Rozpoznávanie návštevníkov a GDPR: vecné zaradenie

Kto sa informuje o rozpoznávaní návštevníkov, číta protichodné vyjadrenia. Jedni poskytovatelia hovoria, že súhlas je vždy potrebný. Iní sľubujú, že s ich riešením netreba vôbec nič. Oboje je príliš paušálne. Tento článok ukazuje kroky posúdenia, ktorými si otázku pre svoj web pripravíte sami. Je to zaradenie, nie právne poradenstvo. Nenahrádza posúdenie vašimi zodpovednými osobami pre ochranu údajov alebo právnikmi.

Stav zdrojov: 6. 11. 2026. Pred rozhodnutím si skontrolujte aktuálne znenie.

Dve samostatné posúdenia

Rozpoznávanie návštevníkov vyvoláva dve otázky, ktoré sa často miešajú:

1. Smie skript pristupovať k zariadeniu návštevníka? Upravuje to v Nemecku § 25 TDDDG, v Rakúsku § 165 Abs. 3 TKG 2021. Obe pravidlá pochádzajú zo smernice o e-privacy. Ukladať alebo čítať sa v zásade smie len so súhlasom, ibaže je prístup bezpodmienečne nutný na to, aby fungovala výslovne požadovaná služba.
2. Smie spracúvanie údajov prebiehať? Odpovedá na to GDPR, ak ide o osobné údaje. Potrebujete právny základ podľa čl. 6 ods. 1, napríklad súhlas (písm. a) alebo oprávnený záujem (písm. f).

Obe posúdenia platia vedľa seba. Oprávnený záujem podľa GDPR nenahrádza súhlas na prístup k zariadeniu. Naopak, súhlas so skriptom nerobí spracúvanie automaticky zákonným, ak ide nad rámec toho, na čo sa súhlasilo.

Skript, ktorý na zariadení nič neukladá ani nečíta, sa prvej otázky za určitých okolností nedotýka. Či to platí, závisí od techniky a posudzuje sa rôzne. Opýtajte sa poskytovateľa konkrétne, čo skript robí. Nechajte si to opísať písomne.

Je IP adresa osobným údajom?

Stručne: často áno. Súdny dvor Európskej únie v prípade C-582/14 (Breyer) rozhodol, že aj dynamická IP adresa môže byť osobným údajom, ak má prevádzkovateľ právne prostriedky získať cez tretie osoby (napríklad poskytovateľa pripojenia) prístup k osobe. Otázka závisí od jednotlivého prípadu. Orgány nastavujú prah skôr nízko. Podrobnú verziu nájdete v článku IP adresa a GDPR: je osobným údajom?.

Pre rozpoznávanie návštevníkov to znamená: Počítajte s tým, že rozhoduje už okamih, keď adresa dorazí na server, aj keď sa potom zahodí.

Firma, osoba, pseudonym

Rozpoznávanie návštevníkov v B2B tvrdí, že rozpoznáva iba firmy a nie osoby. To je dobrý prístup, ale nie bianko šek:

• Úroveň firmy pomáha. Ak je výsledkom názov podniku, na konci nestojí jednotlivec. To znižuje riziko, najmä pri vyhodnocovaní.
• Samostatne zárobkovo činné osoby, slobodné povolania a malé kancelárie sú firma a osoba zároveň. Výsledok ako „Schmidt Beratung“ sa môže vzťahovať na konkrétnu osobu.
• Home office. Kto surfuje z domu cez firemný VPN, objaví sa ako firma, hoci za tým stojí konkrétna osoba. Viac v článku Home office, VPN a mobilná sieť: koho nevidíte.
• Prepojenie. Hneď ako k firme hľadáte kontaktnú osobu alebo spájate správanie s inými údajmi, môže vzniknúť osobný vzťah.
• Pseudonymizácia je ochranné opatrenie, nie únik. Pseudonymizované údaje zostávajú osobnými údajmi, kým sa osoba dá určiť pomocou dodatočných informácií.

Kto používa videá myši alebo profily správania, približuje sa k osobe ešte viac. K tomu: Session replay a ochrana údajov: ako správne používať videá myši.

Roly a zmluvy

• Vy ako prevádzkovateľ webu ste spravidla zodpovedný v zmysle GDPR. Rozhodujete, či a na čo sa údaje zachytávajú.
• Poskytovateľ rozpoznávania návštevníkov spracúva údaje spravidla vo vašom mene a je potom sprostredkovateľom. Na to potrebujete zmluvu podľa čl. 28 GDPR. Skontrolujte, či poskytovateľ používa údaje aj na vlastné účely, pretože potom sa rola mení.
• Subdodávatelia (hostingové firmy, databázy, poskytovatelia firemných údajov) musia byť uvedení a zmluvne viazaní. Opýtajte sa na umiestnenie serverov a na to, či údaje tečú do tretích krajín.

Informačné povinnosti

Návštevníci sa musia dozvedieť, čo sa deje. Vyhlásenie o ochrane údajov by malo obsahovať aspoň:

• že sa používa rozpoznávanie návštevníkov a na čo
• ktoré údaje sa spracúvajú (napríklad otvorené stránky, časy, pôvod, doba zotrvania)
• právny základ
• ako dlho sa údaje ukladajú
• príjemcu alebo kategóriu príjemcov, teda vášho poskytovateľa
• práva dotknutých osôb: prístup, vymazanie, námietka, sťažnosť dozornému orgánu

Všeobecná veta o „webovej analytike“ nestačí, ak za ňou stojí priradenie firmy. Opíšte ho ako samostatný bod.

Švajčiarsko

Švajčiarsko má s revidovaným zákonom o ochrane údajov (revDSG) vlastné pravidlá, ktoré platia od 1. septembra 2023. Sú menej zamerané na súhlas, skôr na transparentnosť:

• Dotknuté osoby musíte primerane informovať o získavaní a spracúvaní ich osobných údajov.
• Spracúvanie musí byť primerané a účelovo viazané.
• Kto výslovne namieta, jeho údaje sa smú ďalej spracúvať len pri existencii dôvodu ospravedlnenia.
• Pre cookies a podobné techniky pristupujú informačné povinnosti z telekomunikačného práva.

Ak je vaša ponuka určená aj návštevníkom z EÚ, môže navyše platiť GDPR.

Kontrolný zoznam pre prevádzkovateľov

1. Opíšte písomne, aké údaje riešenie zachytáva, kedy a kde sa ukladajú.
2. Objasnite, či skript pristupuje ku koncovému zariadeniu. Potom rozhodnite, či na to získate súhlas.
3. Zvoľte pre spracúvanie právny základ a zdokumentujte vyváženie.
4. Uzavrite zmluvu o spracúvaní osobných údajov a nechajte si pomenovať subdodávateľov.
5. Skontrolujte umiestnenie serverov a možné prenosy do tretích krajín.
6. Doplňte vyhlásenie o ochrane údajov o samostatný oddiel.
7. Určte lehoty ukladania a kontrolujte, že sa maže.
8. Zablokujte citlivé oblasti ako pokladňa, účet a formuláre so zdravotnými údajmi.
9. Zriaďte spôsob vybavovania žiadostí o prístup a vymazanie.
10. Rozhodnite, či je potrebné posúdenie vplyvu na ochranu údajov. Výsledok zaznamenajte.
11. Zapíšte spracúvanie do záznamov o spracovateľských činnostiach.

Ako zorganizovať výberové konanie, ukazuje Porovnanie rozpoznávania návštevníkov: 12 kritérií výberu.

Otvorené otázky pre vaše právne poradenstvo

Niektoré body nie sú definitívne objasnené alebo závisia od vášho prípadu. Vezmite ich so sebou:

• Stačí na prístup k zariadeniu súhlas s kategóriou „štatistika“, alebo je potrebný samostatný súhlas?
• Je oprávnený záujem pre priradenie firmy udržateľný? Ako dopadne vyváženie pri malých firmách a samostatne zárobkovo činných osobách?
• Od akej veľkosti alebo právnej formy je výsledok jednoznačne „bez osobného vzťahu“?
• Ako presne musia byť návštevníci informovaní o priradení firmy?
• Ako narábate s námietkami, ak sa IP adresa neukladá?

Odpoveď existuje len v jednotlivom prípade. Kto vám paušálne sľúbi, že nezostane žiadne právne riziko, predáva vám záruku, ktorú nikto nemôže dať.

Ako s tým môže naložiť poskytovateľ

Ako príklad z praxe: Whovisit zahodí IP adresu po dopyte, ukladá iba firmy a inštitúcie a nenastavuje cookie. Kde sú údaje uložené a kto sa podieľa, je na stránke Princíp ochrany údajov. Ako dlho sa čo ukladá, je v pomocníkovi v časti Uchovávanie a vymazanie. Či to pre váš web stačí, rozhodnete spolu so svojím právnym poradenstvom.

Stručné zhrnutie

Rozpoznávanie návštevníkov posudzujte v dvoch krokoch: prístup k zariadeniu a spracúvanie. Úroveň firmy riziko zmierňuje, ale neodstraňuje. Objasnite roly a zmluvy, informujte samostatne a mažte skoro. A otvorené otázky si vezmite do rozhovoru s niekým, kto pozná váš biznis.