# Uniknou data z aplikace, kterou jste si postavili sami. Kdo za to ručí

https://www.magnapro.eu/blog/kdo-ruci-za-unik-dat-z-vlastni-aplikace

*Publikováno: 2026-09-22 · Rubrika: Kyberbezpečnost*

Krátká odpověď: ručíte vy. Delší odpověď je o rolích správce a zpracovatele, o zabezpečení odpovídajícím riziku a o lhůtě 72 hodin, která běží od zjištění.

Krátká odpověď: vy.

Delší odpověď je, že záleží na tom, čí data to byla a v jaké roli jste je zpracovávali. Ale na začátku je dobré vědět, že „udělal to model" není u dozorového úřadu argument, který by někam vedl.

Nejsme advokátní kancelář a tenhle text není právní rozbor. Je to popis toho, co se v takových případech obvykle řeší, abyste věděli, na co se ptát.

## Odpovědnost jde za tím, kdo rozhodl

Obecné nařízení o ochraně osobních údajů rozlišuje dvě role. Správce je ten, kdo rozhodl, že se data budou sbírat a k čemu. Zpracovatel je ten, kdo s nimi pracuje podle pokynů správce.

Když si postavíte aplikaci, do které vaši zákazníci zadají jméno, telefon a adresu, rozhodli jste o tom vy. Jste správce. Platforma, na které to běží, je v lepším případě zpracovatel, a to jen tehdy, pokud je to ošetřené smlouvou.

Nástroj, který kód napsal, není v téhle rovnici nikde. Model vám kód navrhl, vy jste ho nasadili.

## Co se po správci chce

Tři věci jsou v praxi nejdůležitější.

**Zabezpečení odpovídající riziku.** Nařízení nepředepisuje konkrétní technologie. Říká, že opatření mají odpovídat tomu, jak citlivá data zpracováváte a co by se stalo, kdyby unikla. Databáze bez nastavené ochrany na úrovni řádků, ve které jsou telefonní čísla a adresy zákazníků, tomu neodpovídá.

**Ochrana od začátku, ne dodatečně.** Nařízení počítá s tím, že se na zabezpečení myslí při návrhu. Aplikace postavená tak, že „to dořešíme, až to poběží", je přesně ten stav, který má tenhle článek pokrývat.

**Ohlášení do 72 hodin.** Když dojde k porušení zabezpečení, má se to ohlásit dozorovému úřadu bez zbytečného odkladu, nejpozději do 72 hodin od okamžiku, kdy se o tom správce dozvěděl. V Česku je to Úřad pro ochranu osobních údajů. Když je riziko pro dotčené lidi vysoké, musí se to oznámit i jim.

Těch 72 hodin je důležitější, než to vypadá. Znamená to, že musíte být schopní **poznat, že k úniku došlo**. Když nemáte záznamy o přístupech, nemáte dohled a nikdo se nedívá, dozvíte se to od zákazníka nebo z internetu. Lhůta ale běží od okamžiku, kdy jste se to dozvěděli, ne od okamžiku, kdy jste se mohli dozvědět dřív.

## Proč je u těchto aplikací riziko vyšší

Dva důvody.

Prvním je, že chybějící zabezpečení v aplikaci nevypadá jako chyba. Všechno funguje. Když je špatně napsané tlačítko, vidíte to hned. Když je otevřená databáze, nepoznáte to, dokud se někdo nezeptá.

Druhým je, že o existenci té aplikace často nikdo ve firmě neví. Postavil si ji jeden člověk, protože potřeboval evidenci. Do IT to nikdo nehlásil, protože to nebyl projekt. V registru zpracování to není. A přesto v ní jsou osobní údaje.

Veracode v roce 2025 otestoval přes sto jazykových modelů. **Ve 45 % případů obsahoval vygenerovaný kód zranitelnost z žebříčku OWASP Top 10.** To není výjimka, to je skoro polovina.

## Jak to vypadá, když to praskne

V červenci 2025 unikla data z aplikace Tea. Firma sama uvedla, že šlo zhruba o **72 000 obrázků**. Z toho přibližně 13 000 byly selfie a fotografie dokladů, které lidé nahráli při ověřování účtu, a asi 59 000 obrázků z příspěvků a zpráv.

Příčinou bylo staré úložiště, které nebylo převedené do nového systému a zůstalo přístupné. Šlo o data z doby před únorem 2024.

Dvě věci na tom případu stojí za pozornost.

Fotografie dokladů obsahovaly v metadatech údaj o poloze. Nešlo tedy jen o doklad, ale i o to, kde byl vyfocený. To je z pohledu dopadu na konkrétního člověka podstatný rozdíl.

A 28. července byl potvrzený druhý únik, tentokrát více než milionu soukromých zpráv. To bývá pravidlem. Když se najde jedna otevřená cesta, hledá se druhá.

## Čtyři otázky, které si položte dnes

**Které aplikace ve firmě obsahují osobní údaje a nikdo o nich neví?** Zeptejte se lidí, jestli si něco postavili sami. Bez výčitek, jinak se to nedozvíte. Většinou to udělali proto, že jim chyběl nástroj, a to je informace pro vás.

**Víte, kde ta data fyzicky jsou?** Ve které zemi, u kterého poskytovatele, na základě jaké smlouvy.

**Máte s tím poskytovatelem uzavřenou smlouvu o zpracování?** Bez ní je použití cizí platformy na osobní údaje těžko obhajitelné.

**Poznáte, že se něco stalo?** Máte záznamy o přístupech? Dívá se na ně někdo? Kdo by dostal zprávu?

## Co s tím

Pořadí bývá vždycky stejné. Nejdřív se zjistí, co ve firmě vlastně běží a jaká data v tom jsou. Pak se zavře to, co je otevřené. Teprve potom se řeší papíry.

Máme s tím zkušenost, protože v IT a slaboproudu máme dvacet let praxe v oboru a pracujeme pro firmy, které si taky postupně pořídily víc systémů, než o kolika ví. Postup je stejný, jen technologie je nová.

Co vám nikdo slíbit nemůže, je soulad se zákonem jako výsledek technické práce. To je věc pro právníka a pro vaše rozhodnutí. Co se udělat dá, je ověřit s vámi, jestli se vás to týká, a doplnit, co technicky chybí.

Přehled o tom, co ve firmě běží a jaká data v tom jsou, vzniká při převzetí [správy firemního IT](https://www.magnapro.eu/sluzby/outsourcing).

Série o aplikacích postavených s pomocí AI, díl 4 z 5. Předchozí díl: [Co se stane, až to spadne. A ono to spadne](https://www.magnapro.eu/blog/co-se-stane-az-aplikace-spadne). Další díl: [Aplikace funguje a používá ji deset lidí. Co teď](https://www.magnapro.eu/blog/z-prototypu-do-provozu-co-doplnit).

---

Zdroj: MAGNAPRO s.r.o., https://www.magnapro.eu/blog/kdo-ruci-za-unik-dat-z-vlastni-aplikace