť a marketingový profil má iný účel. Tri operácie v jednom systéme nemusia mať jeden spoločný základ. Rozhodnutie preto začína účelom, nie názvom softvéru.

Šesť ciest, nie šesť štítkov

Článok 6 nariadenia GDPR uvádza šesť právnych základov. Žiadny nie je automaticky nadradený ostatným a súhlas nie je bezpečná záložná voľba ¹.

Právny základ	Rozhodujúca podmienka	Kedy nesedí	Jednoduchý príklad
Súhlas	Osoba má skutočnú voľbu, rozumie konkrétnemu účelu a môže súhlas bez nevýhody odvolať	Činnosť musí pokračovať aj po odmietnutí alebo existuje nerovnováha moci	Dobrovoľný newsletter mimo existujúceho zákazníckeho vzťahu
Zmluva	Spracúvanie je objektívne potrebné na plnenie zmluvy s danou osobou alebo na ňou vyžiadané predzmluvné kroky	Účel je iba užitočný pre spoločnosť, no službu možno dodať aj bez neho	Doručenie objednávky na zadanú adresu
Právna povinnosť	Právo Únie alebo členského štátu vyžaduje konkrétnu operáciu s údajmi	Povinnosť vyplýva iba zo zmluvy alebo interného pravidla	Uchovanie údajov na účtovnom doklade v zákonom určenom rozsahu
Životne dôležité záujmy	Spracúvanie je potrebné na ochranu života alebo telesnej integrity človeka	Situácia nie je naliehavá a existuje vhodnejší bežný základ	Poskytnutie potrebných údajov záchranárom pri bezvedomí pacienta
Úloha vo verejnom záujme	Úloha alebo výkon verejnej moci má základ v práve Únie alebo členského štátu	Súkromná spoločnosť iba tvrdí, že jej obchodný cieľ prospieva verejnosti	Orgán plní zákonom zverenú verejnú úlohu
Oprávnené záujmy	Legitímny cieľ obstojí v teste účelu, nevyhnutnosti a vyváženia s právami ľudí	Rovnaký výsledok možno dosiahnuť menej rušivo alebo záujmy ľudí prevažujú	Primerané bezpečnostné záznamy firemnej siete po písomnom posúdení

Tabuľka nie je ponuka, z ktorej možno vybrať najjednoduchšie odôvodnenie. Pri každom účele sa najprv zisťujú fakty: vzťah s človekom, potrebnosť operácie, možnosť odmietnuť a právny predpis vzťahujúci sa na situáciu. Až potom sa názov základu stane obhájiteľným záverom.

Súčasné britské právo pozná aj osobitnú siedmu cestu pre zákonom určené uznané oprávnené záujmy. Nariadenie GDPR v EÚ takú cestu nemá; každý prípad podľa článku 6 ods. 1 písm. f) preto naďalej potrebuje test účelu, nevyhnutnosti a vyváženia.

Účel prichádza pred odpoveďou

Jeden názov systému často skrýva viac spracovateľských činností: internetový obchod potrebuje meno a adresu na doručenie, uchováva údaje na faktúre pre zákonnú povinnosť a môže analyzovať podozrivé prihlásenia pre bezpečnostný účel. Každý účel treba pomenovať slovesom a výsledkom, nie neurčitou vetou „na prevádzku podnikania“ ¹.

Začnite tým, čo by sa prestalo diať, keby konkrétne údaje neboli dostupné. Ak bez adresy nemožno doručiť objednávku, spojenie so zmluvou je zrozumiteľné. Ak sa bez dátumu narodenia dá tá istá objednávka splniť, tento údaj potrebuje iné odôvodnenie alebo sa nemá zbierať. Takýto test oddeľuje nevyhnutnosť od pohodlia.

Účel má byť dostatočne presný aj pre človeka mimo projektu. „Zlepšovanie služieb“ nevysvetľuje, či ide o opravu chýb, tvorbu profilov alebo cielenie reklamy. Presné pomenovanie zároveň ukáže, keď nová funkcia mení účel a vyžaduje nové posúdenie pred spustením.

Porovnajte, či výsledok dosiahnete rovnako účinne menej rušivým postupom. Zakúpený systém nerobí údaje nevyhnutnými preto, že ich dokáže zbierať. Základ zdokumentujte pred spracúvaním a prepojte s informáciami podľa článkov 13 a 14; pri článku 6 ods. 1 písm. f) uveďte sledovaný záujem. Doručenie, kontrola podvodu a voliteľný marketing môžu mať rozdielne základy; marketingový kanál však posúďte aj podľa pravidiel ePrivacy.

Do záznamu preto oddeľte doručenie služby, splnenie zákonnej povinnosti, ochranu systému a dobrovoľný marketing, hoci všetky štyri činnosti používajú ten istý zákaznícky účet.

Súhlas a oprávnené záujmy nie sú synonymá

Súhlas funguje iba vtedy, keď je slobodný, konkrétny, informovaný a jednoznačný, pričom sa musí dať preukázať a jeho odvolanie má byť rovnako jednoduché ako udelenie ²; ak človek nemá reálnu možnosť odmietnuť alebo by odmietnutím utrpel nevýhodu, súhlas je slabý kandidát.

Typickým problémom je pracovný vzťah, v ktorom zamestnanec môže cítiť tlak súhlasiť so sledovaním požadovaným zamestnávateľom, hoci nad rozhodnutím nemá skutočnú kontrolu. Rovnaká chyba vzniká, keď spoločnosť podmieňuje základnú službu súhlasom s nepodstatným marketingom.

Odvolanie súhlasu zastaví budúce spracúvanie založené na tomto súhlase, ale nerobí spätne nezákonným spracúvanie, ktoré bolo pred odvolaním zákonné ¹. Ak činnosť musí pokračovať bez ohľadu na vôľu osoby, súhlas bol pravdepodobne nesprávnou voľbou už na začiatku.

Oprávnený záujem spája tri otázky: aký legitímny cieľ prevádzkovateľ sleduje, či je spracúvanie na jeho dosiahnutie skutočne nevyhnutné a či po zohľadnení odôvodnených očakávaní, citlivosti údajov, vplyvu na ľudí a dostupných záruk neprevažujú ich práva ³ ⁴. Každá časť potrebuje vlastný dôkaz.

Príkladom môže byť evidencia vstupov do skladu. Cieľom je ochrana zásob a bezpečnosť. Spoločnosť preverí, či potrebuje menný záznam každého vstupu, ako dlho ho uchová a kto ho uvidí. Záujem spoločnosti ešte neprevažuje automaticky; výsledok závisí od konkrétneho zásahu a ochranných opatrení.

Ak človek namieta proti spracúvaniu založenému na oprávnených záujmoch, prevádzkovateľ musí námietku posúdiť. Pri priamom marketingu má námietka osobitne silný účinok. Ide o iný mechanizmus než odvolanie súhlasu, hoci obe situácie môžu viesť k zastaveniu budúceho spracúvania ¹.

Pri cookies a elektronickom marketingu vstupuje do rozhodnutia aj smernica o súkromí a elektronických komunikáciách spolu s právom členského štátu, ktoré ju vykonáva. Pravidlá konkrétneho kanála môžu vyžadovať súhlas aj vtedy, keď by prevádzkovateľ pre následné spracúvanie údajov uvažoval o oprávnenom záujme ⁵.

Citlivé údaje potrebujú ďalšiu podmienku

Právny základ podľa článku 6 niekedy nestačí. Pri osobitných kategóriách osobných údajov, napríklad údajoch o zdraví, biometrických údajoch používaných na jedinečnú identifikáciu alebo údajoch o náboženskom presvedčení, prevádzkovateľ potrebuje aj podmienku podľa článku 9 ¹.

Mzdový systém môže spracúvať údaje zamestnanca pre zmluvu a právne povinnosti, no údaj o dlhodobej diagnóze vyžaduje samostatné posúdenie; nestačí do záznamu dopísať „zmluva“ a považovať zdravotné údaje za vyriešené. Osobné údaje týkajúce sa uznania viny za trestné činy a priestupky sa osobitne posudzujú podľa článku 10.

Základ mení práva okolo spracúvania

Výber právneho základu má praktické následky pre práva dotknutej osoby. Pri súhlase musí byť možné súhlas odvolať; pri oprávnených záujmoch je dôležité právo namietať; pri niektorých základoch sa odlišuje uplatnenie práva na prenosnosť alebo vymazanie. Tím preto potrebuje poznať účel aj základ, nielen systém, v ktorom údaj našiel ¹.

Základ musí byť zrozumiteľne uvedený v informáciách o ochrane osobných údajov a pri oprávnených záujmoch sa pomenúva aj sledovaný záujem. Ak interný záznam hovorí o bezpečnosti, no oznámenie zákazníkovi hovorí o personalizácii reklamy, rozdiel signalizuje, že účel alebo základ nebol riadne ujasnený.

Dotknutá osoba môže podať podnet alebo sťažnosť na Úrad na ochranu osobných údajov Slovenskej republiky. Prevádzkovateľ má preto vedieť doložiť rovnaké rozhodnutie, aké vysvetlil človeku.

Z voľby musí vzniknúť použiteľný záznam

Užitočný záznam obsahuje názov činnosti, konkrétny účel, kategórie údajov a osôb, zvolený právny základ, dôvod voľby a súvisiace záruky. Pri oprávnených záujmoch k nemu patrí test; pri súhlase spôsob získania a odvolania. Záznam sa prepája s informáciami o ochrane osobných údajov a evidenciou spracovateľských činností ¹.

Položka záznamu	Čo má obsahovať	Prevádzkový dôkaz
Spracovateľská činnosť	Zrozumiteľný názov operácie, nie iba názov aplikácie	Vlastník procesu a systém, v ktorom činnosť prebieha
Účel	Konkrétny výsledok pre každé samostatné použitie údajov	Rovnaká formulácia v evidencii a informácii pre ľudí
Osoby a údaje	Kategórie dotknutých osôb a skutočne používaných údajov	Polia formulára, exportu alebo rozhrania
Právny základ	Jedna zodpovedajúca cesta pre daný účel	Odôvodnenie opreté o fakty a relevantné pravidlo
Dodatočná podmienka	Podmienka pre osobitné kategórie alebo údaje podľa článku 10, ak sa používajú	Samostatne zaznamenané posúdenie citlivých údajov
Záruky a transparentnosť	Minimalizácia, prístupy, uchovávanie, práva a informácia pre ľudí	Nastavenie systému, harmonogram, aktuálne oznámenie a dátum účinnosti
Kontrola	Kedy sa rozhodnutie znovu otvorí	Spúšťač pri zmene účelu, údajov, príjemcov alebo publika

Právny základ nemožno po incidente premenovať tak, aby sa výsledok hodil. Ak nový produkt začne údaje používať na nový účel, spoločnosť posúdi túto činnosť pred spustením. Zvolený základ pritom neospravedlňuje nadbytočné údaje, neprimerané uchovávanie ani slabé zabezpečenie ¹.

Použiteľnosť záznamu overíte jednoduchou skúškou: kolega, ktorý nebol pri pôvodnom rozhodnutí, má z tabuľky pochopiť, čo smie systém robiť, aké obmedzenia platia a kedy má rozhodnutie znovu otvoriť. Ak vidí iba číslo článku a slovo „oprávnený záujem“, záznam nepomôže pri zmene produktu, žiadosti človeka ani kontrole.

Začnite jednou reálnou činnosťou, napríklad vybavením objednávky alebo zasielaním noviniek. Rozdeľte ju na účely a ku každému doplňte základ, dôkaz a informáciu poskytnutú ľuďom. Ak jedna bunka obsahuje „súhlas alebo oprávnený záujem“, rozhodnutie ešte nie je hotové.

Naposledy aktualizované: august 2026.