GDPR u hostingu a cloudu: zpracovatelská smlouva, umístění dat v ČR a EU a předávání do USA

Pokud na serveru u poskytovatele hostingu nebo cloudu ukládáte osobní údaje – zákazníky e-shopu, zaměstnance, klienty účetní kanceláře – je poskytovatel obvykle váš zpracovatel a potřebujete s ním zpracovatelskou smlouvu podle čl. 28 GDPR (nařízení (EU) 2016/679). GDPR nevyžaduje, aby data zůstala v Česku; v rámci EU a EHP se mohou volně pohybovat. Pokud se ale osobní údaje předávají mimo EHP – uložením v datovém centru mimo EU nebo přístupem podpory či subdodavatelů ze třetí země – musí mít předání právní základ podle kapitoly V (čl. 44–50): rozhodnutí o odpovídající ochraně, vhodné záruky jako standardní smluvní doložky, nebo výjimky. Pro USA platí rozhodnutí o odpovídající ochraně k EU–US Data Privacy Framework pro certifikované firmy. Pravidla vysvětlujeme obecně; u složitější situace se poraďte s pověřencem nebo advokátem. Další rizika shrnuje pilířový článek nejčastější chyby a oficiální zdroje.

Kdy je poskytovatel zpracovatelem

Rozhoduje skutečný vztah, ne název služby. U velkých poskytovatelů je zpracovatelská smlouva obvykle součástí obchodních podmínek (často jako „DPA“) a přijímáte ji při objednávce; uložte si verzi platnou k datu objednávky.

Co musí zpracovatelská smlouva obsahovat (čl. 28 odst. 3)

1. předmět, dobu trvání, povahu a účel zpracování, typ údajů a kategorie subjektů,
2. zpracování jen na základě doložených pokynů správce, včetně předávání do třetích zemí (písm. a)),
3. závazek mlčenlivosti osob oprávněných zpracovávat údaje (písm. b)),
4. bezpečnostní opatření podle čl. 32 (písm. c)),
5. podmínky pro zapojení dalšího zpracovatele – subdodavatele (písm. d), odst. 2 a 4),
6. pomoc s vyřizováním práv subjektů údajů (písm. e)),
7. pomoc s povinnostmi podle čl. 32–36 – zabezpečení, hlášení porušení, posouzení vlivu (písm. f)),
8. výmaz nebo vrácení všech osobních údajů po ukončení služeb a výmaz kopií (písm. g)),
9. poskytnutí informací a umožnění auditů (písm. h)).

Za porušení povinností podle čl. 28 hrozí pokuta až 10 000 000 EUR nebo 2 % celosvětového ročního obratu (čl. 83 odst. 4). Za porušení pravidel předávání do třetích zemí až 20 000 000 EUR nebo 4 % (čl. 83 odst. 5 písm. c)).

Umístění dat: region, subdodavatelé a vzdálený přístup

„Data jsou v EU“ může znamenat různé věci. Ověřte tři úrovně:

Seznam subdodavatelů musí poskytovatel zpřístupnit a informovat o změnách, aby jim správce mohl vznést námitky (čl. 28 odst. 2). Nastavte si odběr upozornění na změny seznamu.

Předání do třetích zemí (kapitola V)

Stav DPF k říjnu 2026: prováděcí rozhodnutí Komise (EU) 2023/1795 o odpovídající ochraně v rámci EU–US Data Privacy Framework platí. Tribunál žalobu proti němu zamítl rozsudkem ze dne 3. 9. 2025 (věc T-553/23, Latombe). Proti rozsudku bylo podáno odvolání k Soudnímu dvoru (C-703/25 P), o kterém podle dostupných informací k datu aktualizace článku nebylo rozhodnuto. Pokud se rozhodnutí o odpovídající ochraně zruší, bude třeba přejít na jiný nástroj – proto se u kritických dat vyplatí mít ve smlouvě i standardní smluvní doložky jako zálohu. Aktuální stav sledujte na ÚOOÚ a EDPB.

Neosobní data a přístup cizích orgánů

Nařízení (EU) 2023/2854 (Data Act) ukládá poskytovatelům cloudu zveřejňovat na webu jurisdikci, které podléhá jejich infrastruktura, a popis opatření proti nezákonnému mezinárodnímu přístupu orgánů veřejné správy k neosobním údajům uloženým v EU (čl. 28 a 32). U obchodního tajemství a technických dat to je užitečný zdroj informací při výběru. U regulovaných firem vyžaduje příloha č. 5 vyhlášky č. 409/2025 Sb. mimo jiné ustanovení o informování o žádostech cizozemských orgánů o zpřístupnění dat.

Cena umístění dat

Volba regionu ovlivní i cenu. Modelový příklad (ilustrativní): server v regionu A za 2 600 Kč, v regionu B za 2 300 Kč měsíčně. Rozdíl 300 Kč měsíčně je 3 600 Kč ročně. Pokud by ale levnější region byl mimo EU a vy byste kvůli tomu potřebovali posouzení rizik předání a revizi smluv, vyjde tato práce dráž než úspora. U menších firem bývá jednodušší zvolit region v EU.

Postup pro malou firmu

1. Sepište, jaké osobní údaje na serverech jsou.
2. Uzavřete nebo přijměte zpracovatelskou smlouvu a uložte si ji.
3. Zjistěte region uložení, subdodavatele a místa vzdáleného přístupu.
4. U předání mimo EHP určete nástroj podle kapitoly V a zdokumentujte ho.
5. Zapište poskytovatele do záznamů o činnostech zpracování, pokud je vedete (čl. 30).
6. Při ukončení služby si vyžádejte výmaz nebo vrácení dat.
7. Ve smlouvě a SLA zkontrolujte, co se s daty stane při pozastavení služby a po skončení smlouvy (SLA, dostupnost a smlouva).

Časté otázky

Musí být data e-shopu uložena v Česku?

Ne. GDPR umožňuje uložení kdekoli v EU a EHP a za podmínek kapitoly V i mimo. Uložení v Česku může vyžadovat smlouva se zákazníkem nebo zvláštní předpis.

Stačí, že poskytovatel má datové centrum v EU?

Ne vždy. Pokud data zpracovávají subdodavatelé nebo podpora ze třetích zemí, jde o předání a musí mít právní základ. Ověřte seznam subdodavatelů.

Co když poskytovatel změní subdodavatele?

Musí vás informovat a umožnit vám vznést námitky. Pokud změnu nepřijmete, zvažte výpověď – a připravte si plán odchodu.

Zdroje

• Úřad pro ochranu osobních údajů – zpracovatelé, předávání do třetích zemí
• Evropský sbor pro ochranu osobních údajů – pokyny k předávání a doplňkovým opatřením
• Data Privacy Framework – seznam certifikovaných firem v USA
• EUR-Lex – GDPR (2016/679), rozhodnutí (EU) 2023/1795 a 2021/914, Data Act
• Zákony pro lidi – zákon č. 110/2019 Sb., o zpracování osobních údajů