Zákony o ochraně osobních údajů v České republice: GDPR, zákon 110/2019 a přehled ÚOOÚ (2026)

Právo na ochranu osobních údajů v České republice kombinuje přímo použitelné unijní GDPR se zákonem č. 110/2019 Sb. (ZZOOU), který nabyl účinnosti 24. dubna 2019 a doplňuje vnitrostátní pravidla pro veřejnoprávní subjekty, zpracování v trestněprávní oblasti a vymáhání. Úřad pro ochranu osobních údajů (ÚOOÚ) plní funkci nezávislého dozorového orgánu.

Česká republika zaujímá v evropském prostředí ochrany osobních údajů poučnou pozici. Jako členský stát EU uplatňuje GDPR přímo, avšak vnitrostátní prováděcí předpis a praxe vymáhání ze strany ÚOOÚ dávají české ochraně osobních údajů vlastní charakter. Přelomová kauza Avast Software, v níž ÚOOÚ uložil jednu z nejvyšších pokut za porušení GDPR, jaké kdy byly ve střední Evropě uloženy, než soud v září 2025 vrátil její výši k novému posouzení, signalizuje, že ÚOOÚ je připraven nasadit celý svůj vymáhací arzenál. Proaktivní zásah úřadu proti modelům souhlas nebo platba používaným českými vydavateli médií jej zároveň posunul před řadu dalších členských států EU.

Tento přehled se věnuje celému rozsahu české právní úpravy ochrany osobních údajů: od ústavních kořenů přes zákonný rámec, pravomoci ÚOOÚ, práva subjektů údajů, mezinárodní předávání údajů, přesah s nařízením o umělé inteligenci EU až po priority dodržování předpisů, které jsou nejdůležitější v letech 2025 a 2026.

---

Rychlá odpověď

Česká úprava ochrany osobních údajů stojí na třech pilířích. Obecné nařízení EU o ochraně osobních údajů (GDPR) se uplatňuje přímo jako unijní právo a stanoví celkový rámec pravidel pro veškeré zpracování osobních údajů. Zákon č. 110/2019 Sb. (ZZOOU) je vnitrostátním prováděcím předpisem, který doplňuje česká specifika pro orgány veřejné moci, zpracování v oblasti vymáhání práva a procesní otázky. Úřad pro ochranu osobních údajů (ÚOOÚ) je nezávislým regulátorem, který vymáhá dodržování obou předpisů.

Pro většinu podniků působících v České republice je operativním standardem dodržování GDPR. ZZOOU je nejdůležitější pro veřejnoprávní subjekty, pro organizace zpracovávající údaje v kontextu vymáhání práva a pro určité situace, kdy GDPR výslovně umožňuje vnitrostátní odchylku.

---

Ústavní základ: Listina základních práv a svobod

Česká právní úprava ochrany osobních údajů má ústavní základ, který předchází jak GDPR, tak prováděcímu zákonu z roku 2019. Listina základních práv a svobod, přijatá v roce 1991 a mající stejnou právní sílu jako samotná Ústava České republiky, chrání osobní údaje na nejvyšší normativní úrovni.

Čl. 10 odst. 3 Listiny stanoví, že každý má právo na ochranu před neoprávněným shromažďováním, zveřejňováním nebo jiným zneužíváním údajů o své osobě. Toto ustanovení navazuje na čl. 10 odst. 1, který chrání lidskou důstojnost a osobní integritu, a na čl. 10 odst. 2, který chrání před neoprávněným zasahováním do soukromého a rodinného života.

Ústavní status Listiny znamená, že jakýkoli zákon umožňující zpracování osobních údajů musí být s touto ochranou v souladu. Český Ústavní soud se na čl. 10 odvolával ve věcech týkajících se sledování ze strany státu, sběru biometrických údajů a rozsahu veřejných registrů. Toto ústavní zakotvení je důvodem, proč nelze českou právní úpravu ochrany osobních údajů zjednodušit pouze na dodržování GDPR: GDPR se uplatňuje v rámci ústavního rámce, který samostatně omezuje, co mohou čeští zákonodárci a orgány veřejné moci povolit.

---

GDPR a zákon č. 110/2019 Sb.: zákonný rámec

Jak spolu oba předpisy souvisejí

GDPR je přímo použitelné unijní nařízení. Nemusí být transponováno do českého práva; vytváří práva a povinnosti, které se automaticky vztahují na všechny fyzické a právnické osoby v České republice. Jakékoli ustanovení ZZOOU, které je s GDPR v rozporu, je nařízením vytlačeno.

ZZOOU (zákon č. 110/2019 Sb. o zpracování osobních údajů) plní tři samostatné funkce. Zaprvé využívá otevírací klauzule GDPR, které členským státům umožňují nebo ukládají stanovit vnitrostátní pravidla v konkrétních oblastech. Zadruhé transponuje směrnici 2016/680 (směrnici o vymáhání práva) pro zpracování údajů v trestněprávním kontextu. Zatřetí upravuje zpracování, které nespadá do oblasti působnosti unijního práva, včetně některých činností v oblasti národní bezpečnosti a zpravodajských služeb.

Zákon nahradil dřívější zákon č. 101/2000 Sb. o ochraně osobních údajů, který provedl směrnici EU o ochraně údajů z roku 1995. Mezera mezi datem použitelnosti GDPR (25. května 2018) a nabytím účinnosti ZZOOU (24. dubna 2019) znamenala, že téměř rok se GDPR v České republice uplatňovalo přímo, aniž by byl dokončen odpovídající vnitrostátní adaptační zákon.

Zákon účinný dnes není textem z roku 2019. Byl třikrát novelizován. Zákon č. 448/2024 Sb. se použije od 1. ledna 2025. Zákon č. 218/2025 Sb. se použije od 1. července 2025 a přesunul vybírání pokut uložených Úřadem na Celní správu. Zákon č. 230/2025 Sb. se použije od 1. srpna 2025 a vložil § 39a až 39c o izolovaných systémech, tedy o systémech umělé inteligence užívaných k biometrické identifikaci osob na dálku v reálném čase při zpracování pro účely vymáhání práva podle hlavy III, s odpovídajícími přestupky v § 63 odst. 2.

Vycházejte z konsolidovaného znění účinného od 1. srpna 2025. Anglický překlad zákona zveřejněný Úřadem je označen jako konsolidované znění k 24. dubnu 2019 a žádnou z těchto novel neobsahuje.

Klíčové vnitrostátní volby podle ZZOOU

Několik aspektů ZZOOU odráží záměrné politické volby České republiky, které se liší od přístupů jiných členských států.

Nejvýznamnější je úplné vynětí orgánů veřejné moci z pokut podle GDPR. Český zákonodárce využil možnosti dané článkem 83 odst. 7 GDPR a vyloučil orgány veřejné moci z pravomoci ÚOOÚ ukládat pokuty za porušení GDPR. Česká ministerstva, obce, kraje, státní agentury a další orgány veřejné moci nemohou být ÚOOÚ za porušení GDPR pokutovány, bez ohledu na závažnost porušení. Úřad si zachovává pravomoc vydávat nápravná opatření, avšak absence finančních sankcí čelí kritice ze strany odborníků na ochranu osobních údajů, kteří argumentují, že snižuje motivaci veřejného sektoru k dodržování předpisů.

Pro zpracování podle části zákona provádějící směrnici o vymáhání práva mohou být orgány veřejné moci pokutovány, avšak horní hranice je omezena na 10 milionů Kč (přibližně 400 000 eur), tedy podstatně méně než standardní rámec GDPR.

Věk digitálního souhlasu je stanoven na 15 let. Děti od 15 let mohou samostatně udělit souhlas se službami informační společnosti. Děti mladší 15 let potřebují souhlas rodiče nebo zákonného zástupce.

ZZOOU rovněž stanoví, že správci mohou omezit nebo odložit oznámení o porušení zabezpečení osobních údajů ÚOOÚ, pokud by oznámení ohrozilo obranné nebo bezpečnostní zájmy České republiky, což je odchylka dostupná orgánům národní bezpečnosti a zpravodajským službám.

---

ÚOOÚ: český úřad pro ochranu osobních údajů

Úřad pro ochranu osobních údajů (ÚOOÚ) je nezávislým dozorovým orgánem České republiky pro ochranu osobních údajů. Byl zřízen podle předchozího zákona z roku 2000 a znovu ustanoven podle ZZOOU jako jediný orgán odpovědný za vymáhání GDPR, směrnice o vymáhání práva a dalších předpisů o ochraně osobních údajů v České republice.

Struktura a zdroje

ÚOOÚ měl k 1. lednu i k 31. prosinci 2025 celkem 118 systemizovaných služebních a pracovních míst, všechna v Praze. Kapitola 343 státního rozpočtu schválila Úřadu na rok 2025 výdaje ve výši 209,1 milionu Kč, z nichž bylo čerpáno 172,9 milionu Kč.

Podle § 52 zákona stojí v čele úřadu předseda, kterého jmenuje a odvolává prezident republiky na návrh Senátu, a to na pětileté funkční období a nejvýše na dvě po sobě jdoucí období. Úřad má také dva místopředsedy, které volí Senát na návrh předsedy.

Prvoinstanční rozhodnutí vydává sám Úřad a o rozkladech proti nim rozhoduje předseda Úřadu. Funkce inspektora ÚOOÚ byla zákonem z roku 2019 zrušena; § 66 odst. 3 ji zachovává pouze jako přechodné ustanovení pro inspektora, který vykonával funkci již v roce 2019.

Hlava V ZZOOU zřizuje ÚOOÚ jako ústřední správní úřad nezávislý na vládních pokynech v jednotlivých případech. Tato nezávislost je posílena § 52 odst. 7, podle kterého lze předsedu odvolat pouze tehdy, přestane-li splňovat některou z podmínek pro jmenování uvedených v § 52 odst. 3 až 6, jako je bezúhonnost, požadovaná kvalifikace nebo zákaz neslučitelných funkcí.

Dozorové pravomoci

ÚOOÚ disponuje plnou škálou vyšetřovacích a nápravných pravomocí, které mu svěřuje GDPR. Může provádět kontroly z vlastního podnětu nebo na základě stížností. Může vstupovat do obchodních prostor, získávat dokumenty a vyslýchat zaměstnance. Může vydávat upozornění a napomenutí, ukládat správcům a zpracovatelům povinnost uvést zpracování do souladu s předpisy, ukládat dočasné nebo trvalé zákazy zpracování, nařizovat pozastavení předávání údajů do třetích zemí a ukládat správní pokuty.

Kromě vymáhání GDPR dohlíží ÚOOÚ také na dodržování zákona o elektronických komunikacích (č. 127/2005 Sb.) v oblasti souhlasu s cookies a zpracování provozních údajů, a zákona č. 480/2004 Sb. v oblasti nevyžádaných obchodních sdělení. V kontextu umělé inteligence dosud nebyl podle nařízení o umělé inteligenci EU určen žádný český orgán. Úřad by převzal funkce dozoru nad trhem a dohledu nad základními právy u vymezených vysoce rizikových systémů umělé inteligence teprve poté, co bude přijat vnitrostátní adaptační zákon.

Poradní a metodická činnost

ÚOOÚ zveřejňuje metodické materiály na témata od kamerových systémů po požadavky na jmenování pověřence pro ochranu osobních údajů. Vydává stanoviska k návrhům právních předpisů, které mohou ovlivnit zpracování osobních údajů, a účastní se práce Evropského sboru pro ochranu osobních údajů společně s dozorovými úřady dalších členských států. Úřad vede veřejný registr jmenovaných pověřenců a poskytuje úřední formuláře pro oznamování porušení zabezpečení údajů.

---

Právní základy zpracování

Zpracování osobních údajů v České republice zpravidla spočívá na jednom ze šesti právních základů uvedených v článku 6 GDPR. ZZOOU k nim přidává jeden vlastní vnitrostátní důvod, a to v § 17 odst. 1: osobní údaje lze zpracovávat také tehdy, slouží-li to přiměřeným způsobem novinářským účelům nebo účelům akademického, uměleckého či literárního projevu.

Souhlas musí být svobodný, konkrétní, informovaný a jednoznačný. Musí zahrnovat aktivní úkon, nikoli mlčení, předem zaškrtnutá políčka nebo nečinnost. Správci musí být schopni prokázat, že souhlas byl udělen, a musí umožnit jeho odvolání stejně snadno, jako byl udělen. Zásah ÚOOÚ proti modelům souhlas nebo platba dokládá přísný přístup úřadu k požadavku svobodnosti souhlasu: souhlas udělený pod finančním tlakem, aby se předešlo placené verzi, nemusí splňovat test svobodně uděleného souhlasu.

Nezbytnost pro splnění smlouvy umožňuje zpracování potřebné k plnění smlouvy, jejíž je subjekt údajů stranou, nebo k provedení opatření před uzavřením smlouvy na žádost subjektu údajů.

Splnění právní povinnosti pokrývá zpracování vyžadované českým nebo unijním právem.

Ochrana životně důležitých zájmů umožňuje zpracování k ochraně života tam, kde subjekt údajů nemůže udělit souhlas.

Splnění úkolu prováděného ve veřejném zájmu nebo výkon veřejné moci pokrývá zpracování orgány veřejné moci a organizacemi vykonávajícími přenesené veřejné funkce.

Oprávněný zájem umožňuje soukromým organizacím zpracovávat údaje pro skutečný účel, který nepřevažují zájmy subjektu údajů. Jde o nejsložitější právní základ, který vyžaduje doložený třífázový test poměřování.

U zvláštních kategorií údajů (zdravotní, genetické, biometrické údaje, rasový či etnický původ, politické názory, náboženské vyznání, členství v odborech, sexuální život nebo sexuální orientace, případně trestní odsouzení) musí být splněn i další z důvodů uvedených v článku 9 GDPR. Českým doplňkem je právě důvod projevu podle § 17 odst. 1 a dopadá i na tyto údaje: zákon ukládá, aby se při posuzování přiměřenosti přihlédlo také k tomu, zda zpracování zahrnuje údaje podle čl. 9 odst. 1 nebo článku 10 GDPR.

---

Práva subjektů údajů

Obyvatelé České republiky požívají práv subjektů údajů podle článků 12 až 22 GDPR, s výhradou vnitrostátních omezení uvedených níže. Správci musí na žádosti reagovat bez zbytečného odkladu a do jednoho kalendářního měsíce. V případě složitosti nebo velkého počtu žádostí lze lhůtu prodloužit o další dva měsíce, pokud správce subjekt údajů o prodloužení a jeho důvodech informuje v rámci původní jednoměsíční lhůty.

Právo na přístup opravňuje jednotlivce k potvrzení, zda jsou jejich údaje zpracovávány, a pokud ano, k získání kopie údajů spolu s informacemi o účelech, kategoriích, příjemcích, dobách uchovávání a existenci dalších práv.

Právo na opravu vyžaduje opravu nepřesných osobních údajů a doplnění neúplných údajů s ohledem na účely zpracování.

Právo na výmaz (právo být zapomenut) se uplatní za stanovených okolností, například pokud údaje již nejsou nutné pro původní účel, pokud byl odvolán souhlas a neexistuje jiný právní základ, nebo pokud byly údaje zpracovávány protiprávně.

Právo na omezení zpracování umožňuje subjektům údajů pozastavit zpracování, dokud probíhá námitkové řízení nebo dokud se ověřuje přesnost údajů.

Právo na přenositelnost údajů opravňuje jednotlivce získat údaje ve strukturovaném, běžně používaném a strojově čitelném formátu a předat je jinému správci, pokud je zpracování založeno na souhlasu nebo smlouvě a probíhá automatizovaně.

Právo vznést námitku se uplatní u zpracování založeného na oprávněném zájmu nebo veřejném úkolu, včetně profilování na tomto základě. Správci musí zpracování ukončit, pokud neprokáží závažné oprávněné důvody, které převažují nad zájmy subjektu údajů. Právo vznést námitku proti přímému marketingu je absolutní a musí být vždy respektováno.

Ochrana před automatizovaným rozhodováním opravňuje jednotlivce k lidskému přezkumu rozhodnutí založených výhradně na automatizovaném zpracování, včetně profilování, které má právní nebo obdobně významné účinky.

Vnitrostátní omezení těchto práv

ZZOOU tato práva ve vymezených situacích omezuje. Podle § 11 odst. 1 lze články 12 až 22, a v odpovídajícím rozsahu i článek 5, uplatnit pouze přiměřeně nebo je odložit, je-li to nezbytné a přiměřené k ochraně některého ze zájmů uvedených v § 6 odst. 2. Správce, který tak postupuje, to musí bez zbytečného odkladu oznámit Úřadu. Ustanovení § 16 odst. 3 omezuje články 15, 16, 18 a 21 pro účely vědeckého a historického výzkumu a pro statistiku.

Nejrozsáhlejší výjimka slouží novinářským účelům a účelům akademického, uměleckého či literárního projevu podle § 17 odst. 1. Ustanovení § 18 až 23 pak vylučují nebo zmírňují informační povinnosti podle čl. 12 odst. 1 a 2, čl. 13 odst. 1 až 3 a článku 14, právo na přístup podle článku 15 a pravidla o opravě, výmazu, omezení zpracování, oznamování příjemcům a námitce. Nejostřejší z nich je § 19 odst. 2: právo na přístup se vůbec neuplatní na osobní údaje, které správce nezveřejnil a zpracovává je pouze pro účel podle § 17 odst. 1. Ustanovení § 17 odst. 2 doplňuje, že takové zpracování požívá práva na ochranu zdroje a obsahu informací a nevyžaduje povolení Úřadu.

ÚOOÚ vyřizuje stížnosti jednotlivců, kteří se domnívají, že jejich práva nebyla respektována. Počet podání v roce 2025 prudce vzrostl: Úřad obdržel 3 854 stížností a dalších podání, tedy o více než 68 % více než v roce 2024 a nejvíce od začátku použitelnosti GDPR, z toho 2 514 stížností.

---

Pověřenci pro ochranu osobních údajů

Požadavky na jmenování pověřence pro ochranu osobních údajů v České republice odpovídají článkům 37 až 39 GDPR bez věcné úpravy ze strany ZZOOU.

Pověřence musí jmenovat každý orgán veřejné moci či veřejnoprávní subjekt (s výjimkou soudů jednajících v rámci soudní pravomoci). V soukromém sektoru je pověřenec povinný pro organizace, jejichž hlavní činnosti vyžadují rozsáhlé, pravidelné a systematické monitorování jednotlivců, nebo jejichž hlavní činnost spočívá v rozsáhlém zpracování zvláštních kategorií údajů či údajů o trestních odsouzeních.

Pověřencem může být zaměstnanec nebo externí smluvní partner. Jmenovaná osoba musí mít odborné znalosti práva a praxe v oblasti ochrany osobních údajů dostatečné pro výkon této funkce. ÚOOÚ zveřejnil metodiku zdůrazňující, že pověřenci vyžadují skutečnou provozní nezávislost: nesmí dostávat pokyny ohledně výkonu svých úkolů, nesmí být sankcionováni za výkon své funkce a musí mít přímý přístup k vrcholovému vedení.

ÚOOÚ vede veřejný registr pověřenců. Správci povinní jmenovat pověřence musí kontaktní údaje pověřence sdělit ÚOOÚ a zveřejnit je.

---

Monitorování zaměstnanců a zákoník práce

Čeští zaměstnavatelé čelí vnitrostátnímu pravidlu, které je přísnější než GDPR a snadno se přehlédne. Monitorování na pracovišti upravuje § 316 zákona č. 262/2006 Sb., zákoníku práce, a uplatní se nad rámec posouzení podle GDPR.

Ustanovení § 316 odst. 2 zakazuje zaměstnavateli, aby bez závažného důvodu spočívajícího ve zvláštní povaze jeho činnosti narušoval soukromí zaměstnance na pracovištích a ve společných prostorách zaměstnavatele tím, že jej podrobuje otevřenému nebo skrytému sledování, odposlechu a záznamu telefonních hovorů, kontrole elektronické pošty nebo kontrole listovních zásilek adresovaných zaměstnanci.

Ustanovení § 316 odst. 3 ukládá zaměstnavateli, který takový závažný důvod má, aby zaměstnance přímo informoval o rozsahu kontroly a o způsobech jejího provádění. Ustanovení § 316 odst. 1 samostatně umožňuje zaměstnavateli přiměřeným způsobem kontrolovat, zda zaměstnanci nevyužívají jeho prostředky, včetně výpočetní techniky a telekomunikačních zařízení, pro svou osobní potřebu bez souhlasu.

Ustanovení § 316 odst. 4 zakazuje zaměstnavateli vyžadovat informace, které bezprostředně nesouvisejí s výkonem práce, a jmenuje těhotenství, rodinné a majetkové poměry, sexuální orientaci, původ, členství v odborové organizaci, členství v politických stranách nebo hnutích, příslušnost k církvi a trestněprávní bezúhonnost. Zaměstnavatel takové informace nesmí získávat ani prostřednictvím třetích osob.

Prakticky to znamená, že zaměstnavatel může obstát v testu vyvažování podle GDPR a přesto jednat protiprávně podle § 316 odst. 2, protože toto ustanovení klade jinou otázku: zda vůbec existuje závažný důvod spočívající ve zvláštní povaze činnosti zaměstnavatele.

Biometrické docházkové systémy jsou oblastí, ve které je Úřad aktuálně činný. Jeho výroční zpráva za rok 2025 popisuje ukončené kontroly, v nichž jeden zaměstnavatel zpracovával otisky prstů v podobě hashů bez právního základu podle čl. 6 odst. 1 a jiný porušil zásadu minimalizace údajů podle čl. 5 odst. 1 písm. c) tím, že uchovával biometrické šablony otisků prstů, ačkoli již používal přístupové karty a recepční knihu. Úřad doporučuje správcům, aby před zavedením takového systému ověřili nezbytnost a přiměřenost a upřednostnili méně invazivní prostředky.

---

Oznamování porušení zabezpečení osobních údajů

Správci musí oznámit ÚOOÚ bez zbytečného odkladu, a je-li to možné, do 72 hodin od okamžiku, kdy se o porušení zabezpečení osobních údajů dozvěděli, pokud toto porušení může představovat riziko pro práva a svobody fyzických osob. Pokud oznámení není učiněno do 72 hodin, musí správce zpoždění odůvodnit.

Pokud porušení může představovat vysoké riziko pro práva a svobody jednotlivců, musí správce bez zbytečného odkladu informovat i dotčené subjekty údajů přímo. Oznámení musí popsat povahu porušení, uvést kontaktní údaje pověřence nebo jiné příslušné kontaktní osoby, popsat pravděpodobné důsledky a uvést přijatá nebo navrhovaná opatření.

ÚOOÚ poskytuje na svém webu úřední oznamovací formuláře a metodické pokyny. Ve výroční zprávě za rok 2025, zveřejněné 18. března 2026, úřad zaznamenal 392 oznámení o porušení, nejvíce od začátku použitelnosti GDPR, a k tomu 193 doplňujících podání. Nejčastější příčinou byla nedbalost se 190 případy, následovaly kybernetické útoky se 120 případy, technická chyba se 45, úmyslné jednání s 31 a vloupání se 6 případy.

Počet hlášení nerostl každý rok. Úřad zaevidoval 294 oznámení v roce 2021, 313 v roce 2022 a 383 v roce 2023, poté 336 v roce 2024, než přišel rekord za rok 2025.

ZZOOU obsahuje výjimku pro oblast národní bezpečnosti: správci zpracovávající údaje pro účely obrany nebo národní bezpečnosti mohou omezit nebo odložit oznámení v rozsahu nezbytném a přiměřeném k ochraně těchto zájmů.

Oznámení Úřadu podle článku 33 není jedinou povinností při incidentu. Zákon č. 264/2025 Sb., český zákon o kybernetické bezpečnosti provádějící směrnici NIS2, nabyl účinnosti 1. listopadu 2025 a dozor nad ním vykonává NÚKIB. Řada organizací, které musí ÚOOÚ oznámit porušení zabezpečení osobních údajů, bude mít podle tohoto zákona samostatnou povinnost hlásit incident, v jiných lhůtách a jinému regulátorovi.

---

Mezinárodní předávání údajů

Česká republika uplatňuje rámec kapitoly V GDPR pro předávání osobních údajů do zemí mimo Evropský hospodářský prostor bez věcných vnitrostátních odchylek.

Standardní mechanismy předávání

Předávání do zemí, na které se vztahuje rozhodnutí Evropské komise o odpovídající ochraně, nevyžaduje žádná další zajištění. Aktuální seznam Komise tvoří Andorra, Argentina, Brazílie, Kanada (komerční organizace), Faerské ostrovy, Guernsey, Izrael, Ostrov Man, Japonsko, Jersey, Nový Zéland, Korejská republika, Švýcarsko, Spojené království, Spojené státy (komerční organizace zapojené do rámce EU-USA pro ochranu osobních údajů), Uruguay a Evropská patentová organizace.

Singapur na tomto seznamu není. Předání osobních údajů do Singapuru vyžaduje zajištění podle kapitoly V, například standardní smluvní doložky.

Pokud rozhodnutí o odpovídající ochraně neexistuje, musí správci zavést vhodná zajištění. Nejčastěji používaným nástrojem jsou standardní smluvní doložky Evropské komise, aktualizované v roce 2021. Správci používající standardní smluvní doložky musí rovněž provést posouzení dopadu předání a vyhodnotit, zda právo a praxe v přijímající zemi neoslabuje ochranu poskytovanou těmito doložkami.

Pro předávání v rámci nadnárodních podnikatelských skupin jsou k dispozici závazná podniková pravidla. Mezi další mechanismy patří schválené kodexy chování a certifikační schémata.

Výjimky podle článku 49 GDPR jsou k dispozici pro konkrétní situace zahrnující výslovný souhlas, nezbytnost pro plnění smlouvy, veřejný zájem, právní nároky a životně důležité zájmy, jde však o úzké výjimky, které nelze používat jako běžný mechanismus předávání.

Poučení z kauzy Avast ohledně pseudonymizovaných údajů

Vymáhací opatření ÚOOÚ proti společnosti Avast Software bývá čteno jako případ o předávání údajů. Rozhodnuto o něm ale nebylo podle kapitoly V. Avast považoval údaje o prohlížení za anonymizované s odůvodněním, že byly před předáním dceřiné společnosti Jumpshot pseudonymizovány. Úřad shledal, že pseudonymizované údaje spojené s jedinečným identifikátorem zůstávají osobními údaji, protože reidentifikace alespoň některých uživatelů byla technicky proveditelná.

Zjištěny byly dva přestupky: předání těchto údajů společnosti Jumpshot bez právního základu podle čl. 6 odst. 1 GDPR a neposkytnutí informací o účelech a právním základu zpracování při jeho shromažďování v rozporu s čl. 13 odst. 1 písm. c). Městský soud v Praze obě zjištění dne 30. září 2025 potvrdil. Nic v této věci nestálo na článcích 44 až 49.

Poučení pro předávání údajů přesto platí. Pseudonymizace údaje nevyjímá z působnosti GDPR, takže nenahrazuje ani právní základ, ani zajištění pro předání podle kapitoly V.

---

Přesah s nařízením o umělé inteligenci EU

Nařízení o umělé inteligenci EU (nařízení 2024/1689) vstoupilo v platnost 1. srpna 2024 a v EU, včetně České republiky, se uplatňuje po etapách. Nařízení (EU) 2026/1744, digitální omnibus k umělé inteligenci ze dne 8. července 2026, jej s účinností od 27. července 2026 novelizovalo a několik těchto termínů posunulo.

Povinnosti transparentnosti podle článku 50 se nadále uplatní od 2. srpna 2026, s přechodným obdobím do 2. prosince 2026 pro označování syntetického obsahu systémy, které již jsou na trhu. Povinnosti pro vysoce rizikové systémy podle přílohy III se nyní uplatní od 2. prosince 2027 a povinnosti pro vysoce rizikové systémy podle přílohy I od 2. srpna 2028. Ministerstvo průmyslu a obchodu uvedlo tytéž tři termíny ve své tiskové zprávě z 29. července 2026.

Vzájemný vztah mezi nařízením o umělé inteligenci a GDPR je významný, protože mnoho vysoce rizikových systémů umělé inteligence zpracovává osobní údaje, což znamená, že se současně uplatňují oba režimy.

Který český orgán dozoruje umělou inteligenci

Zatím žádný. Výroční zpráva Úřadu za rok 2024 uvádí, že do konce roku 2024 Česká republika nerozhodla, který veřejný orgán bude působit jako orgán dozoru nad trhem podle čl. 3 bodu 26 a čl. 70 odst. 1 nařízení o umělé inteligenci. Výroční zpráva za rok 2025, zveřejněná 18. března 2026, jde dál a konstatuje, že vláda adaptační návrh zákona ani nepředložila.

Podle návrhu Ministerstva průmyslu a obchodu zveřejněného 26. září 2025 by byl dozor rozdělen. Český telekomunikační úřad by se stal jediným kontaktním místem, přičemž Česká národní banka a ÚOOÚ by dozorovaly ve svých vlastních sektorech. Úřad pro technickou normalizaci, metrologii a státní zkušebnictví by byl oznamujícím orgánem a akreditoval by subjekty posuzování shody. Veřejný ochránce práv by nesl úlohu v oblasti základních práv podle článku 77.

Sám ÚOOÚ očekává, že po přijetí tohoto zákona bude působit jako orgán podle článku 77 pro vymezené vysoce rizikové systémy umělé inteligence, jako orgán dozoru nad trhem podle čl. 74 odst. 8 a jako subjekt posuzování shody podle čl. 43 odst. 1, a zároveň si ponechá svou úlohu podle GDPR. Do té doby se jeho pravomoc vůči systému umělé inteligence opírá o GDPR, nikoli o nařízení o umělé inteligenci.

Český vnitrostátní zákon o umělé inteligenci

Česká republika připravuje vnitrostátní zákon o umělé inteligenci, který má dodat institucionální, procesní a sankční mechanismy, jejichž úpravu nařízení o umělé inteligenci EU ponechává členským státům. Ministerstvo průmyslu a obchodu zveřejnilo svůj návrh 26. září 2025 a poslalo jej do mezirezortního připomínkového řízení. Česká vláda vyčlenila ze státního rozpočtu 232 milionů Kč na provádění nařízení o umělé inteligenci v letech 2026 až 2028 a vytvořila u příslušných orgánů nová pracovní místa. K 10. září 2026 nebyl adaptační zákon přijat.

Návrh by rovněž zřídil vnitrostátní regulatorní sandbox a umožnil u méně závažného porušení uložit napomenutí namísto okamžitého zahájení řízení o sankci. Organizace nasazující v České republice vysoce rizikové systémy umělé inteligence by měly sledovat jeho postup, protože upřesní inspekční pravomoci, úrovně sankcí a přesný rozsah pravomocí jednotlivých orgánů. Stojí za pozornost, že stránka Českého telekomunikačního úřadu o umělé inteligenci uvádí totéž co zprávy Úřadu: nařízení o umělé inteligenci vyžaduje vnitrostátní adaptační legislativu pro institucionální a sankční mechanismy a taková legislativa dosud nebyla přijata.

Praktický přesah pro podniky

Organizace používající systémy umělé inteligence ke zpracování osobních údajů obyvatel České republiky čelí povinnostem podle obou režimů. Systém umělé inteligence, který činí automatizovaná rozhodnutí ovlivňující jednotlivce, se dotýká jak ochrany podle článku 22 GDPR, tak, pokud je podle přílohy III nařízení o umělé inteligenci klasifikován jako vysoce rizikový, požadavků nařízení na transparentnost, lidský dohled a technickou dokumentaci, které se uplatní od 2. prosince 2027. Posouzení dopadu na ochranu osobních údajů a posouzení shody podle nařízení o umělé inteligenci bude stále častěji nutné provádět souběžně.

---

Sankce a vymáhání ze strany ÚOOÚ

Standardní rámec pokut

Dvouúrovňová struktura správních pokut podle GDPR se v České republice uplatňuje na správce a zpracovatele v soukromém sektoru. Nižší úroveň, pokrývající porušení jako nedostatky v bezpečnostních opatřeních, oznamování porušení, jmenování pověřence a zásady záměrné a standardní ochrany osobních údajů, má horní hranici 10 milionů eur nebo 2 % celosvětového ročního obratu, podle toho, která částka je vyšší. Vyšší úroveň, pokrývající porušení základních zásad, jako je právní základ zpracování, práva subjektů údajů a omezení mezinárodního předávání, má horní hranici 20 milionů eur nebo 4 % celosvětového ročního obratu, podle toho, která částka je vyšší.

Rozhodnutí ve věci Avast je s velkým odstupem nejvyšší pokutou, o jaké kdy Úřad rozhodl, a Úřad ji tak popisuje i ve výroční zprávě za rok 2025. Tato částka ale nyní neplatí: Městský soud v Praze dne 30. září 2025 zrušil část odvolacího rozhodnutí, která pokutu potvrdila, a vrátil věc Úřadu.

Kauza Avast Software a rozsudek z roku 2025

Nejvýznamnějším vymáhacím opatřením ÚOOÚ je řízení proti společnosti Avast Software s.r.o., v němž Úřad uložil pokutu ve výši 351 milionů Kč (přibližně 13,9 milionu eur). Předseda ÚOOÚ toto rozhodnutí potvrdil 10. dubna 2024. Městský soud v Praze pak jeho část dne 30. září 2025 zrušil, takže pokuta je znovu před Úřadem.

Pozadí případu. Avast provozoval sadu antivirového softwaru a rozšíření prohlížečů používaných stovkami milionů lidí po celém světě. Prostřednictvím těchto nástrojů společnost shromažďovala historii prohlížení internetu spojenou s jedinečným identifikátorem přiděleným každému zařízení. Tyto údaje byly předány společnosti Jumpshot, Inc., dceřiné společnosti, která prodávala analytické produkty popisující chování a preference spotřebitelů marketingovým klientům.

Zjištěná porušení. ÚOOÚ zjistil dva přestupky podle § 62 odst. 1 ZZOOU: porušení čl. 6 odst. 1 GDPR (chybějící právní základ zpracování) a porušení čl. 13 odst. 1 písm. c) GDPR (neposkytnutí informací o účelech a právním základu subjektům údajů při shromažďování). Avast popisoval předávání údajů jako předávání anonymizovaných údajů použitých pro analýzu trendů. Úřad zjistil, že historie prohlížení, ačkoli byla pseudonymizována, představovala osobní údaje, protože reidentifikace alespoň některých dotčených jednotlivců byla možná prostřednictvím jedinečného identifikátoru. Pro předání údajů společnosti Jumpshot neexistoval žádný právní základ. Uživatelé nebyli náležitě informováni o účelech zpracování ani o jeho právním základu. Pokuta byla stanovena podle čl. 83 odst. 5 GDPR.

Procesní historie. Český dozorový úřad působil jako vedoucí dozorový úřad podle mechanismu spolupráce jednoho kontaktního místa podle GDPR, vzhledem k tomu, že Avast má v České republice sídlo v EU. Prvoinstanční rozhodnutí bylo vydáno 14. března 2022. Avast podal správní odvolání a předseda ÚOOÚ vydal odvolací rozhodnutí potvrzující pokutu dne 10. dubna 2024. Evropský sbor pro ochranu osobních údajů byl do řízení zapojen v rámci mechanismu spolupráce.

Rozsudek z roku 2025. Avast poté podal správní žalobu. Dne 30. září 2025 Městský soud v Praze rozsudkem sp. zn. 5 A 56/2024-206 přisvědčil tomu, že se Avast obou přestupků dopustil, avšak odvolací rozhodnutí zrušil ve dvou bodech: ve formulaci vložené do prvoinstančního výroku, která jednání popisovala jako zahrnující pseudonymizované údaje o prohlížení týkající se přibližně 100 000 000 uživatelů, a v potvrzení výše pokuty.

Soud dovodil, že ani rozhodnutí, ani spis nevysvětlují, kolika uživatelů se jednání skutečně dotklo, a že tento údaj je zásadní pro posouzení závažnosti přestupku a výše sankce. Věc vrátil Úřadu, aby se zabýval pouze počtem dotčených uživatelů a výší sankce, a uložil mu vypořádat se s vlastní analýzou společnosti Avast, která tento počet vyčíslila na 54,6 milionu. K dispozici je kasační stížnost k Nejvyššímu správnímu soudu. K 10. září 2026 Úřad nezveřejnil žádné navazující rozhodnutí, takže výše pokuty zůstává nevyřešena.

Význam případu. Částka 351 milionů Kč je nejvyšší pokutou, o jaké kdy Úřad rozhodl, podléhá však vrácení věci z roku 2025 a neměla by být uváděna jako platná sankce. Zjištění o porušení obstála v soudním přezkumu, takže případ zůstává oporou pro závěr, že samotná pseudonymizace nezbavuje údaje charakteru osobních údajů tam, kde reidentifikace zůstává technicky proveditelná. Ukazuje také, jak dlouho může sporné české vymáhací řízení trvat: jednání pochází z roku 2019 a výše pokuty nebyla vyřešena ani v roce 2026.

Zásah proti modelu souhlas nebo platba

V rámci významné vymáhací iniciativy v roce 2024 se ÚOOÚ stal jedním z prvních dozorových úřadů EU, který zpochybnil model souhlas nebo platba používaný online vydavateli. Několik velkých českých mediálních skupin, včetně Czech News Center, Mafra, Economia a Seznam, zavedlo cookie stěny vyžadující od uživatelů buď souhlas se sledováním chování, nebo platbu za verzi služby bez reklam. ÚOOÚ zahájil šetření, zda je souhlas udělený za těchto podmínek skutečně svobodný ve smyslu GDPR.

Tento krok byl v souladu se širším evropským zkoumáním praktik souhlas nebo platba. Evropský sbor pro ochranu osobních údajů vydal stanovisko 08/2024 k platnosti souhlasu v kontextu modelů souhlas nebo platba používaných velkými online platformami a Evropská komise v červenci 2024 shledala, že obdobný model společnosti Meta nesplňuje požadavky unijního nařízení o digitálních trzích.

Další významná vymáhací opatření

Spamová kampaň. V rozhodnutí, které Úřad v září 2020 oznámil jako svou dosud nejvyšší pokutu za spam, uložil ÚOOÚ pokutu ve výši 6 milionů Kč za hromadnou marketingovou kampaň, která rozeslala nevyžádané obchodní e-maily téměř 500 000 příjemcům bez odpovídajícího souhlasu. Tento případ dokládá dosah úřadu ve vymáhání předpisů v oblasti elektronického marketingu.

Případy kamerových systémů. ÚOOÚ vedl více vymáhacích řízení týkajících se kamerového sledování, včetně nesprávného použití kamer v bytových domech, na pracovištích a v komerčních prostorách přístupných veřejnosti. Úřad vypracoval podrobnou metodiku ke kamerovým systémům, která jde nad rámec pouhého rámce GDPR.

Výjimka pro orgány veřejné moci

České orgány veřejné moci jsou zcela vyňaty z pokut podle GDPR. Orgány veřejné moci, které poruší povinnosti podle GDPR, čelí ze strany ÚOOÚ nápravným opatřením, nikoli finančním sankcím. Tato volba, učiněná na základě článku 83 odst. 7 GDPR, čelí kritice ze strany organizací občanské společnosti a odborníků na ochranu osobních údajů, kteří argumentují, že absence finančních důsledků oslabuje motivaci veřejného sektoru k dodržování předpisů.

---

Priority vymáhání pro rok 2026 a nedávný vývoj

ÚOOÚ zveřejnil kontrolní plán na rok 2026 dne 16. února 2026. Určuje čtyři oblasti kontroly: postavení pověřenců pro ochranu osobních údajů ve veřejném sektoru, zpracování osobních údajů v registrech dlužníků, zpracování v rámci informační databáze podle § 15a odst. 1 zákona č. 186/2016 Sb., o hazardních hrách, a zpracování související se schengenským prostorem. Úřad se rovněž účastní koordinované vymáhací akce Evropského sboru pro ochranu osobních údajů pro rok 2026 zaměřené na zásadu transparentnosti a informační povinnosti.

Kontrolní plán pro rok 2025, který byl tímto nahrazen, určoval tři jiné oblasti.

Zpracování údajů v rámci věrnostních programů. Úřad zkoumal, zda maloobchodníci, kteří podmiňují cenové slevy účastí zákazníků ve věrnostních programech, dodržují požadavky GDPR. Tato oblast zahrnuje otázky, zda je souhlas skutečně dobrovolný v situaci, kdy alternativou je placení vyšší ceny, zda je objem shromažďovaných údajů přiměřený uvedenému účelu a zda jsou doby uchovávání odůvodněné.

Kamerové systémy ve veřejné dopravě. ÚOOÚ prověřil kamerové sledovací systémy provozované poskytovateli veřejné dopravy s použitím aktualizované metodiky ke kamerovým systémům, aby vyhodnotil dodržování zásady účelového omezení, omezení doby uchovávání, požadavků na označení a práv subjektů údajů.

Marketing srovnávacích online služeb. Úřad prověřoval praktiky poskytovatelů srovnávacích služeb v oblasti pojištění, půjček a podobných produktů, kteří zasílají obchodní sdělení jednotlivcům, kteří dříve použili jejich platformu. Toto odvětví do té doby nebylo předmětem komplexního auditu ÚOOÚ.

Očekává se, že dohled nad umělou inteligencí poroste po přijetí adaptačního zákona, do té doby však Úřad nemá podle nařízení o umělé inteligenci EU žádnou úlohu, takže jeho činnost dotýkající se umělé inteligence probíhá podle GDPR. Jeho výroční zpráva za rok 2025 popisuje ukončené kontroly biometrických docházkových systémů v soukromém sektoru a automatizovaného rozpoznávání obličejů využívaného u kamerového systému na Letišti Václava Havla Praha, které Úřad shledal neslučitelným s článkem 10 směrnice o vymáhání práva, protože žádné ustanovení zákona o policii výslovně neumožňuje zpracovávat biometrické údaje za účelem jedinečné identifikace. Policie tento systém 1. srpna 2025 vypnula a biometrické údaje smazala; Vrchní soud v Praze jeho provoz později povolil usnesením ze dne 30. prosince 2025.

Zákon o digitální ekonomice. Dřívější návrh zákona propadl, když volební období Poslanecké sněmovny 2021 až 2025 skončilo, aniž by byl projednán. Vláda jej znovu předložila 12. prosince 2025 jako sněmovní tisk 69. Prvním čtením prošel 10. března 2026, druhé čtení absolvoval 1. července 2026 a garanční hospodářský výbor předložil své stanovisko 4. září 2026, takže návrh čeká na třetí čtení. Směr vývoje míří k přísnějším pravidlům pro obchodní sdělení, návrh byl však ve výboru pozměněn, a proto si před spoléháním na jakýkoli konkrétní požadavek, například na pravidelné obnovování marketingového souhlasu, ověřte schválené znění.

Hlavní body výroční zprávy za rok 2025. ÚOOÚ zveřejnil výroční zprávu za rok 2025 dne 18. března 2026. Uvádí 392 nahlášených porušení zabezpečení údajů, jako hlavní příčinu nedbalost namísto kybernetických útoků a 3 854 stížností a dalších podání, tedy o více než 68 % více než v roce 2024. Konstatuje, že vláda dosud nepředložila adaptační návrh zákona k nařízení o umělé inteligenci. Upozorňuje také na nařízení (EU) 2025/2518 ze dne 26. listopadu 2025, které doplňuje procesní pravidla pro vymáhání GDPR v přeshraničních případech; toto nařízení vstoupilo v platnost 12. prosince 2025 a použije se od 2. dubna 2027.

---

Elektronický marketing a cookies

Česká republika provádí směrnici o soukromí a elektronických komunikacích prostřednictvím zákona č. 480/2004 Sb. o některých službách informační společnosti a zákona č. 127/2005 Sb. o elektronických komunikacích.

Pro marketingové e-maily, SMS zprávy a další elektronická obchodní sdělení je vyžadován předchozí souhlas (opt-in). Omezená výjimka platí pro stávající zákazníky ve vztahu k jejich vlastním obdobným produktům nebo službám, pokud byla zákazníkovi poskytnuta jasná možnost odmítnout zasílání (opt-out) při shromažďování údajů i v každém následném sdělení.

Od 1. ledna 2022 je opt-in souhlas vyžadován také pro cookies a podobné sledovací technologie, které nejsou nezbytně nutné. Ustanovení § 89 odst. 3 zákona č. 127/2005 Sb., ve znění zákona č. 374/2021 Sb., vyžaduje předchozí prokazatelný souhlas s rozsahem a účelem každého ukládání údajů do koncového zařízení uživatele nebo přístupu k údajům v něm uloženým. Výjimkou je technické ukládání nebo přístup potřebný výhradně k přenosu zprávy nebo k poskytnutí služby, kterou uživatel výslovně vyžádal.

Dozor nad tímto pravidlem a jeho vymáhání vykonává ÚOOÚ. Český telekomunikační úřad nikoli. Ustanovení § 88 odst. 3 téhož zákona výslovně vyjímá kontrolu plnění povinností v oblasti ochrany osobních údajů z jeho kontrolní pravomoci a zákon nestanoví za porušení § 89 odst. 3 žádný přestupek.

---

Doporučení pro dodržování předpisů podniky

Organizace působící v České republice by měly považovat dodržování GDPR za základní požadavek, doplněný povědomím o konkrétních českých vnitrostátních volbách.

Pro správce spoléhající se na pseudonymizaci je kauza Avast přímým varováním. Pseudonymizované údaje zůstávají osobními údaji, pokud je reidentifikace technicky proveditelná. Spoléhání se na pseudonymizaci jako základ pro předání třetí straně nebo jako náhradu za zákonný mechanismus předávání vytváří vážné riziko odpovědnosti.

Pro maloobchodníky a věrnostní programy by měly kontroly věrnostních programů ze strany ÚOOÚ podnítit přezkum toho, jak je získáván souhlas s účastí ve věrnostním programu, jaké údaje jsou shromažďovány v poměru k nabízené slevě, jak dlouho jsou tyto údaje uchovávány a zda jsou požadavky na účast přiměřené.

Pro zaměstnavatele představuje § 316 zákoníku práce překážku oddělenou od GDPR. Nejprve si položte otázku, zda existuje závažný důvod spočívající ve zvláštní povaze činnosti podniku, teprve pak zavádějte jakékoli monitorování spadající pod § 316 odst. 2, a zaměstnance přímo informujte o jeho rozsahu a způsobu provádění.

Pro provozovatele veřejné dopravy a uživatele kamerových systémů obecně by měla být na všechny stávající sledovací systémy uplatněna aktualizovaná metodika úřadu ke kamerovým systémům. Klíčové otázky zahrnují, zda bylo provedeno a zdokumentováno posouzení oprávněného zájmu, zda je označení v souladu s předpisy a zda doby uchovávání odpovídají skutečné provozní potřebě.

Pro organizace nasazující systémy umělé inteligence znamená přesah GDPR a nařízení o umělé inteligenci EU, že posouzení dopadu na ochranu osobních údajů by mělo být integrováno s jakýmkoli posouzením shody nebo rizika vyžadovaným rámcem nařízení o umělé inteligenci. Dokud však nebude přijat český adaptační zákon, postupuje Úřad vůči umělé inteligenci na základě svých pravomocí podle GDPR, nikoli podle nařízení o umělé inteligenci, takže bezprostřední riziko je rizikem podle GDPR.

Pro orgány veřejné moci výjimka z pokut neodstraňuje riziko nedodržení předpisů. ÚOOÚ si zachovává pravomoc vydávat nápravná opatření a reputační důsledky veřejného vymáhacího opatření jsou významné bez ohledu na to, zda je s ním spojena pokuta.

Věk digitálního souhlasu (15 let) je nižší než v několika jiných členských státech EU, které stanovily věkovou hranici na 16 let. Organizace nabízející služby informační společnosti českým uživatelům musí zavést mechanismy ověřování věku nebo souhlasu rodičů v souladu s hranicí 15 let.

Upozornění: Tento článek poskytuje obecné informace o ochraně osobních údajů v České republice a nepředstavuje právní poradenství. Právní úprava ochrany osobních údajů se často mění. V konkrétní situaci se poraďte s kvalifikovaným advokátem oprávněným poskytovat právní služby v České republice. Podívejte se také na naše související stránky o českých zákonech o nahrávání a zákonech EU o ochraně osobních údajů.