Uniknou data z aplikace, kterou jste si postavili sami. Kdo za to ručí

Krátká odpověď: ručíte vy. Delší odpověď je o rolích správce a zpracovatele, o zabezpečení odpovídajícím riziku a o lhůtě 72 hodin, která běží od zjištění.

Krátká odpověď: vy.

Delší odpověď je, že záleží na tom, čí data to byla a v jaké roli jste je zpracovávali. Ale na začátku je dobré vědět, že „udělal to model" není u dozorového úřadu argument, který by někam vedl.

Nejsme advokátní kancelář a tenhle text není právní rozbor. Je to popis toho, co se v takových případech obvykle řeší, abyste věděli, na co se ptát.

Odpovědnost jde za tím, kdo rozhodl

Obecné nařízení o ochraně osobních údajů rozlišuje dvě role. Správce je ten, kdo rozhodl, že se data budou sbírat a k čemu. Zpracovatel je ten, kdo s nimi pracuje podle pokynů správce.

Když si postavíte aplikaci, do které vaši zákazníci zadají jméno, telefon a adresu, rozhodli jste o tom vy. Jste správce. Platforma, na které to běží, je v lepším případě zpracovatel, a to jen tehdy, pokud je to ošetřené smlouvou.

Nástroj, který kód napsal, není v téhle rovnici nikde. Model vám kód navrhl, vy jste ho nasadili.

Co se po správci chce

Tři věci jsou v praxi nejdůležitější.

Zabezpečení odpovídající riziku. Nařízení nepředepisuje konkrétní technologie. Říká, že opatření mají odpovídat tomu, jak citlivá data zpracováváte a co by se stalo, kdyby unikla. Databáze bez nastavené ochrany na úrovni řádků, ve které jsou telefonní čísla a adresy zákazníků, tomu neodpovídá.

Ochrana od začátku, ne dodatečně. Nařízení počítá s tím, že se na zabezpečení myslí při návrhu. Aplikace postavená tak, že „to dořešíme, až to poběží", je přesně ten stav, který má tenhle článek pokrývat.

Ohlášení do 72 hodin. Když dojde k porušení zabezpečení, má se to ohlásit dozorovému úřadu bez zbytečného odkladu, nejpozději do 72 hodin od okamžiku, kdy se o tom správce dozvěděl. V Česku je to Úřad pro ochranu osobních údajů. Když je riziko pro dotčené lidi vysoké, musí se to oznámit i jim.

Těch 72 hodin je důležitější, než to vypadá. Znamená to, že musíte být schopní poznat, že k úniku došlo. Když nemáte záznamy o přístupech, nemáte dohled a nikdo se nedívá, dozvíte se to od zákazníka nebo z internetu. Lhůta ale běží od okamžiku, kdy jste se to dozvěděli, ne od okamžiku, kdy jste se mohli dozvědět dřív.

Proč je u těchto aplikací riziko vyšší

Dva důvody.

Prvním je, že chybějící zabezpečení v aplikaci nevypadá jako chyba. Všechno funguje. Když je špatně napsané tlačítko, vidíte to hned. Když je otevřená databáze, nepoznáte to, dokud se někdo nezeptá.

Druhým je, že o existenci té aplikace často nikdo ve firmě neví. Postavil si ji jeden člověk, protože potřeboval evidenci. Do IT to nikdo nehlásil, protože to nebyl projekt. V registru zpracování to není. A přesto v ní jsou osobní údaje.

Veracode v roce 2025 otestoval přes sto jazykových modelů. Ve 45 % případů obsahoval vygenerovaný kód zranitelnost z žebříčku OWASP Top 10. To není výjimka, to je skoro polovina.

Jak to vypadá, když to praskne

V červenci 2025 unikla data z aplikace Tea. Firma sama uvedla, že šlo zhruba o 72 000 obrázků. Z toho přibližně 13 000 byly selfie a fotografie dokladů, které lidé nahráli při ověřování účtu, a asi 59 000 obrázků z příspěvků a zpráv.

Příčinou bylo staré úložiště, které nebylo převedené do nového systému a zůstalo přístupné. Šlo o data z doby před únorem 2024.

Dvě věci na tom případu stojí za pozornost.

Fotografie dokladů obsahovaly v metadatech údaj o poloze. Nešlo tedy jen o doklad, ale i o to, kde byl vyfocený. To je z pohledu dopadu na konkrétního člověka podstatný rozdíl.

A 28. července byl potvrzený druhý únik, tentokrát více než milionu soukromých zpráv. To bývá pravidlem. Když se najde jedna otevřená cesta, hledá se druhá.

Čtyři otázky, které si položte dnes

Které aplikace ve firmě obsahují osobní údaje a nikdo o nich neví? Zeptejte se lidí, jestli si něco postavili sami. Bez výčitek, jinak se to nedozvíte. Většinou to udělali proto, že jim chyběl nástroj, a to je informace pro vás.

Víte, kde ta data fyzicky jsou? Ve které zemi, u kterého poskytovatele, na základě jaké smlouvy.

Máte s tím poskytovatelem uzavřenou smlouvu o zpracování? Bez ní je použití cizí platformy na osobní údaje těžko obhajitelné.

Poznáte, že se něco stalo? Máte záznamy o přístupech? Dívá se na ně někdo? Kdo by dostal zprávu?

Co s tím

Pořadí bývá vždycky stejné. Nejdřív se zjistí, co ve firmě vlastně běží a jaká data v tom jsou. Pak se zavře to, co je otevřené. Teprve potom se řeší papíry.

Máme s tím zkušenost, protože v IT a slaboproudu máme dvacet let praxe v oboru a pracujeme pro firmy, které si taky postupně pořídily víc systémů, než o kolika ví. Postup je stejný, jen technologie je nová.

Co vám nikdo slíbit nemůže, je soulad se zákonem jako výsledek technické práce. To je věc pro právníka a pro vaše rozhodnutí. Co se udělat dá, je ověřit s vámi, jestli se vás to týká, a doplnit, co technicky chybí.

Přehled o tom, co ve firmě běží a jaká data v tom jsou, vzniká při převzetí správy firemního IT.

Série o aplikacích postavených s pomocí AI, díl 4 z 5. Předchozí díl: Co se stane, až to spadne. A ono to spadne. Další díl: Aplikace funguje a používá ji deset lidí. Co teď.

Nezávazná poptávka  ← Zpět na blog