Zpracování osobních údajů na základě souhlasu

Zpracování osobních údajů na základě souhlasu je jakýkoli svobodně daný, konkrétní, informovaný a jednoznačný projev vůle subjektu údajů, kterým formou prohlášení nebo jiného zjevného potvrzení vyjadřuje svolení ke zpracování svých osobních údajů.

V tomto článku se budeme věnovat tématu získání, zaznamenání a zpracování osobních údajů na základě uděleného souhlasu subjektu údajů ve smyslu čl. 6 odst. 1 písm. a) nebo ve smyslu čl. 9 odst. 2 písm. a) nařízení Evropského parlamentu a Rady (EU) 2016/679 (dále jen „nařízení“).

Dva pojmy, které se v textu opakují:

• Subjekt údajů je každá fyzická osoba, které se osobní údaje týkají;
• Správce je fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů.

Udělení souhlasu

Žádost o udělení souhlasu musí být stručná a konkrétní, ve snadno srozumitelné formě. Souhlas je platný jen tehdy, byl-li udělen svobodně. Nemůže být podmíněný ani vynucovaný. Souhlas nemůže být skrytý ve smluvních podmínkách, musí být oddělený od jakýchkoli jiných informací. Pokud chcete získat souhlas k různým účelům zpracování, bude potřeba si od subjektů údajů vyžádat samostatný souhlas pro každý konkrétní účel zpracování.

(Odůvodnění 43) — Souhlas se nepovažuje za svobodný, pokud není možné dát samostatný souhlas k jednotlivým operacím zpracování osobních údajů, přestože je to v daném případě vhodné, nebo pokud se plnění smlouvy včetně poskytnutí služby podmiňuje takovým souhlasem, přestože k takovému plnění není tento souhlas nezbytný.

Kdy mohu zpracovávat osobní údaje na základě uděleného souhlasu

Osobní údaje subjektů údajů zpracováváte na základě souhlasu tehdy, pokud nemáte jiný vhodný právní základ zpracování, například:

• zpracování je nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost tohoto subjektu údajů;
• zpracování je nezbytné pro splnění právní povinnosti, která se na správce vztahuje;
• zpracování je nezbytné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby;
• zpracování je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce;
• zpracování je nezbytné pro účely oprávněných zájmů správce či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů, zejména pokud je subjektem údajů dítě.

Příklady metod udělení souhlasu

• podepsání prohlášení o souhlasu na papírovém formuláři
• zaškrtnutí políčka udělení souhlasu na papíře nebo elektronicky
• kliknutí na tlačítko přihlášení (například při přihlášení k odběru novinek prostřednictvím newsletteru)
• výběr ze stejně nápadných možností ano/ne
• odpověď na e-mail se žádostí o udělení souhlasu
• odpověď „ano“ na jasnou žádost o udělení souhlasu prostřednictvím zvukových nebo zvukově-obrazových záznamových zařízení
• vložení svých kontaktních údajů (vizitky) do slosovacích boxů

Uplatní-li se čl. 6 odst. 1 písm. a) nařízení v souvislosti s nabídkou služeb informační společnosti adresovanou přímo dítěti, je zpracování osobních údajů dítěte zákonné teprve tehdy, je-li dítěti alespoň tolik let, kolik stanoví národní úprava. Nařízení připouští rozpětí od 13 do 16 let a konkrétní hranici určuje zákon daného státu; v České republice je to 15 let. U mladšího dítěte je souhlas platný jen tehdy, byl-li udělen nebo schválen osobou vykonávající rodičovskou zodpovědnost.

Předem zaškrtnuté políčko udělení souhlasu ve formulářích je zakázané.

Uchovávání souhlasů

Správce je povinen uchovávat udělený souhlas po dobu jeho platnosti. Uchovávejte je na bezpečném místě. Na žádost subjektu údajů nebo Úřadu pro ochranu osobních údajů je správce povinen prokázat, že má legitimně získaný souhlas se zpracováním osobních údajů.

Souhlas, který byl udělen:

• prostřednictvím online formulářů nebo služeb musí z důvodu prokázání získaného souhlasu obsahovat kromě zpracovávaných osobních údajů i časové razítko, tedy datum a čas udělení; uchovávejte si i kopii verze formuláře, která se při udělení souhlasu použila, a všechny ostatní relevantní dokumenty, které se používají;
• v písemné formě prostřednictvím příslušného dokumentu nebo formuláře musí obsahovat datum udělení souhlasu a podpis subjektu údajů;
• ústně prostřednictvím zvukových nebo zvukově-obrazových zařízení — pak musí záznam obsahovat datum a čas vytvoření záznamu.

Platnost souhlasu rodiče automaticky neskončí, když dítě dosáhne věku, ve kterém může souhlas udělit samo. Je ale třeba mít na paměti, že k účelu zpracování se subjekt údajů bude vyjadřovat sám.

Žádost o udělení souhlasu obsahuje zejména:

• kontaktní údaje organizace, která bude osobní údaje zpracovávat (správce), případně kontaktní údaje dalších organizací, pokud zpracování budou provádět i ony;
• účel zpracování osobních údajů;
• činnosti zpracování;
• právní základ zpracování;
• kategorie zpracovávaných osobních údajů pro daný účel;
• informace o době zpracování osobních údajů;
• informaci o tom, že souhlas lze kdykoli odvolat před uplynutím doby, na kterou byl udělen, a informaci o tom, jak jej subjekt údajů může odvolat.

Musíte se také ujistit, že subjektům údajů poskytnete dostatečné informace o ochraně osobních údajů, abyste vyhověli jejich právu na informace ve smyslu čl. 13 nařízení. Tyto doplňující informace nemusí být součástí žádosti o udělení souhlasu, ale mohou být přílohou nebo odkazem na zpracování osobních údajů, kde je větší prostor pro vícevrstvý přístup k podmínkám zpracování osobních údajů.

Nakládání se získanými souhlasy

O získané souhlasy se musíte náležitě starat. Zpřístupňujte je jen pověřeným osobám a smluvním partnerům. Zpracovávat osobní údaje k jinému účelu, než pro který byly získány, se zakazuje.

Pokud se něco změní, budete je muset obnovit — například pokud se vaše operace zpracování nebo účely vyvíjejí, původní souhlas nemusí být dostatečně konkrétní nebo informovaný. Pokud máte jakékoli pochybnosti, zda je udělený souhlas stále platný, obnovte jej.

Odvolání souhlasu

Subjekt údajů má právo kdykoli odvolat svůj souhlas. Odvoláním souhlasu není dotčena zákonnost zpracování vycházejícího ze souhlasu před jeho odvoláním. Odvolat souhlas musí být stejně snadné jako jej udělit.

Příklad — Správce získal souhlas se zpracováním osobních údajů od subjektu údajů po telefonu. Subjekt údajů se později rozhodne, že chce svůj souhlas odvolat. Správce musí umožnit odvolání i po telefonu — ne jen například písemně.

Odvolání souhlasu se vztahuje i na zpracovávané osobní údaje zvláštní kategorie, u kterých se používá výslovný souhlas. Pokud tedy používáte výslovný souhlas jako podmínku podle čl. 9 a subjekt údajů svůj souhlas odvolá, už ho nemůžete jako svou podmínku použít. Souhlasy, které vám byly udělené v písemné podobě, nevyhazujte do odpadkových košů, ale zlikvidujte je skartováním nebo spálením. Pokud není ve vašich možnostech provést likvidaci vlastními silami, oslovte společnosti, které se likvidací (skartováním) dokumentů zabývají. Nezapomeňte si vyžádat protokol o skartaci dokumentů.

V případě jakýchkoli dotazů nás neváhejte kontaktovat.

Právní stav ověřen k 8. 10. 2026. U právního obsahu je zastaralý článek horší než žádný — pokud najdete nesrovnalost, napište nám na cz@iosec.eu.