--- site_name: Toret.cz site_description: WooCommerce pluginy pro české a slovenské prostředí site_url: https://toret.cz contact_email: info@toret.cz title: "GDPR pro e-shopy: Jak vyhovět nařízení o ochraně osobních údajů?" url: https://toret.cz/gdpr-pro-e-shopy-jak-vyhovet-narizeni-o-ochrane-osobnich-udaju/ date: 2024-01-12 modified: 2026-02-18 type: post categories: [Blog, Legislativa a povinnosti] tags: [GDPR, legislativa pro e-shop, právo v e-commerce] --- # GDPR pro e-shopy: Jak vyhovět nařízení o ochraně osobních údajů? 12. 1. 2024 [![E-shopy musí dodržovat směrnici GDPR](https://toret.cz/wp-content/uploads/2024/01/e-shop-gdpr-1024x536.png "E-shopy musí dodržovat směrnici GDPR")](https://toret.cz/wp-content/uploads/2024/01 / e-shop-gdpr.png) Na téma GDPR kolují mezi lidmi mnohé mýty a vtipy, ale víte doopravdy, o co se jedná? Co znamená povinnost dodržovat GDPR pro e-shopy rozebereme v dnešním článku. 12. 1. 2024 [Blog](https://toret.cz/kategorie/blog/)| [Legislativa a povinnosti](https://toret.cz/kategorie/legislativa/) Obsah článku [Toggle](https://toret.cz/gdpr-pro-e-shopy-jak-vyhovet-narizeni-o-ochrane-osobnich-udaju/) - [Co je GDPR?](https://toret.cz/gdpr-pro-e-shopy-jak-vyhovet-narizeni-o-ochrane-osobnich-udaju/#Co_je_GDPR) - [Co jsou osobní údaje z hlediska GDPR?](https://toret.cz/gdpr-pro-e-shopy-jak-vyhovet-narizeni-o-ochrane-osobnich-udaju/#Co_jsou_osobni_udaje_z_hlediska_GDPR) - [Co musí obsahovat e-shop, aby vyhověl požadavkům GDPR?](https://toret.cz/gdpr-pro-e-shopy-jak-vyhovet-narizeni-o-ochrane-osobnich-udaju/#Co_musi_obsahovat_e-shop_aby_vyhovel_pozadavkum_GDPR) - [Cookies](https://toret.cz/gdpr-pro-e-shopy-jak-vyhovet-narizeni-o-ochrane-osobnich-udaju/#Cookies) - [Zásady zpracování osobních údajů](https://toret.cz/gdpr-pro-e-shopy-jak-vyhovet-narizeni-o-ochrane-osobnich-udaju/#Zasady_zpracovani_osobnich_udaju) - [Jaké jsou další povinnosti e-shopu v souvislosti s GDPR?](https://toret.cz/gdpr-pro-e-shopy-jak-vyhovet-narizeni-o-ochrane-osobnich-udaju/#Jake_jsou_dalsi_povinnosti_e-shopu_v_souvislosti_s_GDPR) - [Uchovávání, zabezpečení a dokumentace](https://toret.cz/gdpr-pro-e-shopy-jak-vyhovet-narizeni-o-ochrane-osobnich-udaju/#Uchovavani_zabezpeceni_a_dokumentace) - [Ohlašovací povinnost při narušení ochrany osobních údajů](https://toret.cz/gdpr-pro-e-shopy-jak-vyhovet-narizeni-o-ochrane-osobnich-udaju/#Ohlasovaci_povinnost_pri_naruseni_ochrany_osobnich_udaju) - [Potřebuje e-shop souhlas se zpracováním osobních údajů?](https://toret.cz/gdpr-pro-e-shopy-jak-vyhovet-narizeni-o-ochrane-osobnich-udaju/#Potrebuje_e-shop_souhlas_se_zpracovanim_osobnich_udaju) - [E-shop, GDPR a e-mailing](https://toret.cz/gdpr-pro-e-shopy-jak-vyhovet-narizeni-o-ochrane-osobnich-udaju/#E-shop_GDPR_a_e-mailing) - [Zákaznická výjimka](https://toret.cz/gdpr-pro-e-shopy-jak-vyhovet-narizeni-o-ochrane-osobnich-udaju/#Zakaznicka_vyjimka) - [Sběr nových kontaktů](https://toret.cz/gdpr-pro-e-shopy-jak-vyhovet-narizeni-o-ochrane-osobnich-udaju/#Sber_novych_kontaktu) - [Možnost odhlášení se z odběru e-mailů](https://toret.cz/gdpr-pro-e-shopy-jak-vyhovet-narizeni-o-ochrane-osobnich-udaju/#Moznost_odhlaseni_se_z_odberu_e-mailu) - [Jaké sankce hrozí e-shopům za porušení GDPR?](https://toret.cz/gdpr-pro-e-shopy-jak-vyhovet-narizeni-o-ochrane-osobnich-udaju/#Jake_sankce_hrozi_e-shopum_za_poruseni_GDPR) Existuje řada předpisů, zákonů a nařízení, jimiž se provozovatelé e-shopů musí řídit, pokud se chtějí vyhnout sankcím. Jedním z takových nařízení, které určitě nedoporučujeme zanedbat, je GDPR. ## Co je GDPR? GDPR je právní předpis Evropské Unie, který se zabývá **ochranou osobních údajů** a týká se všech členských zemí EU již od roku 2018. Toto nařízení **upravuje způsoby, jakými lze osobní údaje shromažďovat, uchovávat a dále využívat.** Netýká se tedy jen e-shopů, ale všech oblastí, ve kterých se pracuje s osobními údaji. ### Co jsou osobní údaje z hlediska GDPR? Dle GDPR se za osobní údaje považují **veškerá data, která by mohla sloužit k identifikaci osoby.** Například se jedná o: - jméno a příjmení - adresa bydliště - e-mailová adresa obsahující jméno a/nebo příjmení - číslo občanského průkazu, identifikační číslo podnikatele apod. - lokalizační údaje (např. informace o poloze mobilního telefonu) - IP adresa - data ze souborů netechnických cookies - fotografie osob Oproti tomu například e-mailová adresa typu [[email protected]](https://toret.cz/cdn-cgi/l/email-protection) nebo identifikační číslo společnosti za osobní údaje považované nejsou. ## Co musí obsahovat e-shop, aby vyhověl požadavkům GDPR? Z příkladů osobních údajů výše je jasné, že e-shopy při prodeji s osobními údaji zákazníků pracují a tedy musí dodržovat nařízení GDPR. Pro běžný e-shop se GDPR týká následujících bodů. ### Cookies První věcí, na kterou na většině webových stránek narazíte, je dotaz, zda souhlasíte s použitím cookies. Tím důvodem je právě GDPR, neboť kromě technicky nezbytně nutných cookies, všechny **ostatní cookies GDPR podléhají.** Pokud chcete používat cookies například pro marketingové, analytické nebo jiné než technické účely, musí návštěvník e-shopu hned na úvod dostat **příležitost je schválit či odmítnout.** Toto většina webů řeší informačními lištami či pop-up okny, na které se vztahují pravidla: - souhlas nebo nesouhlas musí být **stejně snadné** - souhlas **nesmí být předem potvrzen** (např. předem zaškrtnuté políčko nebo přepínač) - lišta nebo pop-up **nesmí bránit v použití webu** i bez udělení souhlasu nebo nesouhlasu - před udělením souhlasu **není možné netechnické cookies využívat** - návštěvník musí mít před rozhodnutím**k dispozici informace o zpracování osobních údajů** Velká část webů tuto problematiku neřeší správně, když například znepříjemňují odmítnutí cookies nutností další prokliků, více zvýrazňují tlačítko souhlasu, předem potvrzují souhlasy, nebo dokonce používají cookies bez souhlasu. Stejně jako u dalších bodů za takové jednání hrozí vysoké sankce, viz dále. ![Použití netechnických cookies na e-shopu podléhá GDPR.](https://toret.cz/wp-content/uploads/2024/01/cookies-4803408_1280-1024x634.jpg "Použití netechnických cookies na e-shopu podléhá GDPR.") Použití netechnických cookies na e-shopu podléhá GDPR. ### Zásady zpracování osobních údajů Zásady zpracování osobních údajů jsou dokumentem, který **popisuje, kdo, proč a jak sbírá osobní údaje a jak s nimi dále nakládá.** V běžném e-shopu do tohoto dokumentu patří: - **kontaktní údaje provozovatele** (= správce osobních údajů) - konkrétní **výpis osobních údajů**, které jsou shromažďovány - **účel**, za jakým jsou informace využívány - **právní důvody ke zpracování osobních údajů** – takovým důvodem může být zákazníkem udělený souhlas, ale i uskutečněný prodej nebo tzv. oprávněný zájem, viz dále - **informace o uchovávání osobních údajů** – především doba uchování dat a právo na výmaz nebo změnu údajů zákazníkem a jak je provést - **informace o poskytování osobních údajů třetím stranám** (u e-shopů se jedná typicky o dopravce, ale např. i účetní, marketingová agentura apod.), vč. **postupování údajů do zemí mimo EU**, kde GDPR neplatí Zásady by měly být **samostatným dokumentem** odděleným od obchodních podmínek e-shopu a měly by být na webu snadno přístupné. > TIP: Další povinnosti e-shopu, tentokrát z hlediska spotřebitelského zákona, jsme rozebírali v článku [Povinnosti e-shopu: Víte, co musíte uvádět u prodávaných produktů?](https://toret.cz/povinnosti-e-shopu-vite-co-musite-uvadet-u-prodavanych-produktu/) ## Jaké jsou další povinnosti e-shopu v souvislosti s GDPR? Kromě informací pro návštěvníky webu, jsou tu v souvislosti s GDPR e-shopu další povinnosti: ### Uchovávání, zabezpečení a dokumentace Další oblastí, kterou jako e-shop budete muset upravit podle GDPR je uchovávání a zabezpečení svěřených dat. **Doba uchovávání dat** by neměla přesáhnout dobu nezbytně nutnou vzhledem k účelu uchování. V praxi to tedy například znamená, že pokud uchováváte data k marketingovým účelům, při skončení e-shopu je nutné je vymazat. GDPR také ukládá **povinnost zabezpečení dat** tak, aby nebyla veřejně přístupná, a to jak data v digitální, tak ve fyzické podobě. Pro digitální data jde např. o zabezpečení silným heslem nebo kódování databáze, u fyzických nosičů pak uchovávání pod zámkem. S GDPR se pojí také nutnost dokumentace. **Záznamy o činnostech zpracování osobních údajů** jsou povinné vést společnosti s více než 250 zaměstnanci, což se většiny e-shopů v ČR netýká. Stejně tak se běžných e-shopů netýká nutnost jmenování **pověřence pro ochranu osobních údajů**. Co se ale i menších e-shopů týká, je **Vnitřní předpis o zpracování osobních údajů**, který uvádí, kdo má k osobním údajům přístup a jak s nimi nakládá. Tento dokument vychází z údajů uvedených v Zásadách ochrany osobních údajů. V případě, že dochází k předání dat třetím stranám (dopravci, účetní apod.), čeká vás ještě **smluvní ošetření předávání osobních údajů třetím stranám podle GDPR.** Nezapomeňte, že musí být také uvedeno v Zásadách zpracování osobních údajů (viz výše). ### Ohlašovací povinnost při narušení ochrany osobních údajů **Při porušení zabezpečení shromažďovaných dat**, při kterém dojde k úniku, změně nebo ztrátě, musí správce osobních údajů (provozovatel e-shopu) tuto událost ohlásit Úřadu pro ochranu osobních údajů a to nejpozději **do 72 hodin od zjištění**. Informovat je třeba také osoby, o jejichž data se jedná, pokud existuje vysoké riziko jejich zneužití. ## Potřebuje e-shop souhlas se zpracováním osobních údajů? Možná by se zdálo, že každý e-shop bude potřebovat souhlas ke zpracování osobních údajů, ale není tomu tak. Právní důvody ke zpracování osobních údajů, které je třeba uvést v Zásadách ochrany dat, vám můžou pomoci. **Zpracování pro účely plnění smlouvy:** Pro účely e-prodeje a reklamace některé osobní údaje nezbytně potřebujete – typicky se jedná o jméno, příjmení, adresu a další kontaktní údaje sloužící pro zaplacení a doručení zásilky. Pro shromažďování těchto dat při prodeji **nepotřebujete dodatečný souhlas** – bez nich totiž prodej na e-shopu nelze uskutečnit. **Oprávněný zájem** v Zásadách ochrany osobních údajů znamená, že můžete zpracovávat osobní údaje zákazníků bez jejich souhlasu, pokud je to ve vašem zájmu. Týká se to například přímého marketingu v podobě nabídky zboží nebo služeb zákazníkům, kteří u vás již nakoupili. Pokud byste ale chtěli využít personalizovaný marketing nebo oslovovat ty, kteří zatím nenakoupili, souhlas budete potřebovat. Dalšími výjimkami, u kterých nepotřebujete souhlas, je **zpracování dat pro účely plnění zákonné povinnosti** e-shopu (např. daňové povinnosti) nebo trestně-právní úkony. **Souhlas se zpracováním osobních údajů budete potřebovat**, pokud předáváte informace o osobních údajích třetí straně nebo je jinak využíváte a zároveň se nejedná o oprávněný zájem ani zpracování pro účely plnění smlouvy nebo plnění zákonných povinností e-shopu. Tento souhlas**nesmí být nijak podmíněn** (např. nemožností nakoupit bez udělení souhlasu), **nesmí být předem potvrzen** (např. výchozím zaškrtnutím souhlasu) a informace o zpracování osobních údajů musí být **snadno dostupné a srozumitelné.** ## E-shop, GDPR a e-mailing Pryč jsou doby, kdy jste mohli rozesílat reklamní e-maily hlava nehlava. **GDPR upravuje také e-mail marketing**, který je pro e-shopy důležitou součástí marketingového mixu. Čemu věnovat pozornost? > TIP: E-mail marketingu pro e-shopy jsme se již dříve věnovali v článku [E-mail marketing umí nakopnout prodeje.](https://toret.cz/e-mail-marketing-umi-nakopnout-prodeje/) ### Zákaznická výjimka Při zasílání e-mailů zákazníkům, kteří již u vás nakoupili, můžete využít zákaznickou výjimku. Díky ní **můžete stávajícím zákazníkům zasílat nabídky** podobného zboží a služeb, které u vás zakoupili. Nakupující zákazník ale musí mít **možnost zasílání e-mailů předem odmítnout**. Běžným řešením je checkbox v pokladně, kde zákazník potvrdí, že si nepřeje dostávat reklamní sdělení. ![Checkbox v pokladně pro potvrzení souhlasu se zasíláním newsletteru dle GDPR.](https://toret.cz/wp-content/uploads/2024/01/screenshot-svickovna.cz-2024.01.11-15_46_58-1024x490.png "Checkbox v pokladně pro potvrzení souhlasu se zasíláním newsletteru dle GDPR.") Checkbox v pokladně e-shopu pro potvrzení souhlasu se zasíláním newsletteru dle GDPR. ### Sběr nových kontaktů Pokud chcete zasílat e-maily i těm, kdo u vás nenakoupili, budete potřebovat jejich**souhlas se Zásadami zpracování osobních údajů**, které zájemcům poskytnete k přečtení. Tento souhlas musí být **svobodný, aktivní a vědomý**, a jste povinni jej evidovat – tedy žádná dopředu zaškrtnutá pole ve formuláři. Standardem je tzv.**double opt-in**: Zákazník požádá (většinou prostřednictvím kontaktního formuláře) o zasílání newsletteru, na zadanou e-mailovou adresu mu přijde e-mail, který ho vybízí k**potvrzení odběru kliknutím na přiložený odkaz**. Po kliknutí dojde k zařazení příjemce do e-mailové databáze. Takto zajistíte z hlediska GDPR takřka neprůstřelný důkaz pro případ kontroly a zároveň odfiltrujete chybné adresy. > TIP: Pro propojení WooCommerce a e-mailingové služby slouží [plugin SmartEmailing](https://toret.cz/produkt/woo-smart-emailing/). Díky pluginu se kontaktní údaje získané ve vašem e-shopu rovnou přenesou do databáze e-mailů ve Smart Emailingu, kde můžete vytvářet své e-mailingové kampaně. ### Možnost odhlášení se z odběru e-mailů V každém e-mailu, který zasíláte svým kontaktům, je nutné **připojit odkaz pro odhlášení se z odběru e-mailů.** Odvolání souhlasu by mělo být stejně snadné jako souhlas. Složitý proces odhlášení se může být důvodem k sankcím ze strany kontrolního orgánu. ## Jaké sankce hrozí e-shopům za porušení GDPR? O tom, že GDPR je třeba brát vážně, svědčí i velmi vysoké pokuty, které hrozí při porušení tohoto nařízení. **Maximální výše sankcí je 20 000 000€ nebo 4 % z celkového ročního obratu společnosti** (vyšší z obou možností). Kromě uvedené pokuty navíc hrozí žaloby dotčených osob o náhradu škody v případě újmy. **Implementaci opatření pro GDPR tedy není radno zanedbat, ať už vlastníte malý, nebo velký e-shop. Abyste měli jistotu, že daná nařízení plníte správně, doporučujeme se obrátit na odborníky. Pro tuto právní oblast existují specializovaní poradci GDPR, jejichž služeb můžete využít.** Plné znění GDPR naleznete na [eur-lex.europa.eu](https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=celex%3A32016R0679) Pozn.: Článek nenahrazuje odborné právní poradenství. [GDPR](https://toret.cz/stitek/gdpr/)[legislativa pro e-shop](https://toret.cz/stitek/legislativa-pro-e-shop/)[právo v e-commerce](https://toret.cz/stitek/pravo-v-e-commerce/) ←[Nové funkce u Toret pluginů přidané v 12/2023](https://toret.cz/nove-funkce-u-toret-pluginu-pridane-v-12-2023/) [Svatý Valentýn na WooCommerce e-shopu: Připravte kampaň pro zvýšení prodejů](https://toret.cz/svaty-valentyn-na-woocommerce-e-shopu-pripravte-kampan-pro-zvyseni-prodeju/)→ ## Další příspěvky ### [PHP2Shell: Kritická chyba v PHP ohrožuje weby a e-shopy. Aktualizujte co nejdřív](https://toret.cz/php2shell-kriticka-chyba-v-php-ohrozuje-weby-a-e-shopy/) [22. 10. 2026](https://toret.cz/php2shell-kriticka-chyba-v-php-ohrozuje-weby-a-e-shopy/) --- ### [Nové funkce u Toret pluginů přidané v 9/2026](https://toret.cz/nove-funkce-u-toret-pluginu-pridane-v-9-2026/) [2. 10. 2026](https://toret.cz/nove-funkce-u-toret-pluginu-pridane-v-9-2026/) --- ### [PPL 4.0.0 je tady: Rychlejší expedice, méně práce, větší pohodlí](https://toret.cz/ppl-4-0-0-je-tady-rychlejsi-expedice-mene-prace-vetsi-pohodli/) [29. 9. 2026](https://toret.cz/ppl-4-0-0-je-tady-rychlejsi-expedice-mene-prace-vetsi-pohodli/) --- ### [Nové funkce u Toret pluginů přidané v 8/2026](https://toret.cz/nove-funkce-u-toret-pluginu-pridane-v-8-2026/) [2. 9. 2026](https://toret.cz/nove-funkce-u-toret-pluginu-pridane-v-8-2026/) ---