# GDPR v malé firmě bez právničiny: co opravdu musíte mít

https://www.magnapro.eu/blog/gdpr-v-male-firme-bez-pravniciny-co-opravdu-musite-mit

*Publikováno: 2025-12-11 · Rubrika: Kyberbezpečnost*

GDPR straší malé firmy už léta, přitom základ zvládnete bez armády právníků. Přehledně: jaké povinnosti se vás týkají, co je mýtus a kde začít.

## GDPR se týká i vás, ale ne tak, jak se povídá

Obecné nařízení o ochraně osobních údajů (GDPR) platí od května 2018 a vztahuje se na každou firmu, která pracuje s osobními údaji, tedy prakticky na každou: máte zaměstnance, zákazníky, dodavatele. Kolem GDPR ale narostla spousta strašáků. Realita pro malou firmu je střízlivější: **jde hlavně o pořádek v tom, jaké údaje máte, proč je máte a jak je chráníte.** Žádná magie, spíš zdravý rozum s dokumentací.

## Evidence: vědět, co o lidech víte

Základní dokument je záznam o činnostech zpracování. Je to přehled, jaké osobní údaje zpracováváte, za jakým účelem, jak dlouho je uchováváte a kdo k nim má přístup. U malé firmy jde typicky o personalistiku, fakturaci, databázi zákazníků a třeba kamerové záznamy. Sepsání zabere odpoledne a vyplatí se dvojnásob: donutí vás zjistit, kde všude data leží, a přestat schraňovat údaje, které k ničemu nepotřebujete.

## Souhlasy: potřebujete jich míň, než myslíte

Největší mýtus zní, že na všechno potřebujete souhlas. Opak je pravdou. Většina zpracování stojí na jiných právních základech: plnění smlouvy (fakturace, dodání zboží), zákonná povinnost (účetnictví, mzdy) nebo oprávněný zájem (přiměřený marketing vůči stávajícím zákazníkům). Souhlas je až poslední možnost, typicky pro newsletter lidem, kteří u vás nikdy nenakoupili. A vyžádaný souhlas musí být dobrovolný a kdykoli odvolatelný, protože vynucený souhlas je bezcenný.

## Zabezpečení: GDPR je z poloviny o IT

Nařízení požaduje „vhodná technická a organizační opatření". V praxi to znamená šifrování a zálohy, řízení přístupů (účetní nepotřebuje vidět personální složky), aktuální systémy, silná hesla s vícefaktorovým ověřením a smlouvy o zpracování s dodavateli, kteří k datům přistupují. U dat v cloudu se ptejte, kde fyzicky leží. [MagnaCloud](https://magnacloud.cz) provozujeme na vlastních serverech v ČR, což odpověď hodně zjednodušuje.

Velkou část požadavků GDPR plní technika: přístupová práva, šifrování, logy, retence. Nastavení téhle části je součástí [externí správy IT](https://www.magnapro.eu/sluzby/outsourcing).

## Únik dat: 72 hodin na ohlášení

Když dojde k porušení zabezpečení (ukradený notebook, ransomware, e-mail odeslaný špatnému příjemci), máte povinnost do 72 hodin ohlásit incident Úřadu pro ochranu osobních údajů, pokud představuje riziko pro dotčené osoby. Při vysokém riziku informujete i samotné lidi. Proto se vyplatí mít předem jasno, kdo incident posoudí a ohlásí. Podrobný postup první hodiny po útoku najdete v našem [krizovém manuálu](https://www.magnapro.eu/blog/prvnich-60-minut-po-kyberutoku-krizovy-manual-pro-firmy).

## Kde začít, ať to nebolí

Shrnuto: sepište evidenci zpracování, ověřte právní základy, přidejte zásady ochrany údajů na web, uzavřete zpracovatelské smlouvy a dotáhněte technické zabezpečení. Právě s tou poslední a nejpracnější částí umíme v MAGNAPRO pomoct nejvíc: zálohy, přístupy, šifrování i bezpečný cloud. [Ozvěte se nám](https://www.magnapro.eu/kontakt) a projdeme, jak je na tom vaše firma, bez právničiny a bez strašení.

---

Zdroj: MAGNAPRO s.r.o., https://www.magnapro.eu/blog/gdpr-v-male-firme-bez-pravniciny-co-opravdu-musite-mit