Koho čeká v roce 2026 kontrola ÚOOÚ?
Kdo může letos očekávat kontrolu Úřadu pro ochranu osobních údajů? Připravit se musí soukromé subjekty i orgány veřejné moci. Žhavými kandidáty budou podle kontrolního plánu registry dlužníků, rozesílání hodnoticích dotazníků, ale i nová evropská digitální agenda.
Úřad pro ochranu osobních údajů zveřejnil kontrolní plán pro rok 2026. Na jaké oblasti se dozorový úřad letos zaměří? Zbystřit by měly nejenom firmy či banky, ale i orgány veřejné moci včetně Policie České republiky. Na co je tedy potřeba se připravit?
Kromě tradičních GDPR témat se ÚOOÚ opře i do evropské digitální agendy, které v souvislosti s Aktem o AI, nařízením o digitálních službách, nařízením o politické reklamě a nařízením o datech výrazně přibývá. ÚOOÚ zároveň bez okolků přiznává, že agendy přibývá rychleji než lidí a rozpočtu, a kontroly by proto měly být mířené především na vybrané oblasti.
ÚOOÚ patří mezi hlavní orgány dohledu nad ochranou osobních údajů v České republice a dohlíží na dodržování pravidel, včetně kontroly a vymáhání povinností vyplývajících z GDPR. Stejně jako každý rok platí, že ÚOOÚ neřeší jen stížnosti a podněty (tzv. incidenční kontrola), ale dělá i plánované kontroly podle každoročně vydávaného kontrolního plánu. Ten pro rok 2026 počítá s kontrolami, které provedou zejména oddělení bezpečnostních agend, oddělení kontroly soukromého sektoru, oddělení kontroly veřejných subjektů a oddělení obchodních sdělení.
Kontrolní plán ÚOOÚ pro rok 2026 je rozdělen do čtyř částí. Podívejme se tedy na to, co ÚOOÚ pro rok 2026 naplánoval v jednotlivých částech kontrolního plánu.
Kontrolní akce
První část kontrolního plánu ÚOOÚ pro rok 2026 stojí na obecných kontrolních akcích, které budou zaměřeny na poměrně širokou škálu oblastí. V oblasti postavení pověřenců na ochranu osobních údajů ve veřejném sektoru si ÚOOÚ posvítí na vybrané orgány veřejné moci. Úřad přitom vychází z dosavadních poznatků (včetně evropské koordinované akce), podle kterých se role pověřenců v praxi často míjí s tím, co jim přisuzuje GDPR – typicky nejsou dostatečně zapojováni do všech záležitostí souvisejících s ochranou osobních údajů a zároveň nemají k výkonu své role odpovídající zázemí či zdroje. Cílem akce je také zvýšit informovanost o roli pověřence pro ochranu osobních údajů. Tuto agendu bude mít na starosti oddělení kontroly veřejných subjektů.
Druhou oblastí, která se dostane do hledáčku ÚOOÚ, bude zpracování osobních údajů v dlužnických registrech a spotřebitelských databázích, tedy v databázích o bonitě a důvěryhodnosti spotřebitelů vytvářených na základě zvláštních zákonných úprav. Jedná se o citlivé téma, kde může mít nedůsledné dodržování pravidel pro subjekty údajů závažné důsledky, včetně zamítnutí žádosti o úvěr a zvýšení rizika tzv. dluhové pasti. Úřad v této oblasti dlouhodobě řeší stížnosti subjektů údajů, přičemž nejčastějším tématem bývá doba uložení osobních údajů. Kontroly budou komplexní a zaměří se na nastavení fungování těchto databází a na plnění základních zásad GDPR, zejména zásady přesnosti, minimalizace údajů a omezení doby uložení. Součástí bude i posouzení profilování a předávání osobních údajů mezi subjekty, které se na těchto databázích podílejí. Tuto kontrolní akci provede oddělení kontroly soukromého sektoru.
Třetí kontrolní akce se týká rozesílání obchodních sdělení ve formě hodnoticích dotazníků. ÚOOÚ dlouhodobě považuje hodnoticí dotazníky za obchodní sdělení, protože jejich zasíláním dochází minimálně k nepřímé podpoře podnikatelské činnosti. V praxi sice mohou být zasílány na základě tzv. zákaznické výjimky, nicméně úřad opakovaně naráží na to, že nejsou vždy plněny všechny související podmínky – typicky možnost takové zasílání odmítnout předem a zároveň možnost odmítnutí přímo v samotném dotazníku. Kontrolu v tomto případě provede oddělení obchodních sdělení a na pozoru by se měli mít zejména rozesílatelé hodnoticích dotazníků.
ÚOOÚ se zaměří nejen na dodržování GDPR, ale i novou evropskou digitální agendu
Plánované jednotlivé kontroly
Druhá část kontrolního plánu ÚOOÚ pro rok 2026 se týká plánovaných jednotlivých kontrol, tedy kontrol zaměřených vždy na konkrétní subjekt, nikoliv na celé odvětví. Úřad si pro letošek vytipoval dvě oblasti, které považuje za citlivé a současně aktuální – jednak nově zaváděnou databázi v oblasti hazardních her, jednak zpracování osobních údajů v rámci používání údajů jmenné evidence cestujících.
V rámci první jednotlivé kontroly se ÚOOÚ zaměří na informační databázi dle nového ustanovení § 15a zákona o hazardních hrách, které umožňuje správci vytvořit databázi určenou ke snižování rizikovosti hazardních her, prevenci a potírání sociálněpatologických jevů a ochraně sázejících, a to i bez souhlasu dotčených osob. Zákon přitom stanoví rozsah zpracování poměrně obecně a zároveň počítá i s možností sdílení údajů s dalšími provozovateli hazardních her. Zároveň se jedná o mimořádně citlivé osobní údaje, jejichž nevhodné zpracování může vést k újmě na právech dotčených subjektů údajů. ÚOOÚ proto prověří, jak je databáze nastavená v praxi – zejména jaký je rozsah zpracovávaných údajů, jaká je doba jejich uložení a za jakých podmínek dochází k předávání údajů dalším provozovatelům. Tuto oblast bude mít na starosti oddělení kontroly soukromého sektoru.
Druhá jednotlivá kontrola se týká zpracování osobních údajů v souvislosti s používáním údajů jmenné evidence cestujících (tzv. PNR), a to u Policie České republiky. Tato evidence je souborem informací o cestovních požadavcích a rezervacích, které umožňují dopravcům a návazně i příslušným orgánům pracovat s informacemi o cestujících. Tyto údaje jsou předávány orgánům členských států a zpracovávají se pro účely prevence, odhalování, vyšetřování a stíhání teroristických činů a závažné trestné činnosti. ÚOOÚ zde bude plnit roli dozorového orgánu z pohledu ochrany základních práv při tomto typu zpracování, a to prostřednictvím svého oddělení bezpečnostních agend.
Kontroly si posvítí na roli pověřence ve veřejném sektoru, dlužnické registry i rozesílání hodnoticích dotazníků
Oblast víz, cel a schengenského prostoru
Třetí část kontrolního plánu se již tradičně zaměřuje na zpracování osobních údajů v rámci vízových a celních systémů, konkrétně v oblasti zpracování osobních údajů zastupitelskými úřady při vízovém procesu a zpracování osobních údajů v Schengenském informačním systému. V roce 2026 se k těmto agendám navíc přidá i kontrola Eurodac, což je systém pro srovnání otisků prstů žadatelů o azyl a osob zadržených v souvislosti s nezákonným překročením hranic. Všechny kontroly v této oblasti provede oddělení bezpečnostních agend.
ÚOOÚ bude kontrolovat zpracování osobních údajů v systému Eurodac u Ministerstva vnitra a předmětem kontroly bude zejména zákonnost zpracování a postupy související s předáváním údajů do ústředního systému. V rámci vízového procesu bude ÚOOÚ kontrolovat vybraný zastupitelský úřad, který je podřízen Ministerstvu zahraničních věcí, zejména v souvislosti s vyřizováním žádostí o schengenská víza, a to opět prostřednictvím svého oddělení bezpečnostních agend. Kontrole v oblasti Schengenského informačního systému bude podléhat Policie České republiky, přičemž úřad je povinen takovou kontrolu provádět alespoň jednou za čtyři roky.
Evropské kontrolní akce
Čtvrtou část kontrolního plánu představují evropské kontrolní akce, v rámci nichž se ÚOOÚ i tento rok spolu s dalšími evropskými dozorovými úřady zapojí do celoevropské koordinované kontrolní akce. Letos bude tato akce zaměřena na dodržování souladu se zásadou transparentnosti a informační povinnosti dle GDPR. Rozsah a způsob zapojení ÚOOÚ do této kontrolní akce bude již tradičně určen v rámci evropské skupiny CEF v průběhu prvního čtvrtletí roku 2026. Tuto kontrolní akci řídí oddělení kontroly veřejných subjektů.
I v roce 2026 tak platí, že ochranu osobních údajů není radno podceňovat. Kontrolní plán ÚOOÚ dopadá jak na veřejné instituce, tak na soukromý sektor, a vyplatí se proto průběžně ověřovat soulad postupů s GDPR i souvisejícími předpisy.
Komentáře