Vzor zásad ochrany osobních údajů pro web a e-shop

Co musí podle GDPR a českých předpisů obsahovat zásady ochrany osobních údajů na webu a v e-shopu, kdy od zákazníka souhlas potřebuješ a kdy ne, jak je to s newslettery a recenzemi, nejčastější chyby a vzor zdarma, který si zkopíruješ a doplníš.

Naposledy ověřeno 16 října 2026

Ve zkratce

Řekni, kdo jsi, k čemu údaje používáš, na jakém právním základě a jak dlouho je uchováváš.
Pro vyřízení objednávky souhlas nepotřebuješ: právním základem je smlouva. Povinné zaškrtávátko „souhlasím se zpracováním osobních údajů“ v košíku je chyba.
Newsletter posílej se souhlasem, nebo vlastním zákazníkům podle zákaznické výjimky v § 7 odst. 3 zákona č. 480/2004 Sb.
Uveď práva lidí včetně stížnosti u Úřadu pro ochranu osobních údajů a odkazuj na zásady z každé stránky a z každého formuláře.

Co jsou zásady ochrany osobních údajů?

Zásady ochrany osobních údajů (někdy také informace o zpracování osobních údajů nebo prohlášení o ochraně soukromí, hovorově prostě „GDPR na webu“) jsou text, ve kterém lidem vysvětluješ, co děláš s jejich osobními údaji. Na webu je to obvykle samostatná stránka s odkazem v patičce.

Povinnost vyplývá přímo z GDPR. Podle čl. 12 musí být informace stručné, transparentní, srozumitelné a snadno přístupné, napsané jasným a jednoduchým jazykem, a musíš je poskytnout bezplatně. Čl. 13 a 14 vyjmenovávají, co v nich musí být: čl. 13 platí, když údaje získáváš přímo od člověka, například přes formulář nebo objednávku, čl. 14, když je máš od někoho jiného.

V Česku GDPR doplňuje zákon č. 110/2019 Sb., o zpracování osobních údajů. Ten mimo jiné určuje, že dozorovým úřadem je Úřad pro ochranu osobních údajů (ÚOOÚ), a stanoví, že dítě může samo udělit souhlas se zpracováním údajů v souvislosti se službami informační společnosti od 15 let. Na samotný obsah zásad žádné zvláštní české požadavky nepřidává.

Co v nich musí být?

Když údaje získáváš přímo od člověka, vyžaduje čl. 13 GDPR tyto informace:

Kdo jsi: název a kontaktní údaje firmy, případně zástupce, pokud sídlíš mimo EU.
Pověřenec pro ochranu osobních údajů, pokud ho máš, s kontaktem.
Účely a právní základ. U každého účelu uveď, o jaký právní základ se opíráš: souhlas, smlouva, právní povinnost nebo oprávněný zájem. Evropské pokyny k transparentnosti zdůrazňují, že účely i právní základ musí být jasné.
Oprávněné zájmy, pokud jsou právním základem. Pojmenuj konkrétní zájem.
Příjemci: kdo údaje dostává, včetně zpracovatelů, jako je hosting nebo nástroj na e-maily. Podle pokynů je nejužitečnější jmenovat konkrétní příjemce; pokud uvedeš jen kategorie, buď co nejkonkrétnější.
Předávání mimo EU a EHP: že k němu dochází, zda existuje rozhodnutí o odpovídající ochraně, a pokud ne, jakou záruku používáš a jak lze získat její kopii.
Doba uložení, nebo kritéria, podle kterých ji určíš. „Po nezbytně nutnou dobu“ podle pokynů nestačí.
Práva lidí: přístup, oprava, výmaz, omezení zpracování, námitka a přenositelnost.
Právo kdykoli odvolat souhlas, pokud zpracování na souhlasu stojí.
Právo podat stížnost u dozorového úřadu.
Zda je poskytnutí údajů povinné, například kvůli smlouvě, a co se stane, když je člověk neposkytne. Podle pokynů mají online formuláře jasně ukazovat, která pole jsou povinná.
Automatizované rozhodování včetně profilování, pokud má právní nebo podobně závažné účinky, se smysluplnými informacemi o použitém postupu a důsledcích.

Zvláštní pozornost si zaslouží právo vznést námitku: podle čl. 21 GDPR na něj musíš lidi výslovně upozornit, jasně a odděleně od ostatních informací, nejpozději při první komunikaci s nimi.

Kde je zveřejnit

Podle čl. 13 musíš informace poskytnout v okamžiku získání údajů. Pokyny k transparentnosti, které převzal Evropský sbor pro ochranu osobních údajů (EDPB), k tomu u webů uvádějí:

Odkaz na každé stránce. Každý web by měl mít zásady ochrany osobních údajů s dobře viditelným přímým odkazem z každé stránky, pod běžným názvem. Odkaz, který kvůli umístění nebo barvě skoro není vidět, za snadno přístupný nepovažují.
U formuláře. Jako dobrou praxi doporučují odkaz na zásady přímo u každého formuláře, který sbírá osobní údaje, včetně objednávkového formuláře v košíku.
Ne schované v obchodních podmínkách. Lidé je nemají hledat mezi jinými informacemi.
Ve vrstvách, pokud jsou dlouhé. Ať si každý rychle najde část, která ho zajímá. Úplné informace mají být i tak dostupné na jednom místě.
V jazyce návštěvníků. Pro české zákazníky česky; ÚOOÚ u cookies v roce 2023 trestal i informace jen v angličtině.

Zásady ochrany osobních údajů, zásady cookies a cookie lišta

Každý ze tří textů dělá něco jiného:

Cookie lišta žádá o souhlas, než web uloží netechnické cookies, a odkazuje na podrobnosti.
Zásady používání cookies vysvětlují, jaké cookies a podobné technologie používáš, kdo je ukládá a jak dlouho vydrží.
Zásady ochrany osobních údajů pokrývají všechny osobní údaje, i mimo cookies: formuláře, objednávky, newslettery, zákaznický servis.

Měly by na sebe odkazovat. V zásadách ochrany osobních údajů zmiň analytické a marketingové nástroje, jejich právní základ (v Česku souhlas, viz Zákon o cookies v Česku) a případné předávání mimo Evropu, a pro podrobnosti o cookies odkaž na zásady cookies. Cookie lišta odkazuje na obojí. Odvolat souhlas musí jít stejně snadno jako ho udělit, proto v obou textech uveď, kde lze volbu cookies změnit.

Cookie Confirm zobrazí cookie lištu, která zaznamená souhlas každého návštěvníka a odkazuje na tvé zásady cookies i zásady ochrany osobních údajů.

GDPR pro e-shop

E-shop zpracovává víc údajů než běžný web, takže jeho zásady potřebují víc. Na tohle nezapomeň:

Souhlas v košíku nepotřebuješ. Jméno, adresu a kontakt pro doručení zpracováváš na základě smlouvy (čl. 6 odst. 1 písm. b) GDPR). Pokyny EDPB k souhlasu výslovně uvádějí, že pro zpracování nezbytné ke splnění smlouvy není souhlas vhodným právním základem, a souhlas, bez kterého nejde nakoupit, ačkoli zpracování k objednávce potřeba není, podle čl. 7 odst. 4 GDPR sotva obstojí jako svobodný. Povinné políčko „souhlasím se zpracováním osobních údajů“ tedy vyhoď; stačí u objednávky odkázat na zásady. Zaškrtávací políčko patří jen k věcem navíc, jako je newsletter.
Faktury. Plátce DPH musí daňové doklady uchovávat 10 let od konce zdaňovacího období, ve kterém se plnění uskutečnilo (§ 35 zákona č. 235/2004 Sb., o dani z přidané hodnoty). Právní základ je právní povinnost. Pokud nejsi plátce DPH, uveď dobu, kterou ti ukládají účetní a daňové předpisy.
Objednávky a reklamace. Spotřebitel může vytknout vadu zboží do dvou let od převzetí (§ 2165 občanského zákoníku) a obecná promlčecí lhůta je tři roky (§ 629). Proto e-shopy údaje o objednávkách a reklamacích obvykle uchovávají po tuto dobu. Napiš konkrétní dobu, ne „po dobu nezbytně nutnou“.
Platby. Uveď platební bránu a to, zda k tobě vůbec přicházejí údaje o kartě.
Doprava. Jmenuj dopravce, kterým předáváš adresu a telefon, třeba Zásilkovnu nebo PPL.
Newsletter. Obchodní sdělení e-mailem upravuje § 7 zákona č. 480/2004 Sb., o některých službách informační společnosti, a dozor nad ním vykonává také ÚOOÚ. Obecně potřebuješ předchozí souhlas. Výjimkou jsou vlastní zákazníci: e-mail získaný při prodeji smíš použít k nabídce vlastních obdobných výrobků nebo služeb, pokud zákazník může zasílání zdarma a jednoduše odmítnout už při objednávce (ÚOOÚ uvádí například políčko „nepřeji si zasílat obchodní sdělení“) a v každém dalším e-mailu. Za zákazníka ÚOOÚ považuje jen toho, kdo s tebou uzavřel smlouvu, ne účastníka soutěže nebo potenciálního zákazníka. U souhlasu ÚOOÚ doporučuje double opt-in a uchovávat záznam o jeho udělení. V zásadách napiš, na čem stojíš.
Nabídky třetích stran. Na ty se zákaznická výjimka nevztahuje. ÚOOÚ v roce 2023 uložil přepravní společnosti pokutu 7,7 milionu Kč za to, že vkládala slevy a vouchery partnerů do potvrzení o nákupu bez souhlasu adresátů.
Žádosti o hodnocení. Podle ÚOOÚ jsou i e-maily se žádostí o recenzi nebo hodnocení nákupu obchodním sdělením. Když po nákupu posíláš dotazník přes službu jako Heureka Ověřeno zákazníky, uveď v zásadách, komu předáváš e-mail a co si objednal, a dej zákazníkovi možnost to odmítnout.
Zákaznický účet. Napiš, jak dlouho účet uchováváš a co se stane po delší neaktivitě.
Marketingové nástroje. Google Ads, Sklik nebo Meta Pixel potřebují souhlas v cookie liště; v zásadách je jmenuj a odkaž na zásady cookies. Víc v průvodci Google Analytics a GDPR.

Časté chyby

Okopírovaný cizí text. Zásady z jiného webu nebo z generátoru popisují jiné nástroje a jiné údaje. Když neodpovídají tomu, co tvůj web dělá, nejsou transparentní.
Souhlas se vším. Jedno povinné zaškrtávátko pro „zpracování osobních údajů dle GDPR“ místo právních základů u jednotlivých účelů.
Vágní účely. Pokyny k transparentnosti jako nedostatečně jasné uvádějí například věty o „vývoji nových služeb“ nebo „personalizovaných službách“ bez vysvětlení, co to znamená.
Americké nástroje bez informací o předávání. Analytika, e-mailing i hosting bývají americké. Jmenuj poskytovatele, zemi a záruku, například Data Privacy Framework nebo standardní smluvní doložky.
„Po nezbytně nutnou dobu.“ Uveď konkrétní dobu nebo kritéria.
Chybí ÚOOÚ. Lidé musí vědět, že si mohou stěžovat u dozorového úřadu.
Zastaralé zásady. Každý nový plugin, nástroj nebo dopravce může změnit, co musíš uvést.

Vzor

Níže najdeš vzor, který si můžeš zkopírovat. Doplň vše v [hranatých závorkách], smaž části, které nepotřebuješ, a doplň zpracování, která chybí, aby text popisoval, co tvůj web a e-shop skutečně dělá. Vzor je napsaný s vykáním, jak je u zásad ochrany osobních údajů v Česku obvyklé. Není to právní rada: pokud si nejsi jistý, jestli na tvou situaci sedí, nech ho zkontrolovat právníkem.

Zdroje

Vzor zásad ochrany osobních údajů

Zásady ochrany osobních údajů [Název společnosti]

Naposledy aktualizováno: [datum]

Kdo jsme
Web [adresa webu] [a e-shop na adrese [adresa]] provozuje [Název společnosti] („my“). Jsme správcem osobních údajů popsaných v těchto zásadách.
[Název společnosti], [ulice a číslo], [PSČ a obec]
IČO: [IČO]
E-mail: [e-mail pro otázky k osobním údajům]
[Pokud jste jmenovali pověřence: Pověřence pro ochranu osobních údajů zastihnete na [e-mail].]

Čeho se tyto zásady týkají
Vysvětlujeme v nich, jaké osobní údaje zpracováváme, když navštívíte náš web, napíšete nám, přihlásíte se k odběru novinek nebo u nás nakoupíte, proč to děláme a jaká máte práva. Cookies a podobné technologie popisujeme v zásadách používání cookies: [odkaz].

Když nás kontaktujete
Když nám napíšete přes kontaktní formulář nebo e-mailem, použijeme vaše jméno, e-mail, [telefon] a obsah zprávy, abychom vám mohli odpovědět.
Právní základ: náš oprávněný zájem odpovídat na dotazy[, případně jednání o uzavření smlouvy na vaši žádost].
Zprávy uchováváme [doba, například 12 měsíců] od vyřízení dotazu, pokud z něj nevznikne objednávka.

Když u nás nakoupíte
K vyřízení a doručení objednávky potřebujeme vaše jméno, adresu, e-mail, telefon, objednané zboží a stav platby.
Právní základ: plnění kupní smlouvy. Bez těchto údajů objednávku vyřídit nemůžeme.
Údaje o objednávce uchováváme [doba, například po dobu trvání promlčecí lhůty, tedy 3 roky od dodání, prodlouženou o rok]. Faktury uchováváme [10 let od konce zdaňovacího období, pokud jsme plátci DPH / doba podle zákona], protože nám to ukládají daňové a účetní předpisy.
Právní základ pro uchování faktur: plnění právní povinnosti.
Reklamace: údaje o reklamaci uchováváme [doba] kvůli vyřízení reklamace a případným sporům. Právní základ: plnění smlouvy a právní povinnosti, poté náš oprávněný zájem na obhajobě právních nároků.
[Pokud mají zákazníci účet: Když si vytvoříte zákaznický účet, uchováváme jeho údaje, dokud ho nezrušíte, nebo [doba] od posledního přihlášení.]

Platby
Platby zpracovává [platební brána, například GoPay / Comgate / Stripe]. Od ní dostáváme jen potvrzení, že jste zaplatili, ne celé údaje o vaší kartě. [Platební brána] zpracovává platební údaje [jako náš zpracovatel / jako samostatný správce podle svých zásad: odkaz].

Doprava
Vaše jméno, adresu [a e-mail nebo telefon] předáváme [dopravci, například Zásilkovna / PPL / Česká pošta], aby vám mohl zásilku doručit a dát vědět, kdy dorazí.

Obchodní sdělení a newsletter
[Vyberte:]
[Když se přihlásíte k odběru novinek, použijeme váš e-mail [a křestní jméno] k zasílání newsletteru. Právní základ: váš souhlas. Odhlásit se můžete kdykoli odkazem v každém e-mailu nebo e-mailem na [adresa]. Odvolání souhlasu nemá vliv na zákonnost zpracování před ním.]
[Jako našemu zákazníkovi vám můžeme posílat e-maily o našich vlastních obdobných výrobcích a službách (§ 7 odst. 3 zákona č. 480/2004 Sb.). Právní základ: náš oprávněný zájem na přímém marketingu. Zasílání můžete zdarma odmítnout už při objednávce i kdykoli později odkazem v každém e-mailu.]
Newslettery rozesíláme přes [nástroj, například Ecomail / Mailchimp / SmartEmailing]. Váš e-mail uchováváme, dokud se neodhlásíte.

Hodnocení nákupu
[Pokud se vás týká: Po nákupu vás můžeme požádat o hodnocení přes [službu, například Heureka Ověřeno zákazníky / Google zákaznické recenze]. Za tím účelem této službě předáváme váš e-mail [a seznam zakoupeného zboží / číslo objednávky]. Právní základ: [váš souhlas / náš oprávněný zájem]. Zasílání žádostí o hodnocení můžete odmítnout [při objednávce / odkazem v e-mailu].]

Analytika a marketing
K tomu, abychom věděli, jak návštěvníci web používají, používáme [analytický nástroj], a k měření a zobrazování reklam [marketingové nástroje, například Google Ads, Sklik, Meta Pixel]. Tyto nástroje používají cookies nebo podobné technologie a spouštíme je jen s vaším souhlasem z cookie lišty. Svou volbu můžete kdykoli změnit přes [odkaz „Nastavení cookies“ v patičce každé stránky]. Které cookies používáme, kdo je ukládá a jak dlouho vydrží, najdete v zásadách používání cookies: [odkaz].

Komu údaje předáváme
Vaše osobní údaje neprodáváme. Předáváme je jen tam, kde to uvádějí tyto zásady, nebo kde nám to ukládá zákon. Tyto společnosti pro nás údaje zpracovávají jako zpracovatelé na základě smlouvy o zpracování osobních údajů:
- [Poskytovatel hostingu] – hosting webu [a e-shopu]
- [E-shopová platforma, například Shoptet / Upgates / Shopify] – provoz e-shopu
- [Nástroj pro e-maily] – rozesílání e-mailů a newsletterů
- [Účetní program nebo účetní] – vedení účetnictví
[Doplňte nebo odeberte příjemce tak, aby seznam odpovídal skutečnosti.]

Předávání mimo Evropu
Někteří z těchto příjemců sídlí mimo Evropský hospodářský prostor nebo mohou mít k údajům přístup odtamtud:
- [Poskytovatel] v [země]. Záruka: [rozhodnutí Evropské komise o odpovídající ochraně pro rámec ochrany osobních údajů EU–USA (Data Privacy Framework) / standardní smluvní doložky].
Kopii těchto záruk vám na požádání pošleme, napište na [e-mail]. [Pokud se vás netýká: Osobní údaje mimo Evropský hospodářský prostor nepředáváme.]

Jak dlouho údaje uchováváme
Údaje neuchováváme déle, než je potřeba pro účely popsané výše. Konkrétní doby najdete u jednotlivých účelů. Poté údaje smažeme nebo anonymizujeme.

Automatizované rozhodování
Nerozhodujeme o vás výhradně automatizovaně, včetně profilování, s právními nebo podobně závažnými účinky. [Pokud ano, například automatická kontrola podvodných objednávek, popište ji, jakou logiku používá a co pro zákazníka znamená.]

Vaše práva
Máte právo:
- na přístup ke svým osobním údajům;
- na opravu nepřesných údajů;
- na výmaz;
- na omezení zpracování;
- na přenositelnost údajů, které jste nám poskytli, pokud je zpracováváme na základě souhlasu nebo smlouvy;
- kdykoli odvolat souhlas, pokud zpracování na souhlasu stojí. Odvolání nemá vliv na zákonnost zpracování před ním.

Právo vznést námitku
Pokud údaje zpracováváme na základě oprávněného zájmu, můžete z důvodů týkajících se vaší konkrétní situace vznést námitku. Proti zpracování pro přímý marketing můžete vznést námitku kdykoli a my pak údaje k tomuto účelu přestaneme používat.

Svá práva uplatníte e-mailem na [e-mail]. Odpovíme do jednoho měsíce. U složitých žádostí můžeme lhůtu prodloužit o další dva měsíce; o tom vás budeme informovat do měsíce od přijetí žádosti. Před vyřízením si můžeme ověřit vaši totožnost.

Stížnost
Pokud nejste spokojeni s tím, jak s vašimi údaji zacházíme, ozvěte se nejdřív nám na [e-mail]. Máte také právo podat stížnost u dozorového úřadu. V Česku je to Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, e-mail posta@uoou.gov.cz, www.uoou.gov.cz. Stížnost můžete podat i u dozorového úřadu v jiném státě EU, kde máte bydliště nebo místo výkonu práce, nebo kde mělo k porušení dojít.

Změny těchto zásad
Zásady můžeme upravit, když se změní naše služby nebo právní předpisy. Datum poslední aktualizace najdete nahoře. O podstatných změnách vás budeme informovat [e-mailem / oznámením na webu].

Nechce se ti to vyplňovat?Cookie Confirm sepíše tvé prohlášení o cookies podle toho, co skener na tvém webu najde, a udržuje ho aktuální, když se cookies změní.

Často kladené otázky

Je povinné mít na webu zásady ochrany osobních údajů?

Pokud web sbírá osobní údaje, například přes kontaktní formulář, newsletter, objednávky nebo analytiku, musíš lidem podle čl. 13 a 14 GDPR poskytnout předepsané informace. Stránku s názvem „zásady ochrany osobních údajů“ zákon nepředepisuje, ale zásady s odkazem z každé stránky jsou obvyklý a nejsrozumitelnější způsob, jak to splnit.

Potřebuje e-shop od zákazníků souhlas se zpracováním osobních údajů?

Pro vyřízení objednávky ne. Údaje nutné k doručení zboží zpracováváš na základě smlouvy (čl. 6 odst. 1 písm. b) GDPR) a faktury uchováváš kvůli právní povinnosti. Podle pokynů EDPB k souhlasu není souhlas vhodným základem pro zpracování, které je pro smlouvu nezbytné. Povinné zaškrtávací políčko „souhlasím se zpracováním osobních údajů“ v košíku je proto chyba. Souhlas potřebuješ jen pro věci navíc, například pro newsletter lidem, kteří u tebe nenakoupili, nebo pro marketingové cookies.

Smím zákazníkům e-shopu posílat newsletter bez souhlasu?

Ano, ale jen podle zákaznické výjimky v § 7 odst. 3 zákona č. 480/2004 Sb.: jde o tvého zákazníka, nabízíš vlastní obdobné výrobky nebo služby a zákazník musí mít možnost zasílání zdarma odmítnout už při objednávce i v každém e-mailu. Pro ostatní adresáty a pro nabídky třetích stran potřebuješ předchozí souhlas. Na dodržování dohlíží ÚOOÚ.

Jaký je rozdíl mezi zásadami ochrany osobních údajů a zásadami používání cookies?

Zásady ochrany osobních údajů pokrývají všechny osobní údaje, které zpracováváš: formuláře, objednávky, newslettery, zákaznický servis. Zásady používání cookies popisují jen cookies a podobné technologie. Můžeš je spojit do jednoho dokumentu, nebo mít dvě stránky, které na sebe odkazují.

Můžu použít generátor nebo cizí vzor?

Jako výchozí bod ano, pokud každou větu porovnáš s tím, co tvůj web a e-shop skutečně dělá: jaké údaje, jaké nástroje, jací příjemci a jak dlouho údaje uchováváš. Text převzatý z cizího webu, který tvé zpracování nepopisuje, informační povinnost nesplní.

Kde si mohou lidé stěžovat?

U Úřadu pro ochranu osobních údajů (ÚOOÚ) v Praze, nebo u dozorového úřadu v jiném státě EU, kde mají bydliště nebo pracují, nebo kde k porušení došlo. Právo na stížnost musíš v zásadách uvést; je dobré přidat i kontakt na ÚOOÚ.

Jak často mám zásady aktualizovat?

Vždy, když se změní zpracování: nový nástroj, nový zpracovatel, nový účel nebo předávání mimo Evropu. Nahoru dej datum poslední aktualizace a o podstatných změnách zákazníky aktivně informuj.

Tento průvodce je obecná informace, ne právní rada. Pravidelně ho kontrolujeme, ale zákony a doporučení se mění. Nevíš si rady se svou situací? Zeptej se právníka.

Čti dál

Další články

Všechny články →

Prvních 7 dní úplně zdarma

Vytvoř si účet zdarma a zjisti, jestli ti Cookie Confirm sedí. Spuštěno za 5 minut.

Bez platební karty
Poté 7,95 € měsíčně
Instalace plug & play

Vyzkoušet zdarma

4,9/5 5 000+ webů