CompliancePrep

Porušení zabezpečení podle GDPR: hlášení do 72 hodin

Vydáno 3. 11. 2026 · fakta ověřena k 4. 11. 2026 · 7 min čtení

Porušení zabezpečení osobních údajů podle GDPR: kdy běží 72 hodin, co ohlásit ÚOOÚ, kdy informovat dotčené osoby a jak podání platně odeslat.

Porušení zabezpečení osobních údajů ohlašuje správce Úřadu pro ochranu osobních údajů bez zbytečného odkladu a pokud možno do 72 hodin od chvíle, kdy se o něm dozvěděl. Výjimka platí jen tehdy, když je nepravděpodobné, že by porušení znamenalo riziko pro práva a svobody lidí. Každé porušení musíš zdokumentovat i tak.

Kdy začíná běžet 72 hodin?

Lhůta se počítá od okamžiku, kdy se správce o porušení „dozvěděl“. Podle pokynů EDPB je to chvíle, kdy správce s rozumnou mírou jistoty ví, že došlo k bezpečnostnímu incidentu, při kterém byly osobní údaje ohroženy. Nestačí tedy první nejasný signál, ale ani nesmíš čekat na dokončené vyšetřování.

Pokyny EDPB počítají s krátkým prvotním prověřením, během kterého správce ještě nemusí být „vědomý“. Zároveň ale požadují, aby prověřování začalo co nejdřív a rychle ukázalo, jestli k porušení došlo. Kdo na varování nereaguje včas a porušení se pak potvrdí, může být podle pokynů posuzován jako ten, kdo neohlásil řádně.

Několik příkladů z pokynů EDPB:

  • Ztráta nešifrovaného USB disku s osobními údaji se ohlašuje, i když nevíš, jestli se k datům někdo dostal. Správce se dozvěděl ve chvíli, kdy zjistil ztrátu.
  • Když tě kontaktuje útočník s požadavkem výkupného a ty si po kontrole systémů potvrdíš napadení, o porušení nepochybně víš.
  • Když ti třetí osoba doloží, že omylem dostala osobní údaje tvého zákazníka, víš o něm od té chvíle.

Musí se ohlásit každé porušení?

Ne. Podle čl. 33 odst. 1 GDPR se ohlašuje, ledaže je nepravděpodobné, že by porušení mělo za následek riziko pro práva a svobody fyzických osob. Úřad uvádí jako příklad dokument, který se dočasně nenašel a pravděpodobně byl jen špatně založený. Posouzení rizika ale musíš umět obhájit, proto ho zapiš.

Neohlášené porušení se dokumentuje stejně jako ohlášené. Čl. 33 odst. 5 po správci chce záznam o skutečnostech, účincích porušení a přijatých nápravných opatřeních, a to tak, aby z něj dozorový úřad mohl ověřit soulad.

Kdo ohlašuje: správce, nebo zpracovatel?

Úřadu ohlašuje správce. Zpracovatel, který porušení zjistí, ho podle čl. 33 odst. 2 ohlásí bez zbytečného odkladu správci. Nemusí předem posuzovat riziko, to dělá správce. Pokyny EDPB zároveň doporučují, aby zpracovatel informoval správce hned a podrobnosti doplňoval postupně, a aby smlouva o zpracování určila, jak rychle a jak to má probíhat. Správce se podle pokynů zpravidla považuje za „vědomého“ od chvíle, kdy ho zpracovatel informoval.

Pověřenec může ohlášení připravit, odpovědnost za splnění povinnosti ale podle ÚOOÚ nese správce.

Co musí ohlášení obsahovat?

Čl. 33 odst. 3 stanoví minimální obsah:

PísmenoCo uvést
a)povaha porušení, pokud možno kategorie a přibližný počet dotčených osob a záznamů
b)jméno a kontakt na pověřence nebo jiné kontaktní místo
c)pravděpodobné důsledky porušení
d)opatření, která správce přijal nebo navrhl, včetně zmírnění dopadů

Nemáš-li všechny informace hned, můžeš je podle čl. 33 odst. 4 doplnit postupně bez dalšího zbytečného odkladu. EDPB doporučuje při prvním ohlášení úřadu rovnou sdělit, že další podrobnosti dodáš později. U složitějších incidentů, třeba kybernetických útoků, bývá ke zjištění rozsahu potřeba forenzní analýza.

Co když to do 72 hodin nestihneš?

Ohlášení po 72 hodinách je možné, ale musí k němu být uvedeny důvody zpoždění (čl. 33 odst. 1). Pokyny EDPB připomínají, že se to nemá stávat běžně. GDPR mluví o hodinách a o pracovních dnech neříká nic, takže s víkendem jako s odkladem nepočítej.

Formulář ÚOOÚ k tomu obsahuje samostatné pole: pokud ohlašuješ později než 72 hodin po zjištění, uvedeš důvody zpoždění.

Jak ohlášení ÚOOÚ platně odeslat?

Tady si dej pozor na častý omyl: neposílej formulář jen obyčejným e-mailem. Podle stránky ÚOOÚ k porušení zabezpečení jsou cesty tyto:

  • elektronický formulář na webu Úřadu, který lze vyplnit online, uložit rozpracovaný (XML) nebo odeslat hotový (PDF),
  • datová schránka Úřadu (ID qkbaa2n),
  • listinně na adresu Úřadu,
  • e-mail na posta@uoou.gov.cz, ale jen s formulářem podepsaným uznávaným elektronickým podpisem. Bez podpisu je nutné e-mail potvrdit ručně podepsaným formulářem doručeným poštou nebo osobně do podatelny. Jinak jde podle Úřadu o tzv. neúplné podání, které nemusí být považováno za řádné ohlášení podle čl. 33 GDPR.

Pokud ohlašuje zmocněnec, přikládá plnou moc. Úřad doporučuje přiložit doklady o přijatých opatřeních a kopii oznámení dotčeným osobám. Formulář má 14 oddílů (správce, pověřenec, průběh a příčina, dotčené údaje a osoby, důsledky, opatření, oznámení osobám, přeshraniční zpracování a další). Údaje, které ještě neznáš, nech na doplnění, nevymýšlej je.

Při přeshraničním zpracování ohlašuješ podle pokynů EDPB vedoucímu dozorovému úřadu. Pokud si nejsi jistý, který to je, radí pokyny ohlásit aspoň dozorovému úřadu tam, kde k porušení došlo. U správce bez usazení v EU, na kterého se GDPR vztahuje, se podle pokynů ohlašuje každému dozorovému úřadu, v jehož členském státě mají dotčené osoby bydliště. Podrobnosti najdeš přímo v pokynech.

Kdy informovat i dotčené osoby?

Rozlišuj dva prahy. Úřadu se ohlašuje, pokud je porušení pravděpodobně rizikové. Lidem se oznamuje, jen když je pravděpodobné vysoké riziko pro jejich práva a svobody (čl. 34 odst. 1). Oznámení musí být bez zbytečného odkladu, jasné a jednoduché a obsahovat aspoň kontakt na pověřence, pravděpodobné důsledky a přijatá opatření (čl. 34 odst. 2).

Oznámení se nevyžaduje, když platí jedna z podmínek čl. 34 odst. 3:

  • údaje byly chráněné tak, že jsou pro neoprávněné osoby nesrozumitelné, například šifrováním,
  • správce hned přijal opatření, díky nimž se vysoké riziko už pravděpodobně neprojeví,
  • oznámení by vyžadovalo nepřiměřené úsilí. Pak se informuje stejně účinně veřejným oznámením nebo podobným opatřením.

Pokud lidi neinformuješ a Úřad usoudí, že riziko je vysoké, může po tobě oznámení požadovat (čl. 34 odst. 4).

Mám ohlašovat i jinam?

Ohlášení ÚOOÚ nenahrazuje jiné povinnosti. ÚOOÚ sám upozorňuje, že poskytovatelé regulovaných služeb podle zákona č. 264/2025 Sb. o kybernetické bezpečnosti mohou mít samostatnou povinnost hlásit kybernetický bezpečnostní incident NÚKIB, s jinou lhůtou a jiným adresátem. Zjisti si před incidentem, jestli se tě týká.

Kontrolní seznam: co mít připravené před incidentem

Tohle není právní poradenství ani výčet z pokynů, ale praktické shrnutí toho, co z textu GDPR vyplývá:

  1. Určená odpovědnost. Kdo rozhoduje, že jde o porušení, a kdo odesílá ohlášení.
  2. Kanál od zpracovatelů. Ve smlouvě o zpracování jasně uvedené, jak rychle a komu zpracovatel hlásí.
  3. Evidence porušení. Záznam podle čl. 33 odst. 5, vedený i u případů, které neohlásíš.
  4. Vyplněná šablona. Znáš oddíly formuláře ÚOOÚ a víš, odkud vezmeš údaje.
  5. Způsob podání. Datová schránka nebo elektronický podpis jsou připravené předem, ne až v pátek večer.

Co z toho vyplývá při přípravě na zkoušku

Porušení zabezpečení (čl. 32 až 34) patří k tématům osnovy CIPP/E a v situacích se u nich ptáš: kdo ohlašuje, komu, kdy a zda je potřeba informovat i lidi. Pro přípravu je užitečné umět rozlišit oba prahy rizika a výjimky z čl. 34. Formát a pravidla zkoušky CIPP/E popisuje článek Zkouška CIPP/E: formát, cena a přihláška.

Kde ti pomůže CompliancePrep

Balíček GDPR a ochrana osobních údajů obsahuje i téma porušení zabezpečení. Testy nanečisto ti ukážou, jestli situační otázky zvládáš. Není to právní poradenství. První oblast je zdarma.

Zdroje

Příprava: GDPR a ochrana osobních údajů

Zásady, právní tituly, práva subjektů, DPIA, porušení zabezpečení a role pověřence. S účtem zdarma si vyzkoušíš ukázku a uvidíš, kde jsi.

Vytvořit účet zdarma

CompliancePrep je nezávislá studijní pomůcka, není spojena s pořadateli zkoušek ani jimi schválena. Pravidla a poplatky se mění, před přihláškou je ověř u pořadatele.

Další články

Všechny články →