Rozpoznání návštěvníků a GDPR: věcné zhodnocení

Kdo se o rozpoznání návštěvníků informuje, čte protichůdná tvrzení. Jedni poskytovatelé říkají, že souhlas je vždy nutný. Druzí slibují, že s jejich řešením není třeba nic. Obojí je příliš paušální. Tento článek ukazuje kroky posouzení, jimiž si otázku pro svůj web připravíte sami. Je to zařazení, nikoli právní poradenství. Nenahrazuje posouzení vašimi pověřenci pro ochranu údajů nebo právníky.

Stav zdrojů: 6. 11. 2026. Před rozhodnutím si ověřte aktuální znění.

Dvě oddělené kontroly

Rozpoznání návštěvníků vyvolává dvě otázky, které se často směšují:

1. Smí skript přistupovat k zařízení návštěvníka? To upravuje v Německu § 25 TDDDG, v Rakousku § 165 Abs. 3 TKG 2021. Obě pravidla pocházejí ze směrnice ePrivacy. Ukládat nebo číst se v zásadě smí jen se souhlasem, ledaže je přístup bezpodmínečně nutný k tomu, aby fungovala výslovně požadovaná služba.
2. Smí zpracování údajů probíhat? Na to odpovídá GDPR, pokud jde o osobní údaje. Potřebujete právní základ podle čl. 6 odst. 1, například souhlas (písm. a) nebo oprávněný zájem (písm. f).

Obě kontroly platí vedle sebe. Oprávněný zájem podle GDPR nenahrazuje souhlas pro přístup k zařízení. Naopak souhlas pro skript nečiní zpracování automaticky zákonným, pokud jde nad rámec toho, k čemu byl souhlas dán.

Skript, který na zařízení nic neukládá ani nečte, se první otázky za určitých okolností nedotýká. Zda to platí, závisí na technice a posuzuje se různě. Zeptejte se poskytovatele konkrétně, co skript dělá. Nechte si to popsat písemně.

Je IP adresa osobním údajem?

Stručně: často ano. Soudní dvůr Evropské unie rozhodl ve věci C-582/14 (Breyer), že i dynamická IP adresa může být osobním údajem, pokud má provozovatel právní prostředky, jak se přes třetí osoby (například poskytovatele přístupu) k osobě dostat. Otázka tedy závisí na jednotlivém případě. Úřady nastavují práh spíše nízko. Podrobnou verzi najdete v článku IP adresa a GDPR: je osobním údajem?.

Pro rozpoznání návštěvníků to znamená: počítejte s tím, že se počítá už okamžik, kdy adresa dorazí na server, i když je poté zahozena.

Firma, osoba, pseudonym

Rozpoznání návštěvníků v B2B tvrdí, že rozpoznává jen firmy a nikoli osoby. To je dobrý přístup, ale není to volný lístek:

• Úroveň firmy pomáhá. Pokud je výsledkem název podniku, na konci nestojí jednotlivá osoba. Snižuje to riziko, zejména při vyhodnocení.
• Osoby samostatně výdělečně činné, svobodná povolání a malé kanceláře jsou firma a osoba zároveň. Výsledek jako „Schmidt Beratung“ se může vztahovat ke konkrétní osobě.
• Home office. Kdo surfuje z domova přes firemní VPN, objeví se jako firma, přestože za tím stojí konkrétní osoba. Více v článku Home office, VPN a mobilní sítě: koho nevidíte.
• Propojení. Jakmile k firmě hledáte kontaktní osobu nebo spojujete chování s jinými údaji, může vzniknout vztah k osobě.
• Pseudonymizace je ochranné opatření, nikoli východisko. Pseudonymizované údaje zůstávají osobními údaji, dokud lze osobu určit pomocí dalších informací.

Kdo používá videa myši nebo behaviorální profily, přibližuje se k osobě ještě víc. K tomu: Session replay a ochrana údajů: jak správně používat videa myši.

Role a smlouvy

• Vy jako provozovatel webu jste zpravidla odpovědný ve smyslu GDPR. Rozhodujete, zda a k čemu se údaje zachycují.
• Poskytovatel rozpoznání návštěvníků zpracovává údaje zpravidla z vašeho pověření a je pak zpracovatelem. K tomu potřebujete smlouvu podle čl. 28 GDPR. Ověřte, zda poskytovatel používá údaje i k vlastním účelům, protože pak se role mění.
• Subdodavatelé (hostingové firmy, databáze, poskytovatelé firemních dat) musí být uvedeni a smluvně vázáni. Zeptejte se na umístění serverů a na to, zda údaje proudí do třetích zemí.

Informační povinnosti

Návštěvníci se musí dozvědět, co se děje. Zásady ochrany osobních údajů by měly obsahovat alespoň:

• že se používá rozpoznání návštěvníků a k čemu
• které údaje se zpracovávají (například zobrazené stránky, časy, původ, doba setrvání)
• právní základ
• jak dlouho se údaje ukládají
• příjemce nebo kategorii příjemců, tedy vašeho poskytovatele
• práva subjektů údajů: přístup, výmaz, námitka, stížnost u dozorového úřadu

Obecná věta o „webové analytice“ nestačí, pokud za ní stojí přiřazení firmy. Popište je jako samostatný bod.

Švýcarsko

Švýcarsko má s revidovaným zákonem o ochraně údajů (revDSG) vlastní pravidla, která platí od 1. září 2023. Jsou méně zaměřena na souhlas, spíše na transparentnost:

• Musíte subjekty údajů přiměřeně informovat o získávání a zpracování jejich osobních údajů.
• Zpracování musí být přiměřené a účelově vázané.
• Kdo výslovně vznese námitku, jeho údaje smějí být dále zpracovávány jen při existenci důvodu ospravedlnění.
• Pro cookies a podobné techniky přistupují informační povinnosti z práva telekomunikací.

Pokud vaše nabídka platí i pro návštěvníky z EU, může se navíc uplatnit GDPR.

Kontrolní seznam pro provozovatele

1. Popište písemně, které údaje řešení zachycuje, kdy a kde se ukládají.
2. Ujasněte, zda skript přistupuje ke koncovému zařízení. Poté rozhodněte, zda k tomu získáte souhlas.
3. Zvolte pro zpracování právní základ a zdokumentujte vyvažování.
4. Uzavřete smlouvu o zpracování osobních údajů a nechte si uvést subdodavatele.
5. Ověřte umístění serverů a možná předání do třetích zemí.
6. Doplňte zásady ochrany osobních údajů o samostatnou část.
7. Stanovte lhůty uložení a kontrolujte, že se maže.
8. Zablokujte citlivé oblasti, jako je pokladna, účet a formuláře se zdravotními údaji.
9. Zřiďte cestu ke zpracování žádostí o přístup a výmaz.
10. Rozhodněte, zda je nutné posouzení vlivu na ochranu údajů. Výsledek zaznamenejte.
11. Zapište zpracování do záznamů o činnostech zpracování.

Jak výběrové řízení uspořádat, ukazuje článek Srovnání rozpoznání návštěvníků: 12 kritérií pro výběr.

Otevřené otázky pro vaše právní poradenství

Některé body nejsou definitivně vyjasněny nebo závisejí na vašem případu. Vezměte si je s sebou:

• Stačí pro přístup k zařízení souhlas v kategorii „Statistika“, nebo je třeba vlastní souhlas?
• Je oprávněný zájem pro přiřazení firmy udržitelný? Jak dopadá vyvažování u malých firem a osob samostatně výdělečně činných?
• Od jaké velikosti nebo právní formy je výsledek jednoznačně „bez vztahu k osobě“?
• Jak přesně musí být návštěvníci informováni o přiřazení firmy?
• Jak naložíte s námitkami, když se IP adresa neukládá?

Odpověď existuje jen v jednotlivém případě. Kdo vám paušálně slíbí, že nezůstává žádné právní riziko, prodává vám záruku, kterou nikdo dát nemůže.

Jak s tím může naložit poskytovatel

Jako příklad z praxe: Whovisit zahazuje IP adresu po dotazu, ukládá jen firmy a instituce a nenastavuje žádné cookie. Kde údaje leží a kdo se podílí, je na stránce Zásada ochrany dat. Jak dlouho se co ukládá, je v nápovědě pod Uchování a mazání. Zda to pro váš web stačí, rozhodnete spolu se svým právním poradenstvím.

Stručné shrnutí

Posuzujte rozpoznání návštěvníků ve dvou krocích: přístup k zařízení a zpracování. Úroveň firmy riziko snižuje, ale neodstraňuje. Ujasněte role a smlouvy, informujte samostatně a mažte brzy. A otevřené otázky si vezměte do rozhovoru s někým, kdo zná váš obchod.