Žádost o přístup k osobním údajům je třeba převést na ověřitelný pracovní případ. Člověk nemusí uvést číslo článku ani použít firemní formulář. Zpráva, ve které se ptá, jaké údaje o něm organizace vede, může být žádostí podle článku 15 GDPR. Úkolem správce je určit rozsah, najít údaje a připravit úplnou, srozumitelnou a bezpečnou odpověď.
Právní rámec tvoří zejména články 12 a 15 GDPR. ÚOOÚ ve vysvětlení zpracování údajů na internetu popisuje možnost zjistit, zda a jak správce údaje zpracovává. Tento pracovní vzor rozlišuje informační část a kopii údajů. Odeslat pouze odkaz na obecné zásady ochrany osobních údajů zpravidla neodpovídá individuálnímu přístupu.
Přijetí a lhůta
Zaznamenejte den přijetí, obsah žádosti, kontaktní kanál a odpovědnou osobu. GDPR vyžaduje postup bez zbytečného odkladu, nejpozději do jednoho měsíce od obdržení žádosti. Za podmínek článku 12 lze lhůtu prodloužit o další dva měsíce s ohledem na složitost a počet žádostí; osobu je třeba o prodloužení i důvodech informovat během prvního měsíce.
Měsíc není automaticky třicet dnů a prodloužení není běžná rezerva pro dovolenou pracovníka. Interní plán nastavte tak, aby zbyl čas na kontrolu obsahu a doručení. Pokud je potřeba upřesnění, řešte ho včas. Nelze prostě předpokládat, že každá doplňující otázka automaticky zastaví všechny lhůty.
Ověření totožnosti přiměřené riziku
Má-li správce důvodné pochybnosti o totožnosti, může požádat o další nezbytné informace podle článku 12. Začněte tím, co již bezpečně znáte: přihlášený účet, známá kontaktní cesta nebo ověření konkrétního vztahu. Nevyžadujte kopii občanského průkazu plošně od každého člověka. Nadbytečný doklad by přidal další citlivý soubor do procesu.
Zvlášť ověřte zástupce a rozsah jeho oprávnění. Plná moc nebo jiný podklad má odpovídat konkrétní žádosti. Pokud někdo žádá z nové e-mailové adresy o rozsáhlý zaměstnanecký spis, nestačí shoda jména. Zvolte postup, který snižuje riziko vydání údajů nesprávné osobě a současně neklade žadateli nepřiměřené překážky.
Vyhledávací plán
| Oblast | Co prověřit | Co uložit do pracovního spisu |
|---|---|---|
| Aktivní aplikace | Profil, objednávky, kontakty a provozní historii | Použitý identifikátor a potvrzení rozsahu hledání |
| Podpora | Požadavky, přílohy a související komunikaci | Odpovědnou osobu a nalezené kategorie |
| Sdílené soubory | Pracovní tabulky a exporty podle daného účelu | Cestu a výsledek bez zbytečných nových kopií |
| Papírové podklady | Relevantní složky a evidované dokumenty | Rozsah fyzického hledání a odpovědnou roli |
| Zpracovatelé | Údaje dostupné jen u smluvních dodavatelů | Žádost o součinnost a potvrzení výsledku |
| Archiv | Uchovávané záznamy spojené s osobou | Důvod zahrnutí nebo konkrétní omezení |
Hledejte podle identifikátorů, které skutečně spojují údaje s osobou. Pouhé jméno může vrátit údaje jmenovce a naopak minout interní číslo zákazníka. Při nejasném rozsahu lze požádat o upřesnění, ale nepřenášejte na žadatele povinnost znát názvy interních systémů. Za mapu zpracování odpovídá správce.
Pracovní vzor odpovědi
Vaši žádost ze dne [datum] jsme posoudili. Potvrzujeme, že zpracováváme osobní údaje, které se vás týkají, v souvislosti s [konkrétní činnosti]. V přiloženém přehledu uvádíme účely, kategorie údajů, příjemce a dobu uchování nebo její kritéria. Kopii příslušných údajů předáváme prostřednictvím [bezpečný způsob]. Případná omezení vysvětlujeme u jednotlivých částí níže.
Doplňte relevantní informace o právech, možnosti stížnosti, zdroji údajů, případném automatizovaném rozhodování a zárukách předání do třetích zemí. Pokud správce žádné údaje nezpracovává, sdělte tento výsledek jasně. Nevyplňujte prázdnou tabulku smyšlenými kategoriemi jen proto, že jsou součástí univerzálního vzoru.
Kopie musí být věrná a srozumitelná. Uveďte význam interních zkratek, stavů a hodnot, které by jinak člověk nedokázal pochopit. Podle okolností může být potřebný výňatek z dokumentu nebo celý dokument, aby údaje dávaly smysl. Samotný technický export bez vysvětlení nemusí být vhodným výsledkem.
Hypotetický případ zákaznické podpory
Smyšlený zákazník žádá o přístup k údajům spojeným s reklamací. Správce najde kontaktní profil, dvě servisní události a komunikaci se zpracovatelem podpory. V příloze jedné zprávy je soupis dalších zákazníků omylem připojený zaměstnancem. Tento soupis není možné bez rozmyslu odeslat žadateli jako součást úplného exportu.
Odpovědný pracovník vybere údaje týkající se žadatele a posoudí nezbytné zakrytí cizích údajů. Přitom zachová kontext vlastní reklamace. Do interního záznamu uvede, co bylo omezeno a proč. Nález chybné přílohy zároveň předá osobě řešící bezpečnostní incidenty, protože právo na přístup neodstraňuje samostatnou potřebu posoudit porušení zabezpečení.
Finální balíček obsahuje přehled činností, čitelný výpis událostí, relevantní korespondenci a vysvětlení kódů. Odkaz vede do chráněného prostředí dostupného žadateli. Správce zaznamená čas odeslání a výsledek doručení. Nepovažuje za dokončení pouze vytvoření souboru na interním disku.
Práva dalších osob a důvody omezení
Článek 15 chrání také práva a svobody jiných osob. To vyžaduje konkrétní vyvážení, nikoli automatické odmítnutí celé žádosti kvůli jednomu cizímu jménu. Zvažte oddělení části dokumentu, anonymizaci cizích údajů nebo jiné zpřístupnění, které zachová informace o žadateli. Obecné obchodní tajemství bez vysvětlení není univerzální odpovědí.
Pokud žádosti nevyhovíte, postupujte podle článku 12 a sdělte důvody i informace o možnosti stížnosti a soudní ochrany. U zjevně nedůvodných nebo nepřiměřených žádostí nese správce důkazní břemeno pro takový závěr. Opakovaná žádost sama o sobě neznamená zneužití; posuzujte skutečné okolnosti a rozdíl od předchozího vyřízení.
Bezpečné předání
Vyberte formu podle obsahu a způsobu žádosti. U elektronické žádosti GDPR počítá s běžně používanou elektronickou formou, pokud osoba nepožádá jinak. Přístupový odkaz s přiměřenou ochranou může být vhodnější než nechráněná příloha, ale bezpečnostní řešení nesmí žadateli prakticky znemožnit získání údajů.
Před odesláním zkontrolujte adresáta, přílohy, skryté listy tabulek a metadata souborů. Heslo neposílejte automaticky ve stejné zprávě jako chráněný soubor, pokud by tím ochrana ztratila smysl. Stanovte dostupnost odkazu a náhradní cestu, aby nedošlo k faktickému odmítnutí kvůli krátké technické expiraci.
Uzavření a poučení pro další případ
Pracovní spis má obsahovat žádost, použité ověření, hledané zdroje, rozhodnutí o omezeních, finální odpověď a důkaz předání. Neuchovávejte všechny pracovní exporty neomezeně. Určete dobu podle potřeb doložení a dalších použitelných povinností, odlišně od původního účelu zákaznických dat.
Zaznamenejte také zjištěné překážky: chybějící vlastník systému, nečitelný export nebo pomalá reakce dodavatele. Každá taková překážka je konkrétní zlepšení procesu. Správně vyřízená žádost poskytne osobě použitelnou odpověď a organizaci ověřenou mapu, podle které příště nemusí začínat od nuly.
Kontrola příloh druhou odpovědnou osobou
U rozsáhlé odpovědi je užitečná kontrola člověkem, který export nepřipravoval. Posoudí shodu žadatele, rozsahu a příloh, čitelnost výstupu a případné údaje dalších osob. Nejde o povinný univerzální počet schvalovatelů podle GDPR, ale o přiměřené organizační opatření podle rizika. Jednoduchý přehled několika údajů může potřebovat jinou kontrolu než celý soubor personální komunikace.
Zvlášť prověřte skryté sloupce a historii dokumentů. Tabulka může na obrazovce ukazovat pouze údaje žadatele, zatímco skrytý list obsahuje celou populaci. U PDF ověřte, že zakryté informace nelze běžně získat kopírováním textu. Vydávaný soubor prohlédněte jako příjemce, nikoli jen v interním náhledu aplikace.
Pokud žádost zahrnuje opravu nesprávných údajů, oddělte tento krok od samotného zpřístupnění. Záznam přístupu má ukázat, co bylo vydáno, a samostatná oprava, které hodnoty byly změněny a proč. Člověku vysvětlete obě části v jedné srozumitelné odpovědi, aniž by se ztratily lhůty a důkazy příslušných práv. Název interního ticketu nesmí zúžit skutečný obsah žádosti.
Navazující pracovní podklady
- Záznamy o činnostech zpracování: vyplnitelný vzor: připravte vyhledávací plán podle evidovaných systémů, účelů a příjemců.
- Informace o zpracování osobních údajů: použitelný vzor: porovnejte individuální odpověď s informacemi poskytovanými při sběru.
- Odpověď na žádost o výmaz podle GDPR: rozhodnutí a vzor: oddělte žádost o získání kopie od požadavku údaje odstranit.
- Evidence porušení zabezpečení: vzor registru incidentů: případné neoprávněné přílohy nebo přístupy posuďte také jako incident.
- Zpracovatelská smlouva: kontrolní seznam podle článku 28: ověřte smluvní součinnost dodavatelů při dohledání a exportu údajů.
Právní východiska: české znění GDPR na EUR-Lex a tematické informace Úřadu pro ochranu osobních údajů. Odkazy ověřeny 8. září 2026. Popsané pracovní postupy jsou návrhem pro přizpůsobení konkrétnímu zpracování; příklady nepředstavují rozhodnutí dozorového úřadu.