ARLing

GDPR pro e-shop dokumenty: co musíte mít a proč

ARLing s. r. o. · 10. září 2026

Každý český e-shop, který zpracovává osobní údaje zákazníků, potřebuje sadu dokumentů, jimiž prokáže, že s těmito údaji zachází podle pravidel. GDPR pro e-shop dokumenty nejsou jeden papír, ale několik různých textů: informace pro zákazníka, záznam o tom, jaké údaje firma zpracovává a proč, a smlouvy s dodavateli, kterým data předává. Základní povinností je informovat zákazníka už ve chvíli, kdy od něj údaje získává, tedy typicky při objednávce na webu. Vedle toho musí provozovatel vést přehled o tom, jaké kategorie údajů zpracovává, k jakému účelu a jak dlouho je uchovává, a tento přehled předložit na požádání dozorovému úřadu. Menší e-shop se sice může ptát, jestli se ho záznamy netýkají, protože má málo zaměstnanců, ale běžné vyřizování objednávek nebo rozesílání newsletteru mezi výjimky nepatří. Tento text vám ukáže, které dokumenty e-shop v Česku potřebuje, co obsahuje český balíček od ARLing a na koho se obrátit, když něco nesedí.

Jaké dokumenty webový obchod musí mít

Informace, kterou musí e-shop zákazníkovi poskytnout při získávání údajů přímo od něj, například přes objednávkový formulář, musí obsahovat totožnost a kontaktní údaje provozovatele, účely a právní základ zpracování, příjemce nebo kategorie příjemců, dobu uchovávání nebo kritéria pro její určení a výčet práv, která zákazník má, včetně práva podat stížnost dozorovému úřadu.

Záznam o zpracovatelských činnostech je jiný dokument: vede si ho provozovatel sám pro sebe a dozorovému úřadu ho předloží až na vyžádání, nejde tedy o nic, co by se dopředu někam podávalo. Výjimka pro menší firmy platí jen při příležitostném zpracování, které nezahrnuje zvláštní kategorie údajů, a protože pravidelné vyřizování objednávek, mzdová agenda nebo rozesílání newsletteru příležitostné nejsou, běžný e-shop záznam vést musí.

Zpracovatelská smlouva s dodavateli

Kdykoli e-shop svěří zpracování osobních údajů externímu dodavateli, který jedná podle jeho pokynů, například hostingu, účetní firmě, mzdové agentuře nebo poskytovateli softwaru, potřebuje s ním uzavřenou zpracovatelskou smlouvu; nevztahuje se to na dodavatele, kteří o účelu a prostředcích zpracování rozhodují sami jako samostatní provozovatelé. Taková smlouva musí popisovat předmět a dobu zpracování, jaké údaje a jaké kategorie osob se zpracovávají, a zavazuje dodavatele zpracovávat data jen podle zdokumentovaných pokynů a po skončení spolupráce je vymazat nebo vrátit.

Co obsahuje český balíček dokumentů

ARLing GDPR generátor existuje i v samostatné české verzi, s vlastními šablonami podle českého zákona a lhůtami platnými v Česku; slovenská a česká verze proto nejsou stejná šablona. Nástroj skládá dokumenty přímo ve vašem prohlížeči z formuláře o firmě: nic se z formuláře neposílá na server, nezakládá se účet a údaje neukládá ARLing, jen prohlížeč uživatele.

Zásady ochrany osobních údajů vám generátor vytvoří zdarma. Celý balíček až deseti dokumentů, podle toho, co ve formuláři zaškrtnete, stojí jednorázový poplatek s daní, placený kartou. Balíček obsahuje zásady ochrany osobních údajů, zásady používání cookies s textem cookie lišty, záznamy o zpracovatelských činnostech, zpracovatelskou smlouvu, souhlasy a texty pod formuláře, informaci pro zaměstnance, interní směrnici s poučením oprávněné osoby, postup při porušení ochrany údajů, postup vyřizování žádostí dotčených osob a dokumenty ke kamerovému systému; dokumenty pro zaměstnance a kamerový systém se přidají jen tehdy, když je ve formuláři zaškrtnete.

Dozorový úřad v ČR a práva zákazníků

Dozor nad ochranou osobních údajů v Česku vykonává Úřad pro ochranu osobních údajů se sídlem na adrese Pplk. Sochora 27, 170 00 Praha 7, kam se firmy obracejí například při hlášení úniku dat. Zákazník má podle GDPR právo na přístup ke svým údajům a jejich kopii, na opravu nesprávných nebo neúplných údajů, na výmaz, pokud už údaje nejsou potřeba nebo se zpracovávají protiprávně, na omezení zpracování, na přenositelnost údajů poskytnutých na základě souhlasu nebo smlouvy, na námitku proti zpracování založenému na oprávněném zájmu včetně přímého marketingu a na kdykoli odvolání souhlasu bez vlivu na zákonnost zpracování před odvoláním; stížnost může podat právě u tohoto úřadu.

Časté otázky

Musí mít i malý e-shop záznam o zpracovatelských činnostech?

Ano. Výjimka pro firmy s méně než 250 zaměstnanci platí jen při příležitostném zpracování, které nezahrnuje zvláštní kategorie údajů ani záznamy o odsouzeních a nepředstavuje pravděpodobné riziko pro práva zákazníků; pravidelné vyřizování objednávek příležitostné není, takže se výjimka na běžný e-shop nevztahuje.

Existuje český balíček dokumentů, nebo se používá slovenský vzor?

Ne, slovenský vzor pro český e-shop nestačí. ARLing pro Česko připravil samostatný generátor, protože šablony musí odpovídat českému zákonu a lhůtám platným v Česku; obsahem tedy nejde o pouhý překlad slovenské verze.

Kam se e-shop v Česku obrátí při úniku dat nebo stížnosti zákazníka?

Na oba případy je to stejný úřad, Úřad pro ochranu osobních údajů se sídlem na adrese Pplk. Sochora 27, 170 00 Praha 7; zákazník se na něj může obrátit se stížností kdykoli, nejen při úniku dat, protože právo podat stížnost dozorovému úřadu mu dává přímo GDPR.

Závěr

GDPR pro e-shop dokumenty si poskládáte na stránce GDPR dokumentů: zásady ochrany osobních údajů vám generátor vytvoří zdarma, zbytek balíčku, včetně záznamů o zpracovatelských činnostech a zpracovatelské smlouvy, podle toho, co ve formuláři zaškrtnete. Jde o obecné vzory vyplněné údaji vaší firmy, ne o hotové právní poradenství, proto si je před použitím přečtěte a upravte tak, aby odpovídaly tomu, co váš e-shop skutečně dělá.

Zdroje. Fakta v článku jsou očíslována podle interního podkladu a ověřena k datu vydání. ARLing není banka; čistý výsledek kontroly nezaručuje, že banka platbu přijme. Pokud některý zdroj změnil znění, napište na andrej@arling.sk a článek opravíme.