GDPR a zákon č. 110/2019 Sb.: kde hostovat data a co řeší ÚOOÚ?

Praktický přehled pro české firmy s webem, e-shopem nebo aplikací: jak spolu souvisí GDPR a zákon č. 110/2019 Sb., co dělá ÚOOÚ a co zkontrolovat, než data uložíte na servery v EU.

Stručná odpověď

  1. 1Osobní údaje v Česku chrání přímo použitelné nařízení GDPR; zákon č. 110/2019 Sb. je doplňuje a zřizuje dozorový úřad.
  2. 2Dozorovým úřadem je Úřad pro ochranu osobních údajů (ÚOOÚ): vyřizuje stížnosti, provádí kontroly a ukládá sankce.
  3. 3Hostování na serverech uvnitř EU není předání do třetí země; kapitola V GDPR (čl. 44 a násl.) se tak neuplatní.
  4. 4S poskytovatelem hostingu, který zpracovává údaje vaším jménem, uzavíráte smlouvu o zpracování podle čl. 28 GDPR.
  5. 5Odpovědnost za zákonnost zpracování zůstává vám jako správci. Poskytovatel hostingu ji za vás nepřebírá ani neosvědčuje.

Co říká právní rámec

Nařízení (EU) 2016/679 (GDPR) platí v Česku přímo. Zákon č. 110/2019 Sb., o zpracování osobních údajů, nařízení doplňuje a upravuje postavení dozorového úřadu. Kromě toho stanoví například, že dítě získává způsobilost udělit souhlas se zpracováním osobních údajů v souvislosti s nabídkou služeb informační společnosti přímo jemu dovršením patnáctého roku věku (§ 7).

Dozorovým úřadem je Úřad pro ochranu osobních údajů (uoou.gov.cz). Podle zákona jedná nezávisle; vyřizuje stížnosti, provádí kontroly a za porušení může ukládat správní sankce. Horní hranice pokut v GDPR činí až 20 milionů EUR nebo 4 % celosvětového ročního obratu (čl. 83).

Pro hosting jsou klíčové tři články GDPR. Čl. 28 upravuje vztah správce a zpracovatele: musí existovat písemná smlouva a zpracovatel smí využít poddodavatele jen za stanovených podmínek. Čl. 32 požaduje přiměřená technická a organizační opatření. Čl. 33 ukládá oznámit porušení zabezpečení úřadu do 72 hodin od zjištění, pokud z něj plyne riziko pro práva osob.

Kapitola V (čl. 44 až 46) se týká předání do třetích zemí. Servery uvnitř EU takovým předáním nejsou. Pozor ale na vzdálený přístup a na nástroje třetích stran: i ty mohou předání znamenat.

Tři praktické situace

E-shop s účty zákazníků

Provozovatel e-shopu ukládá jména, adresy a historii objednávek. Zvolí VPS v EU, uzavře smlouvu podle čl. 28 a do záznamů o činnostech zapíše, kde data leží a kdo je zpracovatel.

Malá firma s firemním e-mailem

Firma provozuje vlastní poštovní server na své doméně. Zpracovatelem je ten, kdo server spravuje. Firma si ověří zálohy, přístupová práva a postup při úniku.

SaaS pro české klienty

Vývojářský tým hostuje aplikaci s daty klientů. Vůči klientům je zpracovatelem a vůči hostingu předává řetězec povinností dál, včetně seznamu poddodavatelů.

Nejčastější chyby

  • Předpoklad, že server „v EU“ automaticky znamená soulad: GDPR řeší i právní základ, minimalizaci a bezpečnost, nejen polohu serveru.
  • Chybějící smlouva o zpracování, nebo smlouva, která nevyjmenovává poddodavatele a opatření k zabezpečení.
  • Nezkoušené zálohy a žádný postup při incidentu: oznámení úřadu je nutné do 72 hodin od zjištění (čl. 33), pokud u porušení hrozí riziko pro osoby.
  • Zapomenuté externí nástroje (analytika, e-mailing, chat), které data posílají mimo EU a vyžadují vlastní právní mechanismus podle čl. 44 až 46.

Jak pomáhá 4hosting

Servery máme v datacentru v EU, ve Frankfurtu; v Česku žádné nejsou. Nabízíme smlouvu o zpracování podle čl. 28 GDPR a GDPR-ready prostředí s ochranou proti DDoS. Bezpečnostní postupy jsou v souladu s ISO 27001 (jde o soulad s normou, nikoli o certifikát).

Každý balíček zahrnuje měsíční hodiny DevOps a CyberSecurity, které si vyžádáte z panelu: hardening serveru, zálohy, řízení přístupů, plán reakce na incident. 4hosting není certifikační autorita a soulad s GDPR za vás neosvědčuje; správcem zůstáváte vy. Migrace je zdarma.

Napište nám →

Často kladené otázky

Musím mít data v Česku?

GDPR nevyžaduje uložení dat přímo v České republice. Data můžete hostovat kdekoli v EU. Předání do třetích zemí vyžaduje právní mechanismus podle čl. 44 až 46 GDPR.

Kde jsou servery 4hosting?

Datacentrum je v EU, ve Frankfurtu, nikoli v Česku. Nabízíme GDPR-ready prostředí a smlouvu o zpracování podle čl. 28; soulad vašeho zpracování ale posuzujete vy jako správce.

Osvědčuje 4hosting soulad s GDPR za mě?

Ne. Poskytovatel hostingu je zpracovatelem a nedává právní osvědčení. Za zákonnost zpracování odpovídáte vy; můžeme pomoci s technickým zabezpečením v rámci DevOps hodin.

Viz také