Souhlas, který za vás sebral partner, vás u kontroly nekryje

Norský dozorový úřad uložil reklamní firmě Xandr pokutu 92 milionů norských korun. Důvod: spolehla se na souhlas, který za ni sbíral někdo jiný, a nikdy si ho neověřila. Rozhodnutí se netýká jen reklamních technologií. Pokud vaše firma pracuje s kontakty od lead-gen agentury, s registracemi z partnerského webináře nebo s pixelem na webu, platí pro vás stejná logika.

Co se stalo v Norsku

Norský úřad pro ochranu osobních údajů (Datatilsynet) oznámil 12. října 2026 pokutu 92 milionů NOK, v přepočtu podle úřadu zhruba 8,6 milionu eur. Je to nejvyšší pokuta, kterou kdy uložil. Adresátem je Xandr, firma pro reklamní technologie, dnes součást Microsoftu.

Xandr v letech 2018 až 2020 zprostředkovával takzvané real-time bidding v seznamovací aplikaci Grindr. Když uživatel aplikaci otevřel, jeho údaje putovaly přes Xandr k potenciálně tisícům inzerentů, kteří během zlomku vteřiny soutěžili o zobrazení reklamy. Podle shrnutí rozhodnutí na webu EDPB šlo minimálně o informaci, že člověk Grindr používá, o reklamní identifikátor a o IP adresu. Samotné používání Grindru přitom vypovídá o sexuální orientaci, tedy o zvláštní kategorii údajů podle čl. 9 GDPR. Pro takové zpracování byl potřeba výslovný souhlas.

Xandr se bránil tím, že souhlas měl sbírat Grindr. Úřad to odmítl. Xandr byl podle něj společným správcem, souhlasy získané Grindrem nebyly platné a Xandr nijak neověřil, že pro své vlastní zpracování má právní základ. Shrnutí na webu EDPB to formuluje bez obalu: odpovědnost nelze outsourcovat a každý společný správce musí sám ověřit, že souhlas je platný a pokrývá i jeho zpracování.

Norsko není členem EU, ale GDPR uplatňuje na základě Dohody o Evropském hospodářském prostoru. Xandr se může do tří týdnů od doručení odvolat, rozhodnutí tedy ještě nemusí být konečné. Úvaha, na které stojí, ale z GDPR vychází přímo.

Proč se to týká i firmy, která s reklamními aukcemi nemá nic společného

Většina středních firem žádnou reklamní burzu neprovozuje. Skoro každá ale v nějaké podobě dělá totéž co Xandr: přebírá osobní údaje, které získal někdo jiný, a spoléhá na to, že je získal v pořádku.

GDPR v tom nenechává prostor pro výklad. Podle čl. 7 odst. 1 platí, že pokud zpracování stojí na souhlasu, musí správce umět doložit, že ho subjekt údajů udělil. Ne partner, ne agentura, ale ten, kdo údaje používá. K tomu čl. 5 odst. 2 ukládá správci odpovědnost za soulad se všemi zásadami a povinnost ho prokázat.

Soudní dvůr EU stejnou logiku uplatnil už v roce 2019 ve věci Fashion ID (C-40/17). Provozovatel e-shopu vložil na web tlačítko „To se mi líbí“ od Facebooku a soud dovodil, že za shromáždění a předání údajů návštěvníků je společným správcem spolu s Facebookem. Souhlas pro tyto operace měl zajistit on.

Pro vedení firmy z toho plyne jednoduchá věc: věta „to měla řešit agentura“ nebo „to máme ve smlouvě“ při kontrole neobstojí, pokud nemáte v ruce důkaz.

Čtyři situace, kde dnes nejspíš spoléháte na cizí souhlas

Koupená nebo pronajatá databáze kontaktů

Agentura dodá seznam a ujistí vás, že „všichni dali souhlas s marketingem“. Otázka zní: s marketingem koho? Souhlas musí být konkrétní a informovaný, takže člověk musí vědět, komu ho dává. Souhlas udělený obecně „partnerům“ vám obvykle nepomůže. U obchodních sdělení e-mailem navíc v Česku platí § 7 zákona č. 480/2004 Sb., o některých službách informační společnosti, který je bez předchozího souhlasu dovoluje jen vlastním zákazníkům. A protože údaje nezískáváte od lidí přímo, musíte jim podle čl. 14 GDPR sdělit, kdo jste a odkud údaje máte, nejpozději při prvním kontaktu.

Společný webinář nebo konference s partnerem

Registrace běží přes formulář partnera a po akci vám přijde tabulka účastníků. Pokud formulář nepojmenoval vaši firmu jako příjemce a neřekl, k čemu údaje použijete, nemáte pro další oslovování čím se opřít. Pokud spolu s partnerem rozhodujete o účelu a prostředcích zpracování, jste společní správci a čl. 26 GDPR po vás chce ujednání, které rozdělí povinnosti. Ujednání ale nemění to, že každý z vás odpovídá za své zpracování.

Pixel a měřicí kódy na webu

Reklamní pixel, analytika nebo vložené video posílají údaje třetím stranám hned při načtení stránky. Cookie lištu vám možná dodal externí nástroj, ale za její nastavení odpovídáte vy. Pro ukládání a čtení informací v zařízení návštěvníka vyžaduje § 89 odst. 3 zákona č. 127/2005 Sb., o elektronických komunikacích, předchozí souhlas, pokud nejde o technicky nezbytné cookies. Nejčastější chyby, od pixelu spuštěného před souhlasem po nevyvážená tlačítka, popisuje článek Co jsou to cookies a jak fungují.

Personální agentura a životopisy

Agentura pošle životopis kandidáta a dodá, že má souhlas se zařazením do databáze. Tento souhlas ale pokrývá zpracování agenturou, ne nutně vaše. Pro vlastní výběrové řízení potřebujete vlastní právní základ a kandidát musí vědět, že jeho údaje máte vy. Na transparentnost personálních agentur se mimochodem letos zaměřuje i jeden z německých dozorových úřadů v rámci evropské kontrolní akce, o které je řeč níže.

Smlouva nestačí, potřebujete důkaz

Smluvní ujištění dodavatele je dobrý začátek, ale u kontroly obstojí jen to, co umíte předložit. U každého zdroje údajů od třetí strany byste měli mít:

• znění souhlasu ve verzi, kterou lidé skutečně viděli, včetně toho, zda vás jmenuje jako příjemce a pro jaký účel,
• datum, čas a zdroj každého souhlasu (formulář, URL, kampaň), alespoň u namátkového vzorku,
• vymezení rolí: je partner vaším zpracovatelem podle čl. 28, samostatným správcem, nebo jste společní správci podle čl. 26,
• smluvní právo auditu a povinnost předat vám důkaz o souhlasu na vyžádání,
• cestu pro odvolání souhlasu, aby se k vám odvolání dostalo a vy jste ho promítli do svých systémů,
• záznam v evidenci činností zpracování podle čl. 30 s uvedeným zdrojem údajů a příjemci,
• informaci podle čl. 14 připravenou pro první kontakt.

Že se odpovědnost za dodavatele přenést nedá, ukázal už dřív polský případ McDonald's, který rozebíráme v článku Kdo skutečně nese odpovědnost za ochranu dat. Tam šlo o zpracovatele, u Xandru o společného správce. Závěr je stejný.

Proč právě teď

Rozhodnutí v kauze Xandr přichází v roce, kdy se evropské dozorové úřady soustředěně dívají na transparentnost. Evropský sbor pro ochranu osobních údajů (EDPB) 19. března 2026 zahájil koordinovanou kontrolní akci zaměřenou na informační povinnosti podle čl. 12 až 14 GDPR. Účastní se jí 25 dozorových úřadů, které oslovují správce z různých odvětví formou kontrol nebo dotazníků. Výsledky mají úřady během druhé poloviny roku sdílet a EDPB z nich připraví souhrnnou zprávu.

Otázky „odkud máte tyto údaje“ a „jak jste o tom lidi informovali“ tak míří na stejné místo jako norské rozhodnutí: na data, která do firmy přišla oklikou.

Jak to udržet pod kontrolou bez dalšího šanonu

Problém většiny firem není neochota. Je to roztříštěnost. Smlouvy s agenturami má obchod, cookie lištu marketing, personální agentury HR a evidenci zpracování někdo, kdo ji naposledy otevřel před rokem. Když přijde dotaz od úřadu, skládá se odpověď z pěti zdrojů.

VPoint tyto agendy drží na jednom místě. V modulu GDPR vedete záznamy o činnostech zpracování, frontu souhlasů a žádostí subjektů údajů s hlídáním lhůt a auditní stopou. Prověrka dodavatelů má vlastního vlastníka a důkazy, tedy registr zpracovatelů a podepsané smlouvy. A protože chyby nejčastěji vznikají v marketingu, obchodu a HR, platforma z vaší vlastní směrnice připraví školení, které váš tým jen upraví a přidělí konkrétním lidem s potvrzením o absolvování.

Checklist na příští týden

• Sepište všechna místa, kudy k vám přicházejí osobní údaje od třetích stran: agentury, partneři, akce, web, nábor.
• U každého určete roli partnera a právní základ, o který se opíráte.
• U dvou největších zdrojů si vyžádejte namátkový důkaz o souhlasu a ověřte, že jmenuje vaši firmu.
• Doplňte do smluv právo auditu a povinnost předat důkaz o souhlasu.
• Zkontrolujte, že se reklamní a analytické kódy na webu spouštějí až po souhlasu.
• Připravte informaci podle čl. 14 pro první kontakt s lidmi, jejichž údaje máte z cizího zdroje.
• Proškolte marketing, obchod a HR, aby věděli, na co se při přebírání dat ptát.

Chcete vidět, jak by tento přehled vypadal pro vaši firmu na jednom místě, s jednou roční cenou za organizaci a bez poplatků za uživatele? Domluvte si 30minutové demo.