Právo, smlouvy, chyby a zdroje
GDPR a CRM: zpracovatelská smlouva podle čl. 28, právní základy, doba uchování a práva zákazníků
Co GDPR a zákon č. 110/2019 Sb. znamenají pro CRM malé firmy – role správce a zpracovatele, náležitosti smlouvy podle čl. 28, právní základy, předávání mimo EU, práva subjektů a únik dat.
Když ukládáte údaje o zákaznících do cloudového CRM, jste správce osobních údajů a dodavatel CRM je zpracovatel. Podle čl. 28 GDPR s ním musíte mít smlouvu o zpracování (zpracovatelskou smlouvu nebo DPA), která stanoví předmět, dobu, povahu a účel zpracování, typy údajů a kategorie osob a povinnosti zpracovatele – zpracovávat jen podle vašich pokynů, zajistit mlčenlivost a bezpečnost, používat další zpracovatele jen s vaším povolením, pomáhat vám s právy subjektů a po skončení data vrátit nebo vymazat. Většina dodavatelů CRM nabízí zpracovatelské podmínky jako součást smlouvy; vaším úkolem je je přečíst, uložit a zkontrolovat subdodavatele a předávání mimo EU. Vedle toho musíte mít pro každé zpracování v CRM právní základ, informovat zákazníky a nastavit dobu uchování. Dozor vykonává ÚOOÚ.
Článek patří do sekce právo a rizika.
Role: kdo je kdo
| Subjekt | Role | Příklad |
|---|---|---|
| Vaše firma | správce | rozhoduje, proč a jak se zpracovávají údaje zákazníků |
| Dodavatel CRM | zpracovatel | ukládá a zpracovává údaje podle vašich pokynů |
| Datové centrum, e-mailová služba dodavatele | další zpracovatel (subzpracovatel) | hosting, rozesílání e-mailů |
| Marketingový nástroj, konektor | další zpracovatel (váš) | pokud ho objednáváte zvlášť, potřebujete s ním vlastní smlouvu |
| Implementační partner s přístupem k datům | zpracovatel | potřebuje smlouvu, pokud pracuje s osobními údaji |
Co musí zpracovatelská smlouva obsahovat (čl. 28 odst. 3 GDPR)
| Náležitost | Co zkontrolovat |
|---|---|
| Předmět, doba, povaha a účel zpracování | odpovídá tomu, k čemu CRM používáte |
| Typ údajů a kategorie subjektů | kontakty, obchodní komunikace, případně nahrávky hovorů |
| Zpracování jen na základě doložených pokynů | včetně předávání do třetích zemí |
| Mlčenlivost osob zpracovatele | zaměstnanci a podpora |
| Zabezpečení podle čl. 32 | šifrování, řízení přístupů, zálohy, testování |
| Další zpracovatelé | seznam, oznámení změn, možnost vznést námitku |
| Pomoc s právy subjektů údajů | export, oprava, výmaz, omezení |
| Pomoc s bezpečností, ohlášením porušení a posouzením vlivu | lhůty pro hlášení incidentu vám |
| Výmaz nebo vrácení po skončení | lhůta a forma (viz smlouva a export) |
| Audity a informace | jak prokazuje plnění (certifikace, zprávy, audit) |
Pokud dodavatel smlouvu nabízí jen jako elektronický dokument k odsouhlasení, uložte si verzi platnou ke dni objednávky (PDF) a evidujte ji.
Předávání mimo EU
Mnoho CRM a jejich subdodavatelů sídlí nebo zpracovává data mimo EU/EHP. Předání je možné, pokud existuje:
- rozhodnutí Komise o odpovídající ochraně (například pro USA prováděcí rozhodnutí (EU) 2023/1795 o rámci ochrany údajů EU–USA u certifikovaných společností; Tribunál žalobu proti němu zamítl 3. 9. 2025 ve věci T-553/23, odvolání C-703/25 P k říjnu 2026 projednává Soudní dvůr – ověřte aktuální stav i certifikaci dodavatele na dataprivacyframework.gov),
- standardní smluvní doložky a případná doplňková opatření,
- jiný nástroj podle kapitoly V GDPR.
Zeptejte se dodavatele, kde jsou data uložena, kdo k nim má přístup (i podpora z jiných zemí) a na jakém základě se předávají. Pokud chcete data jen v EU, ověřte, zda dodavatel nabízí výběr regionu a zda se týká i záloh a podpory.
Právní základy v CRM
| Účel | Typický právní základ (čl. 6) | Poznámka |
|---|---|---|
| Vyřízení poptávky, nabídka, smlouva | plnění smlouvy nebo jednání o ní | jen údaje potřebné pro obchod |
| Evidence obchodních kontaktů firem | oprávněný zájem | proveďte a zapište test proporcionality |
| Fakturace a účetnictví | právní povinnost | doby uchování podle daňových a účetních předpisů |
| E-mailový marketing | souhlas, nebo výjimka pro zákazníky podle § 7 odst. 3 zákona č. 480/2004 Sb. | viz obchodní sdělení |
| Nahrávání hovorů | oprávněný zájem nebo souhlas | informovat volajícího na začátku |
| Analytické cookies na webu | souhlas (§ 89 odst. 3 ZEK) | viz cookies |
Zákon č. 110/2019 Sb. doplňuje GDPR mimo jiné tím, že dítě může samo udělit souhlas u služeb informační společnosti od 15 let (§ 7) – relevantní u e-shopů a aplikací pro mladé zákazníky.
Doba uchování
GDPR nestanoví konkrétní lhůty, ale požaduje, aby údaje nebyly uchovávány déle, než je nutné. Nastavte si pravidla, například (ilustrativně):
- neúspěšná poptávka bez dalšího kontaktu: smazat nebo anonymizovat po určité době (například 2 roky),
- zákazník: po dobu vztahu a poté po dobu promlčení možných nároků,
- marketingový souhlas: do odvolání, s pravidelným ověřením aktivity,
- faktury a účetní záznamy: podle zákona o účetnictví a zákona o DPH (tyto lhůty se týkají účetního systému, ne nutně CRM).
Pravidla zapište do interní směrnice a pokud CRM umí automatické mazání nebo anonymizaci, využijte ji.
Práva zákazníků
Zákazník může žádat o přístup (kopie údajů), opravu, výmaz, omezení, přenositelnost a vznést námitku – u přímého marketingu je námitka absolutní (čl. 21 odst. 2 a 3). Odpovědět musíte bez zbytečného odkladu, nejpozději do 1 měsíce od obdržení žádosti; u složitých nebo četných žádostí lze lhůtu prodloužit o další 2 měsíce, o čemž žadatele informujete do 1 měsíce (čl. 12 odst. 3). Ověřte, že CRM umí:
- najít všechny údaje o osobě (včetně aktivit, příloh a poznámek),
- exportovat je ve strojově čitelném formátu,
- smazat je, ale zachovat záznam o odhlášení, aby se osoba znovu neoslovila.
Únik dat
Pokud dojde k porušení zabezpečení (například zneužitý účet obchodníka, chybně odeslaný export), musíte posoudit riziko a případně ho ohlásit ÚOOÚ bez zbytečného odkladu, pokud možno do 72 hodin od zjištění (čl. 33; ohlášení se nepodává, je-li riziko pro osoby nepravděpodobné), při vysokém riziku i informovat dotčené osoby (čl. 34). Zpracovatelská smlouva má stanovit, jak rychle vám incident nahlásí dodavatel.
Modelový příklad: kontrola před podpisem
Smyšlená firma s 6 uživateli a 3 000 kontakty zkontrolovala před podpisem:
- zpracovatelské podmínky dodavatele – staženy a uloženy,
- seznam 9 dalších zpracovatelů – 2 mimo EU, předání na základě standardních smluvních doložek,
- region uložení dat – EU,
- lhůta pro hlášení incidentu – „bez zbytečného odkladu“,
- výmaz po skončení – do 30 dnů po skončení období pro export,
- vlastní záznam o činnostech zpracování – doplněn o CRM.
Celá kontrola zabrala modelově 4 hodiny. Je to nejlevnější pojistka, kterou při výběru CRM uděláte.
Časté otázky
Stačí, že dodavatel má „GDPR compliant“ na webu?
Ne. Odpovědnost za výběr zpracovatele s dostatečnými zárukami nesete vy. Potřebujete smlouvu podle čl. 28 a informace o subdodavatelích a zabezpečení.
Musím zákazníkům oznámit, že používám CRM?
Musíte je informovat o zpracování osobních údajů (čl. 13 a 14), včetně kategorií příjemců. Obvykle stačí uvést v informacích o zpracování osobních údajů, že využíváte poskytovatele IT služeb, případně je jmenovat.
Potřebuji posouzení vlivu (DPIA)?
U běžného CRM malé firmy obvykle ne. Může být nutné při rozsáhlém profilování, monitorování nebo zpracování zvláštních kategorií údajů. ÚOOÚ zveřejňuje seznam druhů zpracování, které posouzení vyžadují.
Zdroje
- Úřad pro ochranu osobních údajů – metodiky, seznam zpracování vyžadujících DPIA, ohlášení porušení
- EUR-Lex – nařízení (EU) 2016/679 (GDPR)
- Evropský sbor pro ochranu osobních údajů – pokyny k pojmům správce a zpracovatel
- Zákony pro lidi – zákon č. 110/2019 Sb. o zpracování osobních údajů
