Čo je nové, Strana 2

AML. Anti money laundering. Alebo po slovensky, boj proti praniu špinavých peňazí.

Znie to ako niečo, čo riešia iba banky, veľké korporáty a ľudia v oblekoch, čo majú na stole tri monitory a štvrtý len na tabuľky. Lenže realita v roku 2026 je taká, že AML sa dotýka už skoro každého, kto pracuje s peniazmi iných ľudí, spracúva platby, robí onboarding klientov, sprostredkúva obchody alebo prevádzkuje platformu, kde sa dá niečo kúpiť, predať, poslať, vybrať.

A hlavne. AML nie je jedna povinnosť. Je to systém. Ak ho máte postavený rozumne, viete spať. Ak ho máte postavený „nejako“, väčšinou sa to prejaví v najhoršej chvíli. Pri kontrole, pri incidente, alebo keď sa niečo pokazí a vy zistíte, že vlastne neviete dokázať, čo ste robili a prečo.

Tento sprievodca je písaný prakticky. Nie právnická prednáška. Skôr taká mapa, čo presne treba mať, ako to spraviť tak, aby to dávalo zmysel, a na čo sa v praxi najčastejšie zabúda.

Čo je AML a prečo sa to vôbec rieši

Pranie špinavých peňazí je snaha „očistiť“ peniaze z trestnej činnosti tak, aby vyzerali legálne. Typicky cez prevody, falošné faktúry, nastrčené firmy, hazard, nehnuteľnosti, crypto, umenie, drahé autá. Nástrojov je veľa. A v roku 2026 platí, že keď sa niekto fakt snaží, vie si nájsť cestu cez hocijaký produkt.

AML je teda súbor pravidiel a procesov, ktoré majú:

• identifikovať a overiť klienta (KYC),
• pochopiť, odkiaľ má peniaze a prečo transakciu robí,
• sledovať transakcie a správanie,
• vyhodnocovať riziko,
• nahlasovať podozrivé aktivity,
• a mať dôkazy, že ste to celé robili primerane.

Nie je cieľom chytiť všetkých zločincov sveta. Cieľ je mať primeraný systém, ktorý znižuje riziko a spĺňa zákonné požiadavky.

Koho sa AML týka na Slovensku (a v EÚ)

Na Slovensku je AML postavené najmä na zákone č. 297/2008 Z. z. (o ochrane pred legalizáciou príjmov z trestnej činnosti a o ochrane pred financovaním terorizmu). V praxi sa to netýka len bánk.

Typicky medzi povinné osoby patria napríklad:

• banky a finančné inštitúcie,
• platobné inštitúcie, e-money, fintech,
• poisťovne (v určitých produktoch),
• investičné firmy, správcovia, brokeri,
• zmenárne,
• poskytovatelia služieb spojených s kryptoaktívami (CASP),
• audítori, účtovníci, daňoví poradcovia,
• realitné kancelárie,
• notári, advokáti (v určitých situáciách),
• obchodníci s tovarom pri hotovostných platbách nad limit,
• hazard a podobné sektory.

A teraz tá nepríjemná vec. Aj keď si myslíte, že „my nie sme finančná firma“, môžete spadnúť do povinností cez to, čo reálne robíte. Nie cez to, ako sa nazývate na webe.

Ak neviete, či ste povinná osoba, neoplatí sa hádať. Oplatí sa urobiť rýchly AML gap check. Čo robíte, aké toky peňazí, aké produkty, aké krajiny, kto sú klienti.

AML vs KYC vs CDD. Trochu terminológie, ale ľudsky

V praxi sa to často mieša.

• AML je celý rámec.
• KYC (Know Your Customer) je identifikácia a overenie klienta.
• CDD (Customer Due Diligence) je „náležitá starostlivosť“. Teda KYC plus pochopenie účelu vzťahu, rizika, monitoringu.
• EDD (Enhanced Due Diligence) je zosilnená starostlivosť pri vyššom riziku.
• KUV je konečný užívateľ výhod. Kto reálne kontroluje firmu.
• PEP je politicky exponovaná osoba.
• Sanctions screening je kontrola sankčných zoznamov (OFAC, EÚ, OSN atď.), často paralelne s AML.

Takže keď niekto povie „máme KYC“, ešte to neznamená, že má AML. Môžete mať sken občianskeho a stále byť úplne slepí v monitoringu transakcií.

Základný AML program, ktorý by mal mať každý (aj malá firma)

Toto je jadro. Ak by ste mali mať len 7 vecí, tak tieto:

1. AML risk assessment (hodnotenie rizík)
2. Interné smernice a procesy
3. KYC/CDD onboarding
4. Risk scoring klientov a prípadov (a pravidlá pre EDD)
5. Transakčný monitoring (primeraný produktu)
6. Screening sankcií a PEP (a práca s výsledkami)
7. Školenia, auditovateľnosť, evidencia, reportovanie podozrivých obchodov

A teraz to rozoberieme tak, aby sa to dalo reálne spraviť.

1) Risk assessment. Bez toho je všetko len „papier“

Risk assessment nie je dokument na kontrolu. Je to rozhodovací rámec.

Robí sa minimálne na úrovni:

• riziko klienta (kto to je, PEP, KUV, reputácia, odvetvie),
• riziko produktu/služby (ako ľahko sa dá zneužiť),
• riziko kanála (online bez osobného kontaktu je iné než pobočka),
• geografické riziko (krajiny, sankcie, vysoké AML riziko),
• transakčné riziko (objem, frekvencia, vzorce),
• riziko tretích strán (sprostredkovatelia, partneri, dodávatelia KYC).

Prakticky. Zoberiete si, čo robíte a komu to predávate. A urobíte jednoduchú maticu. Nízke, stredné, vysoké. Pre každý typ definujete, čo robíte inak.

Ak máte risk assessment postavený rozumne, potom aj keď príde kontrola, viete obhájiť, prečo niečo robíte tak a nie inak. „Lebo zákon“ nestačí. Očakáva sa primeranosť.

2) Interné smernice. Nie román. Návod

Najčastejšia chyba je, že smernica je 40 strán skopírovaných z internetu. A nikto podľa toho nevie pracovať.

Dobrá AML smernica je skôr pracovný manuál:

• kto je zodpovedná osoba (AML officer) a čo presne robí,
• ako prebieha onboarding krok za krokom,
• aké dokumenty a dáta zbierate,
• ako vyhodnocujete riziko,
• kedy spúšťate EDD,
• ako často robíte refresh KYC (periodická aktualizácia),
• ako vyzerá monitoring a čo sú red flags,
• ako riešite eskalácie a rozhodovanie,
• čo je podozrivý obchod a ako sa reportuje,
• ako sa evidujú úkony a kde sú uložené dôkazy,
• retention, GDPR, prístupy, logy.

A znovu. Primerane. Iná smernica pre realitku s 5 ľuďmi, iná pre fintech s automatizovaným onboardingom.

3) KYC/CDD onboarding. Čo zbierať a čo si overiť

Fyzická osoba (typicky)

• identifikačné údaje (meno, dátum narodenia, adresa, štátna príslušnosť),
• doklad totožnosti a jeho overenie,
• overenie, že osoba existuje a doklad je legit,
• screening sankcií a PEP,
• pochopenie účelu vzťahu (prečo to chce používať),
• zdroj prostriedkov alebo zdroj majetku podľa rizika (pri vyššom riziku viac).

V roku 2026 je veľa onboardingov online. To je ok, len treba mať zvládnuté:

• liveness (že je to živý človek),
• kontrolu falzifikátov,
• kontrolu, že dokument patrí tej osobe,
• logovanie, kedy a ako sa overenie spravilo,
• proces pre výnimky (keď to nejde automaticky).

Právnická osoba (firma)

Tu to býva bolestivejšie.

• základné údaje o firme (obchodný register, sídlo, IČO),
• štatutár, kto podpisuje,
• overenie osoby konajúcej za firmu,
• identifikácia a overenie KUV,
• pochopenie vlastníckej štruktúry (až k fyzickej osobe),
• účel a povaha obchodného vzťahu,
• odvetvie, riziko, krajiny.

A potom realita. Máte firmu s vlastníkom v zahraničí. Alebo trust. Alebo viac vrstiev. Vtedy je EDD skoro istota.

4) Risk scoring. Bez rizika neviete, čo má byť prísnejšie

Risk scoring je spôsob, ako rozumne rozdeliť klientov.

Príklad faktorov (jednoducho):

• PEP = vysoké riziko
• krajina mimo EHP s vysokým rizikom = vyššie riziko
• cash-intensive odvetvie = vyššie riziko
• komplikovaná vlastnícka štruktúra = vyššie riziko
• neštandardné správanie po onboardingu = riziko rastie

A dôležité. Risk scoring nie je jednorazový. Klient môže byť pri vstupe nízkorizikový a o pol roka začne robiť transakcie, ktoré to celé zmenia.

Takže scoring má byť živý. Aktualizovaný udalosťami, monitoringom, zmenou údajov.

5) EDD. Kedy pritvrdiť a čo to znamená

EDD je zosilnená starostlivosť. Nie trest. Je to ochrana.

Spúšťače EDD sú typicky:

• PEP alebo blízke osoby PEP,
• vysokorizikové krajiny,
• nejasný zdroj prostriedkov,
• neštandardne vysoké objemy,
• komplexná štruktúra bez jasného ekonomického dôvodu,
• negatívne správy v médiách (adverse media),
• opakované red flags.

Čo sa robí v EDD?

• viac dokumentácie (napr. potvrdenie o príjme, účtovné výkazy, zmluvy),
• hlbší adverse media check,
• detailnejšie vysvetlenie účelu transakcií,
• schválenie vyšším manažmentom (áno, aj to býva požiadavka),
• častejší monitoring a KYC refresh.

A v praxi, jedna z najlepších vecí je mať EDD checklist. Nie „budeme to riešiť individuálne“, lebo potom to každý rieši inak.

6) Transakčný monitoring. Čo sledovať, keď nemáte tím ako banka

Monitoring nemusí byť mega sofistikovaný systém. Musí byť primeraný.

Najprv si položte otázku: aké zneužitie je pre náš produkt najpravdepodobnejšie?

Príklady typických red flags:

• veľa malých transakcií tesne pod limit (structuring),
• rýchle otočky. príjem a hneď výber,
• náhle zvýšenie objemov bez vysvetlenia,
• transakcie do a z rizikových krajín,
• používanie viacerých účtov, ktoré sa správajú podobne,
• nezhoda medzi profilom klienta a správaním (študent a zrazu vysoké objemy),
• veľa chargebackov alebo podozrivé refundy (pri kartách),
• zmeny údajov tesne pred veľkou transakciou.

Monitoring môže byť:

• pravidlový (rules),
• behaviorálny (vzorce správania),
• kombinovaný s manuálnymi kontrolami.

Dôležité je mať proces: alert vznikne, niekto ho vyhodnotí, výsledok sa zdokumentuje, prípad sa uzavrie alebo eskaluje.

A prosím, nenechávajte alerty „na neskôr“. Neskôr sa to vždy zmení na nikdy.

7) Sankcie a PEP screening. A čo s false positives

Veľa firiem spraví screening, dostane match, a potom panika.

Musíte mať postup:

• ako sa vyhodnocuje zhoda (true match vs false positive),
• aké údaje porovnávate (dátum narodenia, adresa, štát),
• kto rozhoduje o akcii,
• čo sa robí, keď je to skutočný match,
• a ako sa to celé eviduje.

Sankcie sú tvrdé. Tam nie je veľa priestoru na „možno“.

PEP je skôr o zvýšenom riziku a EDD, nie automaticky zákaz.

A ešte. Screening nie je len pri onboardingu. Má byť aj priebežný, lebo zoznamy sa menia.

Podozrivý obchod. Kedy reportovať a prečo to neodkladať

Podozrivý obchod je situácia, kde máte dôvodné podozrenie, že transakcia alebo správanie súvisí s praním peňazí alebo financovaním terorizmu.

Nie je potrebné mať dôkaz ako polícia. Máte mať dôvodné podozrenie a vedieť ho opísať.

V praxi je dobré mať interné pravidlo:

• čo je red flag,
• kedy sa red flags menia na podozrenie,
• ako prebieha interná eskalácia,
• kto komunikuje s orgánmi,
• a čo sa smie a nesmie povedať klientovi (tipping off je reálna vec).

Ak to znie stresujúco, áno, trochu je. Ale keď máte postup, je to zvládnuteľné.

AML školenia. Nie raz ročne a hotovo

Školenie nie je checkbox. Je to ochrana pred tým, že niekto v supporte alebo obchode spraví zlé rozhodnutie.

Minimum, ktoré dáva zmysel:

• onboarding školenie pre nových ľudí,
• ročné refresh školenie,
• ad hoc školenia pri zmenách zákona, produktu, rizík,
• test alebo potvrdenie, že školenie prebehlo,
• špeciálne školenie pre vyššie rizikové roly (compliance, onboarding, risk).

A hlavne. Školenie má byť konkrétne. Na vašich príkladoch. Nie definície z PDF.

Dokumentácia a evidencia. Lebo „nevieme to dohľadať“ je problém

V AML platí jedna tvrdá realita. Keď to nie je zdokumentované, akoby sa to nestalo.

Takže potrebujete:

• uložené KYC dáta a dôkazy,
• logy rozhodnutí (prečo sme klienta prijali, prečo sme uzavreli alert),
• evidenciu EDD,
• evidenciu školení,
• verzie smerníc a dátumy účinnosti,
• audit trail (kto čo zmenil, kedy).

V roku 2026 sa často rieši, či to máte v jednom systéme, alebo v piatich. Ideálne v jednom. Realita je často mix. Nevadí, ak je to pod kontrolou a dohľadateľné.

Najčastejšie chyby, ktoré vídam (a stoja peniaze)

1. KYC ako fotka dokladu a nič viac.
2. Žiadny risk assessment. Alebo jeden starý a nikto ho neaktualizuje.
3. EDD len na papieri. V smernici je, v praxi nie.
4. Monitoring nastavený tak prísne, že vzniká 500 alertov denne a nikto to nestíha.
5. Screening bez procesu pre matches.
6. Žiadna evidencia rozhodnutí.
7. Dodávateľ KYC rieši všetko. Zodpovednosť je stále na vás.
8. Biznis tlačí na onboarding a compliance je posledná brzda. To je klasika. Ale dá sa to vyriešiť dobrým risk-based prístupom.

AML v 2026. Čo je nové v praxi (a čo sa sprísňuje)

Rok 2026 je už dosť o tom, že regulácia v EÚ ide smerom väčšej jednotnosti a prísnejšieho dohľadu. A firmy sú viac digitálne, rýchlejšie, cez hranice.

Praktické trendy, ktoré cítiť:

• viac dôrazu na skutočné vlastníctvo (KUV) a reálnu kontrolu firiem,
• väčší tlak na priebežný monitoring, nie len onboarding,
• viac sankčných režimov a častejšie aktualizácie zoznamov,
• crypto a krypto služby sú viac „mainstream“ a tým pádom aj viac kontrolované,
• automatizácia je bežná, ale regulátor chce vedieť, ako funguje, čo robí model, ako sa riešia výnimky.

A ešte jedna vec. Keď máte automatizované rozhodovanie, potrebujete mať vysvetliteľnosť. Nech to nie je black box.

Ako začať, keď AML ešte nemáte poriadne postavené

Ak ste malá firma alebo rastúci fintech a máte pocit, že AML je chaos, choďte v tomto poradí. Funguje to.

1. Zmapujte toky peňazí a typy klientov.
2. Urobte jednoduchý risk assessment.
3. Napíšte krátku smernicu, ktorá sedí na realitu.
4. Nastavte KYC a risk scoring.
5. Dajte aspoň základný monitoring a alert proces.
6. Zaveďte sankcie a PEP screening s jasným postupom.
7. Spravte školenie a zaveďte evidenciu.

A potom iterujte. AML nie je jednorazový projekt. Skôr taký živý orgán firmy.

Rýchly mini checklist (na kontrolu, či ste aspoň na bezpečnom základe)

• Máme definované, či sme povinná osoba a prečo?
• Máme aktuálny risk assessment (do 12 mesiacov, alebo po zmenách)?
• Vieme pre každého klienta ukázať KYC dôkazy a dátum overenia?
• Máme KUV proces pre firmy a funguje v praxi?
• Máme PEP a sankčný screening a vieme riešiť matches?
• Máme pravidlá pre EDD a reálne sa používajú?
• Máme monitoring a evidenciu alertov?
• Vieme, kto a ako reportuje podozrivé obchody?
• Máme školenia a záznamy?
• Vieme všetko dohľadať do pár hodín, nie dní?

Ak pri viacerých otázkach vychádza „asi“, máte plán práce.

Záver. AML nie je o strachu, je to o kontrole

AML sa dá robiť tak, že vás to dusí. A dá sa robiť tak, že je to normálna súčasť procesov. Nenápadná, ale pevná.

V roku 2026 už väčšina firiem nebude riešiť otázku „či AML potrebujeme“. Skôr „ako to spraviť rozumne, aby sme nebrzdili biznis a zároveň mali krytý chrbát“.

Ak si z tohto článku máte vziať len jednu vec, tak túto. AML má byť primerané vášmu riziku. Ale musí existovať, musí byť živé, a musí byť dohľadateľné.

Keď chcete, môžem vám to aj zjednodušiť na mieru. Napíšete, aký typ firmy ste (sektor, krajiny, typ klientov, priemerné objemy), a viem navrhnúť praktický AML rámec, ktorý nebude prehnaný, ale ani deravý.

Často kladené otázky

Čo znamená AML a prečo je dôležité v roku 2026?

AML, teda Anti Money Laundering alebo boj proti praniu špinavých peňazí, je systém pravidiel a procesov na identifikáciu, sledovanie a znižovanie rizika legalizácie nelegálnych peňazí. V roku 2026 sa AML týka takmer každého, kto pracuje s peniazmi iných ľudí, spracúva platby alebo prevádzkuje platformy na obchodovanie či prevody.

Kto je povinnou osobou podľa AML zákona na Slovensku a v EÚ?

Povinnými osobami sú nielen banky, ale aj platobné inštitúcie, poisťovne, investičné firmy, zmenárne, poskytovatelia služieb spojených s kryptoaktívami, audítori, účtovníci, realitné kancelárie, notári, advokáti v určitých situáciách či obchodníci s tovarom pri hotovostných platbách nad limit. Dôležité je posúdiť reálne aktivity a toky peňazí, nie len názov firmy.

Aký je rozdiel medzi AML, KYC a CDD?

AML je celý rámec boja proti praniu špinavých peňazí. KYC (Know Your Customer) znamená identifikáciu a overenie klienta. CDD (Customer Due Diligence) predstavuje náležitú starostlivosť – teda KYC plus pochopenie účelu klienta a jeho transakcií.

Prečo nestačí mať AML systém postavený „nejako“?

Nedostatočne alebo nesprávne nastavený AML systém často vyjde najavo v najhorších chvíľach – pri kontrole alebo incidente. Môže sa stať, že nebudete vedieť preukázať svoje kroky a dôvody. Rozumne postavený systém umožňuje pokojný spánok a splnenie zákonných požiadaviek.

Aké sú hlavné ciele AML systému?

Cieľom AML systému nie je chytiť všetkých zločincov sveta, ale mať primeraný systém na zníženie rizika legalizácie špinavých peňazí. To zahŕňa identifikáciu klienta (KYC), pochopenie zdroja peňazí a účelu transakcie, sledovanie správania klientov, vyhodnocovanie rizík a nahlasovanie podozrivých aktivít.

Ako zistiť, či sa na mňa vzťahujú povinnosti podľa AML?

Ak si nie ste istí, či ste povinná osoba podľa AML zákona, odporúča sa urobiť rýchly AML gap check – analyzovať vaše produkty, toky peňazí, krajiny pôvodu klientov a typ klientov. Nie je rozhodujúce len označenie firmy na webe, ale skutočné činnosti a finančné operácie.

BOZP školenie má zvláštnu povesť.

Každý vie, že je dôležité. A zároveň každý dúfa, že to bude čo najkratšie, ideálne bez komplikácií, bez cestovania, bez toho klasického pocitu, že sedíš v miestnosti a pozeráš na prezentáciu, ktorá mohla byť email.

Lenže rok 2026 už fakt nie je 2010. Väčšina firiem funguje hybridne, ľudia sú na zmenách, niekto je v teréne, niekto v kancelárii, niekto doma. A ak sa BOZP dá spraviť rýchlo, online a bez zbytočností, tak prečo nie.

Tento článok je presne o tom. Čo sa v praxi rieši, komu sa to týka, ako to spraviť rozumne, a kde ľudia najčastejšie robia chyby. Nie právnické kázanie. Skôr taký normálny návod, aby ste to mali vyriešené.

Prečo sa BOZP školenie v roku 2026 rieši inak

BOZP sa nemení len kvôli zákonom. Mení sa hlavne kvôli realite práce.

• viac home office a práca mimo pracoviska
• častejšie nástupy a výstupy, brigádnici, sezónni ľudia
• vyšší tlak na preukázateľnosť, teda papierovo aj elektronicky
• ľudia sú presýtení školeniami, chcú krátke a jasné veci

A k tomu pribudla jedna vec, ktorú firmy pocítia vždy, keď sa niečo stane. Úraz, kontrola, incident, sťažnosť. Zrazu sa všetci pýtajú: bolo školenie? máme záznam? kedy? kto ho robil? čo presne bolo obsahom?

Online BOZP, keď je urobené dobre, vie toto vyriešiť omnoho čistejšie než papier a prezenčka na stole.

Čo vlastne znamená BOZP školenie (ľudsky)

BOZP školenie nie je len “povinná jazda”. Má zmysel. V skratke ide o to, aby zamestnanec vedel:

• aké riziká má jeho práca
• čo musí dodržiavať, aby sa nezranil a neohrozil iných
• čo robiť, keď sa niečo stane
• kde sú pravidlá, ochranné pomôcky, postupy, kto je zodpovedný

A zároveň aby zamestnávateľ vedel preukázať, že toto reálne zabezpečil.

To je celé. Keď sa toho držíte, BOZP prestane byť otravné a začne byť praktické.

Pre koho je BOZP školenie povinné

V praxi sa to týka skoro každého zamestnávateľa a zamestnanca.

Najčastejšie skupiny:

• noví zamestnanci (pri nástupe)
• zamestnanci pri zmene pracovnej pozície alebo pracoviska
• zamestnanci, ktorí sa vracajú po dlhšej prestávke
• vedúci zamestnanci (často majú špecifické povinnosti)
• brigádnici a dohodári, ak vykonávajú prácu v priestoroch firmy alebo s rizikom

A potom sú tu špecifiká podľa činnosti. Výroba, sklad, stavebníctvo, servis v teréne, zdravotnícke prostredie. Tam býva obsah aj frekvencia prísnejšia, lebo riziká sú inde.

Nie som tu na to, aby som citoval paragrafy. Skôr pripomeniem jednu vec: ak niekto u vás “len sedí za počítačom”, stále existujú riziká. Elektrina, ergonomické riziká, stres, požiar, evakuácia, úrazy v kancelárii. Áno, aj na schodoch.

Aké typy BOZP školení sa riešia najčastejšie

Aby sme sa nepomýlili v pojmoch, vo firmách sa typicky rieši toto:

Vstupné školenie BOZP

Keď človek nastúpi. Bez toho by to nemal “len tak” ísť robiť.

Opakované (periodické) školenie

Robí sa v intervaloch podľa charakteru práce a interných pravidiel. Niekde je to raz ročne, inde v dlhšom intervale. Záleží od rizikovosti.

Mimoriadne školenie

Keď sa zmení technológia, postup, pracovisko, alebo sa stane úraz a treba zareagovať. Alebo pri zisteniach z kontroly.

Školenie vedúcich zamestnancov

Toto býva podceňované. Vedúci človek často nenesie len zodpovednosť “za seba”, ale aj za organizáciu práce, dohľad, pokyny, kontrolu. A keď sa niečo stane, vedúci ide na rad ako prvý.

Online BOZP školenie: kedy dáva zmysel (a kedy nie)

Online školenie je super. Ale nie je to kúzelná palička.

Online dáva zmysel, keď:

• máte ľudí na rôznych miestach alebo zmenách
• chcete to urobiť rýchlo a bez logistiky
• potrebujete preukázateľný záznam a archiváciu
• ide o administratívu, kancelárie, obchodníkov, call centrum, IT a podobne
• chcete, aby si to každý spravil v čase, ktorý mu pasuje

Online je slabšie, keď:

• treba praktické ukážky práce, pomôcok, strojov
• ide o vysokorizikové činnosti a niektoré veci sa musia reálne ukázať
• ľudia nemajú prístup k zariadeniu alebo internet je problém

Čo s tým? Veľa firiem to rieši kombináciou. Teória online, praktické veci krátko na mieste. Toto je za mňa najnormálnejší kompromis, lebo netrávite pol dňa “všeobecnou teóriou”, ktorú si človek zvládne prejsť sám.

Ako vyzerá BOZP školenie 2026 bez zbytočností

Keď niekto povie “bez zbytočností”, neznamená to odfláknuť. Znamená to odstrániť balast.

Dobré školenie v roku 2026 má podľa mňa tieto vlastnosti:

• krátke bloky, žiadna hodinová monotónna prednáška
• konkrétne príklady z reálnej práce
• jasné “čo robiť” a “čo nerobiť”
• pár kontrolných otázok na konci (kvôli preukázaniu pochopenia)
• záznam, kto a kedy to absolvoval
• dostupné aj spätne, aby sa k tomu dalo vrátiť

A hlavne. Obsah podľa pozície. Inak školíš skladníka, inak administratívu, inak vodiča, inak údržbára. Všeobecné školenie pre všetkých naraz je síce jednoduché na organizáciu, ale potom to aj tak nikto neberie vážne.

Najčastejšie chyby, ktoré firmy robia (a potom ich to dobehne)

Toto je tá časť, ktorú by som si sám rád prečítal pred rokmi, keď som bol vo firme ten, komu pristál “BOZP problém” na stole.

1. Školenie je len formalita

Ľudia kliknú, podpíšu, hotovo. Ale keď sa ich spýtaš, kde je únikový východ alebo kde hlásiť úraz, ticho.

Riešenie: školenie musí byť krátke, ale reálne užitočné. A šité na prácu.

2. Záznamy sú neúplné alebo rozhádzané

Papier tu, excel tam, email inde. A pri kontrole sa loví.

Riešenie: jedno miesto. Jeden systém. Aj keby to bol jednoduchý interný proces, hlavne nech je konzistentný.

3. Zabudne sa na dohodárov a brigádnikov

Najčastejšie v skladoch, prevádzkach, na sezóne. Pritom práve tam sa úrazy dejú dosť často.

Riešenie: mať mini vstupný proces, ktorý sa dá spraviť v deň nástupu. Online je na to perfektné.

4. Vedúci nie sú doškolení

A potom dávajú pokyny, ktoré sú v rozpore s bezpečnostnými pravidlami. Nie zo zlého úmyslu. Len to nevedia alebo to podcenili.

Riešenie: samostatné školenie vedúcich, praktické, zodpovednosti, dohľad, hlásenie rizík.

5. Obsah je starý

“Takto sme to mali vždy.” Lenže pracovné postupy sa menia, priestory sa menia, stroje sa menia.

Riešenie: aspoň raz za čas prejsť obsah a aktualizovať. V online forme je to jednoduchšie než meniť tlačené materiály.

Ako si vybrať online BOZP školenie, aby to bolo naozaj v pohode

Ak to máte vybrať vy, a nechcete sa v tom utopiť, pozeral by som na tieto veci:

1. Je to prispôsobiteľné podľa pracovných pozícií?
   Ak nie, budete mať jednu veľkú všeobecnú kašu.
2. Dostanem jasný výstup pre kontrolu?
   Záznam o absolvovaní, dátum, meno, prípadne test.
3. Dá sa to spraviť rýchlo aj pre nováčika?
   Ideálne do 20 až 40 minút pri bežných pozíciách, samozrejme podľa obsahu.
4. Je obsah písaný normálne, nie úradnícky?
   Toto je podceňované. Ľudia vypnú mozog, keď je to čistá legislatíva.
5. Je tam aj požiarna ochrana a základné postupy?
   Vo firmách sa to často rieši spolu, alebo aspoň v jednom balíku. Záleží od nastavenia, ale z pohľadu zamestnanca to dáva zmysel.

A ešte jedna vec, taká “nepopulárna”. Ak niekto sľubuje, že BOZP urobíte za 5 minút a všetko je vyriešené, buďte opatrní. Päť minút nie je školenie. To je kliknutie.

Rýchly proces, ktorý funguje (aj keď máte chaos)

Ak máte firmu, kde sa stále niekto mení, ľudia sú na zmeny a HR nestíha, toto je jednoduchý proces, ktorý vie fungovať.

1. Zadefinujte pracovné kategórie
   napríklad administratíva, sklad, vodiči, servis, výroba, manažéri.
2. Ku každej kategórii priraďte obsah školenia
   všeobecné BOZP + špecifiká pracoviska + interné pravidlá.
3. Nastavte vstup pre nováčika
   v deň nástupu mu príde link alebo prístup, spraví školenie, urobí test, vygeneruje sa záznam.
4. Raz za čas opakovanie
   automatická pripomienka, jednoduchá revalidácia.
5. Mimoriadne školenie, keď sa niečo zmení
   krátky modul, nie celé školenie odznova.

A zrazu z toho nie je strašiak. Je to rutina. Ako keď si aktualizujete heslá alebo riešite onboarding.

Čo sa oplatí pripraviť dopredu (aby to bolo “na jeden klik”)

Toto je mini checklist. Veci, ktoré keď máte, online školenie sa nastaví oveľa rýchlejšie:

• zoznam pracovných pozícií a pracovísk
• stručný popis rizík, ktoré sa reálne vyskytujú (nie hypoteticky)
• interné pravidlá, napríklad OOPP, zákaz alkoholu, hlásenie úrazov, návštevy, pohyb v areáli
• kontakty: kto je zodpovedná osoba, kto rieši úrazy, kto rieši PO
• evakuačné a núdzové postupy (aspoň základne)

Ak toto nemáte, nič sa nedeje. Len rátajte s tým, že prvé nastavenie bude trvať dlhšie, lebo sa to bude musieť vyťahovať postupne.

BOZP školenie a home office v roku 2026

Toto je téma, ktorú veľa firiem rieši stále dookola. Ako školiť niekoho, kto robí z domu.

Za mňa je dobré mať aspoň základ:

• ergonomické zásady, nastavenie stoličky a monitora
• prestávky, preťaženie, oči, zápästia
• elektrická bezpečnosť (predlžovačky, káble, preťaženie zásuviek)
• požiar a únikové možnosti v domácnosti (znie to prehnane, ale nie je)
• pravidlá práce s notebookom mimo domu, napríklad coworking, kaviareň (aj ochrana údajov)

Je to iný typ rizika než sklad, ale stále je to riziko. A hlavne, keď sa niečo stane, všetci chcú vedieť, či firma “na to myslela”.

Koľko to trvá a čo je realistické očakávať

Čas je vždy citlivá téma.

Realisticky:

• administratíva a bežné kancelárske pozície: často 20 až 40 minút, podľa rozsahu
• vedúci: skôr viac, lebo je tam zodpovednosť, dohľad, organizácia práce
• rizikové práce: obsahovo dlhšie, často aj s praktickou časťou na pracovisku

Ak vám niekto sľubuje, že všetkých preškolí za 10 minút aj s testom, buď ide o extrémne orezaný obsah, alebo sa hrá na rýchlosť kvôli marketingu. A to je presne ten typ “zbytočnosti”, ktorý potom vytvára problém.

Rýchlo neznamená krátko za každú cenu. Rýchlo znamená bez logistiky, bez čakania, bez opakovania tej istej omáčky.

Záver: BOZP školenie môže byť normálna vec

BOZP školenie 2026 sa dá spraviť tak, aby ste z toho nemali stres.

Online forma vie ušetriť čas, vie zjednodušiť evidenciu, vie pomôcť pri onboardingoch a pri ľuďoch na zmeny. A keď sa to spraví rozumne, aj zamestnanci to zoberú lepšie. Lebo to nebude trest. Bude to krátke, jasné, praktické.

Ak si z tohto článku máte odniesť jednu vec, tak túto.

Nejde o to mať BOZP “odškrtnuté”. Ide o to mať ho zvládnuté. Tak, že keď príde kontrola, alebo keď sa niečo stane, nebudete loviť papiere. A keď sa zamestnanec ocitne v rizikovej situácii, bude vedieť, čo má spraviť.

A to je celé. Bez zbytočností.

Často kladené otázky

Prečo sa BOZP školenie v roku 2026 rieši inak ako kedysi?

BOZP školenie sa mení nielen kvôli legislatíve, ale hlavne kvôli zmene pracovnej reality – viac ľudí pracuje z domu alebo hybridne, častejšie sú nástupy a výstupy zamestnancov vrátane brigádnikov, a rastie tlak na preukázateľnosť školení elektronicky. Ľudia chcú krátke, jasné a efektívne školenia bez zbytočných komplikácií.

Čo vlastne znamená BOZP školenie v praxi?

BOZP školenie je o tom, aby zamestnanec poznal riziká svojej práce, vedel dodržiavať bezpečnostné pravidlá, vedel reagovať pri nehode a poznal zodpovednosti. Zamestnávateľ zase musí vedieť preukázať, že školenie zabezpečil. Takto BOZP prestáva byť otravnou formalitou a stáva sa praktickým nástrojom ochrany zdravia.

Pre koho je BOZP školenie povinné?

BOZP školenie je povinné pre takmer všetkých zamestnancov vrátane nových pracovníkov pri nástupe, tých, ktorí menia pracovnú pozíciu alebo sa vracajú po prestávke, vedúcich zamestnancov s špecifickými povinnosťami a aj brigádnikov či dohodárov pracujúcich v priestoroch firmy alebo s rizikom práce.

Aké typy BOZP školení sa najčastejšie realizujú vo firmách?

Najčastejšie sa rieši vstupné (pri nástupe nového zamestnanca) a opakované (periodické) školenia podľa charakteru práce a interných pravidiel firmy. Intervaly opakovaných školení sa líšia podľa druhu práce – napríklad raz ročne alebo v dlhších intervaloch.

Ako môže online BOZP školenie pomôcť firmám a zamestnancom?

Online BOZP školenie umožňuje rýchle, efektívne a flexibilné vzdelávanie bez nutnosti cestovania či dlhého sedenia na prezentáciách. Zároveň umožňuje lepšiu evidenciu školiacich aktivít, čo pomáha pri dokazovaní splnenia povinností v prípade úrazu alebo kontroly.

Čo by malo obsahovať kvalitné BOZP školenie?

Kvalitné BOZP školenie by malo jasne vysvetliť riziká spojené s konkrétnou prácou, pravidlá bezpečnosti a ochrany zdravia, postupy pri nehode či incidente, používanie ochranných pomôcok a určenie zodpovedností. Školenie by malo byť praktické, stručné a prispôsobené reálnej práci zamestnanca.

GDPR má už nejaký ten rok, ale úprimne. V praxi to stále vyzerá tak, že veľa firiem má „GDPR hotové“ len na papieri. Niekde visí v pätičke webu generická politika, niekde sa podpísalo pár dokumentov, niekde sa zaviedla jedna smernica a tým to skončilo.

Lenže rok 2026 je taký bod, kedy sa vám toto môže vypomstiť. Nie preto, že GDPR zrazu začne platiť. Ono platí. Ale preto, že sa mení realita okolo.

Viac kontrol. Viac sťažností od ľudí. Viac automatizácie v marketingu. Viac prepojených systémov. Viac dodávateľov. Viac umelej inteligencie. A hlavne. Úrady už dnes nechcú počuť, že „máme to v šanóne“. Chcú vidieť, že to žijete.

Tento článok je praktický zoznam toho, čo by ste mali mať do roku 2026 naozaj hotové. Nie pekne pomenované. Hotové.

Pre koho to celé je

Ak ste:

• majiteľ malej firmy a máte web, newsletter, CRM, fakturáciu
• e-shop, aj malý, aj väčší
• agentúra, čo spracúva dáta klientov
• SaaS alebo aplikácia
• HR firma alebo ktokoľvek, kto spracúva CVčka
• poskytovateľ služieb, čo má databázu zákazníkov

tak to čítate správne.

A áno, aj keď máte „len pár kontaktov“. GDPR sa nepýta, koľko ich je. Pýta sa, či to robíte správne.

1. Mapu spracúvania osobných údajov. Reálne, nie z Word šablóny

Prvá vec, ktorú by ste mali mať. A ktorú nemá prekvapivo veľa firiem.

Musíte vedieť:

• aké osobné údaje spracúvate (meno, email, IP, objednávky, platby, identifikátory zariadení, cookies, logy)
• na aké účely (objednávka, zákaznícka podpora, marketing, analytika, bezpečnosť, HR)
• na akom právnom základe (zmluva, zákonná povinnosť, oprávnený záujem, súhlas)
• komu ich posúvate (účtovník, dopravca, platobná brána, mailing, hosting, chat nástroj)
• ako dlho ich držíte
• kde sú uložené (EU, mimo EU, cloud)

V GDPR jazyku sa to volá záznamy o spracovateľských činnostiach. V praxi je to vaša mapa.

A tá mapa musí sedieť s realitou. Nie že v dokumente je Mailchimp, ale vy používate Brevo. 

2. Právne základy. Najčastejšia chyba je „všetko na súhlas“

Súhlas je fajn, ale je to najkrehkejší základ.

Do 2026 by ste mali mať vyčistené, že:

• objednávka a dodanie služby ide na zmluvu, nie súhlas
• faktúry a účtovníctvo ide na zákonnú povinnosť
• základná bezpečnosť, antifraud, logy často ide na oprávnený záujem (ale treba to vedieť obhájiť)
• newsletter marketing typicky súhlas, alebo soft opt-in kde je to dovolené (napr. pre existujúcich zákazníkov pri splnení podmienok)
• remarketing a reklamné cookies spravidla súhlas, a reálne udelený, nie „lebo banner“

V roku 2026 už nebude výhovorka, že „cookie lišta to vyriešila“. Nie. Cookie lišta je len UI. Právny základ je vaša zodpovednosť.

K tomu patrí aj to, že máte spravené testy oprávneného záujmu (LIA) tam, kde ich používate. Nie všade. Ale tam, kde sa na to hráte.

3. Transparentnosť. Vaše informácie musia byť čitateľné, nie právnické

Ľudia (a úrady) riešia, či ste transparentní. Či to vedia pochopiť.

Do 2026 upracte:

• zásady ochrany osobných údajov na webe
• informácie pri zbere údajov (pri formulári, v appke, v objednávke)
• samostatné info pre newsletter a marketing
• info pre uchádzačov o zamestnanie
• interné info pre zamestnancov, ak spracúvate ich dáta (dochádzka, kamerový systém)

A skúste si to prečítať ako zákazník. Ak z toho nič nemáte, je to problém.

Praktická vec. Dajte si tam:

• účely spracúvania v bodoch
• právne základy
• kategórie príjemcov
• prenosy mimo EÚ (ak sú)
• doby uchovávania (aspoň logicky)
• práva dotknutých osôb a ako ich uplatniť (email, formulár)
• info o automatizovanom rozhodovaní, ak ho robíte (scoring, fraud, personalizácia)

A prosím. Nepíšte „môžeme údaje spracúvať na akýkoľvek účel“. To nie je transparentnosť. To je pozvánka na problém.

4. Súhlasy a cookies. Musí fungovať evidencia, nie len tlačidlo

V roku 2026 je už štandard, že:

• viete preukázať, kto a kedy dal súhlas (a s čím)
• viete preukázať, kto ho odvolal
• súhlas je oddelený od iných vecí (nie „ak chceš nakúpiť, musíš súhlasiť s marketingom“)
• cookies sa nenačítajú skôr, než používateľ súhlasí (pri marketingu a často aj pri niektorých analytikách)

Čo musíte mať nastavené:

• CMP alebo cookie riešenie, ktoré naozaj blokuje skripty do súhlasu
• kategórie cookies a jasné účely
• log súhlasov (aspoň na úrovni CMP)
• prepojenie so systémami tretích strán, ak to CMP podporuje

A teraz realita. Veľa webov má banner, ale GA, Meta Pixel a ďalšie veci bežia hneď. To je zlé.

5. Zmluvy so spracovateľmi. DPA a reťazec dodávateľov

Máte účtovníka? Hosting? CRM? Emailing? Externú agentúru? Call centrum? Cloud?

Potrebujete:

• uzavreté zmluvy o spracúvaní osobných údajov (DPA) tam, kde je dodávateľ spracovateľ
• jasno, kto je prevádzkovateľ a kto spracovateľ (a niekedy spoločný prevádzkovateľ)
• zoznam spracovateľov a subdodávateľov, aspoň v rámci toho, čo viete ovplyvniť
• pri prenose mimo EHP: právny mechanizmus (typicky SCC) a posúdenie rizík (TIA) ak je relevantné

Tu sa to často láme pri amerických nástrojoch. A nie, nie je to automaticky zakázané. Ale musíte to mať ošetrené a vedieť, prečo si myslíte, že je to ok.

Do 2026 by ste mali mať spravený minimálne „dodávateľský GDPR audit“:

• kto má prístup k dátam
• kde sú dáta uložené
• aké bezpečnostné opatrenia deklarujú
• či vám vedia pomôcť pri incidente a pri právach dotknutých osôb

6. Bezpečnosť. Technické a organizačné opatrenia, ktoré nie sú len frázy

GDPR nie je len o papieroch. Je aj o tom, či chránite dáta.

Do 2026 by som očakával minimálne:

• MFA na emaily, CRM, adminy, cloud
• správa prístupov (kto má prístup, prečo, a keď odíde, tak sa mu to vypne)
• šifrovanie notebookov a mobilov (aspoň tam, kde sú dáta)
• zálohy a test obnovy (áno, test)
• aktualizácie a patching proces
• oddelené účty, žiadne „shared login“
• logovanie prístupov tam, kde to dáva zmysel
• školenie ľudí na phishing a úniky, aspoň raz ročne a pri nástupe

Ak máte citlivejšie dáta alebo väčší objem, pridáva sa:

• segmentácia sietí
• SIEM alebo monitoring
• penetračné testy
• pravidlá pre vývoj (secure SDLC)
• šifrovanie dát v databáze podľa rizika

Nie je to o tom mať všetko. Je to o tom, vedieť obhájiť primeranosť.

7. Retencia. Doby uchovávania, mazanie, anonymizácia. Toto je fakt diera

Väčšina firiem dáta nemaže. Lebo sa to „možno raz zíde“.

Lenže v GDPR musíte vedieť povedať:

• ako dlho údaje potrebujete
• prečo
• čo urobíte potom (vymažete, anonymizujete, archivujete na zákonný účel)

Do 2026 si nastavte:

• retenčné lehoty pre zákaznícke dáta, marketing, logy, support, HR
• automatizované mazanie tam, kde to ide (CRM, emailing, helpdesk)
• proces manuálneho mazania, keď automatika nejde
• evidenciu výnimiek (napr. spor, reklamácia, právne nároky)

A hlavne. Ak niekomu sľubujete, že dáta vymažete, tak ich vymažte. Aj z kópií tam, kde je to primerané, alebo aspoň zabezpečte, že sa už ďalej nepoužijú.

8. Práva dotknutých osôb. Musíte to vedieť vybaviť rýchlo a bez paniky

Ľudia majú právo:

• na prístup k údajom
• na opravu
• na výmaz
• na obmedzenie
• na prenosnosť
• namietať (hlavne pri oprávnenom záujme a pri priamom marketingu)
• odvolať súhlas

Do 2026 potrebujete:

• jednoduchý kontakt (email alebo formulár)
• interný postup, kto to rieši a v akom čase
• schopnosť vyhľadať údaje naprieč systémami (tu sa hodí tá mapa z bodu 1)
• šablóny odpovedí a logovanie žiadostí
• overenie identity žiadateľa, primerane, nie šialene

A áno, máte lehotu spravidla 1 mesiac. Niekedy sa dá predĺžiť, ale to nie je plán. To je výnimka.

9. Incidenty a úniky. 72 hodín je brutálne krátko

Keď dôjde k porušeniu ochrany osobných údajov, máte povinnosti:

• posúdiť riziko
• zdokumentovať incident
• prípadne nahlásiť dozornému orgánu do 72 hodín
• prípadne informovať dotknuté osoby

Do 2026 by ste mali mať:

• incident response plán (kto čo robí, komu sa volá, kde sa zapisuje)
• internú „horúcu linku“ alebo aspoň jasné pravidlo, kam ľudia hlásia problém
• šablónu zápisu incidentu (čas, rozsah, dotknuté dáta, opatrenia)
• kontakt na IT, právnika, DPO ak ho máte
• pripravené komunikačné šablóny

A prosím vás. Incident nie je len hackerský útok. Je to aj:

• poslaný email nesprávnej osobe
• zdieľaný Google Drive dokument „anyone with link“
• stratený notebook
• zle nastavené práva v CRM
• export zákazníkov do excelu a potom to odíde niekam

10. DPIA. Keď robíte rizikové spracúvania, potrebujete posúdenie vplyvu

Nie každá firma musí robiť DPIA. Ale ak máte vyššie riziko, typicky:

• rozsiahle monitorovanie správania (tracking, profilovanie)
• spracúvanie citlivých údajov vo veľkom
• systematické hodnotenie, scoring, automatizované rozhodovanie
• kamerové systémy vo väčšom rozsahu
• nové technológie, ktoré zásadne menia riziko

tak DPIA by ste mali mať.

Do 2026 si aspoň položte otázku: robíme niečo, čo by DPIA vyžadovalo? Ak áno, urobte ju. A urobte ju skôr, než to spustíte. DPIA po nasadení je taká… no. Lepšie ako nič, ale stále zle.

11. Marketing v roku 2026. Segmentácia, personalizácia, automatizácie

Marketing je dnes celý o dátach. A celé GDPR sa v marketingu láme na dvoch veciach:

• či máte správny právny základ
• či viete preukázať, čo sa stalo

Do 2026 by ste mali mať poriadok v:

• newsletter databáze (zdroj kontaktu, súhlas, odhlásenia)
• double opt-in alebo iný spôsob, ako viete preukázať súhlas (odporúčané)
• automatizáciách (welcome série, abandoned cart, winback) a právny základ pre ne
• prepojeniach (CRM -> ads platformy, offline conversions)
• publiku a remarketingu

A nezabudnite na jednu vec. Ak niekto namieta proti priamemu marketingu, je to stopka. Bez diskusie.

12. AI a GDPR. V roku 2026 to nebude okrajová téma

Veľa firiem už dnes používa AI nástroje na:

• zákaznícku podporu (chatbot)
• analýzu ticketov a emailov
• prepis hovorov
• scoring leadov
• generovanie obsahu s použitím reálnych zákazníckych dát
• vyhľadávanie v interných dokumentoch

Do 2026 si ustrážte hlavne:

• či do AI nástroja neposielate osobné údaje bez právneho základu a bez zmluvného ošetrenia
• či dáta nepoužíva poskytovateľ na tréning, ak to nechcete
• kde sa dáta spracúvajú (lokalita, subdodávatelia)
• minimalizáciu údajov (posielať len to, čo treba)
• nastavenie retention v AI nástroji, ak existuje
• transparentnosť voči ľuďom (ak je relevantné, že komunikujú s botom alebo prebieha profilovanie)

A ak robíte automatizované rozhodovanie s právnym alebo podobne významným účinkom, tam sa pravidlá sprísňujú. To už je zóna, kde sa oplatí mať právnika, a často aj DPIA.

13. Dokumentácia. Nie papier pre papier, ale dôkaz, že máte kontrolu

Do 2026 by ste mali vedieť vytiahnuť, keď príde otázka alebo kontrola:

• záznamy o spracovateľských činnostiach (ROPA)
• zásady ochrany osobných údajov
• cookie dokumentáciu a evidenciu súhlasov (aspoň v rozsahu)
• zmluvy so spracovateľmi (DPA)
• interné smernice (prístupy, incidenty, retention)
• školenia (kedy, kto absolvoval)
• záznamy o žiadostiach dotknutých osôb
• záznamy o incidentoch (aj o tých malých)

Nie je cieľ mať 200 strán. Cieľ je vedieť preukázať, že riadite riziko.

14. Kedy potrebujete DPO a kedy nie

DPO, zodpovedná osoba, nie je povinná pre každého.

Ale do 2026 si to vyhodnoťte, či:

• ste orgán verejnej moci (tam je to často jasné)
• robíte rozsiahle pravidelné monitorovanie osôb
• spracúvate vo veľkom osobitné kategórie údajov (zdravie, biometria, atď.)
• jadro vašej činnosti je v spracúvaní, ktoré je rizikové

Ak nemáte DPO, neznamená to, že nemáte zodpovednosť. Len nemáte túto konkrétnu rolu.

Prakticky. Aj malá firma môže mať niekoho, kto je „GDPR owner“. Človek, ktorý drží mapu, dodávateľov, incidenty, žiadosti. Bez toho sa to rozpadne.

Rýchly checklist: čo mať hotové do 2026

Ak chcete rýchly prehľad, tak:

• aktuálna mapa spracúvania a ROPA, sedí so systémami
• nastavené právne základy, a LIA tam, kde treba
• transparentné informácie pre ľudí (web, formuláre, HR)
• funkčné cookie consent riešenie, ktoré reálne blokuje skripty
• evidencia súhlasov a odvolaní
• DPA so spracovateľmi, kontrola subdodávateľov a prenosov mimo EHP
• primerané bezpečnostné opatrenia (MFA, prístupy, zálohy, školenia)
• retention a mazanie nastavené v praxi, nie len v dokumente
• proces na práva dotknutých osôb, šablóny, logovanie
• incident plán, záznamy, schopnosť reagovať do 72 hodín
• DPIA, ak robíte rizikové spracúvania
• pravidlá pre AI nástroje a posielanie dát do nich
• dokumentácia, ktorá je použiteľná a aktuálna

Záver, taký normálny

GDPR sa dá robiť tak, že vás to otravuje. Alebo tak, že vám to dáva poriadok v dátach, procesoch, bezpečnosti. A potom už to nie je „compliance“, je to zdravý systém.

Rok 2026 berte ako deadline pre upratanie reality. Nie pre tvorbu nových PDF.

Ak neviete, kde začať, začnite mapou spracúvania. Bez nej nevyriešite nič ďalšie. A keď tú mapu máte, zrazu vidíte, čo je kritické, čo je len kozmetika, a čo sa dá spraviť za jedno popoludnie.

A to je presne to, čo chcete. Mať to hotové. Nie len „nejako“.

Často kladené otázky

Čo znamená mať GDPR 'hotové' naozaj a nie len na papieri?

Mať GDPR 'hotové' naozaj znamená, že vaša firma aktívne žije a dodržiava pravidlá GDPR v praxi. Nie je to len o tom, že máte politiku súkromia na webe alebo podpísané dokumenty, ale o skutočnej implementácii procesov, ktoré zabezpečujú správne spracovanie osobných údajov, pravidelné kontroly a transparentnosť voči zákazníkom.

Pre koho je tento praktický zoznam GDPR povinností určený?

Tento zoznam je určený pre majiteľov malých aj väčších firiem s webom, newsletterom, CRM, fakturáciou, e-shopmi, agentúrami spracúvajúcimi dáta klientov, SaaS spoločnosti, HR firmy alebo kohokoľvek, kto spracúva osobné údaje ako napríklad CVčka či databázu zákazníkov. GDPR sa totiž nevzťahuje na počet kontaktov, ale na správne spracovanie údajov.

Čo je mapa spracúvania osobných údajov a prečo je dôležitá?

Mapa spracúvania osobných údajov je detailný záznam o tom, aké osobné údaje spracúvate, na aké účely, na akom právnom základe, komu ich posielate, ako dlho ich uchovávate a kde sú uložené. Táto mapa musí byť presná a zodpovedať realite vašej firmy. Je to základný nástroj pre splnenie požiadaviek GDPR a preukázanie súladu pri kontrolách.

Aké sú najčastejšie chyby pri výbere právnych základov spracovania údajov?

Najčastejšou chybou je používanie súhlasu ako právneho základu pre všetko. Do roku 2026 by ste mali mať jasne rozlíšené právne základy: objednávky a služby na základe zmluvy; faktúry a účtovníctvo na zákonnej povinnosti; bezpečnosť a antifraud často na oprávnenom záujme; newsletter marketing typicky na súhlase alebo soft opt-in; remarketing a reklamné cookies zvyčajne na reálnom udelenom súhlase.

Prečo nebude v roku 2026 stačiť len cookie lišta ako ochrana údajov?

V roku 2026 už nebude stačiť argumentovať tým, že cookie lišta vyriešila všetko. Cookie lišta je iba používateľské rozhranie (UI) – právny základ spracovania údajov musíte zabezpečiť vy ako prevádzkovateľ. To znamená mať správne nastavené právne základy vrátane testov oprávneného záujmu tam, kde ich používate.

Ako zabezpečiť transparentnosť informácií podľa GDPR?

Transparentnosť znamená poskytovať informácie o spracovaní osobných údajov jasne a čitateľne bez zbytočných právnických výrazov. Ľudia aj úrady očakávajú jednoduché vysvetlenie toho, čo robíte s ich údajmi a prečo. Preto by ste mali mať svoje politiky a oznámenia napísané zrozumiteľným jazykom priamo pre svojich zákazníkov.

V roku 2026 čakajú malé a stredné podniky na Slovensku významné úpravy v aplikácii GDPR, ktoré prinášajú administratívne zjednodušenia pre firmy s menej ako 750 zamestnancami, no zároveň sprísňujú požiadavky na kvalitu súhlasov, bezpečnosť dát a riadenie dodávateľov. Tieto zmeny, schválené novelou z roku 2025, reagujú na rast AI technológií a kumulatívne pokuty presahujúce 5 miliárd eur od roku 2018. Pre konzultačné služby ako tie na webpomoc predstavujú príležitosť na poskytnutie komplexných riešení, ktoré zabezpečia súlad bez zbytočnej administratívy.

Slovenské firmy musia sledovať návrhy zákonov LP/2025/305 a 306, integrujúce eIDAS 2.0. Zároveň EDPB priorizuje zjednodušenie pre SME v programe 2026-2027.

Podrobný prehľad zmien v GDPR 2026

Administratívne zjednodušenia pre malé firmy

Prah pre povinné ROPA (záznamy o spracovaní osobných údajov) sa zvýšil z 250 na 750 zamestnancov, pokiaľ nejde o spracovanie citlivých údajov alebo vysokorizikové aktivity ako profilovanie. Malé podniky do 50 zamestnancov môžu používať štandardizované šablóny z webpomoc namiesto komplexných auditov. Pre webstránky na WordPress s viaczjazyčnou podporou WPML platí, že cookie bannery musia mať tlačidlá "Akceptovať všetky" a "Odmietnuť všetky" na rovnakej úrovni prominence, s možnosťou granularných nastavení cez "Spravovať preferencie".

Pre umelú inteligenciu a machine learning sa rozširuje použitie právneho základu "oprávnený záujem", ak je podložené DPIA (posúdenie vplyvu na ochranu údajov) a pravidelným prehodnocovaním. To je ideálne pre chatboty alebo automatizované reporty v BOZP (bezpečnosť a ochrana zdravia pri práci).

Sprísnené požiadavky na súhlasy a transparency

Súhlasy musia byť voľne odvolateľné jedným klikom, s povinným refreshom každých 12 mesiacov pre marketingové účely. Zákaz dark patterns – manipulácia používateľov cez dizajn – je prísne sankcionovaná. Vendor management sa posilňuje: zmluvy podľa čl. 28 GDPR vyžadujú audit rights, reporting incidentov do 24 hodín a definovanie subprocessingu. Pre slovenské s.r.o. to znamená revíziu zmlúv s hostingovými službami alebo nástrojmi na email marketing – bezpečné šablóny nájdete na webpomoc.

Pokuty zostávajú na úrovni až 4% ročného globálneho obratu alebo 20 miliónov eur, s možnosťou kumulácie za viacero porušení. V roku 2025 ÚOOÚ uložil sankcie e-shopom za neplatné súhlasy.

Komplexné povinnosti každého prevádzkovateľa

Každý prevádzkovateľ osobných údajov – od živností po stredné podniky – musí identifikovať všetky spracúvané údaje: meno, email, IP adresa, kamerové záznamy z BOZP. Evidencia spracúvania je povinná pre zamestnancov a zákazníkov; šablóny zahŕňajú stĺpce ako účel, právny základ, príjemcovia a lehota uchovávania. Podrobné návody na webpomoc.

Zmluvy so sprostredkovateľmi sú esenciálne pre nástroje ako Google Analytics (s anonymizáciou v GA4), remote prístupové softvéry alebo LMS platformy pre školenia. Musia obsahovať klauzuly o bezpečnosti, odpovedi na žiadosti subjektov a obmedzení prenosu mimo EÚ. Webpomoc ponúka pripravené zmluvy.

DPIA je povinné pre rizikové procesy: biometrické údaje v BOZP, AI profilovanie alebo veľké databázy zákazníkov. Ročné školenia personálu s testami znižujú riziko porušení. Privacy by design pre nové projekty zahŕňa pseudonymizáciu, šifrovanie HTTPS/TLS 1.3 a minimalizáciu dát.

Detailný ročný implementačný plán

Štvrťročný auditový cyklus

• Q1 (január – marec): Testovanie cookie bannerov s Consent Mode v2 cez Google Tag Manager, logovanie súhlasov do server-side analytics ako Matomo. Aktualizácia privacy policy s odkazmi na zmluvy so sprostredkovateľmi.
• Q2 (apríl – jún): Komplexný audit všetkých zmlúv podľa čl. 28 GDPR – checklist zahŕňa SCC (štandardné zmluvné doložky), DPA a breach notification. Pre BOZP: integrácia kamerových systémov s DPIA.
• Q3 (júl – september): DPIA pre AI nástroje, Legitimate Interest Assessment (LIA) s 3-faktorovým modelom (očakávaný prospech, nutnosť, vplyv na práva subjektov). Testovanie DSAR workflow.
• Q4 (október – december): Online školenia personálu, mock scenáre breachov, revízia ROPA a príprava na EDPB guidelines 2026-2027. Podpora cez webpomoc.


Automatizácia procesov pre SME

Consent Management Platformy (CMP) ako tie kompatibilné s WordPress automatizujú skenovanie cookies a generovanie reportov. Pre DSAR požiadavky slúžia workflow nástroje s API integráciou. ERP systémy s GDPR modulmi umožňujú automatické mazanie dát po lehote uchovávania. Pre multi-site weby: WPML + GDPR export v slovenčine a angličtine.

 Hĺbkový rozbor 7 princípov GDPR v praxi

1. Zákonnosť, férovosť a transparentnosť: Spracovanie na jednom z 6 právnych základov (súhlas, zmluva, zákonná povinnosť, ochrana životných záujmov, verejný záujem, oprávnený záujem). Privacy notice musí byť stručné (max. 200 slov), viditeľné na každej podstránke.
2. Obmedzenie účelu: Marketingové dáta nesmú slúžiť na HR účely. Príklad: BOZP záznamy len pre inšpekciu práce a súdy.
3. Minimalizácia údajov: Zbierajte iba email namiesto telefónu a adresy. Na weboch preferujte first-party cookies.
4. Presnosť údajov: Automatizovaný cleanup v CRM systémoch každých 6 mesiacov, s notifikáciou subjektov.
5. Obmedzenie lehoty uchovávania: Zákazníci – 3 roky od posledného kontaktu; zamestnanci – 10 rokov po skončení zmluvy.
6. Integrita a dôvernosť: Multi-factor autentifikácia (MFA), role-based access control, šifrovanie at-rest (AES pre databázy). Reporting breachov do 72 hodín na ÚOOÚ.
7. Zodpovednosť: Dokumentujte rozhodnutia (decisions trail), vymeňte DPO pre väčšie SME. Šablóny na webpomoc.


Vendor a subdodávateľský reťazec: Riziká a stratégie

Prevádzkovatelia zodpovedajú za celý dodávateľský chain – od hostingu cez CDN po analytics. V 2026 vyžadujú aktualizované SCC po Schrems II rozhodnutí, vrátane Transfer Impact Assessment (TIA) pre transfery do USA. Príklad zmluvy pre remote tools definuje EU hosting, subprocessing limity a audit práva. Webpomoc poskytuje checklists.

Štatistiky ukazujú, že 40% pokút pramení z vendor failures. Riešenie: Ročný vendor audit cez 20-otázokový questionaire o security, compliance a incident history.

Práva dotknutých osôb: Podrobný návod

• Právo na prístup: Export údajov do CSV/JSON formátu do 30 dní.
• Právo na opravu: Okamžitá aktualizácia bez poplatku.
• Právo na vymazanie (right to be forgotten): Mazanie z primárnych systémov i backups do 90 dní.
• Právo na prenosnosť: Štruktúrovaný formát ako XML/JSON.
• Právo na námietku: Automatický opt-out pre profilovanie a marketing.
• Právo na human review: Proti automatizovaným rozhodnutiam.

Pre weby: DSAR formulár s automated workflow a response templates. Podpora cez webpomoc.

Integrácia GDPR s BOZP, ESG a eIDAS 2.0

BOZP kamerové systémy vyžadujú informatívne tabule, 3-dňovú retenciu záznamov a DPIA. ESG/CSRD reporting od 2026 používa anonymizované dáta. eIDAS 2.0 zavádza digitálne podpisy pre zmluvy so sprostredkovateľmi. Pre s.r.o.: GDPR-compliant účtovníctvo s automatickým mazaním. Riešenia na webpomoc.

Reálne slovenské prípadové štúdie

E-shop v Bratislave: Pokuta za neplatné cookie súhlasy riešená CMP implementáciou. Klient webpomoc: Full compliance za týždeň, vrátane BOZP integrácie. Ďalší prípad: Stredný podnik s kamerami – DPIA zachránilo pred pokutou.

WordPress špecifické tipy pre GDPR

Pre weby Wordpress: Pluginy na CMP (Consent Management), GA4 anonymizácia cez server-side tagging. WPML kompatibilita: Preklady privacy policy. Divi themes: Child theme s privacy hooks. Tutoriály na webpomoc.

AI v GDPR: Opravnený záujem a DPIA

AI chatboty a profiling: LIA model váži benefity vs. práva. Príklad: ChatGPT integrácia vyžaduje anonymizáciu promptov. EDPB guidelines 2026 špecifikujú high-risk AI. 

Pokuty a tresty v SR: Štatistiky 2025-2026

ÚOOÚ: Najčastejšie porušenia – súhlasy (45%), vendor zmluvy (30%). Príklady: 50 000 € za dark patterns.

Tipy pre podniky v Bratislavskom kraji

Sledujte ÚOOÚ newslettery, lokálne semináre. Začnite auditom cez webpomoc. Compliance zvyšuje dôveru zákazníkov.

Budúcnosť GDPR: 2027 a ďalej

EDPB fokus na post-quantum encryption, AI act integrácia. Pre webdev: GDPR-ready themes a API.

Digitálna bezpečnosť v roku 2026 už nie je len príjemným doplnkom, ale nevyhnutnou súčasťou každého online biznisu – od živnostníkov cez e-shopy až po väčšie firmy. Jedným z najjednoduchších a zároveň najúčinnejších spôsobov ochrany je dvojfaktorová autentifikácia (2FA), teda prihlasovanie pomocou dvoch nezávislých krokov. Táto metóda je dôležitá na ochranu zákazníkov a zabezpečenie online účtov.

V článku si vysvetlíme, čo je 2FA, prečo je v roku 2026 veľmi užitočná, aké typy 2FA existujú, ako ju vnímať z hľadiska GDPR a bezpečnosti firmy a ako ju správne zaviesť vo firme alebo na vlastnej stránke. Je obzvlášť dôležitá pri platbách a ochrane osobných údajov zákazníkov.

Čo je dvojfaktorová autentifikácia

Dvojfaktorová autentifikácia (2FA) znamená, že pri prihlasovaní používateľ potvrdzuje svoju totožnosť dvoma rôznymi spôsobmi, nie len heslom. Okrem mena a hesla pridáte ďalší krok – napríklad jednorazový kód, overenie odtlačkom prsta alebo potvrdenie na telefóne. Tento spôsob je veľmi dôležitý najmä pre e-shopy s citlivými platbami.

Zvyčajne ide o kombináciu týchto troch typov faktorov:

• niečo, čo viete (heslo, PIN),
• niečo, čo máte (mobilný telefón, hardvérový kľúč, čipová karta),
• niečo, čím ste (odtlačok prsta, rozpoznanie tváre).

Kým pri klasickom prihlasovaní stačí útočníkovi získať alebo uhádnuť heslo, pri 2FA musí prekonať aj druhý faktor viazaný na používateľa alebo jeho zariadenie. To výrazne zvyšuje bezpečnosť účtov.

Prečo heslo samo o sebe v roku 2026 nestačí

V posledných rokoch výrazne stúpol počet únikov dát aj phishingových útokov, zameraných na prihlasovacie údaje.

• V roku 2024 unikli miliardy záznamov vrátane hesiel, kontaktov a ďalších údajov.
• Phishingové útoky vzrástli a bezpečnostné firmy blokovali stovky miliónov pokusov o podvodné získanie údajov.

To znamená:

• heslá ľudí pravdepodobne unikli aspoň z jednej služby,

Typy 2FA: od SMS po hardvérové kľúče

Nie všetky spôsoby dvojfaktorovej autentifikácie (2FA) sú rovnako bezpečné a pohodlné. Najčastejšie sa stretávame s týmito typmi:

• SMS kód: Používateľ zadá heslo a dostane jednorazový kód cez SMS. Je to jednoduché, ale menej bezpečné kvôli možnému zachyteniu správy alebo SIM swap útokom.
• Aplikačný kód (Authenticator app): Kód sa generuje v aplikácii ako Google Authenticator alebo Microsoft Authenticator. Kód sa často mení a neprechádza cez SMS, takže je bezpečnejší a funguje aj bez signálu.
• Push notifikácia: Po zadaní hesla stačí potvrdiť prihlásenie v mobilnej aplikácii (napríklad kliknutím na „schváliť“). Je to pohodlné a znižuje riziko chýb pri zadávaní kódu.
• Hardvérový bezpečnostný kľúč: Fyzické zariadenie ako YubiKey, ktoré sa pripojí cez USB alebo NFC a slúži ako druhý faktor. Je to veľmi bezpečné riešenie, vhodné najmä pre administrátorov alebo dôležité účty.
• Biometria: Overenie pomocou odtlačku prsta alebo rozpoznania tváre, často v kombinácii s inými faktormi. Samotná biometria nie je 2FA, ale spolu s ďalším faktorom zvyšuje bezpečnosť aj pohodlie.

Pri výbere 2FA treba nájsť rovnováhu medzi ochranou a jednoduchosťou použitia – napríklad administrátor môže používať hardvérový kľúč, zatiaľ čo bežný zamestnanec aplikačný kód alebo push notifikáciu. Rôzne typy 2FA sú dôležité pri platbách, e-shopoch, prístupe k digitálnemu obsahu či ochrane osobných údajov. Napríklad pri internetbankingu je aplikácia alebo push notifikácia nevyhnutná na zabezpečenie transakcií pred zneužitím.

Výhody 2FA pre bežných používateľov

Aj mimo práce 2FA prináša používateľom tieto výhody:

• Ochrana pred zneužitím hesla: Ak útočník získal heslo napríklad phishingom alebo únikom dát, bez druhého faktora sa do účtu nedostane.
• Zníženie rizika krádeže identity: Útočník bez prístupu k vášmu e-mailu, sociálnym sieťam alebo cloudovému úložisku sa nemôže vydávať za vás.
• Ochrana osobných a finančných údajov: 2FA je dnes štandard pri internetbankingu, platobných kartách a citlivých službách kvôli častým útokom na tieto účty.

Príklad: ak niekto pozná vaše heslo k e-mailu, bez 2FA sa síce môže prihlásiť, ale nemôže si napríklad zmeniť heslá v iných službách. S 2FA mu totiž chýba druhý krok – napríklad kód z aplikácie – takže väčšinou neuspeje.

Výhody 2FA pre firmy a organizácie

Vo firmách je 2FA dôležité rozhodnutie, ktoré pomáha znižovať riziká a chrániť podnikanie.

• Ochrana interných systémov a dát
• Únik dokumentov, databáz zákazníkov alebo prístupov do cloudových služieb môže spôsobiť finančné aj reputačné škody. 2FA výrazne znižuje šancu, že útočník získa prístup len cez ukradnuté heslo.
• Zníženie rizika ransomvéru a bezpečnostných incidentov
• Útočníci často získavajú prístup cez kompromitované účty (napríklad VPN, RDP alebo cloudové účty). 2FA pridáva ďalšiu ochranu, ktorá mnohých útočníkov odradí alebo spomalí.
• Lepšie splnenie požiadaviek GDPR a bezpečnostných štandardov
• Podľa GDPR sa očakáva primeraná úroveň technických a organizačných opatrení, vrátane kontroly prístupu k osobným údajom. Dvojfaktorové prihlasovanie je príkladom opatrenia, ktoré ukazuje, že firma robí všetko rozumne možné na ochranu dát.

Pre firmy v regulovaných oblastiach podľa NIS2 alebo ISO 27001 je 2FA štandardnou požiadavkou pri prístupe do dôležitých systémov a aplikácií.

2FA a GDPR: primerané bezpečnostné opatrenie

GDPR nevyžaduje výslovne „mať 2FA“, ale požaduje primerané technické a organizačné opatrenia na ochranu osobných údajov. Pri hodnotení vhodnosti sa berú do úvahy druh údajov, rozsah spracovania, riziká pre práva ľudí a aktuálna technológia.

V roku 2026 je dvojfaktorová autentifikácia bežne dostupná, lacná a jednoduchá na použitie.

Pre systémy so spracovaním:

• väčšieho množstva osobných údajov,
• citlivých informácií (napríklad zdravotné údaje),
• údajov o klientoch, zamestnancoch alebo obchodných partneroch,

je ťažké obhájiť neprítomnosť 2FA pri prihlasovaní administrátorov alebo oprávnených používateľov.

Pri hodnotení rizík (napríklad podľa ISO 27001 alebo interného hodnotenia) sa často odporúča používať 2FA na zníženie pravdepodobnosti neoprávneného prístupu.

Najčastejšie obavy z 2FA a ako na ne odpovedať

Pri zavádzaní 2FA vo firmách sa často opakujú rovnaké obavy používateľov.

• „Je to zložité a spomaľuje ma to pri prihlasovaní.“
• Moderné riešenia (push notifikácie, biometria) predlžujú prihlasovanie len o pár sekúnd, nie minút. Riziko zneužitia účtu je však oveľa väčšie ako táto malá strata času.
• „Čo keď stratím mobil alebo ho nemám pri sebe?“
• Dôveryhodné služby umožňujú obnoviť prístup cez záložné kódy, e‑mail administrátora alebo druhý 2FA spôsob (napríklad hardvérový kľúč). Dôležité je mať nastavený proces obnovy a používateľov o ňom vopred informovať.
• „Zamestnanci to nebudú chcieť používať.“
• Dôležitá je komunikácia – vysvetlite, že ide o ochranu firmy aj ich osobných údajov, ukážte príklady útokov a vyberte čo najjednoduchšiu formu 2FA.

Ak firma dobre vysvetlí pravidlá a nastaví jednoduchý postup obnovy prístupu, používanie 2FA sa rýchlo stane bežnou súčasťou práce.

Kde určite zapnúť 2FA

V roku 2026 by 2FA nemalo byť výnimkou, ale štandardom aspoň pre dôležité účty a služby.

• Firemný e‑mail (Google Workspace, Microsoft 365 a podobne)
• E‑mail často slúži ako „hlavný kľúč“ ku všetkým ostatným účtom, pretože cez neho sa menia heslá. Preto je tu 2FA veľmi dôležité.
• Administrátorské účty na webových stránkach (WordPress, LMS, e‑shop)
• Zneužitie admin účtu môže viesť k úniku dát, vírusom na webe alebo poškodeniu dobrého mena firmy. Preto by mali mať administrátori a editori vždy zapnuté 2FA.
• Prístup do cloudu a úložísk (OneDrive, Google Drive, Dropbox)
• Tam sa často nachádzajú zmluvy, osobné údaje či interné dokumenty.
• VPN, vzdialený prístup a citlivé systémy
• Pri prístupe zvonku môže napadnutý účet umožniť útočníkovi vstup do firemnej siete.
• Internetbanking, finančné a účtovné systémy
• Banka už štandardne používa 2FA, ale často zabúdame na fakturačné systémy, ERP alebo aplikácie na správu financií. To platí hlavne pri platbách kartou alebo prevodom.

Ak firma začne postupne – najprv u najd

Ako zaviesť 2FA vo firme krok za krokom

Zavedenie 2FA by ste mali vnímať ako malý projekt, nie len ako technickú zmenu v nastaveniach.

1. Analýza: Zistite, ktoré systémy sú najdôležitejšie.
2. Určte účty a aplikácie, kde by prípadné napadnutie malo veľký dopad – napríklad e‑mail, CRM, účtovníctvo, weby alebo cloud.
3. Vyberte vhodný spôsob 2FA.
4. Pre bežných používateľov stačí kód z aplikácie alebo push notifikácia, pre administrátorov zvážte použitie hardvérového kľúča.
5. Pilotná fáza
6. Začnite s vedením, IT oddelením a pár dôležitými používateľmi. Otestujte nastavenia, proces obnovy prístupu a jednoduché návody.
7. Interná komunikácia a školenie
8. Jednoducho vysvetlite, prečo zavádzate 2FA, čo to firme prinesie a čo od toho môžu používatelia očakávať. Ukážte obrázky, krátke návody alebo videá.
9. Povinné zapnutie pre vybrané účty
10. Po pilotnej fáze stanovte dátum, od ktorého bude 2FA povinná pre vybrané účty (napríklad všetky Microsoft 365 účty alebo všetci administrátori vo WordPresse).
11. Priebežná kontrola a podpora
12. Sledujte, či všetci používatelia naozaj používajú 2FA a pomáhajte pri strate mobilu alebo zmene telefónu.

Tento postup pomáha znížiť odpor k zmene, zároveň zabezpečiť bezpečnosť a reálne znížiť riziko útokov.

2FA v roku 2026: nový štandard bezpečného prihlasovania

V čase rastúcich kybernetických útokov, veľkých únikov dát a prísnych pravidiel na ochranu osobných údajov je dvojfaktorová autentifikácia dnes základom bezpečnosti, nie len extra ochranou. Pre bežného používateľa znamená 2FA pár sekúnd navyše pri prihlasovaní, ale výrazne znižuje riziko zneužitia účtu. Pre firmy je to jedno z najefektívnejších a pritom lacných opatrení na ochranu dát, dobrého mena aj splnenie zákonných požiadaviek vrátane tých stanovených v

Často kladené otázky

Čo je to dvojfaktorová autentifikácia (2FA) a prečo je dôležitá?

Dvojfaktorová autentifikácia (2FA) je proces prihlasovania, ktorý vyžaduje dva nezávislé kroky overenia identity používateľa. Je dôležitá, pretože výrazne zvyšuje bezpečnosť účtov tým, že chráni pred únikom dát, phishingovými útokmi a zneužitím hesiel.

Aké sú najbežnejšie typy 2FA používané v roku 2026?

Medzi najbežnejšie typy 2FA patria SMS kódy, aplikácie generujúce kódy (napr. Google Authenticator), push notifikácie, hardvérové bezpečnostné kľúče ako YubiKey (USB/NFC) a biometrické metódy ako odtlačok prsta alebo rozpoznanie tváre.

Prečo už heslo samo o sebe v roku 2026 nestačí na zabezpečenie účtov?

Heslá sú čoraz viac ohrozené kvôli rastúcim únikom dát, phishingovým kampaniam, recyklácii hesiel a automatizovaným nástrojom ako credential stuffing. Preto je potrebné používať 2FA na zvýšenie ochrany osobných a firemných údajov.

Aké výhody prináša 2FA bežným používateľom aj firmám?

Pre bežných používateľov 2FA znižuje riziko krádeže identity, chráni osobné a finančné údaje a zabraňuje zneužitiu hesla. Firmám pomáha chrániť interné systémy a dáta, znižuje riziko ransomvéru a bezpečnostných incidentov a zároveň pomáha plniť požiadavky GDPR a iných štandardov.

Ako by mala prebiehať implementácia 2FA vo firme?

Implementácia 2FA vo firme by mala začať analýzou kritických systémov a identifikáciou účtov s najväčším dopadom. Následne sa vyberie vhodná forma 2FA (aplikačný kód, push notifikácia, hardvérový kľúč), spustí pilotná fáza s vedením a kľúčovými používateľmi, zabezpečí interná komunikácia a školenie, povinné zapnutie pre vybrané účty a priebežná kontrola s podporou používateľov.

Aké sú najčastejšie námietky voči 2FA a ako ich riešiť?

Najčastejšie námietky zahŕňajú obavy zo zdržania pri prihlasovaní alebo komplikovanosti používania. Riešenia zahŕňajú použitie push notifikácií alebo biometrie, ktoré predĺžia prihlásenie len o niekoľko sekúnd. V prípade problémov s prístupom sa využívajú záložné kódy, e-mail administrátora alebo druhý 2FA faktor. Kľúčová je tiež dôkladná komunikácia pri zavádzaní 2FA vo firme.

Omniac je mobilná aplikácia vyvinutá nemeckou firmou Schwarz Cyber Technologies GmbH, ktorá monitoruje úniky osobných dát v internete, deep webe a darknete. Monitoruje vyše 35 typov údajov vrátane e-mailov, telefónnych čísel, platobných informácií a adries, s cieľom chrániť používateľov pred krádežou identity. Ako konzultant v oblasti GDPR oceňujem jej zameranie na ochranu dát, najmä v kontexte častých únikov v EÚ.

Hlavné funkcie

Aplikácia skenuje darknet, deep web a bežný internet nonstop a upozorňuje na riziká cez push notifikácie alebo e-maily. Používatelia môžu sledovať až 10 hodnôt pre 35+ typov dát, ako sú IBAN, čísla kariet, sociálne siete či osobné identifikačné údaje. Poskytuje bezpečnostný status, hodnotenie kritickosti úniku a praktické rady, ako zmeniť heslá alebo aktivovať 2FA.

• Monitorovanie 35+ typov dát vrátane e-mailov, telefónov, adries a platobných údajov.
• Okamžité upozornenia s krokmi na ochranu (napr. zmena hesla, kontakt s bankou).
• Bezpečnostný skóre na základe otvorených únikov a slabých miest.
• Podpora pre ochranu rodinných údajov cez školské alebo klubové účty.

Inštalácia a používanie

Inštalácia je bezplatná na Google Play (Android) a App Store (iOS 17+), s predplatným po registrácii. Proces: vytvorte účet, overte e-mail/SMS, zadajte dáta na sledovanie (hashed a šifrované), vyberte plán (€0.99-2.99/mesiac alebo €9.99-23.99/rok). Prvý sken trvá pod 15 sekúnd; rozhranie je intuitívne v nemčine, angličtine, slovenčine a ďalších jazykoch.

Aplikácia je dostupná v 15 krajinách vrátane Slovenska, čo ju robí relevantnou pre lokálnych používateľov. Zadávanie dát je podrobné, ale umožňuje viac e-mailov či telefónov.

GDPR súlad a bezpečnosť

Vyvinutá v Nemecku na nemeckých serveroch, plne GDPR-kompatibilná s end-to-end šifrovaním. Dáta sa hashujú pred odoslaním k partnerovi Constella Intelligence (USA, s EU Standard Contractual Clauses). Používateľ má plnú kontrolu, dáta sa mažú po 30 dňoch od zrušenia predplatného.

• Žiadne ukladanie klartext dát, len hashed/masked verzie.
• Overenie identity cez SMS/e-mail pre citlivé údaje.
• Prísne pravidlá pre subdodávateľov (Schwarz IT KG, Widas ID GmbH).

V kontexte slovenského trhu, kde GDPR pokuty dosahujú milióny, je tento prístup výhodou pre firmy ako Webpomoc s.r.o.

Používateľské recenzie

Hodnotenie 3.3/5 na App Store (53 recenzií), menej na Google Play (1K+ stiahnutí). Pozitíva: rýchly sken, objavené úniky (napr. Facebook hack), jasné inštrukcie, nemecká kvalita.

Negatíva: chyby pri platbách ("operation failed"), zlomené funkcie na začiatku. Aktualizácie vyriešili mnohé bugy (verzia 1.2.2).

Porovnanie s konkurenciou

Na rozdiel od Have I Been Pwned (bezplatné, len e-maily), Omniac pokrýva 35+ typov dát vrátane darknetu. Vs. Avast BreachGuard alebo Norton: lacnejšie (€0.99 promo), viac dátových typov, ale menej známe. Pre Slovákov lepšie ako globálne služby bez GDPR focusu.

• Lacnejšie ako Norton (od €4.99/mes.).
• Viac dát ako HIBP (35+ vs. hlavne e-maily).

Osobná skúsenosť

Ako používateľ z Bratislavy som otestoval Omniac na svojich e-mailoch a telefóne. Objavil 3 dôležité úniky z minulých breachov (vrátane Facebooku), s radami na reset hesiel. Rýchle, užitočné pre GDPR compliance v mojej firme. Pre iOS vývojárov: kompatibilné s Xcode workflow.

Cena a hodnotnosť

Predplatné: €0.99/mes. (promo) alebo €9.99/rok, štandard €2.99/mes./€23.99/rok. Hodnotné oproti stratám z identity theft (finančné straty, zlé skóre). Zrušenie cez App Store/Google, bez skrytých poplatkov.

Záver a odporúčanie

Omniac je solídny nástroj pre ochranu dát v ére častých únikov, ideálny pre podnikateľov v SK. Odporúčam pre GDPR-sensitive firmy, napriek drobným bugom. Skúste free trial a monitorujte dáta proaktívne.

Od 1. januára 2026 by mal platiť nový zákon o ochrane osobných údajov (návrhy LP/2025/305 a LP/2025/306 sú momentálne v legislatíve), ktorý prinesie veľké zmeny pre verejný aj súkromný sektor. Reforma reaguje na technologický vývoj, rastúci význam dát v ekonomike a potrebu zosúladiť slovenské zákony s európskymi pravidlami. Tento nový zákon o ochrane osobných údajov 2026 bude hlavný dokument na Slovensku v tejto oblasti.

Prečo sa mení zákon

Doterajší zákon č. 18/2018 Z. z. bol často nejasný a opakoval pravidlá GDPR, čo spôsobovalo problémy pri jeho používaní. Nový zákon preto vychádza z toho, že GDPR platí priamo a samostatne, a slovenské pravidlá len dopĺňajú tie oblasti, ktoré EÚ necháva na národnú úpravu. Cieľom zmien je lepšie pochopenie a efektívnejšia ochrana osobných údajov.

Z pôvodného zákona sa odstránia duplicity, systém bude prehľadnejší a organizácie budú mať väčšiu právnu istotu pri spracovaní údajov.

1. Nový prístup k GDPR

Najväčšou zmenou je, že GDPR bude mať plnú právnu silu bez toho, aby ho Slovensko prevádzalo do svojho zákona. Slovensko nastaví len doplnkové pravidlá. Tento prístup pomôže:

• lepšie sa orientovať v pravidlách,
• znižiť administratívnu záťaž,
• zjednotiť postupy so štátmi EÚ.

Súčasťou bude aj nový zákon na ochranu údajov v trestnom práve podľa smernice (EÚ) 2016/680.

2. Ochrana citlivých údajov

Bude prísnejšie pravidlá pre spracovanie citlivých údajov ako genetické, biometrické alebo zdravotné informácie. Tieto údaje sa budú môcť spracovávať iba v presne určených prípadoch podľa zákona alebo medzinárodnej zmluvy a s adekvátnymi bezpečnostnými opatreniami.

Zákaz zverejňovania rodného čísla bude novinkou – jeho použitie bude možné len keď je to nevyhnutné a so súhlasom osoby.

3. Jednoduchšie administratívne procesy

Často kladené otázky

Čo prináša nový zákon o ochrane osobných údajov od roku 2026?

Nový zákon stavia na princípe priamej účinnosti a autonómie GDPR, odstraňuje duplicity, sprehľadňuje systém a zlepšuje právnu istotu. Uznáva plnú právnu silu GDPR a určuje doplňujúce národné pravidlá vrátane implementácie smernice (EÚ) 2016/680 pre trestné právo a činnosti orgánov presadzovania práva.

Aké zmeny sa očakávajú pre verejný aj súkromný sektor?

Zmeny zahŕňajú sprísnenie pravidiel pri spracúvaní osobitných kategórií údajov, zákaz zverejňovania rodného čísla s výnimkami, povinnosť revidovať rizikové profily spracúvania dát najmä pri AI a automatizovanom spracovaní, ako aj zavedenie nových mechanizmov zodpovednosti vrátane kódexov správania.

Ako sa posilnia právomoci Úradu na ochranu osobných údajov SR?

Úrad získa väčšiu nezávislosť, rozpočtovú samostatnosť a nové právomoci vrátane možnosti vykonávať kontroly priamo u spracovateľov, preverovať informačné systémy, požadovať predloženie softvérových riešení a vydávať záväzné metodické usmernenia pre orgány verejnej správy.

Čo znamená posilnenie princípu zodpovednosti (accountability) pre prevádzkovateľov?

Prevádzkovatelia budú musieť dodržiavať pravidlá GDPR a preukazovať interné procesy a technické opatrenia na ich uplatňovanie. Zavádzajú sa nové mechanizmy ako kódexy správania pripravené profesijnými združeniami a certifikačné schémy na overenie súladu s právnymi normami.

Aké povinnosti budú mať podnikatelia v súvislosti s novým zákonom?

Podnikatelia budú musieť prehodnotiť interné predpisy, zásady spracúvania osobných údajov a zmluvy so sprostredkovateľmi. Menšie podniky získajú metodickú podporu prostredníctvom školení a príručiek od úradu a odborníkov.

Ako by sa mali organizácie pripraviť na nadchádzajúce zmeny v ochrane osobných údajov?

Organizácie by mali začať s prípravami už teraz vrátane preverenia spracovateľských činností, aktualizácie dokumentácie, školenia zamestnancov, zabezpečenia interných systémov a konzultácie so špecialistami na ochranu osobných údajov.

Na Slovensku by mal v januári 2026 vstúpiť do platnosti nový zákon o ochrane osobných údajov podľa návrhov LP/2025/305 a LP/2025/306, ktoré sú momentálne v legislatívnom procese. Tento zákon aktualizuje súčasné pravidlá GDPR a prináša dôležité zmeny najmä pre malé a stredné firmy, ktoré tvoria základ ekonomiky.

Nový zákon sa zameriava na dve hlavné oblasti:

1. Zákon o ochrane fyzických osôb pri spracovaní osobných údajov, ktorý sa bude týkať väčšiny spracovateľov dát okrem orgánov činných v trestnom konaní.
2. Samostatný zákon upravujúci spracovanie osobných údajov v oblasti trestného práva, ktorý jasne oddelí pravidlá GDPR od tých pre políciu a bezpečnostné orgány.

Najdôležitejšie zmeny zahŕňajú:

• Zúženie dôvodov na spracovanie osobných údajov podľa GDPR, čo znamená prísnejšie pravidlá pre firmy.
• Odstránenie nadbytočných alebo duplicitných častí starého zákona, ktoré komplikovali dodržiavanie GDPR.
• Zmeny v hodnotení dopadu na ochranu údajov (DPIA), najmä keď je spracovanie údajov zákonnou povinnosťou.
• Zavedenie princípu „privacy by design“, teda ochrana údajov už pri plánovaní procesov a technických riešení.
• Vyššia zodpovednosť prevádzkovateľov za transparentnosť, informovanie ľudí a získavanie jasných súhlasov. Zvýrazňuje sa právo na prístup k údajom a ich vymazanie.
• Zjednodušenia pre malé a stredné podniky, napríklad menej administratívy pri evidencii spracovania a miernejšie požiadavky podľa rozsahu rizika.
• Povinnosť firiem aktualizovať interné pravidlá, postupy a pravidelne školenia zamestnancov o GDPR vrátane technických opatrení ako šifrovanie či riadenie prístupu.
• Prísnejšie sankcie za porušenie GDPR s možnými pokutami v miliónoch eur, čo zvyšuje finančné riziko nedodržania pravidiel.

Pre malé firmy to znamená potrebu systematického prístupu k ochrane osobných údajov, ale zároveň aj sľub zjednodušení a menšej byrokracie. 

Často kladené otázky

Čo prináša nový zákon o ochrane osobných údajov na Slovensku v roku 2026?

Nový zákon o ochrane osobných údajov (2026) na Slovensku, vychádzajúci z návrhov LP/2025/305 a LP/2025/306, aktualizuje legislatívu GDPR so zameraním na zabezpečenie ochrany osobných údajov a spracovanie v trestnom práve, pričom zohľadňuje moderné kybernetické hrozby a využívanie umelej inteligencie.

Aké sú hlavné oblasti úpravy nového zákona o ochrane osobných údajov?

Nový zákon sa zameriava na dve kľúčové oblasti: zabezpečenie ochrany osobných údajov a spracovanie osobných údajov v rámci trestného práva, čím zabezpečuje komplexnú právnu úpravu v súlade s európskymi štandardmi.

Ako nový zákon ovplyvní malé a stredné firmy?

Zákon prináša aktualizáciu legislatívy GDPR špeciálne prispôsobenú pre malé a stredné podniky, vrátane uľahčení v pravidlách spracovania údajov, aktualizácie interných zásad a postupov, čo im umožní jednoduchšie dodržiavať nové požiadavky ochrany osobných údajov.

Aké sú hlavné zmeny v pravidlách spracovania osobných údajov podľa nového zákona?

Medzi hlavné zmeny patria zúženie účelov spracúvania osobných údajov, odstránenie nadbytočných ustanovení, upravené pravidlá posudzovania vplyvu na ochranu osobných údajov a zavedenie princípu "privacy by design", ktorý kladie dôraz na ochranu súkromia už pri návrhu systémov.

Aká je zodpovednosť prevádzkovateľov údajov podľa novej legislatívy?

Prevádzkovatelia údajov nesú zvýšenú zodpovednosť za správne spracovanie osobných údajov vrátane implementácie bezpečnostných opatrení podľa princípu "privacy by design" a musia byť pripravení na prísnejšie sankcie za porušenia GDPR stanovené novým zákonom.

Ako nový zákon harmonizuje slovenskú legislatívu s európskymi smernicami?

Zákon zabezpečuje plnú harmonizáciu so smernicami EÚ tým, že aktualizuje pravidlá ochrany osobných údajov v súlade s najnovšími európskymi normami, pričom reflektuje aj aktuálne výzvy ako kybernetické hrozby a zneužívanie umelej inteligencie.

Ochrana pred požiarmi v roku 2026 na Slovensku nadobúda zásadne nový rámec, v ktorom sa snúbi modernizovaná legislatíva, digitalizácia a zvýšené environmentálne požiadavky. Tento článok podrobne analyzuje právne, technické, organizačné a spoločenské aspekty protipožiarnej ochrany pre rok 2026, vrátane noviniek a očakávaných trendov.​

Základy právneho rámca

Hlavným legislatívnym predpisom zostáva Zákon NR SR č. 314/2001 Z.z. o ochrane pred požiarmi, ktorý prešiel zásadnou novelizáciou v roku 2025. Novela reaguje na klimatické výzvy, urbanizačné zmeny a technologický pokrok. Upravuje povinnosti štátu, obcí, právnických aj fyzických osôb-podnikateľov s dôrazom na prevenciu, včasné odhalenie rizík a ekologickú udržateľnosť zásahov.​

Medzi nové ustanovenia patrí povinnosť pravidelnej digitalizácie požiarnej dokumentácie podľa §4 písm. f) a jej sprístupnenie prostredníctvom centrálneho informačného systému Ministerstva vnútra SR. Štát zároveň rozširuje právomoci Hasičského a záchranného zboru (HaZZ), ktorý preberá kontrolnú úlohu nad priemyselnými zónami a stavebnými projektmi so zvýšeným rizikom požiaru.​

Nové pravidlá pre podnikateľov a obce

Podľa zákona je každá právnická osoba povinná:

• mať vypracovanú dokumentáciu ochrany pred požiarmi,
• zabezpečiť pravidelné preventívne prehliadky,
• ustanoviť technika požiarnej ochrany,
• ako aj vykonávať cvičný požiarny poplach minimálne raz ročne.​

Fyzické osoby – podnikatelia musia mať zabezpečené základné prostriedky protipožiarnej ochrany a viesť záznamy o revíziách a údržbe zariadení. Z obcí sa stávajú aktívni partneri — musia spolufinancovať projekty protipožiarnej prevencie, viesť databázu rizikových objektov a aktualizovať plány zásahov HaZZ.

Protipožiarna technológia a inovácie

Rok 2026 prináša masívnu modernizáciu požiarnych systémov a architektonických štandardov. V novej európskej norme EN 13501-6 sú upravené požiadavky na odolnosť stavebných prvkov proti ohňu. V mestských oblastiach bude povinným prvkom inteligentný požiarny systém s priamym prepojením na hasičské dispečingy. Zariadenia využívajú internet vecí (IoT), termokamery a AI algoritmy, ktoré dokážu rozlíšiť dym, paru či prach a iniciovať poplach automaticky.​ Okrem toho sa zavádzajú protipožiarne opatrenia 2026, ktoré sa zameriavajú na ochranu lesov pred požiarmi, reguláciu spaľovania zbytkov po ťažbe a dôkladné pozorovanie a hliadkovanie lesov s cieľom včas identifikovať riziká.

Vzdelávanie a odborná príprava

Od roku 2026 sa zavádza jednotný systém odbornej prípravy technikov požiarnej ochrany, ktorý zahŕňa aj skúšky v digitálnom prostredí. Univerzity ako TU Zvolen vytvárajú študijné programy pre protipožiarnu bezpečnosť, ktoré spájajú klasické inžinierstvo s environmentálnymi vedami. Nový rámec kladie dôraz na schopnosti identifikovať riziká v smart budovách, zelených stavbách a infraštruktúrach využívajúcich alternatívne energie.​ Súčasne sa do vzdelávacích programov integruje aj tematika dobrovoľnej požiarnej ochrany SR, aby sa zvýšila angažovanosť jednotlivcov v miestnych komunitách.

Prevencia a environmentálny prístup

Rastúci počet suchých období a extrémnych teplôt zvýšil nebezpečenstvo lesných požiarov. Novela zákona zavádza povinnosť obhospodarovateľov lesa spracúvať protipožiarne mapy a zriaďovať ohniská zabezpečené proti šíreniu plameňa. V obciach s vysokým rizikom sa vyžaduje pravidelná hliadkovacia činnosť počas letných mesiacov. Zvýšený dôraz sa kladie aj na ochranu vodných zdrojov určených pre hasenie. Taktiež sa zavádzajú opatrenia na reguláciu spaľovania zbytkov po ťažbe s cieľom minimalizovať riziko vzniku požiarov v lesných oblastiach.

Reakcia priemyslu a verejnosti

Priemyselný sektor adaptuje požiadavky podľa nových európskych štandardov, pričom firmy priliehavo investujú do systémov detekcie a samočinného hasenia. Zvýšený dôraz na ESG normy znamená, že protipožiarna ochrana sa stáva aj súčasťou environmentálneho hodnotenia podnikov. Verejnosť prejavuje väčšiu angažovanosť — požiarna osveta v školách, komunitné cvičenia a dni otvorených dverí HaZZ smerujú k zvýšeniu bezpečnostného povedomia.​ Dobrovoľná požiarna ochrana SR zohráva kľúčovú úlohu pri organizovaní týchto aktivít a zabezpečuje školenia pre občanov o správnych postupoch v prípade požiaru.

Digitalizácia a budúcnosť do roku 2030

Do roku 2030 sa dokončí digitalizácia systému monitorovania požiarov. Vláda SR prostredníctvom projektu FireNet buduje sieť senzorov a inteligentných kamier, ktoré v reálnom čase analyzujú teplotné a dymové údaje. Tieto informácie sa zdieľajú s dispečingom HaZZ a poskytujú údaje o stave budov, dopravných koridorov a lesných plôch.​

Ochrana pred požiarmi v roku 2026 prestane byť len otázkou fyzickej pripravenosti a stane sa komplexným, dátovo riadeným procesom založeným na spolupráci, vede a inováciách. Celý rámec je postavený na filozofii, že bezpečnosť, technológia a ekológia musia tvoriť jednotný systém.

Whistleblowing na Slovensku v roku 2026 získava nový význam vďaka prepojeniu legislatívnych zmien, posilňovaniu inštitucionálnej ochrany a prehĺbeniu spoločenského povedomia o dôležitosti oznamovania korupcie na pracovisku a porušovania zákonov.​

Základy whistleblowingu na Slovensku

Whistleblowing, známy aj ako oznamovanie protispoločenskej činnosti, bol na Slovensku systematicky upravený zákonom č. 54/2019 Z. z. o ochrane oznamovateľov. Tento predpis vychádza z európskej smernice 2019/1937 o ochrane osôb, ktoré oznamujú porušenia práva EÚ, a predstavuje právny rámec, ktorý umožňuje občanom nahlásiť nezákonné správanie bez obavy z odvety.​ Zákon o ochrane whistleblowerov rozšíril definíciu oznamovateľa – chránenou osobou sa teraz môže stať nielen zamestnanec, ale aj dodávateľ, subdodávateľ, uchádzač o prácu či bývalý pracovník. Každý subjekt s minimálne 50 zamestnancami musí mať interné kanály oznamovania nekalých praktík, pričom ochrana anonymity je povinná.​

Novinky pre rok 2026

V roku 2026 sa očakávajú viaceré legislatívne úpravy, ktoré reagujú na skúsenosti z praxe. Ministerstvo vnútra avizovalo sprísnenie dohľadu nad firmami, ktoré nedodržiavajú povinnosť zaviesť anonymné kanály, ako aj zavedenie centralizovanej digitálnej platformy na bezpečné podávanie oznámení. Pripravuje sa aj prepojenie systému s Európskou platformou OEOD (Open European Ombudsman Database), ktorá má zjednodušiť cezhraničné prípady oznamovania.​ Úrad na ochranu oznamovateľov, založený v roku 2021, posilňuje svoje kompetencie – zavádza regionálne pobočky, organizuje školenia pre verejnú správu a zverejňuje pravidelné správy o stave ochrany oznamovateľov.​

Praktické dopady na zamestnávateľov

Zamestnávatelia musia mať okrem vnútorných kanálov aj zodpovednú osobu pre prijímanie a preverovanie oznámení. Nedodržanie týchto povinností môže viesť k pokute až 200 000 €. Novela z roku 2025 navyše zvýšila sankcie pre manažérov, ktorí sa dopustia odvetných opatrení voči oznamovateľom, až na 100 000 €.​ Tieto zmeny sú kľúčové pre zabezpečenie efektívnej ochrany whistleblowerov na Slovensku a podporu nahlasovania korupcie.

Whistleblower má zákonom garantovanú ochranu pred výpoveďou, disciplinárnym postihom či iným negatívnym následkom. Ak dôjde k odvetným krokom, Úrad mu môže priznať štatút chráneného oznamovateľa, čo prináša dodatočné právne záruky pri riešení sporov.​ Tým sa posilňuje dôvera v systémy nahlasovania korupcie a zabezpečuje sa spravodlivosť pre tých, ktorí majú odvahu hovoriť pravdu.

Spoločenské a kultúrne výzvy

Napriek zlepšeniam pretrváva nízka dôvera verejnosti v anonymitu systému. Mnohí zamestnanci sa stále obávajú stigmatizácie či interných odvetných krokov. Úrad i občianske združenia ako Transparency International Slovensko preto spúšťajú kampane zamerané na destigmatizáciu oznamovania a podporu etickej kultúry vo verejnej správe.​ Tieto iniciatívy sú nevyhnutné pre vytvorenie prostredia, kde je nahlasovanie korupcie považované za normu.

Medzinárodný rozmer a európske iniciatívy

Slovensko spolupracuje s európskymi inštitúciami na harmonizácii postupov v oblasti ochrany oznamovateľov. Cieľom je vytvoriť jednotnú sieť dohľadu a výmeny skúseností medzi členskými štátmi EÚ. V roku 2025 sa Slovensko zapojilo do projektu Európskej konferencie o whistleblowingu, ktorý zdôrazňuje potrebu spravodlivej ochrany tých, ktorí majú odvahu hovoriť.​ Táto spolupráca s inštitúciami pri ochrane whistleblowerov je kľúčová pre zabezpečenie účinnej ochrany a podporu úspešných prípadov nahlasovania korupcie na Slovensku.

Prognóza vývoja do roku 2026

Do roku 2026 sa očakáva:

• úplná digitalizácia procesov oznamovania,
• nový systém medzirezortnej spolupráce medzi Úradom, políciou a prokuratúrou,
• rozšírenie školení o etike a ochrane oznamovateľov aj pre súkromný sektor,
• a zavedenie motivačných mechanizmov (napr. finančné stimuly pre whistleblowerov).​

Whistleblowing na Slovensku tak prechádza z fázy legislatívneho formovania do fázy praktickej implementácie, ktorá má zásadný vplyv na transparentnosť, verejnú kontrolu a dôveru v inštitúcie. Tento posun môže urobiť z krajiny jeden z modelových príkladov účinnej ochrany oznamovateľov v strednej Európe.​ Zároveň sa očakáva, že barometer korupcie Slovensko ukáže výrazné zlepšenie v oblastiach s aktívnym nahlasovaním korupčných praktík.

V roku 2026 prídu veľké zmeny v obchodných podmienkach na Slovensku aj v celej Európskej únii. Novela zákona o ochrane spotrebiteľa, úpravy v Obchodnom zákonníku a nový zákon o obchodnom registri výrazne ovplyvnia, ako firmy komunikujú so zákazníkmi, uzatvárajú zmluvy a používajú všeobecné obchodné podmienky (VOP). Tento článok vysvetľuje hlavné novinky, ktoré sa dotknú e-shopov, služieb aj bežných obchodníkov.

Ciele legislatívnych zmien v roku 2026

Od januára 2026 sa začne úplná modernizácia vzťahov medzi obchodníkmi a zákazníkmi. Podľa nových európskych pravidiel sa zavádza:

• väčšia jasnosť a otvorenosť v obchodných vzťahoch,
• jednotné európske pravidlá o možnosti opravy a dlhšej životnosti tovaru,
• prísnejšia kontrola reklám a zliav,
• digitalizácia obchodných procesov,
• a dôraz na udržateľnosť a ekologické informácie.

Obchodné podmienky tak už nebudú len formálnosťou, ale stanú sa nástrojom dôvery medzi firmou a zákazníkom. Pri ich tvorbe bude dôležité jasne uviesť predávajúceho aj prehľadné informácie o platbách a doručení.

Nový rámec ochrany spotrebiteľa

Zákon o ochrane spotrebiteľa (č. 108/2024 Z. z.) bol v roku 2025 aktualizovaný a nové pravidlá začnú platiť od 1. januára 2026. Zohľadňujú dve európske smernice (EÚ 2024/825 a EÚ 2024/1799), ktoré majú za cieľ posilniť postavenie zákazníka, zvýšiť prehľadnosť a podporiť možnosť opravy výrobkov.

Dôležité body novej úpravy sú:

• právo zákazníka na opravu tovaru (Right to Repair),
• rozšírené povinnosti poskytovať informácie zo strany obchodníkov,
• ochrana pred greenwashingom, teda falošnými ekologickými tvrdeniami,
• jednotné pravidlá pre označovanie cien a zliav,
• povinnosť informovať o dĺžke životnosti, aktualizáciách a náhradných dieloch.

Vplyv na všeobecné obchodné podmienky (VOP)

Firmy budú musieť v roku 2026 upraviť VOP podľa novej legislatívy. Každé VOP musia obsahovať:

• jasné informácie o opraviteľnosti a záruke,
• spôsob uplatnenia práva na opravu (kto, kde, ako),
• lehoty riešenia reklamácií podľa nových pravidiel,
• kontaktné údaje servisných miest,
• informácie o ekologických certifikátoch a životnosti tovaru,
• identifikáciu predávajúceho v obchodných podmienkach platných od 2026.

Tým sa zvýši prehľadnosť a právna istota pri obchodovaní, pričom sa kladie dôraz na elektronické informovanie spotrebiteľov. Okrem toho bude dôležité zahrnúť aj vysvetlenie pojmov v obchodných podmienkach 2026, aby všetko bolo jasné.

Právo na opravu – nový štandard ochrany

Najdôležitejšou novinkou je právo spotrebiteľa na opravu. Ak je možné výrobok opraviť, predajca alebo výrobca to musí zabezpečiť. Lehota zodpovednosti za vady sa predlžuje zo 24 na 36 mesiacov od kúpy produktu.

Výrobcovia budú tiež musieť ponúknuť opravu za primeranú cenu a poskytnúť náhradné diely. Zavádza sa európsky formulár o oprave, ktorý jasne uvádza rozsah a cenu opravy. Opravovne budú viazané touto cenovou ponukou po dobu 30 dní, čo zabezpečí transparentnosť cien. Pri online predaji bude potrebné jasne popísať proces objednávky a vznik zmluvy.

Zákaz greenwashingu a nové environmentálne povinnosti

Od roku 2026 bude greenwashing – teda nepravdivé tvrdenia o ekologickosti výrobku – považovaný za klamlivú obchodnú praktiku. Podnikateľ musí svoje tvrdenia (napríklad uhlíková neutralita, použitie obnoviteľných materiálov alebo recyklovateľnosť) dokázať certifikátmi alebo vedeckými dôkazmi.

To znamená, že ekologické označenia v reklame či vo VOP musia byť overiteľné. Porušenie tejto povinnosti môže viesť k vysokým pokutám a poškodeniu dobrého mena firmy. Zároveň je dôležité zabezpečiť jasné ceny a poplatky v e-shope od roku 2026, aby sa predišlo nejasnostiam medzi zákazníkmi.

Nové pravidlá pre zľavy a ukazovanie cien

Novela sprísňuje pravidlá pre ceny a zľavy:

• pri zľave sa cena musí počítať z najnižšej predajnej ceny za posledných 30 dní,
• musí byť uvedená pôvodná cena a percento zľavy,
• falošné zľavy budú považované za klamlivú reklamu a budú sankcionované.

Toto má zabrániť umelému zvyšovaniu cien pred výpredajmi.

Viac informácií pre spotrebiteľa

Zákon zavádza viac povinností na informovanie:

• informácie o náhradných dieloch a servise,
• dĺžka plánovanej životnosti výrobku,
• jasný popis záruk a práv spotrebiteľa,
• zrozumiteľné texty v slovenskom jazyku.

Tieto informácie musia byť dostupné ešte pred podpisom zmluvy. Okrem toho, s cieľom poskytnúť väčšiu transparentnosť a ochranu spotrebiteľa, [regulácia týkajúca sa digitálnej identity v Európe](https://www.european-digital-identity-regulation.com/) tiež zavádza nové požiadavky na overovanie identity pri online nákupoch.

Zmeny v Obchodnom zákonníku

Nový Obchodný zákonník (513/1991 Zb.) prináša:

• možnosť založiť spoločnosť úplne elektronicky,
• skrátenie doby na registráciu firmy na 3 pracovné dni,
• povinnosť viesť firemnú dokumentáciu elektronicky, vrátane záznamov o digitálnom obsahu a predplatných službách,
• nové pravidlá týkajúce sa konfliktu záujmov v obchodných vzťahoch,
• povinnosť zverejniť základné Všeobecné obchodné podmienky (VOP) verejne dostupným spôsobom.

Zároveň sa posilňuje ochrana obchodných partnerov cez štandardizované zmluvné doložky, ktoré by mali obsahovať aj informácie o licencovaných produktoch a službách, ako aj podmienkach používania darčekových poukazov a balíkov produktov/služieb.

Vplyv na e-shopy a online služby

Pre e-shopy znamenajú nové pravidlá:

• povinnosť aktualizovať VOP podľa zákona č. 108/2024 Z. z.,
• zverejniť všetky informácie o opraviteľnosti a záruke vrátane detailov o dodacích lehotách a doprave od roku 2026,
• zabezpečiť funkčný systém online reklamácií s ohľadom na riešenie chargeback od roku 2026,
• prijať opatrenia proti nepravdivému ekologickému marketingu (greenwashing),
• dodržiavať pravidlá o zľavách, dátach a označovaní tovaru,
• implementovať európsky kontaktný bod pre riešenie sporov (ODR link),
• zohľadniť rôzne platobné metódy ako Apple Pay, Google Pay alebo BNPL.

Nedodržanie týchto povinností môže viesť k pokutám až do 500 000 EUR od Slovenskej obchodnej inšpekcie.

Dôraz na udržateľnosť a ESG

Spotrebiteľské právo sa spája s európskou Zelenou dohodou (Green Deal). Od roku 2026 budú musieť firmy preukazovať:

• ekologický pôvod surovín,
• uhlíkovú stopu výrobku,
• informácie o recyklácii a opraviteľnosti,
• a zavedenie udržateľných obchodných modelov vrátane predplatných služieb s automatickým obnovením.

Tieto údaje budú povinnou súčasťou obchodných podmienok a dokumentácie produktov.

Nové pravidlá pre reklamácie a záruky v roku 2026

Reklamačný proces bude jednoduchší a prísnejší:

• predajca musí oznámiť, ako dlho oprava potrvá,
• reklamáciu nemožno odmietnuť bez písomného vysvetlenia,
• pri výmene výrobku začne záruka odznova,
• po oprave sa záruka predĺži o ďalších 12 mesiacov.

Zjednoduší sa aj systém EU-ODR, ktorý umožní riešiť spory medzi obchodníkmi a zákazníkmi online cez hranice krajín. Tieto zmeny sú súčasťou nových pravidiel pre e-shopy v roku 2026.

Odpovednosť a sankcie

Pravidlá budú prísnejšie a pokuty vyššie:

• nepravdivé alebo chýbajúce informácie vo VOP – pokuta až do 100 000 EUR,
• klamlivé ekologické tvrdenia (greenwashing) – pokuta až do 500 000 EUR,
• nedodržiavanie povinností pri reklamacii – pokuta až do 300 000 EUR,
• opakované porušenia môžu viesť k zákazu podnikania.

Inšpekcie ako SOI a ÚRSO budú mať viac práv na kontroly a môžu verejne zverejňovať zoznamy porušovateľov zákona. Zákazníci by mali dobre poznať svoje práva pri odstúpení od zmluvy v roku 2026, najmä pri vrátení alebo výmene tovaru.

Ako sa pripraviť na rok 2026

Tipy pre podnikateľov:

1. Aktualizujte VOP podľa nových pravidiel.
2. Zabezpečte jasný systém informovania o opravách a reklamacii.
3. Skontrolujte marketingové tvrdenia, hlavne tie ekologické.
4. Zaveďte digitálne podpisy a overené procesy.
5. Zjednodušte komunikáciu v zmluvách a na webe.
6. Preškolte tím o spotrebiteľských právach a dodržiavaní pravidiel.

Záver

Rok 2026 prináša nové pravidlá obchodného práva. Digitalizácia, udržateľnosť a otvorenosť budú základom novej doby v podnikaní. Pre firmy to znamená viac administratívy, ale aj väčšiu dôveru zákazníkov a lepšie fungovanie procesov.

Ak sa firmy pripravia včas – upravia VOP, digitalizujú registráciu a posilnia etiku – rok 2026 môže byť začiatkom spravodlivejšieho a transparentnejšieho podnikania. Zároveň je dôležité poznať práva zákazníkov pri odstúpení od zmluvy, najmä pri personalizovanom tovare alebo vracaní či výmene tovaru.

Často kladené otázky

Aké hlavné zmeny prináša novela zákona o ochrane spotrebiteľa v roku 2026?

Novela zákona o ochrane spotrebiteľa zavádza právo na opravu tovaru, predlžuje lehotu zodpovednosti za vady zo 24 na 36 mesiacov, rozširuje informačné povinnosti obchodníkov vrátane údajov o opraviteľnosti a ekologických certifikátoch, a sprísňuje pravidlá proti klamlivému marketingu a greenwashingu.

Ako sa zmenia všeobecné obchodné podmienky (VOP) podľa reformy v roku 2026?

VOP budú musieť obsahovať jasné informácie o opraviteľnosti a záruke tovaru, spôsob uplatnenia práva na opravu, lehoty riešenia reklamácií podľa nového zákonného rámca, kontaktné údaje servisných miest a údaje o ekologických certifikátoch a životnosti výrobku.

Čo znamená právo na opravu pre spotrebiteľov a výrobcov od roku 2026?

Spotrebitelia získavajú právo na opravu tovaru za primeranú cenu s dostupnosťou náhradných dielov. Výrobcovia sú povinní ponúkať opravu, poskytovať náhradné diely minimálne po dobu viazanosti ponuky opravovní 30 dní a predĺžiť lehotu zodpovednosti za vady na 36 mesiacov.

Aké sú nové pravidlá týkajúce sa prezentácie cien a zliav podľa legislatívnej reformy?

Cena musí byť počítaná z najnižšej predajnej ceny za posledných 30 dní, pôvodné ceny a percentá zľavy musia byť transparentne zverejnené. Neplatné alebo fiktívne zľavy sú sankcionované ako klamlivá reklama s možnými pokutami.

Ako novela zákona rieši problematiku greenwashingu a environmentálnych tvrdení v reklame?

Greenwashing je považovaný za klamlivú obchodnú praktiku. Ekologické tvrdenia musia byť podložené certifikátmi alebo vedeckými dôkazmi. Porušenie týchto pravidiel vedie k pokutám a poškodeniu reputácie obchodníkov.

Čo prináša nový zákon o obchodnom registri platný od marca 2026?

Zákon zavádza plne elektronické podania, záväznosť online výpisov, možnosť registrácie prostredníctvom notárov a rezerváciu obchodného mena pred vznikom firmy. Taktiež sa ruší povinnosť papierových podpisov pri online zmluvách a posilňuje digitalizácia obchodných procesov.

Rok 2026 prinesie do oblasti bezpečnosti a ochrany zdravia pri práci (BOZP) zásadné zmeny. V reakcii na nové technológie, meniace sa podmienky práce a rastúci význam duševného zdravia sa slovenská aj európska legislatíva pripravujú na reformu, ktorá má zmodernizovať systém prevencie pracovných úrazov, dôslednejšie chrániť zamestnancov a podporiť digitalizáciu bezpečnostných procesov.​ Táto reforma bude súčasťou Stratégia bezpečnosti a ochrany zdravia pri práci Slovenskej republiky a bude zohľadňovať aj EÚ strategický rámec ochrany zdravia a bezpečnosti pri práci.

Ciele a smerovanie BOZP v roku 2026

Hlavnými cieľmi pripravovaných zmien sú:

• zosúladenie vnútroštátneho práva s európskymi smernicami a odporúčaniami EU-OSHA,
• zavádzanie inovatívnych nástrojov na monitorovanie rizík,
• dôraz na prevenciu pracovných úrazov spôsobených psychosociálnymi faktormi,
• elektronizácia evidencie, školení a hlásení úrazov,
• zvýšenie zodpovednosti zamestnávateľov za vytváranie bezpečných pracovných podmienok.

Novela zákona č. 124/2006 Z. z. a súvisiace predpisy nadobudnú účinnosť 1. januára 2026 a stanovia nové štandardy pre hodnotenie rizík, školenia, pracovnú zdravotnú službu a používanie technológií v oblasti BOZP.​ Ministerstvo práce, sociálnych vecí a rodiny SR bude hrať kľúčovú úlohu pri implementácii týchto zmien.

Digitalizácia a inteligentné riešenia v BOZP

Zásadnou novinkou bude povinnosť digitalizovať kľúčové procesy BOZP:

• zavedenie elektronickej dokumentácie školení a prevádzkových záznamov,
• online vedenie kariet rizík,
• využitie umelej inteligencie pri identifikácii nebezpečenstiev,
• automatické generovanie správ o pracovných úrazoch.

Podľa odborníkov sa očakáva rozšírené používanie senzorov, machine learningu a prediktívnych modelov, ktoré majú predchádzať rizikovým situáciám na pracovisku​ a podporiť víziu nulová pracovná úrazovosť.

Nové povinnosti zamestnávateľov

Od roku 2026 budú musieť všetci zamestnávatelia:

• pravidelne aktualizovať a digitalizovať dokumentáciu o rizikách,
• zabezpečiť školenia zamerané na nové typy rizík (psychologické, klimatické, digitálne),
• preukazovať systematickú starostlivosť o psychické zdravie zamestnancov,
• viesť elektronické záznamy o školeniach, kontrolách a úrazoch,
• pri vyhradených technických zariadeniach implementovať nové normy bezpečnosti podľa harmonizovaných európskych štandardov.​

Prísnejšia kontrola bude zameraná najmä na vysokorizikové profesie – výrobu, stavebníctvo, logistiku a zdravotníctvo.

Zmeny v dokumentácii a preukazovaní BOZP

Zákon č. 124/2006 Z. z. bude od roku 2026 presne definovať, aké dokumenty musia byť dostupné v elektronickej podobe:

• záznamy o hodnotení pracovných rizík,
• smernice o používaní osobných ochranných pracovných prostriedkov (OOPP),
• doklady o absolvovaných školeniach BOZP a ochrany pred požiarmi,
• evidenciu úrazov a analýzu ich príčin.

Zamestnávatelia budú musieť umožniť prístup k týmto elektronickým záznamom kontrolným orgánom – Národnému inšpektorátu práce alebo príslušným orgánom verejného zdravotníctva.​ Tieto zmeny sú súčasťou širších iniciatív Rady EÚ na zlepšenie bezpečnosti a ochrany zdravia pri práci v rámci členských štátov.

Psychosociálne riziká a duševné zdravie

Rok 2026 prinesie aj prvé legislatívne opatrenia EÚ, ktoré uznávajú duševné zdravie ako súčasť BOZP. V súlade s odporúčaniami Koordinačného výboru pre bezpečnosť a ochranu zdravia pri práci budú firmy musieť:

• vykonávať posúdenie stresu, vyhorenia a negatívnych psychosociálnych faktorov,
• prijať opatrenia na podporu well-beingu a duševnej rovnováhy,
• zaviesť politiky pre work-life balance a flexibilnú prácu.

Tento posun reaguje na rastúce prípady psychických porúch a absencií spôsobených stresom v pracovnom prostredí.​ Je dôležité, aby zamestnávatelia brali do úvahy psychosociálne riziká na pracovisku a implementovali stratégie na ich minimalizáciu.

BOZP v digitálnej a hybridnej práci

V súčasnosti až tretina Slovákov pracuje formou home-office alebo hybridného modelu. Nové predpisy preto stanovia:

• povinnosť zamestnávateľa hodnotiť bezpečnosť aj mimo priestorov pracoviska,
• povinnosť zamestnanca dodržiavať BOZP predpisy aj pri práci z domu,
• jasné usmernenia pre pracovnú ergonómiu, prestávky a používanie IT vybavenia.

Tento rámec posilní zodpovednosť oboch strán za zdravé a bezpečné pracovné prostredie – bez ohľadu na to, kde sa výkon práce odohráva.​ Zohľadní tiež štandardy ako STN ISO 45001, ktoré sa zaoberajú systémami manažérstva bezpečnosti a ochrany zdravia pri práci.

Nové štandardy pre školenia

BOZP školenia sa budú v roku 2026 riadiť novým systémom:

• online forma bude plnohodnotne uznaná, ak je zabezpečená identifikácia účastníka a archivácia testov,
• bezpečnostní technici budú musieť absolvovať akreditované obnovovacie kurzy,
• povinné vstupné a opakované školenia sa budú musieť zdokumentovať v centrálnej databáze.

Zamestnávatelia sú zaviazaní zabezpečiť, aby školenia neboli len formálne, ale reálne vychádzali z konkrétnych rizík pracoviska.​ Okrem toho je nevyhnutné integrovať vzdelávanie o BOZP v školstve tak, aby mladí ľudia boli od začiatku informovaní o dôležitosti bezpečnosti a ochrany zdravia pri práci.

Tieto zmeny sú súčasťou programu realizácie BOZP 2021-2023, ktorý si kladie za cieľ zlepšiť kultúru bezpečnosti na všetkých úrovniach spoločnosti.

Posilnenie kontrol a pokút

Národný inšpektorát práce ohlásil rozšírenie kontrol najmä v oblastiach:

• dodržiavania dokumentačných povinností,
• školenia zamestnancov,
• dostupnosti osobných ochranných pomôcok,
• vyhodnocovania environmentálnych rizík.

Sankcie môžu dosiahnuť až 200 000 EUR pre právnické osoby, ak porušenie zákona priamo ohrozí zdravie zamestnancov.​

Bezpečnosť vyhradených technických zariadení

Významná časť novely sa týka vyhradených technických zariadení (VTZ) – tlakových, zdvíhacích, elektrických a plynových. Zmeny spočívajú v:

• sprísnení požiadaviek na pravidelné revízie,
• zavedení elektronickej evidencie revíznych správ,
• centrálnej registrácii osvedčení o odbornej spôsobilosti,
• povinnosti okamžite opraviť zistené závady.

Tieto pravidlá majú zvýšiť transparentnosť a zabrániť falšovaniu dokladov.​

Prepojenie BOZP a ESG princípov

Od roku 2026 sa očakáva, že správy o udržateľnosti (ESG reporting) pre väčšie podniky budú obsahovať aj sekciu o bezpečnosti práce.

Podniky budú musieť zverejniť:

• počet úrazov a incidentov,
• opatrenia na prevenciu,
• zlepšenia v pracovnom prostredí.

Bezpečnosť a ochrana zdravia sa tak stanú súčasťou spoločenskej zodpovednosti a firemného imidžu.

Pripravenosť Slovenska a prínosy noviel

Ministerstvo práce SR a Národný inšpektorát práce deklarujú pripravenosť Slovenska na zavedenie týchto zmien. Nová legislatíva prinesie:

• zjednodušenie administratívy digitalizáciou,
• efektívnejšie kontroly zamerané na prevenciu,
• lepšiu ochranu pred úrazmi,
• nižšie náklady vďaka predchádzaniu rizík.

Záver

BOZP v roku 2026 vstupuje do novej éry – éry digitalizácie, psychologickej bezpečnosti a zodpovedného prístupu k zdraviu zamestnancov. Nové predpisy vytvoria rovnováhu medzi požiadavkami moderného trhu práce a ochranou pracovníkov. Dôležitým aspektom tejto transformácie bude medzinárodná spolupráca v oblasti BOZP, ktorá sa prejaví prostredníctvom iniciatív ako sú SLIC kampane a aktivity EU-OSHA, vrátane kampane Zdravé pracoviská.

Úspech reformy bude závisieť od pripravenosti zamestnávateľov, efektívnej implementácie digitálnych riešení a kultúry bezpečnosti zakorenenej v každej organizácii. Rovnako bude kľúčové absolvovanie auditu Bezpečný podnik, ktorý zabezpečí dodržiavanie štandardov bezpečnosti a ochrany zdravia pri práci.

V roku 2026 vstúpia do platnosti kľúčové reformy európskeho systému proti praniu špinavých peňazí (Anti-Money Laundering – AML) a financovaniu terorizmu (CFT). Európska únia tým nadväzuje na legislatívne balíky prijaté v rokoch 2023 – 2024, ktorých cieľom je vytvoriť jednotný, efektívny a transparentný rámec pre prevenciu a boj s finančnou kriminalitou. Tieto zmeny v AML legislatíve sú nevyhnutné pre posilnenie ochrany pred finančnými trestnými činmi v rámci celej Únie.

Európska AML politika prechádza od roku 2015 radikálnymi zmenami – od 4. AML smernice až po vznik novej európskej inštitúcie, ktorá bude mať v roku 2026 dohľad nad finančným aj nefinačným sektorom. Táto nová AML smernica 2026 nepredstavuje len technickú novelu, ale zásadnú reformu, ktorá prinesie jednotnú AML legislatívu priamo uplatniteľnú vo všetkých členských štátoch. Zavedenie Anti-Money Laundering Authority (AMLA) ako európskeho orgánu pre dohľad je kľúčovým krokom v tomto procese.

Ciele novej AML legislatívy

EÚ si stanovila jasné ciele:

• Zaviesť jednotné pravidlá pre všetky členské štáty a odstrániť národné rozdiely, ktoré doteraz sťažovali kohéziu systému.
• Vytvoriť AMLA – Anti-Money Laundering Authority, európsky orgán pre dohľad nad bankami, finančnými inštitúciami a vysokorizikovými subjektmi.
• Zlepšiť transparentnosť skutočných vlastníkov právnických osôb.
• Zaviesť digitálne procesy a moderné nástroje v oblasti identifikácie klienta (KYC) a due diligence.
• Sprísniť kontrolu nad kryptoaktívami, hotovosťou a obchodnými systémami.

AML balík 2026: Prehľad legislatívnych dokumentov

Nový AML rámec pozostáva zo štyroch hlavných dokumentov:

1. Nariadenie o boji proti praniu špinavých peňazí (EU AML Regulation) – právny akt s priamou pôsobnosťou vo všetkých členských štátoch.
2. 6. AML smernica (AMLD6) – aktualizovaná smernica, ktorá reguluje vnútroštátne orgány, FIU (Financial Intelligence Units) a sankčné mechanizmy.
3. Nariadenie o zriadení Európskeho AML orgánu (AMLA Regulation).
4. Nariadenie o prenosoch kryptoaktív (TFR Regulation) – doplňujúci zásah do krypto regulácie podľa MiCA.

Tieto akty boli prijaté v roku 2024 a nadobúdajú účinnosť v roku 2026. Z hľadiska práva EÚ tak ide o prelomový moment, ktorý odstráni fragmentáciu a vytvorí jednotný AML rámec. Zavedenie európskeho bankového dohľadu prostredníctvom týchto reform je kľúčové pre zabezpečenie integrity finančných trhov v celej Únii.

AMLA – Európsky orgán pre boj proti praniu peňazí

Najväčšou novinkou je AMLA** (Anti-Money Laundering Authority)** – nová európska agentúra, ktorá začne fungovať v roku 2026. Jej sídlo bolo určené v Frankfurte nad Mohanom a jej hlavným poslaním bude koordinácia dohľadu, priamy dohľad nad vybranými subjektmi a podpora FIU v členských štátoch.

Táto nová AML smernica 2026 úzko súvisí s dohľadom ECB a Jednotným mechanizmom dohľadu (SSM), pretože AMLA bude spolupracovať s týmito inštitúciami pri zabezpečovaní konzistentného prístupu k boju proti praniu peňazí naprieč celou eurozónou. Integrácia s vnútroštátnymi orgánmi dohľadu bude kľúčová pre efektívnu koordináciu a výmenu informácií, čím sa posilní celková stabilita finančného systému.

Úlohy AMLA:

• Priamy dohľad nad rizikovými finančnými skupinami a celounijnými subjektmi.
• Koordinácia dohľadu nad menšími entitami vo všetkých štátoch.
• Spolupráca s FIU a zabezpečenie jednotných štandardov pri výmene informácií.
• Školenia, odporúčania a metodiky pre národné orgány.

Zároveň AMLA bude vydávať záväzné rozhodnutia a spoločné štandardy, ktoré zjednotia prístup všetkých členských štátov.

Nový prístup k identifikácii klientov (KYC)

Zmeny sa dotknú aj základného piliera AML – postupov pri poznaní klienta (Know Your Customer – KYC).

Od roku 2026 budú musieť všetky subjekty – banky, poisťovne, platobné inštitúcie, realitné kancelárie či právnici – využívať:

• Digitálnu identifikáciu klienta (eIDAS 2.0) pre overenie identity online.
• Centralizované registre rizika a transakčných údajov.
• Zjednotené kategórie rizík, ktoré budú definované priamo nariadením.

KYC proces sa tak má zmodernizovať a zjednodušiť, pričom dôraz sa kladie na využitie umelej inteligencie a analytických nástrojov pre detekciu podozrivých transakcií.

Beneficial Ownership – skutoční vlastníci

V reakcii na kauzy ako Pandora Papers alebo Panama Papers sa EÚ rozhodla sprísniť režim skutočných vlastníkov (beneficial owners).

Od roku 2026:

• Bude povinnosť zverejniť štruktúru vlastníctva každej právnickej osoby nad určitú prahovú hodnotu.
• Register vlastníkov bude plne prepojený medzi členskými štátmi.
• FIU a orgány činné v trestnom konaní budú mať automatický prístup do registrov.
• Sprísnia sa pokuty a sankcie za neaktuálne alebo nepravdivé údaje.

Transparentnosť vlastníckych štruktúr má byť jedným z hlavných nástrojov prevencie proti využívaniu fiktívnych spoločností a offshorových entít.

Hotovosť a limity

Európska únia zavádza nové limity pre platby v hotovosti:

• Maximálny limit hotovostnej transakcie: 10 000 EUR na úrovni celej EÚ.
• Členské štáty však môžu zvoliť nižšie limity, ak to považujú za primerané (napr. 5 000 EUR).

Cieľom je znížiť riziko anonymných a ťažko sledovateľných transakcií, ktoré sú často využívané pri praní špinavých peňazí.

Kryptoaktíva pod AML dohľadom

V zmysle prepojenia na nariadenie MiCA (Markets in Crypto-Assets) a nariadenie o prenosoch kryptoaktív (TFR Regulation) budú od roku 2026 aj krypto firmy podliehať plnohodnotným AML pravidlám:

• Povinnosť KYC pre všetkých používateľov kryptomenových búrz a peňaženiek.
• Povinné uchovávanie údajov o všetkých transakciách nad definovaným limitom.
• Automatické hlásenie podozrivých prevodov cez FIU.
• AMLA bude koordinovať dohľad aj v oblasti DeFi a stablecoinov.

Krypto sektor sa tak dostane na rovnakú úroveň compliance ako tradičné finančné inštitúcie, čo má zvýšiť dôveru investorov a minimalizovať riziká.

Vplyv externých faktorov na presadzovanie AML a dodržiavanie v finančnom sektore

Externé faktory, ako sú vojna na Ukrajine, energetická kríza a inflácia, môžu mať významný dopad na presadzovanie opatrení proti praniu špinavých peňazí (AML) a na dodržiavanie predpisov v finančnom sektore.

Vojna na Ukrajine

Vojna na Ukrajine môže spôsobiť zvýšené riziko prania špinavých peňazí a financovania terorizmu v dôsledku destabilizácie regiónu. Zmeny v politickej a ekonomickej situácii môžu viesť k:

• zvýšenej aktivite organizovaného zločinu,
• presunu kapitálu do bezpečnejších jurisdikcií mimo Ukrajiny,
• zmene vzorcov investičného správania jednotlivcov a firiem.

Tieto faktory môžu sťažiť identifikáciu podozrivých transakcií a zvýšiť tlak na finančné inštitúcie, aby posilnili svoje AML postupy.

Energetická kríza

Energetická kríza spôsobená rôznymi faktormi, vrátane geopolitických napätí, môže ovplyvniť ekonomickú stabilitu krajín a zmeniť dynamiku financovania v energetickom sektore. Zvýšené ceny energií môžu viesť k:

• zmenám v cash flow spoločností, čo môže skomplikovať sledovanie legitímnosti finančných transakcií,
• zvýšeniu korupčných praktík v oblastiach s vysokým rizikom ako je obchod s energiou.

Tým sa zvyšuje potreba dôkladného dohľadu nad transakciami v týchto sektoroch a posilňuje sa význam spolupráce medzi regulátormi.

Inflácia

Rastúca inflácia môže mať viaceré dopady na dodržiavanie AML predpisov:

• zmenu spotrebiteľských návykov, čo ovplyvní tok peňazí v ekonomike,
• tlak na firmy, aby hľadali alternatívne zdroje financovania mimo tradičných bankových kanálov,
• zvýšenie rizika prania peňazí cez nelegálne aktivity ako sú obchody s tovarom za hotovosť.

Finančné inštitúcie budú musieť prispôsobiť svoje AML stratégie tak, aby zohľadnili tieto dynamické zmeny v ekonomickom prostredí.

Záver

Je nevyhnutné, aby regulátori a finančné inštitúcie boli ostražité voči týmto externým faktorom a prispôsobovali svoje postupy v oblasti AML tak, aby efektívne reagovali na meniace sa rizikové prostredia.

Dopady na podnikateľské prostredie

Podniky, najmä finančné inštitúcie, musia od roku 2025 počítať s výraznými zmenami v compliance, ktoré súvisia s digitálnou transformáciou:

• Redizajn interných AML politík podľa nových európskych štandardov.
• Zavedenie e-identifikácie klientov a digitálnej archivácie dokumentov.
• Väčší dôraz na rizikovú analýzu a využitie technológií ako AI a machine learning, pričom sa zohľadnia aj klimatické riziká v bankovníctve.
• Povinnosť školení pre zamestnancov a vedenie spoločností.

Pre malé a stredné podniky sa plánuje „light regime“ s jednoduchšími povinnosťami, aby sa predišlo nadmernej administratívnej záťaži.

Prínosy pre finančný systém

Cieľom európskej reformy je nielen obmedzenie kriminality, ale aj posilnenie dôvery v jednotný trh:

• zníženie rizika reputačných škôd,
• vyššia transparentnosť finančných tokov,
• lepšia prepojiteľnosť dát a efektívnejšie vyšetrovanie,
• modernizácia compliance prostredia v EÚ s ohľadom na technologické trendy.

Záver

AML smernica 2026 predstavuje najväčšiu reformu európskej finančnej regulácie od vzniku jednotnej bankovej únie. Smeruje k vytvoreniu transparentného, digitálne prepojeného a jednotného systému, ktorý dokáže reagovať na nové formy hrozieb – vrátane kryptomenových podvodov, sankcionovaných režimov či shell spoločností.

Úspech novej legislatívy bude závisieť od kvality implementácie, technologickej pripravenosti jednotlivých štátov a skutočnej spolupráce medzi súkromným a verejným sektorom.

Rok 2026 tak bude pre oblasť AML/CFT začiatkom novej éry – éry jednotnej Európy v boji proti finančnej kriminalite.

Ak máte malú firmu, je veľká šanca, že GDPR vnímate ako povinnosť, ktorá „niečo stojí“, ale neprináša nič hmatateľné. V roku 2026 sa to môže zmeniť. Nie preto, že by ochrana osobných údajov zrazu prestala byť dôležitá, ale preto, že sa pripravujú úpravy, ktoré majú byť pre malé podniky primeranejšie, viac rizikovo orientované a menej administratívne vyčerpávajúce.

V praxi sa očakáva kombinácia dvoch trendov:

1. Zjednodušenia pre nízkorizikové spracúvania (najmä v evidencii spracovateľských činností a „papierovaní“).
2. Prísnejšie nároky na reálnu bezpečnosť, transparentnosť a preukázateľnosť tam, kde pracujete s citlivými údajmi, vo väčšom rozsahu, alebo tam, kde riziko pre ľudí nie je malé.

Nižšie to rozoberám tak, aby ste vedeli, čo si z toho zobrať do dennej praxe, čo si pripraviť pred januárom 2026 a kde malé firmy najčastejšie zbytočne riskujú.

Čo sa mení: návrhy LP/2025/305 a LP/2025/306 a smerovanie GDPR 2026

Podľa dostupných informácií k pripravovaným návrhom LP/2025/305 a LP/2025/306 je cieľ jasný: znížiť administratívnu záťaž najmä pre malé a stredné podniky a nastaviť povinnosti „primerane“ podľa rizika a veľkosti.

1) Väčšie výnimky pri vedení záznamov (evidencia spracovateľských činností)

Dnes sa často pracuje s hranicou 250 zamestnancov ako jedným z orientačných bodov, kedy sa v praxi rieši rozsah povinností vedenia záznamov. Plánované zmeny počítajú s tým, že sa tento prah posunie vyššie (spomína sa rozsah 500 až 750 zamestnancov).

Dôležité je však pochopiť, čo to znamená a čo to neznamená:

• Neznamená to, že malé firmy budú „bez GDPR“.
• Neznamená to, že záznamy netreba vôbec.
• Znamená to, že pri nízkorizikových spracovaniach môže byť administratíva zjednodušená, ale pri vysokom riziku sa povinnosti sprísnia alebo zostanú.

2) Výnimky budú viazané na nízke riziko

Zjednodušenia majú byť limitované spracúvaniami s nízkym rizikom. Ak spracúvate napríklad:

• zdravotné údaje,
• biometrické údaje,
• údaje detí,
• údaje vo veľkom rozsahu,
• systematicky monitorujete ľudí (napr. kamerové systémy s analytikou, trackovanie správania),
• robíte profilovanie pre marketing alebo scoring,

potom sa na vás bude pozerať prísnejšie bez ohľadu na počet zamestnancov. A tam „papier“ nie je to hlavné. Hlavné je, či viete preukázať zákonnosť, transparentnosť, primeranosť, bezpečnosť a kontrolu nad dodávateľmi.

Slovensko a január 2026: harmonizácia a vyšší tlak na preukázateľnosť

V kontexte Slovenska sa zároveň očakáva, že do januára 2026 dôjde k zosúladeniu národnej úpravy s EÚ smerovaním. V praxi to typicky prinesie:

• jasnejšie pravidlá pre kontrolu a dokazovanie súladu,
• rozšírenie očakávaní aj na malé firmy, najmä v oblasti transparentnosti, bezpečnosti a zmluvných vzťahov,
• vyššie pokuty a väčší tlak na reálnu implementáciu, nie len „formálne dokumenty“.

Ak teda čakáte, že „nám to zjednodušia, tak sa nás to nebude týkať“, odporúčam zmeniť optiku: zjednoduší sa to, čo je naozaj zbytočne ťažkopádne, ale posilní sa to, čo chráni ľudí a čo sa dá kontrolovať.

Čo zostáva povinné pre každú malú firmu (aj po zjednodušeniach)

Bez ohľadu na to, ako dopadne posun hranice pre záznamy, malá firma bude musieť vedieť obhájiť najmä tieto body:

1) Zákonný základ spracúvania

Najčastejšie malé firmy spracúvajú údaje na týchto základoch:

• plnenie zmluvy (napr. objednávka, dodanie služby, fakturácia),
• zákonná povinnosť (účtovníctvo, mzdová agenda),
• oprávnený záujem (bezpečnosť prevádzky, základná ochrana pred zneužitím, niekedy primeraný direct marketing),
• súhlas (newsletter, marketingové cookies, referencie, fotky, prípadne súťaže).

Najväčšia chyba v praxi je, že firmy používajú súhlas tam, kde ho nepotrebujú, a potom ho nevedia spravovať. Druhá chyba je, že sa odvolávajú na oprávnený záujem bez toho, aby vedeli vysvetliť primeranosť a dopad na dotknuté osoby.

2) Transparentnosť a informačná povinnosť

GDPR 2026 nebude o tom, či máte „nejaký text“ na webe. Bude o tom, či človek reálne pochopí:

• čo zbierate,
• na aký účel,
• na akom právnom základe,
• ako dlho údaje držíte,
• komu ich dávate (kategórie príjemcov, dodávatelia),
• aké má práva a ako ich uplatní.

Najmä pri malých firmách je dobrá správa táto: transparentnosť sa dá nastaviť veľmi jednoducho, ak máte spracovania zmapované.

3) Bezpečnosť (technická a organizačná)

Zjednodušenie administratívy neznamená zjednodušenie bezpečnosti. Aj malá firma musí mať primerané opatrenia, napríklad:

• aktualizovaný systém a softvér,
• oddelené prístupy (nepoužívať jedno spoločné heslo),
• dvojfaktorové overovanie tam, kde je dostupné,
• šifrovanie zariadení a citlivých dát (aspoň na notebookoch a telefónoch),
• obmedzenie prístupu len pre tých, čo údaje potrebujú,
• zálohovanie,
• jednoduchý postup pre incidenty (čo robiť pri strate notebooku, napadnutí e-mailu, omyle v odoslaní).

4) Zmluvy so spracovateľmi (dodávateľmi)

Ak používate externé služby, typicky:

• účtovník,
• mzdár,
• CRM,
• e-mail marketingový nástroj,
• cloudové úložisko,
• hosting,
• externé call centrum,
• IT servis,

tak potrebujete mať zmluvne ošetrené spracúvanie osobných údajov. V praxi to býva buď zmluva o spracúvaní osobných údajov, alebo správne nastavené zmluvné podmienky s dodávateľom.

Tu je častý problém: malé firmy majú zmluvu „na službu“, ale nemajú jasne doriešené, kto je prevádzkovateľ, kto spracovateľ, aké sú pokyny, bezpečnostné opatrenia, subdodávatelia a podmienky po skončení spolupráce.

Kde malé firmy robia najčastejšie chyby (a prečo sú rizikové aj v 2026)

Predvyplnené súhlasy a „zdanlivý súhlas“

Typický príklad: checkbox na newsletter je už zaškrtnutý, alebo je súhlas „schovaný“ v obchodných podmienkach. Takýto súhlas je veľmi ľahko napadnuteľný.

Praktická rada: súhlas vždy aktívny úkon, oddelene, zrozumiteľne, s možnosťou jednoduchého odvolania.

Slabé zabezpečenie prístupov

Spoločný e-mail do firmy, heslo na papieriku, účtovníctvo bez 2FA, notebook bez šifrovania. Toto sú scenáre, ktoré vedú k incidentom. A incidenty sú presne tá oblasť, kde kontrola vie byť tvrdá aj voči malej firme.

Praktická rada: spravte si základný „security baseline“ a držte sa ho. Niekedy stačí 10 nastavení a riziko padne o desiatky percent.

Nedostatočná dokumentácia s dodávateľmi

Najmä pri cloudových službách a marketingových nástrojoch. Firma nevie, kde sú dáta, kto k nim má prístup, či ide o prenos do tretích krajín, či je možné vymazať dáta po ukončení.

Praktická rada: pri každom nástroji si položte tri otázky: kde sú dáta, kto ich spracúva, ako ich viem vymazať a exportovať.

„GDPR máme, lebo máme smernicu“

Dokument bez reálnej praxe je pri kontrole slabý argument. Trend je jasný: preukázateľnosť a reálne procesy.

Praktická rada: dokumenty píšte až po zmapovaní reality. A potom nastavte jednoduché procesy, ktoré ľudia v tíme zvládnu.

Praktický postup pre malé firmy: čo urobiť teraz a čo najneskôr do konca 2025

Nižšie je postup, ktorý používam ako poradca pre GDPR najčastejšie. Je realistický aj pre mikrofirmy.

1) Zmapujte spracovania (jedna tabuľka, nie román)

Cieľ je vedieť, čo sa u vás deje. Stačí excel alebo jednoduchá tabuľka:

• proces (napr. objednávka, fakturácia, reklamačný formulár, HR),
• kategórie údajov (meno, e-mail, adresa, IP, rodné číslo, zdravotné údaje),
• účel,
• právny základ,
• doba uchovávania,
• príjemcovia/dodávatelia,
• bezpečnostné opatrenia.

Aj keby sa záznamy formálne zjednodušili, táto mapa je základ pre transparentnosť, bezpečnosť aj odpovede na práva dotknutých osôb.

2) Upravte informačné texty a internú komunikáciu

Potrebujete mať:

• zásady ochrany osobných údajov (web, prevádzka),
• informácie pre zamestnancov/uchádzačov (ak máte HR),
• cookie lištu a cookie politiku (ak používate analytiku/marketing).

Dôležitá je zrozumiteľnosť. Úrad aj ľudia viac ocenia jasný text ako právnické strany bez obsahu.

3) Skontrolujte súhlasy (a tam, kde netreba, zrušte ich)

Prejdite:

• newsletter,
• SMS marketing,
• remarketing,
• fotky na sociálnych sieťach,
• referencie.

Ak súhlas nepotrebujete, nepýtajte si ho. Ak ho potrebujete, nastavte zber, evidenciu a odvolanie.

4) Dodávatelia a spracovatelia: urobte poriadok v zmluvách

Ku každému dodávateľovi, ktorý sa dostane k osobným údajom:

• určte rolu (prevádzkovateľ vs. spracovateľ, prípadne spoločné prevádzkovanie),
• majte zmluvu o spracúvaní alebo adekvátne podmienky,
• riešte subdodávateľov a prenosy mimo EHP, ak existujú,
• nastavte postup po ukončení spolupráce (vrátenie, vymazanie, potvrdenie).

5) Základné bezpečnostné opatrenia (minimum, ktoré má reálny efekt)

Ak neviete, kde začať, toto je rozumné „minimum“:

• 2FA na e-mail, účtovníctvo, cloud,
• správca hesiel a unikátne heslá,
• šifrovanie diskov na notebookoch,
• pravidelné aktualizácie,
• role a prístupy (každý svoj účet),
• zálohy (a aspoň občasný test obnovy),
• krátky incident postup na 1 stranu (kto, čo, do kedy).

6) Interné procesy: žiadosti, výmazy, incidenty

Aj malá firma musí vedieť reagovať, keď niekto:

• požiada o prístup k údajom,
• chce opravu alebo výmaz,
• namieta spracúvanie,
• pýta prenosnosť,
• alebo nahlási problém.

Nemusíte mať komplikovaný systém. Stačí jednoduchý postup:

• kam príde žiadosť (e-mail),
• kto ju vyhodnotí,
• kde overíte identitu,
• kde sú údaje,
• ako odpoviete v lehote.

Zjednodušenia v 2026: ako ich využiť bez toho, aby ste si uškodili

Ak sa výnimky pri záznamoch reálne rozšíria, malé firmy môžu ušetriť čas, ale len vtedy, keď pochopia hranicu medzi „nízkym rizikom“ a „len sa mi to nechce robiť“.

Moje odporúčanie:

• Aj keď budete mať výnimku, udržujte si aspoň jednoduchý prehľad spracovaní. Je to váš navigačný systém.
• Zamerajte energiu na reálne riziká: prístupy, dodávatelia, marketing, kamerové systémy, úniky.
• Pripravte si argumentáciu k právnym základom a dobám uchovávania. V roku 2026 bude otázka „prečo to držíte tak dlho“ ešte častejšia.

Príklady z praxe: čo je „nízke riziko“ a čo už nie

Nízke riziko (typicky)

• bežná fakturácia a evidencia zákazníkov,
• objednávky v e-shope bez špeciálnych kategórií údajov,
• základná komunikácia so zákazníkom,
• mzdová agenda v rozsahu zákona (s primeraným zabezpečením).

Vyššie riziko (pozor)

• spracúvanie zdravotných údajov (aj „len“ informácia o diagnóze v e-maile),
• rozsiahly tracking na webe a profilovanie,
• prepojené databázy na marketingové účely,
• kamerové systémy s dlhými dobami uchovania alebo so zdieľaním záznamov,
• údaje detí (krúžky, jazykové školy, športové kluby),
• biometria (odtlačok prsta, rozpoznávanie tváre).

Ak viete, že ste v „vyššom riziku“, nespoliehajte sa, že vám 2026 prinesie výrazné uľahčenie. Skôr prinesie jasnejšie očakávania, čo máte mať pod kontrolou.

Prečo sa malým firmám oplatí brať GDPR 2026 ako príležitosť

GDPR sa dá komunikovať aj obchodne. Nie agresívne, ale dôveryhodne:

• zákazník vie, že údaje nezneužívate,
• viete odpovedať na otázky bez chaosu,
• menej incidentov, menej hasenia problémov,
• lepšie vzťahy s B2B partnermi (často pýtajú GDPR štandard už pri spolupráci).

Malé firmy majú výhodu v tom, že dokážu procesy zmeniť rýchlo. Korporát sa často zasekne na interných schvaľovaniach. Vy viete mať poriadok v prístupoch a dodávateľoch za týždeň, ak máte jasný plán.

Odporúčané „minimum dokumentov“ pre malú firmu v roku 2026

Ak to chcete udržať štíhle, z pohľadu praxe dávajú najväčší zmysel:

1. Mapa spracovaní (interná tabuľka).
2. Zásady ochrany osobných údajov (web/prevádzka).
3. Cookie politika + nastavenie súhlasov (ak používate cookies nad rámec nevyhnutných).
4. Zmluvy so spracovateľmi (alebo dodatky).
5. Bezpečnostné pravidlá (prístupy, heslá, zariadenia, zálohy).
6. Postup na žiadosti dotknutých osôb (1 strana).
7. Postup na incidenty (1 strana).

Ak máte zamestnancov, pridajte HR informácie a pravidlá pre prístup k personálnym údajom.

Kedy má zmysel osloviť odborníka (a kedy stačia šablóny)

Šablóny a navigačné príručky sú fajn, ak:

• spracúvate bežné údaje,
• nemáte zložité marketingové profilovanie,
• nemáte citlivé údaje,
• máte pár overených dodávateľov.

Odborníka na GDPR odporúčam, ak:

• riešite citlivé údaje alebo údaje detí,
• máte kamerový systém a nie ste si istí nastaveniami,
• používate viac marketingových nástrojov a tracking,
• idete do B2B kontraktu, kde vás partner auditovať,
• došlo k incidentu (únik, napadnutý e-mail, strata zariadenia),
• potrebujete nastaviť oprávnené záujmy a test proporcionality tak, aby to obstálo.

Dobrá konzultácia často nie je o písaní 30 strán, ale o tom, že vám niekto pomôže nastaviť poradie krokov a vyhne sa slepým uličkám.

Záver: čo si z GDPR 2026 odniesť ako majiteľ malej firmy

GDPR 2026 má ambíciu uľahčiť život malým firmám, najmä pri nízkorizikových spracovaniach. Zároveň však prinesie vyšší dôraz na to, čo je podstatné: zákonnosť, transparentnosť, bezpečnosť a kontrolu nad tým, komu údaje dávate.

Ak chcete byť pripravení bez stresu, držte sa jednoduchého pravidla:

• menej „papierov“ pre papier,
• viac reálnych procesov, ktoré viete ukázať a obhájiť.

A úplne prakticky: spravte si mapu spracovaní, upracte súhlasy, urobte poriadok v dodávateľoch a nastavte bezpečnostné minimum. To sú kroky, ktoré budú fungovať bez ohľadu na to, ako presne dopadnú legislatívne detaily.

Ak chcete, môžem vám pomôcť aj formou krátkeho GDPR auditu pre malú firmu, kontrolného zoznamu na mieru, alebo revízie vašich procesov pred januárom 2026.

Často kladené otázky

Čo sa zmení v GDPR pre malé firmy od roku 2026?

Od roku 2026 sa očakávajú úpravy GDPR, ktoré budú pre malé firmy primeranejšie, viac orientované na riziko a menej administratívne náročné. Zjednodušia sa povinnosti pri nízkorizikových spracovaniach a sprísnia sa požiadavky tam, kde sa pracuje s citlivými údajmi alebo je vyššie riziko.

Ako sa zmení evidencia spracovateľských činností pre malé a stredné podniky?

Plánuje sa posun hranice počtu zamestnancov, pri ktorej je povinnosť viesť záznamy o spracovaní osobných údajov, z dnešných 250 na približne 500 až 750 zamestnancov. To znamená zjednodušenie administratívy pre menšie firmy pri nízkorizikových spracovaniach, ale nie úplné oslobodenie od vedenia záznamov.

Kedy neplatia výnimky a zjednodušenia v rámci GDPR pre malé firmy?

Výnimky a zjednodušenia neplatia pri spracovaní osobných údajov s vyšším rizikom, ako sú zdravotné údaje, biometrické údaje, údaje detí, veľké objemy údajov, systematické monitorovanie osôb (napr. kamerové systémy s analytikou) alebo profilovanie. V takýchto prípadoch platia prísnejšie pravidlá bez ohľadu na veľkosť firmy.

Čo znamená zvýšený tlak na preukázateľnosť súladu s GDPR od januára 2026 na Slovensku?

Od januára 2026 sa očakáva zosúladenie slovenskej legislatívy s európskymi trendmi, čo prinesie jasnejšie pravidlá kontroly a dokazovania súladu s GDPR. Malé firmy budú musieť viac dbať na transparentnosť, bezpečnosť a správne zmluvné vzťahy a budú čeliť vyšším pokutám za nedodržanie povinností.

Ako môžu malé firmy pripraviť svoju GDPR prax pred januárom 2026?

Malé firmy by mali vyhodnotiť riziká svojho spracovania osobných údajov, zabezpečiť primeranú bezpečnosť a transparentnosť, mať kontrolu nad dodávateľmi a pripraviť si dokumentáciu preukazujúcu zákonnosť a primeranosť spracovania. Tým minimalizujú riziko sankcií po zmene legislatívy.

Prečo nie je GDPR len administratívna záťaž pre malé firmy?

GDPR nie je len papierovačka, ale nástroj ochrany osobných údajov ľudí. Aj keď môže byť administratívne náročné, hlavný dôraz bude kladený na reálnu bezpečnosť, transparentnosť a kontrolu nad spracovaním osobných údajov. Správna implementácia pomáha predchádzať rizikám a sankciám.

Ochrana osobných údajov dnes nie je „papierová povinnosť“, ktorú si odškrtnete a máte pokoj. Ako odborník a poradca pre GDPR to vidím v praxi stále rovnako: firmy často zavedú banner na cookies, niečo dopíšu do zásad ochrany osobných údajov a dúfajú, že to stačí. Lenže realita je inde. Kybernetické hrozby sa vyvíjajú, útočníci skúšajú nové cesty a osobné údaje sú pre nich hodnotná komodita.

Dobrá správa je, že k funkčnej ochrane osobných údajov sa dá dostať systematicky. Nie je to len o IT. Je to kombinácia procesov, právnych základov, zodpovedností, školení a primeranej technickej bezpečnosti. Nižšie máte postup krok za krokom, ktorý môžete použiť v malej firme aj v strednej či väčšej organizácii.

Krok 1: Ujasnite si, čo chcete chrániť a prečo

Začnite úplne jednoducho: čo vo firme považujete za citlivé a hodnotné?

• údaje o zákazníkoch a kontaktoch (meno, e-mail, telefón, adresa)
• údaje o zamestnancoch (mzdy, dochádzka, zdravotné údaje v rozsahu potrebnom)
• finančné záznamy a účtovníctvo
• prístupy do systémov, interné know-how a obchodné tajomstvá
• komunikácia so zákazníkmi (CRM, e-mail, chat)
• logy a identifikátory v online prostredí (vrátane cookies)

Ochrana osobných údajov je dôležitá pre všetky firmy bez ohľadu na veľkosť alebo odvetvie. Čím skôr si to nastavíte ako bežnú súčasť riadenia, tým menej budete hasiť problémov neskôr.

Krok 2: Zmapujte, aké osobné údaje spracúvate (inventúra spracúvania)

Toto je základ. Bez mapy neviete riadiť riziká ani splniť GDPR povinnosti.

Urobte inventúru spracúvania a pri každom „balíku“ údajov si odpovedzte:

1. Aké údaje spracúvame? (bežné, osobitné kategórie, údaje o deťoch, údaje z kamerového systému)
2. Odkiaľ ich máme? (web, formulár, e-mail, zmluva, telefonát, HR)
3. Na aký účel? (plnenie zmluvy, účtovníctvo, marketing, bezpečnosť)
4. Aký je právny základ? (zmluva, zákonná povinnosť, oprávnený záujem, súhlas)
5. Kde sú uložené? (CRM, e-mail, šanóny, cloud, notebook, mobil, externý disk)
6. Kto má prístup? (oddelenia, konkrétne roly, externí dodávatelia)
7. Ako dlho ich držíme? (retencia, archívne lehoty, automatické mazanie)
8. Komu ich poskytujeme? (účtovník, kuriér, hosting, marketingová agentúra)
9. Prenášame ich mimo EÚ/EHP? (cloudové služby, analytika, e-mailové platformy)

Nezabudnite na „neviditeľné“ miesta: papierové dokumenty, prenosné zariadenia, USB, súkromné mobily, WhatsApp komunikáciu, poznámky v notese, fotky dokladov v telefóne.

Krok 3: Zaveďte evidenciu spracovateľských činností (ROPA)

GDPR predpokladá, že viete preukázať, čo robíte s osobnými údajmi. Preto je dôležitá evidencia spracovateľských činností (často sa používa skratka ROPA).

Nemusí byť komplikovaná. Podstatné je, aby obsahovala:

• účely spracúvania
• kategórie dotknutých osôb a údajov
• príjemcov
• prenosy do tretích krajín (ak existujú)
• lehoty uchovávania
• technické a organizačné bezpečnostné opatrenia

Tento dokument je praktický aj pre vás. Pomáha odhaliť duplicity, zbytočné zbery údajov a rizikové miesta.

Krok 4: Nastavte právne základy a minimalizáciu (zbierajte len to, čo potrebujete)

V praxi býva problém najmä pri marketingu a „pre istotu“.

• Ak údaje potrebujete na dodanie služby alebo plnenie zmluvy, typicky nepotrebujete súhlas.
• Ak ich musíte uchovať kvôli zákonu (účtovníctvo, dane), právny základ je zákonná povinnosť.
• Ak chcete posielať newsletter alebo robiť cielenú reklamu, často vstupuje do hry súhlas alebo oprávnený záujem (podľa scenára).

Zároveň platí zásada minimalizácie: nežiadajte dátum narodenia, rodné číslo ani kopiu dokladu, ak na to nemáte jasný dôvod a oporu v predpise alebo zmluve. Menej údajov znamená menšie riziko pri incidente.

Krok 5: Dajte do poriadku informovanie (privacy notice) a interné pravidlá

Zákazníci a návštevníci webu

Každý by mal jednoducho pochopiť:

• kto údaje spracúva (prevádzkovateľ)
• na aké účely a na akom základe
• komu sa údaje poskytujú
• ako dlho sa uchovávajú
• aké má dotknutá osoba práva (prístup, oprava, výmaz, námietka, prenosnosť)
• ako podať sťažnosť

Texty majú byť zrozumiteľné aj pre bežného človeka, nie právnické slohy.

Zamestnanci a externí spolupracovníci

Tu potrebujete interné smernice a pravidlá tak, aby boli pochopiteľné v praxi:

• kto môže s čím pracovať
• ako sa narába s dokumentmi a e-mailami
• ako sa používajú prenosné zariadenia
• čo robiť pri podozrení na incident

Cieľom nie je mať 50-stranovú smernicu, ktorú nikto nečíta. Cieľom je mať pravidlá, ktoré ľudia vedia použiť.

Krok 6: Zvládnite cookies a online analytiku bez rizika

Na weboch sa najčastejšie riešia cookies. Niektoré cookies sú používané na komfortné prehliadanie, analýzu návštevnosti a zlepšovanie stránky. No z pohľadu práva je dôležité rozlíšiť:

• nevyhnutné cookies (na fungovanie webu) – typicky bez súhlasu
• analytické a marketingové cookies – často vyžadujú súhlas (závisí od nastavenia, miery identifikácie a lokálnej praxe)

Praktické minimum:

• používajte banner, ktorý umožní odmietnuť rovnako jednoducho ako prijať
• skontrolujte, aby sa analytika a marketing nespúšťali pred udelením súhlasu, ak je súhlas potrebný
• majte evidenciu súhlasov a nastavte dobu platnosti
• zosúlaďte banner, zásady cookies a realitu v tag manageri

Krok 7: Usporiadajte prístupy (access control) a heslá

Veľká časť incidentov nie je „hackerský film“. Je to zdieľané heslo, odomknutý notebook alebo účet bývalého zamestnanca.

Zaveďte:

• prístupy podľa rolí (každý len to, čo potrebuje)
• zákaz zdieľania účtov
• povinné silné heslá a správcu hesiel
• viacfaktorové overenie (MFA) všade, kde sa dá
• proces nástupu a odchodu zamestnanca (zriadenie, zrušenie prístupov, vrátenie zariadení)

Toto je organizačné opatrenie, ktoré má obrovský efekt a stojí relatívne málo.

Krok 8: Šifrovanie, zálohy a obnova (aby incident nebol katastrofa)

Ak spracúvate osobné údaje, rátajte s tým, že incident sa môže stať. Rozdiel je v tom, či z neho bude „nepríjemnosť“ alebo existenčný problém.

Minimum, ktoré odporúčam:

• šifrovanie notebookov a mobilov (najmä prenosné zariadenia)
• šifrovanie citlivých dát v úložiskách, ak je to primerané
• pravidelné zálohy s testom obnovy (nie len „zálohujeme“, ale „vieme obnoviť“)
• oddelenie záloh od hlavného systému (ochrana pred ransomvérom)
• jasne definované RPO/RTO (koľko dát si môžete dovoliť stratiť a ako rýchlo musíte obnoviť prevádzku)

Krok 9: Vyberte technológie primerane riziku (nie podľa módy)

Technológie nie sú cieľ, ale nástroj. V praxi sa najčastejšie oplatí kombinácia:

• firewall a bezpečná konfigurácia siete
• kvalitný antivírus a EDR podľa veľkosti firmy
• detekcia a prevencia prienikov (IDS/IPS) tam, kde to dáva zmysel
• DLP nástroje (Data Loss Prevention) pri citlivých dátach a väčšom objeme
• šifrovanie, bezpečné cloudové nastavenia, MDM pre mobily
• logovanie a monitoring (aby ste vedeli spätne zistiť, čo sa stalo)

Dôležitá poznámka: aj najlepší nástroj je slabý, ak nie je správne nastavený a pravidelne kontrolovaný.

Krok 10: Zmluvy s dodávateľmi a spracovateľmi (DPA)

Veľa firiem využíva externých dodávateľov: účtovník, mzdár, IT servis, hosting, CRM, e-mail marketing, call centrum. Ak dodávateľ spracúva osobné údaje pre vás, z pohľadu GDPR je to spravidla sprostredkovateľ a potrebujete mať upratané zmluvne:

• predmet a trvanie spracúvania
• typy údajov a kategórie osôb
• bezpečnostné opatrenia
• subdodávatelia
• asistencie pri právach dotknutých osôb a incidentoch
• vrátenie alebo vymazanie údajov po ukončení

Pri cloudových službách riešte aj to, či dochádza k prenosom mimo EÚ/EHP a na akom mechanizme sú postavené.

Krok 11: Školte ľudí pravidelne a prakticky

Ľudia sú najčastejšie najslabší aj najsilnejší článok zároveň. Školenie nemá byť jednorazová prezentácia „kvôli GDPR“. Má byť praktické:

• ako rozpoznať phishing a podozrivé prílohy
• čo robiť pri podozrení na únik (okamžité nahlásenie, nepanikáriť, nezahladzovať stopy)
• ako posielať dokumenty bezpečne
• ako pracovať s papiermi, skenmi, fotkami dokladov
• pravidlá čistého stola a zamknutej obrazovky

Podstatné je aj to, aby ste podporovali kultúru hlásenia incidentov. Zamestnanec nemá mať strach nahlásiť chybu. Pri incidentoch rozhodujú minúty.

Krok 12: Pripravte plán reakcie na incident (Incident Response Plan)

Incident response plán nie je len pre korporácie. Aj malá firma potrebuje vedieť, čo robiť, keď:

• uniknú prístupové údaje
• stratí sa notebook
• príde ransomvér
• odíde e-mail s osobnými údajmi nesprávnej osobe
• dôjde k úniku údajov z webu alebo cloudu

Plán má obsahovať:

• ako incident rozpoznať a nahlásiť
• kto je zodpovedný za technické kroky, komunikáciu a právne posúdenie
• ako sa incident izoluje, rieši a dokumentuje
• ako sa posudzuje riziko pre práva a slobody dotknutých osôb
• kedy oznamovať incident úradu a dotknutým osobám (v prípade GDPR typicky do 72 hodín, ak je to potrebné)
• ako spraviť poučenie a opatrenia po incidente

Odporúčam plán aspoň raz ročne otestovať na modelovej situácii. Aj krátke cvičenie ukáže diery.

Krok 13: Auditujte, testujte a zlepšujte (GDPR) nie je „hotovo“

Ochrana osobných údajov je proces. Aspoň raz ročne si prejdite:

• interný audit súladu (dokumenty, realita v systémoch, prístupy)
• externý audit alebo konzultáciu, ak nemáte interné kapacity
• skeny zraniteľností, prípadne penetračné testy pri kritických systémoch
• kontrolu dodávateľov a ich bezpečnostných garancií
• kontrolu retencií a vymazávania (či sa údaje naozaj mažú)

Najdôležitejšie je prepojiť audit s konkrétnym plánom nápravy, termínmi a zodpovednosťami.

Krok 14: Zvládnite práva dotknutých osôb bez stresu

Skôr či neskôr príde požiadavka: prístup k údajom, oprava, výmaz, námietka, prenosnosť.

Pripravte si:

• interný postup, kto požiadavku prijíma a vybavuje
• overenie identity žiadateľa (primerane)
• lehoty a šablóny odpovedí
• prehľad systémov, kde údaje sú (pomôže inventúra z kroku 2)
• spôsob, ako zdokumentovať vybavenie

Keď to nemáte, jedna žiadosť vie rozhodiť firmu na týždeň. Keď to máte, je to bežná agenda.

Praktické zhrnutie: čo urobiť tento týždeň

Ak chcete začať hneď a nechcete sa stratiť v detailoch, urobte toto:

1. Zozbierajte, kde všade sú osobné údaje (systémy, papier, zariadenia).
2. Spíšte hlavné spracovateľské činnosti a právne základy.
3. Skontrolujte cookies a analytiku na webe (čo sa spúšťa pred súhlasom).
4. Zaveďte MFA a správcu hesiel, upracte prístupy.
5. Nastavte zálohovanie a otestujte obnovu.
6. Pripravte jednoduchý incident plán a kontakty.
7. Urobte krátke školenie ľudí s konkrétnymi príkladmi.

Záver

Ochrana osobných údajov nie je len o tom, aby ste „mali GDPR“. Je to o tom, aby ste vedeli, aké údaje spracúvate, prečo ich spracúvate, kto k nim má prístup a čo urobíte, keď sa niečo pokazí. Keď to postavíte krok za krokom, výsledkom bude vyššia bezpečnosť, lepšia kontrola nad firemnými informáciami a menšie riziko pokút, reputačných škôd či výpadkov.

Ak chcete, môžem vám pomôcť prejsť tento postup na mieru podľa toho, či ste e-shop, službová firma, výrobca, ambulancia alebo kancelária s HR agendou. Každé prostredie má svoje špecifiká, ale dobrý základ je vždy rovnaký.

Často kladené otázky

Prečo ochrana osobných údajov nie je len papierová povinnosť?

Ochrana osobných údajov nie je len formalita na odškrtnutie, pretože kybernetické hrozby sa neustále vyvíjajú a útočníci považujú osobné údaje za hodnotnú komoditu. Efektívna ochrana vyžaduje systematický prístup kombinujúci procesy, právne základy, zodpovednosti, školenia a technickú bezpečnosť.

Ako začať s ochranou osobných údajov vo firme?

Začnite tým, že si ujasníte, aké citlivé a hodnotné údaje vo firme máte – napríklad údaje o zákazníkoch, zamestnancoch, finančné záznamy či interné know-how. Tento krok je základom pre správne nastavenie ďalších opatrení.

Čo znamená inventúra spracúvania osobných údajov a prečo je dôležitá?

Inventúra spracúvania je podrobný záznam o tom, aké osobné údaje firma spracúva, odkiaľ ich má, na aký účel, kde sú uložené a kto k nim má prístup. Je to základ pre riadenie rizík a splnenie GDPR povinností.

Aké informácie by mala obsahovať evidencia spracovateľských činností (ROPA)?

Evidencia by mala obsahovať účely spracúvania, kategórie dotknutých osôb a údajov, príjemcov údajov, informácie o prenosoch do tretích krajín a lehoty uchovávania. Táto evidencia pomáha preukázať súlad s GDPR.

Na čo si treba dávať pozor pri mapovaní osobných údajov v rôznych formách?

Okrem elektronických dát nezabudnite na „neviditeľné“ miesta ako papierové dokumenty, prenosné zariadenia, USB kľúče, súkromné mobily alebo komunikáciu cez WhatsApp. Všetky tieto zdroje môžu obsahovať citlivé údaje.

Prečo je dôležité zaviesť ochranu osobných údajov už v malej firme?

Ochrana osobných údajov je dôležitá bez ohľadu na veľkosť firmy. Čím skôr ju nastavíte ako bežnú súčasť riadenia firmy, tým menej budete riešiť problémy v budúcnosti a lepšie ochránite svoje dáta pred kybernetickými hrozbami.

Ak máte pocit, že „GDPR papiere“ sú niečo, čo sa raz vypracuje, založí do šanónu a roky sa toho netreba dotknúť, práve tu vzniká najväčšie riziko. GDPR nie je jednorazový projekt. Je to priebežný systém riadenia súkromia, ktorý musí odrážať realitu vo vašej organizácii, vaše procesy, dodávateľov, používané technológie a aj to, ako komunikujete so zákazníkmi a zamestnancami.

Ako odborník a poradca pre GDPR to vidím v praxi často: organizácia má dokumentáciu, ale je zastaraná, neúplná alebo sa rozchádza so skutočným stavom. A práve tento rozpor býva pri kontrole, incidente alebo spore najťažšie obhájiteľný.

V tomto článku vysvetlím, prečo je aktualizácia GDPR dokumentácie nevyhnutnosťou, čo všetko by mala zahŕňať a ako si to nastaviť efektívne bez zbytočnej byrokracie.

Prečo nestačí „mať GDPR“ a čo znamená mať ho aktuálne

GDPR stojí na princípe zodpovednosti (accountability). V praxi to znamená, že nestačí tvrdiť, že ste v súlade. Musíte to vedieť preukázať. Dokumentácia je vaším dôkazom, že:

• viete, aké osobné údaje spracúvate a prečo,
• máte právne základy, lehoty uchovávania a nastavené prístupy,
• máte zmluvne ošetrených sprostredkovateľov,
• viete reagovať na práva dotknutých osôb,
• viete riešiť incidenty a porušenia ochrany osobných údajov,
• riadite riziká a máte procesy, nie len deklarácie.

Aktuálnosť je kľúčová preto, lebo organizácie sa menia. Mení sa web, analytika, marketing, personálne procesy, CRM, kamerový systém, cloudové služby, externí dodávatelia. A ak dokumentácia nezodpovedá realite, pri akomkoľvek preverovaní vyzerá, že systém nemáte pod kontrolou.

Dôvody, prečo je aktualizácia GDPR dokumentácie zákonnou aj praktickou potrebou

1) Právna povinnosť a preukázateľnosť súladu

GDPR priamo alebo nepriamo vyžaduje vedenie viacerých typov dokumentácie. Najznámejší príklad je záznam o spracovateľských činnostiach (ROPA). Ale tým to nekončí. Ak sa zmení účel spracúvania, kategórie údajov, príjemcovia, prenosy do tretích krajín, doby uchovávania alebo technické a organizačné opatrenia, dokumenty sa musia prispôsobiť.

2) Riadenie rizík a prevencia incidentov

Aktualizovaná dokumentácia nie je „papier“. Je to nástroj riadenia rizík. Keď máte správne nastavené retention lehoty, prístupy, procesy pre incidenty a pre DPIA, výrazne znižujete šancu, že sa problém prehliadne až do momentu, keď je neskoro.

3) Transparentnosť voči ľuďom (zamestnanci, zákazníci, návštevníci webu)

Ak máte na webe informácie o cookies a spracúvaní údajov, ktoré nezodpovedajú realite (napríklad používate analytické alebo marketingové cookies, ale text tvrdí opak), riskujete nielen sankciu, ale aj reputačné škody. Transparentnosť je jadrom GDPR.

4) Prevencia pokút a sporov

Pokuty nebývajú len za incidenty. Často sú za nesplnenie povinností, nedostatočné informovanie, chýbajúce zmluvy so sprostredkovateľmi, alebo neschopnosť reagovať na žiadosti dotknutých osôb včas a správne. Aktualizácia dokumentácie je jedna z najlacnejších foriem prevencie.

Kedy by ste mali dokumentáciu aktualizovať (praktický zoznam situácií)

Aktualizáciu riešte vždy, keď nastane zmena, ktorá má dopad na osobné údaje. Typicky:

• spúšťate nový web, e-shop, klientsku zónu alebo mobilnú aplikáciu,
• meníte analytické nástroje (napr. Google Analytics), reklamné platformy alebo implementujete nové cookies,
• zavádzate CRM, HR systém, helpdesk, newsletter, chatbot, call tracking,
• meníte dodávateľa hostingu, cloudu, mzdovej agendy, IT správy, marketingovej agentúry,
• zavádzate kamerový systém alebo meníte režim jeho prevádzky,
• meníte interné procesy (napr. onboarding, dochádzka, hodnotenie zamestnancov),
• začínate spracúvať nové kategórie údajov alebo nové skupiny dotknutých osôb,
• máte incident alebo takmer-incident (aj to je signál, že procesy treba upraviť),
• zistíte, že prax sa „odklonila“ od toho, čo máte napísané.

A aj bez zmien odporúčam robiť pravidelný cyklický review (nižšie uvediem, ako často).

Cookies, komfort pre používateľa a realita GDPR na webe

Na weboch je téma cookies stále citlivá, lebo sa často podceňuje rozdiel medzi:

• cookies potrebnými pre základnú funkčnosť (napr. nákupný košík, nastavenie jazyka),
• cookies na pohodlné prehliadanie (preferencie, prihlásenie, personalizácia),
• cookies na analýzu výkonu webu (meranie návštevnosti a správania),
• marketingové cookies (remarketing, personalizovaná reklama).

Ak používate cookies na pohodlie používateľa a analýzu výkonu webu, vaša dokumentácia a nastavenia musia sedieť. V praxi to znamená najmä:

• mať korektné informácie v zásadách cookies a v zásadách ochrany osobných údajov,
• mať správne nastavený súhlas, ak je potrebný (a vedieť ho preukázať),
• mať prehľad, ktoré skripty sa spúšťajú pred súhlasom a ktoré až po súhlase,
• vedieť vysvetliť účely a lehoty, prípadne tretie strany.

Aj tu platí: ak sa zmení nástroj na analytiku alebo sa doplní nový tag, je to dôvod na aktualizáciu dokumentácie.

Aké GDPR dokumenty by mala mať organizácia a prečo ich treba priebežne udržiavať

Nižšie uvádzam jadro dokumentácie, s ktorou sa pri organizáciách stretávam najčastejšie. Dôležité je, aby tieto dokumenty neboli len „šablóny“, ale aby sedeli na vaše spracúvania.

1) Záznamy o spracovateľských činnostiach (ROPA)

Toto je mapa spracúvaní. Ak neviete udržať aktuálne ROPA, zvyčajne neviete udržať aktuálne nič ďalšie. ROPA má odrážať realitu: účely, kategórie údajov, právne základy, príjemcov, prenosy, lehoty, bezpečnostné opatrenia.

Kedy aktualizovať: pri každej novej činnosti, zmene dodávateľa, zmene lehoty uchovávania, zavedení nového systému.

2) Politika ochrany osobných údajov (interná aj externá)

Externá verzia je pre dotknuté osoby (web, zákazníci). Interná verzia nastavuje pravidlá pre zamestnancov a procesy. Častý problém je, že existuje len „webová“ politika, ale interné pravidlá chýbajú alebo sú všeobecné.

Kedy aktualizovať: pri zmenách procesov, právnych základov, informačných povinností a komunikačných kanálov.

3) Retenčná politika / retenčný plán (lehoty uchovávania)

GDPR vyžaduje minimalizáciu a obmedzenie uchovávania. V praxi potrebuje organizácia tabuľku alebo pravidlá, čo sa uchováva, ako dlho, prečo a ako sa údaje bezpečne vyraďujú.

Kedy aktualizovať: pri zavedení nových systémov, nových typov údajov, zmene zákonných lehôt alebo interných potrieb.

4) Súhlasy dotknutých osôb (formuláre, texty, evidencia)

Ak používate súhlas, musí byť dobrovoľný, konkrétny, informovaný a preukázateľný. Organizácie často používajú súhlas tam, kde nie je vhodný, alebo majú texty, ktoré nespĺňajú požiadavky.

Kedy aktualizovať: pri zmene účelov (newsletter, marketing), pri zmene formulárov, pri zmene nástrojov na evidenciu súhlasov.

5) Register DPIA (posúdenie vplyvu na ochranu údajov)

Nie každá organizácia musí robiť DPIA pravidelne, ale musí vedieť posúdiť, či ho potrebuje. Register DPIA (aj keď je „nulový“) je praktický nástroj, ktorý ukazuje, že riziká riešite systematicky.

Kedy aktualizovať: pri nových technológiách, profilovaní, rozsiahlej analytike, kamerách, biometrike, monitoringu zamestnancov, outsourcingu kritických služieb.

6) Zmluvy so sprostredkovateľmi (DPA) a dodávateľský manažment

Ak dodávateľ spracúva osobné údaje vo vašom mene (hosting, CRM, mzdová firma, marketingová agentúra), potrebujete zmluvne ošetriť spracúvanie. Častá chyba je, že DPA je podpísaná, ale nezodpovedá realite: chýbajú subdodávatelia, prenosy mimo EÚ, bezpečnostné opatrenia, pravidlá pri incidente.

Kedy aktualizovať: pri výmene dodávateľa, zmene rozsahu služieb, zmene subprocesorov, zmene krajiny spracúvania.

7) Postupy pri porušení ochrany údajov (incidenty) + formuláre a evidencie

GDPR vyžaduje schopnosť reagovať rýchlo. Musíte vedieť vyhodnotiť incident, zdokumentovať ho, prípadne nahlásiť úradu do 72 hodín a informovať dotknuté osoby, ak je riziko vysoké.

Kedy aktualizovať: po incidente, po teste, pri zmene IT infraštruktúry, pri reorganizácii kompetencií.

8) Postupy a šablóny odpovedí na žiadosti dotknutých osôb

Právo na prístup, opravu, výmaz, obmedzenie spracúvania, prenosnosť, námietku. Ak nemáte proces a šablóny, odpovede budú pomalé a nejednotné.

Kedy aktualizovať: pri zmene kontaktných kanálov, pri zmene systémov, kde sa údaje nachádzajú, a po opakovaných chybách v vybavovaní.

Ako aktualizovať GDPR dokumentáciu efektívne (bez toho, aby to zhltlo celý rok)

Cieľ je mať systém, ktorý funguje prirodzene popri biznise. V praxi sa mi osvedčuje tento rámec:

1) Pravidelné revízie v pevnom rytme

Minimálne odporúčam:

• štvrťročne rýchla kontrola zmien (nové systémy, nové kampane, noví dodávatelia),
• raz ročne hĺbkový audit dokumentácie a procesov,
• ad hoc pri významnej zmene alebo incidente.

Ak máte dynamický marketing, viac systémov a viac dodávateľov, štvrťročná kontrola je často nevyhnutná.

2) Centralizované úložisko, verzionovanie a audit trail

Dokumenty musia byť dostupné a dohľadateľné. Odporúčam centralizované úložisko (napríklad SharePoint, Google Workspace alebo interný DMS) s:

• verziami dokumentov,
• históriou zmien,
• jasnými vlastníkmi dokumentov (kto je zodpovedný za aktualizáciu),
• prístupmi podľa rolí.

Pri kontrole je schopnosť rýchlo predložiť aktuálnu verziu zásadná. A interne to šetrí čas, lebo ľudia pracujú s jedným zdrojom pravdy.

3) Prepojenie GDPR na zmenové konanie (change management)

Najlepší trik je jednoduchý: každá zmena systému alebo dodávateľa má mať krátku „privacy“ časť v schvaľovaní. Nie 20 strán, ale kontrolný zoznam:

• spracúvajú sa osobné údaje?
• kto je dodávateľ a kde sú dáta?
• je potrebná DPA?
• mení sa ROPA a retention?
• treba DPIA?
• mení sa informovanie na webe, cookies, súhlasy?

Tým zabezpečíte, že dokumentácia sa aktualizuje priebežne, nie až po probléme.

4) Školenia zamestnancov zamerané na prax

Aktualizácia dokumentácie bez ľudí je polovičná. Zamestnanci musia poznať svoje povinnosti a postupy, najmä:

• ako nahlásiť incident,
• ako rozpoznať žiadosť dotknutej osoby,
• čo môžu posielať e-mailom a čo nie,
• ako pracovať s prístupmi a zdieľaním,
• ako sa správať pri marketingu a práci s kontaktmi.

Školenia nemusia byť dlhé. Dôležité je, aby boli pravidelné a praktické.

Najčastejšie chyby, ktoré vidím pri „aktualizáciách“

1. Dokumentácia je skopírovaná šablóna, ktorá sa nezhoduje s realitou (najmä ROPA, retention, cookies).
2. Dodávateľské zmluvy sa neriešia priebežne, DPA chýbajú alebo sú neaktuálne.
3. Súhlasy sú použité nesprávne, napríklad na spracúvania, kde je vhodnejší iný právny základ.
4. Incidentný plán existuje len formálne, bez testovania a bez jasných rolí.
5. Práva dotknutých osôb sa vybavujú improvizovane, bez evidencie a bez konzistentných odpovedí.
6. Dokumenty sú roztrúsené, nikto nevie, čo je posledná verzia.

Dobrá správa je, že väčšina z týchto problémov sa dá vyriešiť relatívne rýchlo, ak sa nastaví systém a zodpovednosti.

Ako vyzerá rozumný výsledok (čo by ste mali vedieť ukázať)

Keď je dokumentácia aktualizovaná a systém funguje, organizácia vie:

• predložiť aktuálne ROPA, retention plán a relevantné politiky,
• preukázať súhlasy (ak sa používajú) a vysvetliť, prečo sú potrebné,
• ukázať zmluvy so sprostredkovateľmi a prehľad dodávateľov,
• vysvetliť, ako fungujú cookies, analytika a nastavenie súhlasu na webe,
• zdokumentovať incidenty a reakčné kroky,
• preukázať procesy pre žiadosti dotknutých osôb a dodržiavanie lehôt,
• ukázať, že školí ľudí a kontroluje dodržiavanie.

To je presne ten typ preukázateľnosti, ktorý očakáva úrad, ale aj partneri, audítori a čoraz častejšie aj zákazníci.

Zhrnutie: aktualizácia dokumentácie nie je formalita, ale ochrana organizácie

Aktualizácia GDPR dokumentácie je pre organizácie nevyhnutnosťou z jednoduchého dôvodu: bez nej neviete preukázať súlad, neviete efektívne riadiť riziká a pri probléme sa ocitnete v defenzíve. Navyše, pri weboch, cookies a analytike sa realita mení rýchlo, a dokumentácia má držať krok.

Ak si to chcete nastaviť rozumne, držte sa troch princípov:

1. Pravidelné revízie plus aktualizácie pri každej významnej zmene.
2. Centralizované úložisko s verziami a audit trailom.
3. Školenia a procesy, aby dokumenty žili v praxi.

Ak potrebujete, viem vám pomôcť nastaviť jednoduchý systém aktualizácií, skontrolovať aktuálne dokumenty (vrátane cookies a webovej transparentnosti) a doplniť to, čo v praxi najčastejšie chýba.

Často kladené otázky

Prečo nestačí mať GDPR dokumentáciu len raz vypracovanú a založenú do šanónu?

GDPR nie je jednorazový projekt, ale priebežný systém riadenia súkromia, ktorý musí odrážať aktuálnu realitu vo vašej organizácii, vrátane procesov, dodávateľov a používaných technológií. Zastaraná alebo neaktuálna dokumentácia môže viesť k problémom pri kontrole, incidente alebo spore.

Čo znamená princíp zodpovednosti (accountability) v kontexte GDPR?

Princíp zodpovednosti znamená, že nestačí iba tvrdiť súlad s GDPR, ale musíte ho vedieť preukázať prostredníctvom aktuálnej a správnej dokumentácie, ktorá potvrdzuje vašu kontrolu nad spracovaním osobných údajov.

Aké typy dokumentácie je potrebné viesť podľa GDPR?

Medzi povinné dokumenty patrí napríklad záznam o spracovateľských činnostiach (ROPA), ale aj ďalšie dokumenty reflektujúce účely spracúvania, kategórie údajov, príjemcov, prenosy do tretích krajín či technické a organizačné opatrenia.

Ako aktualizovaná GDPR dokumentácia pomáha pri riadení rizík?

Aktualizovaná dokumentácia slúži ako nástroj riadenia rizík tým, že zabezpečuje správne nastavené retention lehoty, prístupy a procesy pre riešenie incidentov a hodnotenie dopadov na ochranu osobných údajov (DPIA), čím znižuje pravdepodobnosť vzniku problémov.

Prečo je dôležitá transparentnosť voči zamestnancom a zákazníkom v rámci GDPR?

Transparentnosť zabezpečuje dôveru tým, že informácie o spracúvaní osobných údajov vrátane cookies sú vždy aktuálne a pravdivé. Neaktuálne alebo nepravdivé informácie môžu viesť k sankciám aj poškodeniu reputácie organizácie.

Ako aktualizácia GDPR dokumentácie pomáha predchádzať pokutám a sporom?

Pravidelná aktualizácia dokumentácie zabezpečuje splnenie všetkých zákonných povinností vrátane správneho informovania, uzatvárania zmlúv so sprostredkovateľmi a efektívnej reakcie na žiadosti dotknutých osôb. To minimalizuje riziko pokút a právnych sporov.

Ak spravujete web, e-shop, firmný intranet alebo akýkoľvek systém, ktorý pracuje s osobnými údajmi, skôr či neskôr narazíte na otázku: „Potrebujeme DPO?“ A hneď nato prichádza druhá, ešte dôležitejšia: „Čo presne DPO robí a čo od neho GDPR vlastne chce?“

Úradník pre ochranu údajov, často označovaný skratkou DPO (z anglického Data Protection Officer), je osoba, ktorá v organizácii dohliada na to, aby sa ochrana osobných údajov riešila systematicky, odborne a preukázateľne v súlade s GDPR. Nie je to „papierová“ funkcia. DPO je v praxi poradca, kontrolór aj komunikačný most medzi organizáciou, dotknutými osobami (ľuďmi, ktorých údaje spracúvate) a dozorným orgánom.

V tomto článku vám zhrniem, čo je DPO, kedy je povinný, čo má robiť, aké má mať postavenie v organizácii a na čo si dať pozor, aby menovanie DPO nebolo len formálne.

DPO jednoducho: čo to znamená v praxi

DPO je odborník na ochranu osobných údajov, ktorého úlohou je pomáhať organizácii plniť povinnosti podľa GDPR a zároveň pôsobiť ako kontaktná osoba pre:

• zamestnancov a vedenie organizácie,
• dotknuté osoby (napríklad zákazníkov, pacientov, žiakov, používateľov webu),
• dozorný orgán (na Slovensku najmä Úrad na ochranu osobných údajov SR).

Dôležité je pochopiť jednu vec: DPO nemá byť „IT-čkár, čo spraví cookies lištu“, ani právnik, ktorý raz ročne skontroluje dokumenty. DPO má byť zapojený priebežne, pri procesoch, projektoch a zmenách, ktoré sa týkajú osobných údajov.

Prečo sa DPO často rieši pri weboch, cookies a analytike

V bežnej praxi sa ochrana osobných údajov rieši už pri relatívne „nevinnej“ veci, ako sú cookies. Mnohé weby napríklad uvádzajú, že:

• používajú cookies pre pohodlné prehliadanie,
• zlepšujú výkon webu cez analýzu návštevnosti.

Aj takáto analytika môže znamenať spracúvanie osobných údajov (typicky online identifikátorov, IP adries, identifikátorov zariadení). DPO síce nerieši každé nastavenie cookies lišty, ale má byť človek, ktorý nastaví pravidlá hry: aké údaje zbierame, prečo, na akom právnom základe, ako dlho, komu ich posielame a ako o tom informujeme používateľov.

Preto je DPO praktický najmä tam, kde sa osobné údaje spracúvajú pravidelne a vo väčšom rozsahu, alebo kde existuje vyššie riziko pre práva jednotlivcov.

Kedy je DPO povinný podľa GDPR

GDPR stanovuje, že v určitých situáciách musí organizácia DPO určiť. Typicky ide o tieto prípady:

1) Verejné orgány a verejné subjekty

Ak ste verejný orgán alebo verejný subjekt, DPO je spravidla povinnosť.

2) Rozsiahle a pravidelné monitorovanie osôb

Ak hlavná činnosť organizácie zahŕňa pravidelné a systematické monitorovanie jednotlivcov vo veľkom rozsahu, DPO je povinný.

Príklady z praxe môžu byť:

• rozsiahle sledovanie správania používateľov (napríklad profilovanie),
• niektoré formy online behaviorálnej reklamy,
• monitorovanie prostredníctvom kamerových systémov vo veľkom rozsahu.

3) Rozsiahle spracúvanie osobitných kategórií údajov alebo údajov o trestných činoch

Ak spracúvate vo veľkom rozsahu:

• zdravotné údaje,
• biometrické údaje,
• genetické údaje,
• údaje odhaľujúce rasový alebo etnický pôvod, náboženstvo, politické názory a podobne,
• údaje o odsúdeniach a trestných činoch,

DPO býva povinný.

Poznámka z praxe: „vo veľkom rozsahu“ nie je len o počte záznamov. Posudzuje sa aj povaha údajov, dĺžka spracúvania, počet dotknutých osôb, geografický rozsah, účel a rizikovosť.

A čo ak DPO povinný nie je?

Aj keď vám povinnosť nevzniká, DPO môžete určiť dobrovoľne. Pre mnohé organizácie to dáva zmysel, napríklad keď:

• chcú mať jasnú osobu zodpovednú za koordináciu GDPR,
• potrebujú „jedno miesto pravdy“ pri interných otázkach a incidentoch,
• chcú zlepšiť pripravenosť na kontrolu,
• majú zložitejší ekosystém dodávateľov a systémov (CRM, mailing, analytika, call centrum).

Dobrovoľné určenie DPO však nie je len názov na vizitke. Ak DPO určíte, musíte mu zabezpečiť postavenie a podmienky podľa GDPR podobne, ako keby bol povinný.

Čo presne DPO robí: kľúčové úlohy a zodpovednosti

Úlohy DPO (Data Protection Officer) sú v rámci GDPR jasne definované. V praxi sa dajú zhrnúť do niekoľkých okruhov:

1) Informuje a radí organizácii aj zamestnancom

DPO vysvetľuje:

• aké sú povinnosti podľa GDPR,
• čo znamená zákonnosť, minimalizácia, obmedzenie uchovávania,
• aké pravidlá treba dodržať pri práci s údajmi zákazníkov, klientov, zamestnancov.

Tu často vidím najväčšiu hodnotu: DPO prekladá GDPR do reálnych postupov, aby ľudia vedeli, čo robiť, a nefungovali len podľa „pocitu“.

2) Monitoruje súlad s GDPR a internými pravidlami

DPO sleduje, či organizácia dodržiava:

• GDPR,
• interné smernice,
• nastavené procesy,
• bezpečnostné a organizačné opatrenia.

Súčasťou toho môžu byť kontroly, audity a pravidelné vyhodnocovanie. Nie preto, aby „hľadal vinníka“, ale aby sa slabé miesta našli skôr, než vznikne incident alebo sťažnosť.

3) Školí a zvyšuje povedomie

Školenia nie sú formalita. DPO často pripravuje:

• onboarding školenia pre nových zamestnancov,
• krátke praktické školenia pre konkrétne tímy (HR, marketing, zákaznícka podpora),
• odporúčania k typickým situáciám (posielanie údajov e-mailom, zdieľanie prístupov, práca z domu).

4) Pomáha pri DPIA (posúdení vplyvu na ochranu údajov)

Ak spracúvanie predstavuje vyššie riziko (napríklad nové technológie, rozsiahle monitorovanie, citlivé údaje), organizácia má riešiť DPIA.

DPO má pri DPIA pomáhať, najmä:

• posúdiť riziká,
• navrhnúť opatrenia,
• skontrolovať, či je DPIA spracované primerane.

5) Spolupracuje s dozorným orgánom

DPO môže byť kontaktnou osobou pri:

• konzultáciách,
• kontrolách,
• riešení incidentov (napríklad únikov údajov),
• komunikácii pri sťažnostiach.

6) Rieši žiadosti a sťažnosti dotknutých osôb (procesne a metodicky)

Ľudia majú práva: prístup k údajom, oprava, výmaz, obmedzenie spracúvania, prenosnosť, námietka. DPO typicky:

• nastaví interný proces, ako žiadosti vybavovať,
• dohliada na lehoty a obsah odpovedí,
• pomôže posúdiť, čo je oprávnené a čo nie.

DPO nemusí každú žiadosť vybaviť osobne, ale má zabezpečiť, aby to organizácia robila správne a jednotne.

DPO nie je „zodpovedná osoba za porušenia“ (a to je dôležité)

Častý mýtus: „Keď máme DPO, zodpovednosť ide za ním.“

Nie. Za súlad s GDPR je zodpovedný prevádzkovateľ (organizácia) a jej vedenie. DPO má poradnú, kontrolnú a koordinačnú rolu. GDPR výslovne počíta s tým, že DPO:

• poskytuje odporúčania,
• monitoruje,
• upozorňuje na riziká,

ale nenesie osobnú zodpovednosť za to, že firma porušila GDPR, ak sa vedenie rozhodlo inak alebo ak sa pravidlá nedodržali v praxi.

Zároveň však platí, že DPO je kľúčový pri „preukázateľnosti“. V spore alebo pri kontrole často rozhoduje, či viete doložiť, že ste mali nastavené procesy, posúdenia rizík, školenia a dohľad.

Aké vlastnosti a postavenie musí mať DPO

GDPR kladie dôraz nielen na odbornosť, ale aj na postavenie DPO v organizácii.

Odbornosť

DPO má mať primerané znalosti v oblasti:

• ochrany osobných údajov,
• informačnej bezpečnosti v kontexte spracúvania,
• interných procesov a rizík.

Nie je to len o zákone. DPO v praxi potrebuje rozumieť aj tomu, ako tečú dáta cez systémy a dodávateľov.

Nezávislosť

DPO má vykonávať svoju funkciu nezávisle. To znamená:

• bez pokynov, ako má rozhodnúť v otázkach ochrany údajov,
• bez sankcií za to, že upozorní na problém.

Konflikt záujmov je reálna téma. Typicky je problém, ak je DPO zároveň osoba, ktorá rozhoduje o účeloch a prostriedkoch spracúvania, napríklad šéf IT, šéf HR alebo šéf marketingu. Nie vždy automaticky, ale často je to rizikové.

Priamy prístup k vedeniu

DPO musí mať možnosť komunikovať priamo s top manažmentom. Ak DPO „zaparkujete“ na nízkej úrovni bez vplyvu, je to recept na formálne plnenie povinnosti bez reálneho efektu.

Povinnosti organizácie voči DPO

Ak DPO určíte, organizácia musí splniť viacero praktických povinností:

1) Zverejniť kontaktné údaje DPO

Kontaktné údaje DPO majú byť dostupné dotknutým osobám aj dozornému orgánu. V praxi to znamená napríklad:

• uviesť kontakt v zásadách ochrany osobných údajov,
• uviesť kontakt na webe v sekcii ochrany súkromia,
• mať interný komunikačný kanál pre zamestnancov.

2) Zapájať DPO do všetkých relevantných otázok

DPO má byť pri:

• nových projektoch,
• zmenách systémov,
• zmenách dodávateľov,
• zavádzaní nových marketingových nástrojov,
• nastavovaní kamerového systému,
• riešení incidentov.

Inými slovami, DPO nemá byť posledná zastávka „na podpis“. Má byť pri navrhovaní riešenia.

3) Poskytnúť zdroje

Zdroje znamenajú:

• čas,
• prístup k informáciám,
• spoluprácu tímov,
• rozumný rozpočet (napríklad na školenia, audit, právne konzultácie, bezpečnostné opatrenia).

Interný vs. externý DPO: čo sa viac oplatí

DPO môže byť:

• interný (zamestnanec),
• externý (dodávateľsky, napríklad poradenská spoločnosť alebo konzultant).

Interný DPO pozná firmu zvnútra, no treba si dať pozor na konflikt záujmov a na to, či má skutočne kapacitu a odborný rast.

Externý DPO býva silný v skúsenostiach z praxe, auditných postupoch a porovnaní naprieč odvetviami. Nevýhodou môže byť, ak organizácia nechce zdieľať informácie alebo ak externý DPO nemá prístup k reálnym procesom.

Dôležitejšie než forma je, aby DPO:

• bol zapojený,
• bol nezávislý,
• mal informácie,
• vedel preukázateľne pracovať.

Najčastejšie chyby, ktoré vídam pri DPO

1. DPO iba na papieri, bez reálneho zapojenia do projektov.
2. Nesprávna osoba kvôli konfliktu záujmov (rozhoduje o účeloch spracúvania a zároveň „dohliada“ na súlad).
3. Chýbajú zverejnené kontakty alebo sú zverejnené nefunkčne (neexistuje proces, kto e-maily spracúva).
4. DPO nemá prístup k vedeniu, takže odporúčania sa strácajú v hierarchii.
5. Organizácia očakáva, že DPO preberie zodpovednosť za súlad, a tým prestane riešiť vlastné povinnosti.

Ako zistíte, či DPO potrebujete

Ak si nie ste istí, odporúčam položiť si tieto otázky:

• Sme verejný orgán alebo verejný subjekt?
• Monitorujeme ľudí pravidelne a systematicky vo veľkom rozsahu (online, kamery, profilovanie)?
• Spracúvame citlivé údaje alebo údaje o trestných činoch vo veľkom rozsahu?
• Máme veľa žiadostí od dotknutých osôb alebo sťažností?
• Máme veľa systémov a dodávateľov, cez ktoré tečú osobné údaje?
• Vieme preukázať súlad s GDPR, alebo len „tušíme“, že je to v poriadku?

Ak aspoň niekoľko odpovedí smeruje k riziku alebo rozsahu, DPO sa oplatí riešiť aj dobrovoľne.

Zhrnutie: čo je DPO a prečo je dôležitý

DPO (úradník pre ochranu údajov) je odborná a nezávislá kontaktná osoba, ktorá pomáha organizácii dodržiavať GDPR, nastavuje procesy, monitoruje súlad, školí ľudí, asistuje pri DPIA a komunikuje s dozorným orgánom.

Povinný je najmä pre:

• verejné subjekty,
• organizácie s rozsiahlym monitorovaním osôb,
• organizácie, ktoré vo veľkom rozsahu spracúvajú citlivé údaje alebo údaje o trestných činoch.

A posledná dôležitá veta: DPO nie je ten, kto „nesie vinu“ za porušenie GDPR. Zodpovednosť má organizácia. DPO je však často rozhodujúci v tom, či organizácia vie súlad preukázať a či má ochranu údajov reálne pod kontrolou.

Často kladené otázky

Čo je to DPO a akú má úlohu v organizácii?

DPO (Úradník pre ochranu údajov) je odborník, ktorý v organizácii dohliada na správne a systematické riešenie ochrany osobných údajov podľa GDPR. Pôsobí ako poradca, kontrolór a komunikačný most medzi organizáciou, dotknutými osobami a dozorným orgánom.

Kedy je podľa GDPR povinné určiť DPO?

Povinnosť určiť DPO majú verejné orgány a subjekty, organizácie vykonávajúce rozsiahle a pravidelné monitorovanie osôb vo veľkom rozsahu, alebo tie, ktoré spracúvajú osobitné kategórie osobných údajov vo veľkom rozsahu.

Prečo sa DPO často spája s webmi, cookies a analytikou?

Aj bežné používanie cookies či analytiky môže znamenať spracúvanie osobných údajov, ako sú online identifikátory alebo IP adresy. DPO nastavuje pravidlá, aké údaje sa zbierajú, prečo, na akom právnom základe a ako sa o tom informuje používateľ.

Je DPO len IT-čkár alebo právnik kontrolujúci dokumenty raz ročne?

Nie. DPO nie je iba technik na nastavenie cookies lišty ani právnik vykonávajúci občasnú kontrolu. Je to odborník zapojený priebežne do procesov, projektov a zmien týkajúcich sa osobných údajov v organizácii.

Aké sú hlavné funkcie DPO v praxi?

DPO pomáha zabezpečiť súlad s GDPR, radí zamestnancom a vedeniu, komunikuje s dotknutými osobami aj dozorným orgánom a dohliada na systematické spracovanie osobných údajov v organizácii.

Na čo si dať pozor pri menovaní DPO v organizácii?

Menovanie DPO by nemalo byť len formálnou záležitosťou. Je dôležité zabezpečiť jeho nezávislosť, dostatočné zdroje a priebežné zapojenie do všetkých procesov spracovania osobných údajov v organizácii.

Uchovávanie osobných údajov býva v praxi jedna z najčastejších príčin zbytočných rizík. Nie preto, že by firmy nechceli dodržiavať GDPR, ale preto, že údaje sa v systémoch „nejako“ hromadia. A keď sa po rokoch opýtate, prečo ešte stále držíte staré žiadosti, e-maily, logy, záznamy z kamier alebo marketingové databázy, odpoveď znie: „Pre istotu.“

Práve „pre istotu“ je však v GDPR problém. GDPR vyžaduje, aby ste osobné údaje uchovávali len tak dlho, ako je to nevyhnutné vzhľadom na účel spracúvania. To znamená, že potrebujete jasné a obhájiteľné limity uchovávania (retention limits), nastavené podľa procesov, zákonných povinností a reálnych potrieb organizácie.

Tento článok je praktický návod, ako limity nastaviť, zdokumentovať a prevádzkovať v jednotlivých kategóriách informačných systémov.

Čo presne znamená „limit uchovávania“ podľa GDPR

GDPR (čl. 5 ods. 1 písm. e) zavádza zásadu minimalizácie uchovávania: údaje musia byť uchovávané vo forme umožňujúcej identifikáciu dotknutých osôb najviac po dobu nevyhnutnú na účely, na ktoré sa spracúvajú.

V preklade do praxe to znamená tri veci:

1. Musíte vedieť, prečo údaje spracúvate (účel).
2. Musíte vedieť, ako dlho ich potrebujete (doba uchovávania).
3. Musíte mať proces, ktorý po uplynutí doby uchovávania zabezpečí výmaz alebo anonymizáciu.

Ak si z článku máte odniesť jednu vetu, tak túto: retencia nie je dátum v dokumente, retencia je funkčný mechanizmus v procesoch a systémoch.

Prečo nestačí napísať do zásad „uchovávame údaje po dobu nevyhnutnú“

V informačných povinnostiach môžete uviesť aj všeobecnejšie formulácie, ale interne potrebujete konkrétnosť. Pri kontrole alebo incidente sa nehodnotí, či máte pekný text na webe, ale či viete preukázať:

• že doby uchovávania sú viazané na účely,
• že sú odôvodnené zákonom, zmluvou alebo oprávneným záujmom,
• že viete preukázať, čo sa deje po uplynutí lehoty (mazanie, anonymizácia, archivácia),
• že vaše systémy nie sú „dátové sklady bez konca“.

Príkladová tabuľka limitov uchovávania osobných údajov na prevádzke:

Ako správne určiť dobu uchovávania: praktický postup

Ako GDPR poradca odporúčam postupovať v logike „účel → právny základ → retencia → akcia po retencii“.

1) Rozdeľte údaje podľa účelov, nie podľa toho, kde ležia

Napríklad „e-mailová komunikácia“ sama o sebe nie je účel. Účel môže byť:

• vybavenie objednávky,
• riešenie reklamácie,
• preukazovanie plnenia zmluvy,
• odpoveď na dopyt pred uzatvorením zmluvy,
• podpora zákazníka.

Jedna schránka teda môže obsahovať viacero účelov a tým pádom aj viacero retenčných pravidiel.

2) Identifikujte zákonné a regulačné lehoty

Najmä účtovníctvo, dane, mzdy a personalistika majú lehoty dané osobitnými predpismi. V týchto oblastiach je retencia často „tvrdá“ a obhájiteľná.

3) Ošetrite premlčacie lehoty a právne nároky

Pri zmluvách, reklamáciách a sporoch býva legitímne držať určité údaje aj po ukončení služby, aby ste vedeli obhájiť právne nároky (typicky oprávnený záujem). Treba však držať len to, čo je potrebné, a mať jasnú lehotu.

4) Zadefinujte „trigger“ začiatku lehoty

Retencia nie je len „5 rokov“. Dôležité je, odkedy sa počíta:

• od ukončenia zmluvy,
• od uzavretia prípadu v helpdesku,
• od poslednej aktivity zákazníka,
• od udelenia súhlasu alebo jeho odvolania,
• od vytvorenia záznamu (napríklad logy).

5) Určite, čo sa stane po uplynutí lehoty

Možnosti sú najčastejšie:

• bezpečný výmaz,
• anonymizácia (ak chcete štatistiku),
• presun do archívu (ak existuje zákonný archivačný režim),
• obmedzenie spracúvania (napríklad pri prebiehajúcom spore).

Cookies a limity uchovávania: kde firmy najčastejšie zlyhávajú

Pri cookies sa často rieši súhlas, banner a kategórie, ale retencia sa zanedbáva. Ak cookies používate na:

• zlepšenie výkonu webu,
• použiteľnosť,
• analýzu návštevnosti,
• marketing,

tak potrebujete mať kontrolu nad tým, ako dlho sa identifikátory uchovávajú. V praxi to býva kombinácia:

• doby uloženia cookie v prehliadači,
• doby uchovávania dát u poskytovateľa (napr. analytický nástroj),
• doby, počas ktorej ich viete priradiť ku konkrétnej osobe (pri online identifikátoroch).

Odporúčanie: pri analytike a marketingu nastavujte retenciu skôr konzervatívne (mesiace, nie roky), a overte si nastavenia v nástrojoch. Niektoré platformy umožňujú retenciu priamo nakonfigurovať. To, že sa to dá nastaviť, znamená aj to, že sa od vás očakáva, že to nastavíte.

Kategórie informačných systémov a typické lehoty uchovávania (praktická mapa)

Nižšie uvádzam orientačné rámce, ktoré sa v praxi často používajú. Vždy ich prispôsobte konkrétnemu účelu, procesom a právnym povinnostiam vašej organizácie.

1) Personálne a mzdové systémy

Spracúvate údaje zamestnancov, pracovné zmluvy, dochádzku, výplatné pásky, podklady pre odvody a dane.

Typické lehoty: 5 až 10 rokov (podľa typu dokumentu a povinností).

Dôvody: pracovnoprávne a daňové povinnosti, kontrola, dokazovanie.

Praktická poznámka: do personalistiky často „prepadnú“ aj údaje, ktoré tam nepatria dlhodobo (napr. staré e-maily s citlivými informáciami). Retencia musí riešiť aj nestruktúrované prílohy a voľné polia.

2) Účtovné a finančné systémy

Faktúry, účtovné doklady, bankové výpisy, daňové priznania, objednávky a zmluvná dokumentácia viazaná na účtovníctvo.

Typické lehoty: 5 až 10 rokov.

Dôvody: účtovné a daňové predpisy, audit, kontrola finančných tokov.

Tu je dôležité odlíšiť:

• čo je účtovný doklad, ktorý musíte držať,
• a čo je „komfortná“ príloha navyše (napr. rozsiahla komunikácia, ktorá nie je potrebná).

3) CRM a marketingové systémy

Zákaznícke profily, história komunikácie, segmentácia, marketingové súhlasy, newsletter databázy.

Typické lehoty:

• marketingové súhlasy: do odvolania súhlasu (a následne len nevyhnutné minimum na preukázanie, že bol odvolaný),
• údaje pre kampane: po dobu kampane a primerané obdobie na vyhodnotenie,
• zákaznícke kontakty bez aktivity: často „niekoľko rokov“ podľa odôvodnenia (napr. 2 až 3 roky od poslednej interakcie).

Najväčšie riziko v marketingu je „neobmedzené uchovávanie“, lebo databáza je hodnotná. GDPR však vyžaduje, aby ste pravidelne čistili neaktívne kontakty a mali pravidlá, kedy kontakt vymažete alebo anonymizujete.

4) Systémy riadenia zákazníckeho servisu (helpdesk)

Reklamácie, podnety, žiadosti, technická podpora, spätná väzba, ticketing.

Typické lehoty: 2 až 5 rokov po uzavretí prípadu.

Dôvody: riešenie sťažností, preukazovanie plnenia, právne nároky, zlepšovanie služieb.

Odporúčam doplniť pravidlo, že ak ticket obsahuje citlivé údaje, máte proces, ako ich minimalizovať. Často sa do ticketu prilepia doklady, rodné čísla, zdravotné informácie, fotografie a podobne bez potreby.

5) Prístupové a bezpečnostné systémy

Prístupové logy, záznamy o vstupe, evidencie prístupových kariet, CCTV záznamy, bezpečnostné incidenty.

Typické lehoty: niekoľko mesiacov až 2 roky podľa účelu a rizikovosti.

Dôvody: prevencia, vyšetrovanie incidentov, ochrana majetku a osôb, preukazovanie porušenia pravidiel.

V praxi je dôležité:

• nastaviť krátku retenciu pre bežné záznamy,
• mať výnimku pre incidenty, kde sa záznam vyčlení a drží dlhšie, lebo je súčasťou vyšetrovania.

6) Archívne a dokumentačné systémy

Dlhodobé uchovávanie dokumentov na archívne, výskumné alebo štatistické účely.

Typické lehoty: dlhodobé, niekedy aj trvalé (ak to vyplýva zo zákona alebo verejného záujmu).

Dôvody: zákonné archivačné povinnosti, verejný záujem, výskum, štatistika.

Pozor: „archivácia“ nie je univerzálna výhovorka. Ak nie ste archívna inštitúcia alebo nemáte jasný zákonný rámec, často je správne skôr anonymizovať.

Ako to celé udržať pod kontrolou: register aktív a prepojenie na RoPA

V praxi odporúčam postaviť retenciu na dvoch pilieroch:

1) Information Asset Register (Register informačných aktív)

Jednoduchá tabuľka alebo nástroj, kde máte pri každom systéme a dátovej sade:

• kategórie osobných údajov,
• dotknuté osoby,
• účely spracúvania,
• právne základy,
• retenčné lehoty a „trigger“,
• miesto uloženia (systém, modul, úložisko, e-mail),
• príjemcov a prenosy,
• popis výmazu/anonymizácie.

2) Prepojenie na RoPA (Záznamy o spracovateľských činnostiach)

RoPA je povinnosť pre mnohé organizácie a zároveň najlepší „kostrový“ dokument, ktorý vám pomôže udržať prehľad. Register aktív a RoPA by si nemali protirečiť. Ak zmeníte proces, zavádzate nový systém alebo meníte účel, musíte aktualizovať aj retenciu.

Prakticky: ak máte v RoPA „Zákaznícka podpora“, ale helpdesk drží dáta 10 rokov, je to nesúlad, ktorý je ľahko napadnuteľný.

Automatizácia: bez nej bude retencia len na papieri

Retenčné pravidlá často zlyhajú na tom, že sú závislé od človeka. Preto odporúčam zaviesť:

• automatické upozornenia na koniec retenčnej doby,
• automatizované mazanie (ak je bezpečné a auditovateľné),
• proces schvaľovania výnimiek (napr. „legal hold“ pri spore),
• bezpečný výmaz alebo anonymizáciu vrátane záloh, ak je to primerané.

Dôležité je aj logovanie mazania: vedieť preukázať, že sa mazanie vykonalo, kedy, v akom rozsahu a podľa akého pravidla.

Pravidelná revízia: lebo zákony, procesy aj systémy sa menia

Retencia nie je jednorazový projekt. Minimálne raz ročne (alebo pri významnej zmene) si prejdite:

• legislatívne zmeny a odporúčania dozorného orgánu,
• nové systémy a integrácie,
• zmeny v účeloch spracúvania,
• incidenty a zistenia z auditov,
• či sa mazanie reálne vykonáva.

Ak pri revízii zistíte, že retencia je nastavená „veľkoryso“, upravte ju. Z pohľadu rizika je lepšie mať konzervatívnejšie doby a kvalitný proces výnimiek, než držať všetko roky.

Ako správne zdokumentovať retenčné pravidlá v každom systéme

Aby to bolo obhájiteľné, v dokumentácii by som očakával:

• konkrétnu dobu uchovávania pre každú dátovú sadu,
• jasný účel a právny základ,
• spúšťač plynutia lehoty,
• popis, čo sa deje po uplynutí lehoty,
• zodpovednosť (kto to kontroluje),
• technické nastavenie (kde sa to v systéme nastavuje),
• riešenie výnimiek.

Ak máte viac systémov, robte to jednotne. Najhoršia kombinácia je, keď jedna smernica hovorí jedno, RoPA druhé a systém v skutočnosti nerobí nič.

Zhrnutie: dobré limity uchovávania sú kombinácia práva, praxe a techniky

Limity pre uchovávanie osobných údajov nie sú o tom, aby ste „niečo napísali do GDPR dokumentácie“. Sú o tom, aby ste vedeli:

• prečo údaje držíte,
• dokedy ich držíte,
• a ako zabezpečíte, že po uplynutí lehoty prestanete spracúvať to, čo už nepotrebujete.

Ak chcete rýchly, praktický štart, začnite tromi krokmi:

1. urobte register informačných aktív a doplňte retencie,
2. prepojte ho s RoPA a reálnymi procesmi,
3. nastavte automatizované mazanie alebo aspoň upozornenia a pravidelnú revíziu.

To je cesta, ako mať retenciu, ktorá dáva zmysel biznisu a zároveň obstojí pri kontrole.

Často kladené otázky

Čo znamená limit uchovávania osobných údajov podľa GDPR?

Limit uchovávania podľa GDPR znamená, že osobné údaje musia byť uchovávané len po dobu nevyhnutnú na účely, na ktoré sa spracúvajú. To zahŕňa jasné určenie účelu spracovania, dobu uchovávania a proces výmazu alebo anonymizácie po uplynutí tejto doby.

Prečo nestačí uviesť vo firemných zásadách len všeobecné vyjadrenie o uchovávaní údajov „po dobu nevyhnutnú“?

Všeobecné formulácie nestačia, pretože GDPR vyžaduje preukázateľnosť. Organizácia musí vedieť preukázať, že doby uchovávania sú viazané na konkrétne účely, sú odôvodnené zákonom alebo oprávneným záujmom a že existuje proces na výmaz alebo anonymizáciu údajov po uplynutí lehoty.

Ako správne určiť dobu uchovávania osobných údajov v praxi?

Odporúča sa postupovať podľa logiky: najprv definovať účel spracovania údajov, potom identifikovať právny základ, následne stanoviť konkrétnu dobu uchovávania (retenciu) a nakoniec zabezpečiť akciu po uplynutí tejto doby ako výmaz alebo anonymizáciu.

Prečo je dôležité rozdeliť údaje podľa účelov spracovania a nie podľa ich uloženia?

Účel spracovania určuje, ako dlho a za akým účelom sa údaje môžu uchovávať. Napríklad jedna e-mailová schránka môže obsahovať údaje s rôznymi účelmi (reklamácie, objednávky), ktoré majú rôzne retenčné pravidlá. Preto je potrebné údaje klasifikovať podľa účelu, nie podľa miesta uloženia.

Aké sú príklady zákonných lehôt pre uchovávanie osobných údajov?

Zákonné lehoty sa často vzťahujú na oblasti ako účtovníctvo, dane, mzdy či personalistika. Tieto lehoty sú stanovené osobitnými predpismi a predstavujú tzv. tvrdé lehoty retencie, ktoré organizácia musí dodržiavať.

Čo by mal obsahovať funkčný mechanizmus retencie osobných údajov?

Funkčný mechanizmus retencie by mal zahŕňať jasne definované limity uchovávania údajov viazané na účely spracovania, procesy zabezpečujúce výmaz alebo anonymizáciu po uplynutí doby uchovávania a dokumentáciu týchto procesov v rámci informačných systémov organizácie.

Biometrické technológie sú dnes bežnou súčasťou moderných služieb. Odomykanie mobilu odtlačkom prsta, vstup do budovy cez rozpoznanie tváre, prihlasovanie hlasom, overenie identity cez dúhovku. Pre používateľa je to pohodlné a rýchle. Pre organizácie lákavé, lebo biometria znižuje riziko zdieľania hesiel, zjednodušuje prístupové procesy a často zvyšuje bezpečnosť.

Z pohľadu GDPR, je však biometria jedna z najcitlivejších oblastí. Dôvod je jednoduchý. Heslo viete zmeniť. Odtlačok prsta alebo tvár nie. Ak dôjde k úniku alebo zneužitiu biometrických údajov, dopady môžu byť dlhodobé a prakticky nevratné. Preto GDPR biometrické údaje zaraďuje medzi osobitné kategórie osobných údajov a kladie na ich spracúvanie prísne podmienky.

V tomto článku sa na biometriu pozrieme prakticky. Čo presne sú biometrické údaje, kedy ide o spracúvanie podľa GDPR, aké právne základy prichádzajú do úvahy, čo musíte splniť pri nasadení biometrie v praxi, a na čo si dať pozor, aby ste minimalizovali právne aj bezpečnostné riziká.

Čo je biometria a kedy ide o „biometrické údaje“ podľa GDPR

GDPR definuje biometrické údaje ako osobné údaje získané osobitným technickým spracúvaním, ktoré sa týkajú fyzických, fyziologických alebo behaviorálnych charakteristík fyzickej osoby a ktoré umožňujú alebo potvrdzujú jej jedinečnú identifikáciu.

Z praktického hľadiska sú typické príklady:

• odtlačok prsta,
• rozpoznanie tváre (face recognition),
• hlasová biometria,
• sken dúhovky alebo sietnice,
• geometria dlane,
• dynamika podpisu, rytmus písania a iné behaviorálne znaky.

Dôležitá nuance: nie každé spracúvanie „obrazu tváre“ automaticky znamená spracúvanie biometrických údajov ako osobitnej kategórie. Rozdiel je v tom, či ide o technické spracúvanie na účel jedinečnej identifikácie alebo autentifikácie.

Príklad:

• Kamera na recepcii, ktorá len nahráva priestor, spracúva osobné údaje (videozáznam), ale nemusí spracúvať biometrické údaje v zmysle osobitnej kategórie, ak sa nerobí biometrická identifikácia.
• Systém, ktorý z tváre vytvorí biometrickú šablónu a porovnáva ju s databázou kvô

Prečo sú biometrické údaje podľa GDPR „osobitná kategória“

GDPR osobitné kategórie osobných údajov chráni prísnejšie, lebo ich zneužitie môže mať vážne dopady na práva a slobody jednotlivcov. Biometria je citlivá preto, že:

• je ťažko zmeniteľná alebo nezmeniteľná,
• môže umožňovať skryté sledovanie alebo profilovanie,
• pri úniku môže byť zneužiteľná naprieč systémami,
• často sa spracúva v kontexte asymetrie moci (zamestnanec vs. zamestnávateľ).

Výsledok: všeobecné pravidlo je, že spracúvanie osobitných kategórií je zakázané, pokiaľ nespadnete do niektorej z výnimiek podľa článku 9 GDPR.

Kedy je spracúvanie biometrie povolené (právny základ a výnimky)

Pri biometrických údajoch si musíte vyriešiť dve vrstvy:

1. právny základ podľa článku 6 GDPR (napr. súhlas, zákonná povinnosť, oprávnený záujem, zmluva),
2. výnimku zo zákazu spracúvania osobitnej kategórie podľa článku 9 GDPR (napr. výslovný súhlas, pracovné právo, verejný záujem).

V praxi sú najčastejšie relevantné tieto možnosti:

1) Výslovný informovaný súhlas (najčastejšie spomínaný, ale nie vždy vhodný)

Spracúvanie biometrických údajov môže byť dovolené, ak máte výslovný súhlas dotknutej osoby. Nestačí „implicitný“ súhlas ani všeobecné zaškrtnutie niekde v podmienkach. Súhlas musí byť:

• slobodný (bez nátlaku a bez negatívnych následkov pri odmietnutí),
• konkrétny a informovaný,
• jednoznačný,
• výslovný (explicitný).

Pozor na prostredie zamestnania: v pracovnoprávnych vzťahoch býva sloboda súhlasu často spochybniteľná, lebo zamestnanec je v podriadenej pozícii. Ak nemá reálnu alternatívu, súhlas môže byť považovaný za neplatný.

2) Zákonné povinnosti, verejný záujem, životne dôležité záujmy, obrana právnych nárokov

GDPR umožňuje spracúvať biometriu aj bez súhlasu napríklad vtedy, keď je to potrebné:

• na splnenie povinností a výkon osobitných práv v oblasti pracovného práva a sociálneho zabezpečenia, ak to umožňuje právo EÚ alebo členského štátu,
• z dôvodov podstatného verejného záujmu, opäť na základe práva,
• na ochranu životne dôležitých záujmov (skôr výnimočné scenáre),
• na preukazovanie, uplatňovanie alebo obhajovanie právnych nárokov.

V bežnom komerčnom prostredí (napr. „chceme vstup do kancelárie na tvár, lebo je to pohodlnejšie“) sa často ukáže, že bez súhlasu to právne neustojíte.

3) „Oprávnený záujem“ ako argument? Pri biometrických údajoch veľmi opatrne

Oprávnený záujem podľa článku 6 je častý právny základ pri kamerových systémoch alebo bezpečnosti. Pri biometrických údajoch však narážate na článok 9. Teda aj keby ste si odôvodnili oprávnený záujem, stále potrebujete výnimku pre osobitnú kategóriu. V praxi to znamená, že oprávnený záujem sám o sebe biometrické spracúvanie „neodblokuje“.

Najdôležitejšie zásady, ktoré musíte dodržať

Ak biometriu zavádzate, nestačí mať papierový súhlas a hotovo. GDPR stojí na zásadách. Pri biometrických údajoch sú kritické najmä tieto:

Transparentnosť a informovanie

Dotknutá osoba musí jasne vedieť:

• kto jej údaje spracúva (prevádzkovateľ, prípadne sprostredkovateľ),
• na aký účel (vstup, autentifikácia, dochádzka),
• aké údaje sa spracúvajú (napr. biometrická šablóna, nie „odtlačok“ ako obrázok),
• ako dlho,
• komu sa poskytujú,
• aké má práva a ako ich uplatní,
• či ide o povinné alebo dobrovoľné spracúvanie a aké sú dôsledky odmietnutia.

Odporúčanie z praxe: informovanie píšte zrozumiteľne, nie právnickým jazykom. Biometria vyvoláva otázky a odpor. Dobrá komunikácia znižuje konflikty aj riziko sťažností.

Minimalizácia údajov a nevyhnutnosť

Pýtajte sa: naozaj potrebujeme biometriu?

• Ak cieľom je len komfortné prihlásenie do zákazníckej zóny, často existujú menej invazívne možnosti (2FA, aplikácia, bezpečnostný kľúč).
• Ak ide o dochádzku, biometria je často „overkill“, ak viete zabezpečiť dochádzku čipom a kontrolnými procesmi.

Ak biometria nie je nevyhnutná, ťažko sa obhajuje jej primeranosť. A to je slabé miesto pri kontrolách aj sporoch.

Bezpečnosť spracúvania

Pri biometrických údajoch bezpečnosť nie je len IT téma, ale GDPR povinnosť. Očakáva sa vysoký štandard, napríklad:

• šifrovanie pri prenose aj v úložisku,
• prísne riadenie prístupov (need-to-know),
• auditné logy a pravidelné kontroly,
• segmentácia systémov, minimalizácia integrácií,
• bezpečné spravovanie kľúčov,
• pravidelné testovanie a aktualizácie,
• procesy pre incidenty a porušenia ochrany osobných údajov.

Dôležité je tiež, aby ste vedeli preukázať, že bezpečnostné opatrenia máte nastavené primerane riziku.

Uchovávanie a vymazávanie

Nastavte jasné lehoty uchovávania. Typicky:

• ak osoba odvolá súhlas, biometrické údaje musia ísť preč,
• ak skončí pracovný pomer alebo zmluvný vzťah, v primeranej lehote vymazať,
• nevytvárať „archívy“ biometrických šablón „pre istotu“.

Práva dotknutých osôb

Musíte umožniť a procesne zvládnuť práva ako:

• prístup k údajom,
• oprava (pri biometrických šablónach je oprava špecifická, skôr nové nasnímanie a výmena šablóny),
• výmaz,
• obmedzenie spracúvania,
• prenosnosť (ak je relevantná),
• námietka (pri určitých právnych základoch),
• odvolanie súhlasu (ak je právnym základom súhlas).

Praktická rada: dopredu si pripravte interný postup, kto žiadosť prijíma, kto ju vyhodnocuje, kto komunikuje odpoveď a v akej lehote.

DPIA: Posúdenie vplyvu na ochranu osobných údajov (pri biometrii takmer vždy)

Pri biometrických systémoch je spravidla vysoké riziko pre práva a slobody dotknutých osôb. Preto je v praxi bežné, že potrebujete urobiť DPIA (Data Protection Impact Assessment), teda posúdenie vplyvu na ochranu osobných údajov.

DPIA nie je formalita. Má vám odpovedať na otázky:

• aké riziká biometria prináša (zneužitie, únik, neoprávnená identifikácia, diskriminácia),
• ako ste vyhodnotili nevyhnutnosť a primeranosť,
• aké opatrenia riziká znižujú (technické aj organizačné),
• aké zostatkové riziko zostáva a či je prijateľné.

Ak DPIA ukáže vysoké riziko, ktoré neviete primerane znížiť, môže prísť na rad aj konzultácia s dozorným orgánom.

Súhlas a alternatíva: „Buď biometria, alebo nič“ je typický problém

Jedna z najčastejších chýb, ktoré vídam v praxi, je nasadenie biometrie bez reálnej alternatívy. Napríklad:

• vstup do budovy iba odtlačkom prsta,
• dochádzka iba tvárou,
• zákaznícky účet iba cez biometrické prihlásenie.

Ak je právnym základom súhlas, musí byť reálne dobrovoľný. To v praxi znamená ponúknuť alternatívu, napríklad:

• čipová karta alebo PIN,
• mobilná aplikácia s 2FA,
• jednorazové kódy,
• fyzický bezpečnostný kľúč.

Alternatíva má byť rovnocenná. Nie „môžete odmietnuť biometriu, ale potom budete čakať každý deň 20 minút na recepcii“.

Cookies vs. biometria: prečo to ľudia často hádžu do jedného vreca

Na weboch ste zvyknutí na cookies bannery, ktoré sa používajú na:

• komfortné prehliadanie (funkčné cookies),
• analýzu návštevnosti,
• zlepšovanie webu a marketing.

Cookies a biometria sú rozdielne kategórie, no majú spoločné menovatele: transparentnosť, voľba, minimalizácia, bezpečnosť a dôvera.

Ak napríklad ponúkate prihlásenie do účtu cez rozpoznanie tváre v mobilnej aplikácii, používateľ bude citlivejší na to, ako komunikujete aj ďalšie spracúvania, vrátane analytiky. V praxi teda platí: keď chcete od ľudí biometriu, musíte mať mimoriadne dobre upratané aj ostatné oblasti súkromia.

Dokumentácia a zodpovednosť: musíte vedieť preukázať, že ste to urobili správne

GDPR nie je len o tom, čo robíte, ale aj o tom, čo viete preukázať. Pri biometrii odporúčam mať minimálne:

• záznamy o spracovateľských činnostiach (účely, kategórie údajov, lehoty, príjemcovia),
• DPIA,
• interné smernice a postupy (prístupy, incidenty, žiadosti dotknutých osôb),
• zmluvy so sprostredkovateľmi (dodávateľ biometrického systému, cloud),
• školenia a záznamy o školeniach (najmä bezpečnosť a práca s citlivými údajmi),
• texty informovania a vzory súhlasov, ak ich používate.

Čo vám hrozí pri nesúlade

Pri spracúvaní biometrických údajov sú riziká dvojité: regulačné a reputačné.

• GDPR umožňuje uložiť pokutu až do 20 miliónov eur alebo 4 % celosvetového ročného obratu (podľa toho, čo je vyššie), v závislosti od porušenia.
• Sťažnosti dotknutých osôb sa pri biometrii podávajú častejšie, lebo ide o „viditeľne citlivú“ tému.
• Únik biometrických údajov je incident, ktorý môže mať vážne dopady na dôveru, médiá a obchodné vzťahy.

Z praxe: aj keď pokuta nemusí byť maximálna, náklady na riešenie incidentu, právne služby, PR a interné opatrenia bývajú výrazné.

Praktické odporúčania pri zavádzaní biometrie (checklist)

Ak chcete biometriu zaviesť rozumne a GDPR-kompatibilne, držte sa týchto krokov:

1. Ujasnite si účel a overte, či existuje menej invazívna alternatíva.
2. Vyberte právny základ a výnimku pre osobitnú kategóriu. Ak idete cez súhlas, pripravte ho ako výslovný a informovaný.
3. Ponúknite alternatívu k biometrickému overeniu, najmä v zamestnaneckých scenároch.
4. Urobte DPIA a reálne vyhodnoťte riziká.
5. Minimalizujte údaje. V ideálnom prípade pracujte s biometrickou šablónou, nie s „raw“ obrazmi, a ukladajte len to, čo potrebujete.
6. Nastavte bezpečnosť: šifrovanie, prístupy, audit, incident management.
7. Nastavte lehoty uchovávania a automatizované mazanie, kde sa dá.
8. Pripravte informovanie pre dotknuté osoby jasne a zrozumiteľne.
9. Zabezpečte práva dotknutých osôb praktickým procesom, nielen textom v politike.
10. Školte zamestnancov a udržiavajte dokumentáciu aktuálnu.

Záver: biometria je silný nástroj, ale s vysokou zodpovednosťou

Biometria môže byť pre používateľov aj organizácie prínosná. Zároveň je to spracúvanie, pri ktorom GDPR očakáva najvyššiu mieru disciplíny. Ak to zhrniem ako poradca pre GDPR, ktorý rieši tieto nastavenia v praxi: najčastejšie problémy nevznikajú zo zlého úmyslu, ale z pohodlnosti. „Dáme to tak, lebo je to moderné.“ Pri biometrii to nefunguje.

Ak chcete biometrické technológie používať bezpečne a zákonne, postavte to na troch pilieroch: dobrý právny základ, reálna alternatíva pre ľudí, silné technické a organizačné opatrenia. A k tomu kvalitná dokumentácia, vrátane DPIA.

Takto biometria prestane byť rizikom a stane sa kontrolovaným nástrojom, ktorý obstojí aj pri kontrole a hlavne v očiach vašich používateľov a zamestnancov.

Často kladené otázky

Čo sú biometrické údaje podľa GDPR?

Biometrické údaje podľa GDPR sú osobné údaje získané osobitným technickým spracúvaním, ktoré sa týkajú fyzických, fyziologických alebo behaviorálnych charakteristík fyzickej osoby a umožňujú alebo potvrdzujú jej jedinečnú identifikáciu. Príklady zahŕňajú odtlačky prstov, rozpoznanie tváre, hlasovú biometriu či sken dúhovky.

Prečo GDPR považuje biometrické údaje za osobitnú kategóriu osobných údajov?

GDPR zaraďuje biometrické údaje medzi osobitné kategórie, pretože ich zneužitie môže mať vážne dopady na práva a slobody jednotlivcov. Biometria je ťažko zmeniteľná, môže umožňovať skryté sledovanie alebo profilovanie a pri úniku dát môže byť zneužiteľná naprieč rôznymi systémami.

Kedy sa spracúvanie biometrických údajov považuje za spracúvanie podľa GDPR?

Spracúvanie biometrických údajov podľa GDPR nastáva vtedy, keď dochádza k technickému spracovaniu fyzických, fyziologických alebo behaviorálnych charakteristík osoby na účel jej jedinečnej identifikácie alebo autentifikácie. Napríklad systém rozpoznania tváre, ktorý vytvára biometrickú šablónu a porovnáva ju s databázou.

Aké právne základy musia byť splnené pre legálne spracovanie biometrických údajov?

Pre legálne spracovanie biometrických údajov musíte zabezpečiť dve vrstvy právnych základov: (1) právny základ podľa článku 6 GDPR, napríklad súhlas dotknutej osoby alebo zákonná povinnosť; (2) výnimku zo zákazu spracúvania osobitných kategórií podľa článku 9 GDPR, ktoré umožňujú spracovanie biometrie za určitých podmienok.

Ako môžu organizácie minimalizovať riziká spojené so spracovaním biometrických údajov?

Organizácie by mali dôkladne posúdiť právne základy spracovania biometrie, zabezpečiť transparentnosť voči používateľom, implementovať silné bezpečnostné opatrenia na ochranu údajov a obmedziť prístup len na nevyhnutné osoby. Tiež je dôležité pravidelne monitorovať dodržiavanie pravidiel GDPR a pripraviť plán reakcie na prípadný únik dát.

Je každé zaznamenávanie obrazu tváre automaticky považované za spracovanie biometrických údajov?

Nie, nie každé zaznamenávanie obrazu tváre znamená spracovanie biometrických údajov podľa GDPR. Rozdiel spočíva v tom, či sa obraz technicky spracúva na účel jedinečnej identifikácie alebo autentifikácie osoby. Napríklad kamera na recepcii nahrávajúca priestor nemusí automaticky spracúvať biometrické údaje.

Súbory cookie na webe sú dnes taká samozrejmá vec, že ich mnoho firiem prestalo riešiť. Pridáte analytiku, pixel, chat, mapu, pár pluginov a zrazu sa na stránke ukladá desaťky cookies, často ešte skôr, ako používateľ vôbec stihne čokoľvek odsúhlasiť.

Lenže práve tu vzniká problém. Cookies vedia výrazne zlepšiť používateľský zážitok, ale sú zároveň aj reálnym rizikom pre súkromie. A keďže sa cez ne často spracúvajú osobné údaje alebo sa používateľ dá nepriamo identifikovať, dostávate sa do režimu GDPR. Ako odborník a poradca pre GDPR, to poviem jednoducho: pokuty sa najčastejšie nedejú preto, že by firma nechcela dodržiavať zákon, ale preto, že má zle nastavené technické riešenie, nejasné informácie a chýbajúce voľby pre používateľa.

V tomto článku vám ukážem, čo presne treba mať v poriadku, kde firmy robia najčastejšie chyby a aký postup vám pomôže vyhnúť sa zbytočným sankciám.

Prečo sú cookies témou GDPR, keď “to sú len malé súbory”?

Cookie je malý textový súbor, ktorý si web uloží do zariadenia používateľa. Sám o sebe môže vyzerať nevinne, ale v praxi často:

• nesie unikátny identifikátor (napríklad pre reklamu alebo analytiku),
• prepája správanie používateľa naprieč stránkami,
• umožňuje profilovanie a cielenie,
• posiela dáta tretím stranám (typicky Google, Meta a ďalšie reklamné siete).

A tu sa dostávame k jadru: ak sa cez cookies identifikuje alebo dá identifikovať používateľ (priamo či nepriamo), ste v spracúvaní osobných údajov podľa GDPR. Zároveň samotné ukladanie a čítanie cookies (najmä nevyhnutných vs. nevyhnutných) rieši ePrivacy pravidlo, ktoré v praxi znamená: bez súhlasu sa neukladajú nevyhnutné cookies.

Nevyhnutné vs. nevyhnutné cookies: rozdiel, ktorý rozhoduje o súhlase

1) Nevyhnutné (essential) cookies

Sú to cookies potrebné na základnú funkčnosť webu a poskytovanie služby, ktorú používateľ výslovne žiada. Typicky:

• prihlásenie a udržiavanie relácie (session),
• nákupný košík,
• bezpečnostné cookies (napr. ochrana pred zneužitím),
• nastavenia, ktoré sú nevyhnutné na fungovanie stránky.

Tieto cookies sa zvyčajne môžu ukladať aj bez súhlasu. Pozor však: stále o nich musíte používateľa informovať (v cookie politike), len na ne nespoliehate cez “súhlas”.

2) Nenevyhnutné (non-essential) cookies

Sem spadá väčšina marketingu a veľká časť analytiky:

• marketingové cookies (reklamné pixely, retargeting),
• preferenčné cookies, ktoré nie sú nevyhnutné,
• štatistické/analytické cookies (často vyžadujú súhlas, najmä ak ide o identifikátory, prenos tretím stranám, kombinovanie údajov a podobne).

Práve nenevyhnutné cookies vyžadujú explicitný súhlas. A ten musí byť daný skôr, ako sa cookie uloží alebo sa spustí skript, ktorý ho vytvára.

Čo v praxi znamená „GDPR súhlas“ pre cookies

Aby bol súhlas použiteľný ako právny základ, musí byť:

• slobodný: používateľ nie je tlačený do “prijať”, nemá zhoršenú službu bez rozumného dôvodu,
• konkrétny a informovaný: vie, na čo sú cookies a kto ich používa,
• jednoznačný: aktívny opt-in (kliknutie na “Prijať”, zapnutie kategórie), nie tiché pokračovanie,
• preukázateľný: viete doložiť, že súhlas existuje (záznamy),
• odvolateľný: rovnako jednoducho, ako ho dal.

Najčastejšie porušenie v praxi je veľmi jednoduché: web ukladá marketingové alebo analytické cookies ešte pred súhlasom. A tým je v zásade jedno, čo máte napísané v cookie lište. Realita je to, čo sa deje v prehliadači.

Ako má vyzerať cookie banner, aby prežil kontrolu aj sťažnosť

GDPR-kompatibilný banner nie je o "peknom dizajne". Je o voľbe, informácii a kontrole používateľa.

Povinné prvky, ktoré odporúčam mať vždy:

Jasný text, čo sa deje

Banner musí byť bez právnických omáčok a zrozumiteľne vysvetliť účel: analytika, marketing, personalizácia.

Možnosť odmietnuť

Tlačidlo "Odmietnuť" by malo byť dostupné na prvej vrstve rovnako ako "Prijať". Ak je "Odmietnuť" schované v nastaveniach, je to častý problém.

Možnosť spravovať nastavenia

Banner musí obsahovať "Nastavenia" alebo "Spravovať súhlas" s kategóriami, aby si používateľ vie vybrať, čo povolí.

Žiadne predvolené zaškrtnutie

Nesmú byť žiadne pre-checked políčka pre marketing alebo analytiku. Opt-in musí byť aktívny.

Odkaz na cookie politiku

Priamo v bannery alebo v nastaveniach musí byť odkaz na cookie politiku, ideálne aj s odkazom na zásady ochrany osobných údajov.

Jednoduché odvolanie súhlasu

Trvalý odkaz v pätičke typu "Nastavenia cookies" je povinný. Nie "napíšte nám e-mail".

Najčastejšie chyby, ktoré vedú k pokutám (a dajú sa rýchlo opraviť)

Tu sú scenáre, ktoré vidím opakovane pri auditoch:

1) Cookies sa ukladajú ešte pred súhlasom

Typicky Google Analytics, Google Ads, Meta Pixel, Hotjar, TikTok Pixel. Niekedy je banner "správny", ale skripty sú vložené natvrdo do hlavičky a spúšťajú sa okamžite.

Riešenie: blokovanie skriptov do momentu opt-in súhlasu cez CMP alebo cez Google Tag Manager s consent režimom, pričom pozor na správne nastavenie.

2) Nie je možnosť odmietnuť alebo zmeniť rozhodnutie

Používateľ vidí len “Súhlasím” alebo “OK”. To nie je voľba.

Riešenie: doplniť rovnocenné “Odmietnuť” a permanentný prístup k nastaveniam.

3) Nejasné alebo zavádzajúce informácie

Texty typu “Používame cookies na zlepšenie služieb” bez toho, aby bolo jasné, čo presne sa spúšťa a kto je príjemca údajov.

Riešenie: spresniť účely, kategórie, tretie strany, doby uchovávania, prípadné prenosy mimo EÚ a odkaz na detailnú politiku.

4) Cookie politika nesedí s realitou

V dokumente máte 5 cookies, v prehliadači ich je 60. Alebo politika uvádza, že marketing sa spúšťa až po súhlase, no v skutočnosti beží hneď.

Riešenie: urobiť reálny cookie audit a zosúladiť implementáciu aj dokumentáciu.

5) Súhlas sa neeviduje alebo sa nevie preukázať

Pri sťažnosti potrebujete vedieť doložiť, čo používateľ odsúhlasil, kedy a v akej verzii textu.

Riešenie: CMP s logovaním súhlasu a nastavenou retenčnou dobou záznamov.

Praktický postup: ako si nastaviť cookies tak, aby ste minimalizovali riziko

Krok 1: Urobte si audit cookies

Bez auditu pracujete naslepo. Skontrolujte:

• aké cookies sa ukladajú po načítaní stránky bez interakcie,
• aké cookies sa ukladajú po “Prijať”,
• čo sa deje po “Odmietnuť”,
• čo sa spúšťa cez tretie strany a pluginy (WordPress je v tomto častý zdroj prekvapení).

Pomôžu vám nástroje ako prehliadačové vývojárske nástroje, pluginy na skenovanie cookies, prípadne profesionálne skenery v rámci CMP.

Krok 2: Roztrieďte cookies do kategórií

Minimálne:

• nevyhnutné,
• analytické/štatistické,
• marketingové,
• preferenčné.

Pozor na “funkčné” cookies. Niekedy sa tam schová marketing. Kategórie musia sedieť na reálne účely.

Krok 3: Implementujte CMP (Consent Management Platform)

CMP je nástroj, ktorý:

• zobrazí banner a nastavenia,
• zablokuje spúšťanie nenevyhnutných skriptov bez súhlasu,
• eviduje súhlas,
• umožní odvolanie a zmenu.

Ak používate Google Tag Manager, CMP a správne nastavený consent režim vedia výrazne znížiť riziko, ale len ak je implementácia naozaj správna. Veľmi časté je “polovičné nastavenie”, kde banner existuje, no tagy sa spúšťajú aj tak.

Krok 4: Dajte do poriadku dokumentáciu

Minimálne odporúčam mať:

• cookie politiku: zoznam kategórií, účelov, cookies, tretích strán, doby uchovávania, ako odvolať súhlas,
• zásady ochrany osobných údajov: právne základy, príjemcovia, prenosy, práva dotknutých osôb, kontakty, prípadne DPO,
• záznamy o spracovateľských činnostiach (ak sa na vás vzťahuje povinnosť podľa čl. 30 GDPR),
• zmluvy so sprostredkovateľmi (napr. poskytovatelia analytiky, marketingové nástroje).

Krok 5: Nastavte proces pravidelnej kontroly

Web sa mení. Marketing pridá nový pixel, vývojár pridá plugin, agentúra spustí A/B test a zrazu je nastavenie mimo.

Odporúčam:

• kvartálnu kontrolu cookies,
• kontrolu po každej väčšej zmene webu,
• interný checklist pred nasadením nových skriptov.

Krok 6: Preškolte ľudí, ktorí to reálne ovplyvňujú

Najčastejšie chyby nerobí právnik, ale marketing alebo dodávateľ webu.

Krátke školenie by malo pokrývať:

• čo sa nesmie spúšťať bez súhlasu,
• ako žiadať o nasadenie nového nástroja,
• kto schvaľuje texty a zmeny v CMP,
• ako reagovať na sťažnosť.

Čo ešte rozhoduje: tretie strany, prenosy mimo EÚ a “len analytika”

Veľká časť cookies problematiky nie je len o bannery, ale o ekosystéme tretích strán.

Ak používate nástroje, ktoré posielajú dáta mimo EÚ alebo pracujú s rozsiahlym profilovaním, zvýšte pozornosť pri:

• nastavení zmlúv a podmienok (sprostredkovateľské doložky),
• posúdení prenosov (ak je relevantné),
• nastavení doby uchovávania a minimalizácie.

A ešte jedna poznámka k analytike: mnohí prevádzkovatelia sa spoliehajú na argument “je to len štatistika”. V praxi však analytické identifikátory a prenosy k veľkým poskytovateľom často znamenajú, že bez súhlasu to neobhájite. Treba to posúdiť podľa konkrétneho nastavenia, rozsahu a použitej technológie.

Rýchly checklist, ktorý si môžete prejsť hneď teraz

Ak chcete rýchlo znížiť riziko, odpovedzte si na tieto otázky:

1. Ukladajú sa na vašom webe marketingové alebo analytické cookies ešte pred kliknutím na súhlas?
2. Má banner na prvej vrstve tlačidlo “Odmietnuť” rovnako dostupné ako “Prijať”?
3. Viete spravovať súhlas po kategóriách a nie je nič predvolene zapnuté?
4. Má používateľ trvalý prístup k “Nastaveniam cookies” aj po zatvorení bannera?
5. Viete preukázať súhlas (logy) a viete ho spätne dohľadať?
6. Je cookie politika aktuálna a zodpovedá realite na webe?
7. Máte proces, aby sa po nasadení nového nástroja skontrolovalo, či sa nespúšťa bez súhlasu?

Ak máte pri niektorej otázke “nie” alebo “neviem”, je to signál, že by ste mali urobiť audit a upraviť nastavenie.

Záver: ako sa vyhnúť pokutám najjednoduchšie

Pokutám za cookies sa vyhnete najmä tak, že prestanete riešiť cookies ako “lištový problém” a začnete ich riešiť ako kombináciu práva, informácií a technickej implementácie.

V praxi to znamená:

• urobiť audit a zistiť, čo sa reálne ukladá,
• nastaviť opt-in pre nenevyhnutné cookies bez pre-checked súhlasov,
• dať používateľovi jasnú voľbu prijať, odmietnuť a spravovať,
• zabezpečiť jednoduché odvolanie súhlasu,
• viesť záznamy o súhlase,
• zosúladiť cookie politiku a zásady ochrany osobných údajov s realitou,
• pravidelne to kontrolovať, najmä po zmenách na webe.

Ak chcete, pošlite mi (1) doménu webu, (2) zoznam nástrojov, ktoré používate na analytiku a marketing, a (3) informáciu, či máte CMP. Poviem vám, kde je najväčšie riziko a čo je najrýchlejšia oprava, aby ste sa posunuli do bezpečnejšej zóny z pohľadu GDPR aj ePrivacy.

Často kladené otázky

Prečo sú cookies dôležité z hľadiska GDPR?

Cookies môžu obsahovať unikátne identifikátory a spracúvať osobné údaje, čo znamená, že ich používanie spadá pod pravidlá GDPR. Nesprávne nastavenie cookies môže viesť k porušeniu zákona a sankciám.

Aký je rozdiel medzi nevyhnutnými a nenevyhnutnými cookies?

Nevyhnutné cookies sú potrebné na základnú funkčnosť webu, ako prihlásenie alebo nákupný košík, a môžu sa ukladať bez súhlasu. Nenevyhnutné cookies zahŕňajú marketingové a analytické cookies, ktoré vyžadujú explicitný súhlas používateľa pred ich uložením.

Čo znamená GDPR súhlas pre cookies v praxi?

GDPR súhlas musí byť slobodný, konkrétny, informovaný a jednoznačný. Používateľ nesmie byť nútený súhlas udeliť a musí mať možnosť vybrať si, ktoré cookies chce povoliť ešte pred ich uložením.

Prečo firmy často dostávajú pokuty za nesprávne používanie cookies?

Pokuty vznikajú najmä kvôli zlému technickému nastaveniu, nejasným informáciám o spracovaní údajov a chýbajúcim voľbám pre používateľa pri súhlase s cookies.

Ako môžu cookies zlepšiť používateľský zážitok na webe?

Cookies umožňujú personalizáciu obsahu, udržiavanie relácie prihlásenia, zapamätanie preferencií používateľa a efektívnejšie fungovanie webových služieb.

Čo je potrebné zabezpečiť pri implementácii cookies podľa ePrivacy pravidla?

Podľa ePrivacy pravidla sa nevyhnutné cookies môžu ukladať bez súhlasu, ale nenevyhnutné cookies možno ukladať len po získaní explicitného súhlasu používateľa pred ich aktiváciou.