Doba uchování osobních údajů nezačíná výběrem počtu let. Nejdříve potřebujete pojmenovat konkrétní účel, určit potřebné dokumenty a zjistit, kdy tento účel skončí. Teprve potom lze nastavit termín nebo srozumitelné kritérium výmazu. Tato pracovní tabulka pomáhá české organizaci převést obecnou zásadu omezení uložení na proveditelná pravidla pro aplikace, papírové složky a kopie u dodavatelů.
GDPR v článku 5 vyžaduje, aby identifikovatelné údaje nebyly uchovávány déle, než je nezbytné pro daný účel. Nestanoví jednu společnou dobu pro zákazníky, zaměstnance a účetní doklady. Konkrétní české zákonné lhůty je nutné ověřit podle druhu dokumentu a postavení organizace. ÚOOÚ ve svém desateru zdůrazňuje přiměřenost rozsahu i doby uchovávání sledovanému účelu. Níže uvedené intervaly proto nejsou tabulkou českých zákonných lhůt.
Tabulka, kterou lze převést do evidence
| Pole | Co zapsat | Jak údaj ověřit |
|---|---|---|
| Účel | Vyřízení poptávky, nikoli neurčité obchodní potřeby | Vlastník procesu vysvětlí, jaký výsledek dokument umožňuje |
| Kategorie | Kontaktní údaje, požadavek a související komunikace | Prohlédněte skutečný formulář a export aplikace |
| Právní základ | Konkrétní podmínka článku 6 a případně další ustanovení | Oddělte vyřízení poptávky od následné reklamy |
| Událost | Uzavření poptávky bez objednávky | Systém musí mít jednoznačný stav a datum |
| Doba | Schválený interval nebo určitelné kritérium | Zdůvodněte návaznost na potřebu procesu |
| Omezený archiv | Údaje nezbytné pro samostatnou povinnost nebo nárok | Určete odlišnou skupinu oprávněných uživatelů |
| Konečný krok | Výmaz, skartace nebo nevratná anonymizace | Uveďte technickou operaci a výstupní kontrolu |
| Výjimka | Konkrétní spor nebo zákonný zákaz odstranění | Připojte rozhodnutí a datum dalšího přezkoumání |
| Vlastník | Odpovědná pracovní role a její zástupce | Potvrďte možnost provést změnu v dotčené aplikaci |
Jeden zákazník může být současně v několika řádcích. Účetní doklad, účet v aplikaci a přihlášení k newsletteru sledují různé účely. Ukončení jednoho účelu neznamená automaticky vymazání všech informací o dané osobě, ale ani neumožňuje ponechat celý profil kvůli jedinému potřebnému dokladu. V evidenci proto rozlišujte jednotlivé datové množiny.
Postup výběru doby bez odhadu od stolu
Začněte nejméně jedním rozhovorem s vlastníkem procesu a jednou ukázkou reálných dat. Zjistěte, kdy pracovníci informace naposledy potřebovali a zda tuto potřebu dokážou popsat. Věta, že se mohou jednou hodit, nevymezuje dobu. Pokud oddělení argumentuje reklamacemi, určete přesné dokumenty potřebné pro řešení reklamace a oddělte je od provozních poznámek, které již význam nemají.
Právní požadavek zapisujte s názvem předpisu, ustanovením, druhem dokumentu a kontrolním datem. Odkaz na účetnictví bez určení dokumentu nestačí. Stejně postupujte při změně zákona: změna jednoho předpisu nemusí prodloužit uchovávání celého zákaznického účtu. U sporných kombinací musí být zřejmé, kdo právní výklad posoudí, než správce nastaví automatické mazání.
Pokud dobu odvozujete od oprávněného zájmu, popište potřebu a zásah do soukromí. Posuzujte i mírnější variantu: kratší interval, menší rozsah nebo agregované informace. Anonymizace musí zabránit identifikaci s využitím rozumně dostupných prostředků. Pouhé odstranění jména při ponechání unikátního zákaznického čísla často představuje jen pseudonymizaci a režim GDPR pokračuje.
Hypotetický příklad neúspěšné poptávky
Malá servisní společnost zpracovává poptávky na opravu strojů. Pro tento příklad interně navrhne odstranění neúspěšných poptávek šest měsíců po uzavření. Jde o smyšlené provozní rozhodnutí, nikoli o českou zákonnou lhůtu. Důvodem návrhu je obvyklý návrat zákazníka během sezony; firma musí před schválením doložit, zda její zkušenost takovou potřebu skutečně podporuje.
Poptávka obsahuje jméno, pracovní telefon, adresu provozovny a technický požadavek. Stav uzavřeno nastavuje obchodník po odmítnutí nabídky. Aplikace každý týden vybere záznamy, jejichž interní doba uplynula. Před odstraněním ověří, zda nevznikla objednávka nebo konkrétní spor. Úspěšné poptávky přejdou do jiného účelu se samostatným retenčním pravidlem.
Při první zkoušce správce zjistí, že přílohy zůstávají ve sdíleném úložišti. Opravený postup proto odstraní vazbu i soubor a zaznamená počet dotčených objektů. Potvrzení o dokončení neobsahuje původní nabídky ani kontakty; uvádí identifikátor dávky, pravidlo, čas a výsledek. Tím vzniká důkaz provedené operace bez dalšího nepotřebného archivu osobních údajů.
Zálohy a obnova starých záznamů
Zálohování nesmí fungovat jako trvalý sklad již vymazaných profilů. Zjistěte délku cyklu záloh, dostupnost jednotlivých kopií a oprávnění obnovy. U systémů, kde jednotlivý záznam nelze ihned odstranit ze zálohy, zdokumentujte důvod, omezení použití a okamžik, kdy kopie zanikne. Taková skutečnost musí odpovídat celkovému právnímu posouzení, nikoli být automatickou výjimkou z pravidel.
Před obnovením staršího prostředí připravte seznam dokončených výmazů nebo jiný spolehlivý mechanismus jejich opětovného provedení. Po obnově nejprve ověřte omezení přístupů, poté aplikujte změny a teprve potom zpřístupněte provoz uživatelům. Bez tohoto kroku se mohou vrátit odvolané souhlasy nebo účty osob, jejichž žádosti již byly vyřízeny.
Výjimka kvůli sporu musí mít konec
Pokud je konkrétní dokument potřebný pro právní nárok, vyjměte pouze nezbytnou část z běžné mazací dávky. Záznam o pozastavení výmazu má obsahovat důvod, rozsah, rozhodující osobu a událost ukončení. Formulace do odvolání bez kontroly vytváří nový problém. Doporučený termín interní revize je organizační volbou, nikoli zvláštní lhůtou GDPR.
K dokumentům v omezeném archivu nemají mít běžní obchodníci stejný přístup jako k aktivním klientům. Přístup přidělte podle potřeb nároku a jeho vyřízení. Po skončení sporu posuďte, zda existuje další konkrétní důvod uchování. Jestliže ne, vraťte dokumenty do výmazového procesu a zaznamenejte výsledek samostatně.
Kontrolní otázky před spuštěním
Umí aplikace vybrat záznamy podle skutečného ukončení účelu? Pokud eviduje jen datum vytvoření, může odstranit aktivní případ a současně ponechat nepotřebný starý záznam. Zkontrolujte výchozí hodnoty, ruční změny a importy. Chybějící datum nemá znamenat neomezené uchování: takové položky dejte do fronty k rozhodnutí vlastníka.
Vztahuje se pravidlo i na exporty? Tabulka v CRM nepokrývá automaticky soubory stažené do notebooku nebo odeslané účetnímu dodavateli. Evidujte významná místa, kam údaje odcházejí, a sjednejte u zpracovatele odpovídající provedení výmazu. Kontrola může využít potvrzení dodavatele a přiměřený vzorek výsledků, ne pouhé ústní ujištění.
Je výmaz vratný jen po schválení? Zkušební běh nejprve zobrazí počet a kategorie dotčených záznamů bez skutečného odstranění. Vlastník schválí pravidlo, technický správce ověří podmínky a až poté zapne ostrý režim. Přiměřený vzorek po provedení potvrdí, že zmizely údaje i související přílohy a že potřebné účetní záznamy zůstaly odděleně zachovány.
Co předat vedení k rozhodnutí
Předložte tabulku s ověřenými pravidly, seznam dosud nevyřešených kategorií a stručný popis technických omezení. U každé nejasnosti určete osobu, která ji vyřeší, a interní termín. Počet vyplněných řádků sám neprokazuje zavedení pravidel. Užitečnější je počet účelů, u nichž už proběhl kontrolovaný výmaz a existuje dohledatelný výsledek.
Při další změně formuláře, aplikace nebo dodavatele porovnejte novou datovou strukturu s retenční tabulkou. Nové pole může mít jinou potřebu než původní údaje. Také změna účelu vyžaduje vlastní posouzení. Pravidlo je dokončené až tehdy, když jeho význam znají lidé, kteří údaje používají, a technická operace odpovídá popsanému rozhodnutí.
Předávací protokol pro správce aplikace
Ke každému nasazovanému pravidlu přiložte popis výběru, očekávaný počet položek a způsob kontroly. Technik potřebuje vědět, zda se doba vztahuje k celému případu, poslední interakci nebo určitému dokumentu. Pokud se zákazník znovu ozve, musí být rozhodnuto, které údaje tím získají nový účel a které staré kopie přesto nemají zůstat. Automatické posunutí lhůty všech historických souborů při jakékoli aktivitě může popřít původní omezení.
Při kontrole výsledku zaznamenejte také chyby dávky. Nepodařený výmaz nesmí tiše zmizet ze seznamu úkolů. Vlastník potřebuje počet neúspěšných operací a jejich příčinu, aby mohl odlišit dočasný výpadek od nesprávného pravidla. Opakované spuštění musí zachovat právně potřebné výjimky, ale současně nesmí vytvářet nekonečnou frontu záznamů bez odpovědné osoby.
Navazující pracovní podklady
- Záznamy o činnostech zpracování: vyplnitelný vzor: propojte každý retenční řádek s konkrétním účelem a vlastníkem činnosti.
- Odpověď na žádost o výmaz podle GDPR: rozhodnutí a vzor: při individuální žádosti porovnejte důvod uchování s podmínkami práva na výmaz.
- Pravidla protokolování: osobní údaje v provozních lozích: provozní protokoly vyžadují vlastní rozsah, dobu a kontrolu přístupů.
- Odvolání souhlasu: postup od žádosti po zastavení použití: odvolaný souhlas musí zastavit použití údajů i v navazujících systémech.
- Audit GDPR: kontrolní seznam odpovědnosti a důkazů: ověřte zavedení pravidel na vzorku skutečně uzavřených případů.
Právní východiska: české znění GDPR na EUR-Lex a tematické informace Úřadu pro ochranu osobních údajů. Odkazy ověřeny 8. září 2026. Popsané pracovní postupy jsou návrhem pro přizpůsobení konkrétnímu zpracování; příklady nepředstavují rozhodnutí dozorového úřadu.