GDPR a tvoje praxe

Pracovní návrh. Není to právní poradenství — je to poctivě sepsané shrnutí pro tvoji orientaci. Finální znění projde právní kontrolou před spuštěním. Otázky: info@tricho.app.

Krátká verze

U klientek pracuješ s údaji o zdraví — anamnéza, alergeny, fotografie vlasové pokožky. To jsou zvláštní kategorie údajů podle čl. 9 GDPR a zaslouží si nejpřísnější zacházení. Tricho je postavené tak, aby tobě i klientce zaručilo, že data vidíš jen ty: šifrují se přímo ve tvém zařízení a server dostává jen nečitelný šifrovaný obsah. Povinnosti správkyně tím ale z tebe nespadnou. Tahle stránka je seznam toho, co zůstává na tobě.

Kdo je kdo

• Ty jsi správkyně údajů svých klientek. Ty rozhoduješ, co si zapíšeš, proč a jak dlouho si to necháš.
• Provozovatel Tricho je tvůj zpracovatel — drží jen šifrovanou podobu dat a klíč nemá. Ani kdyby chtěl, tvoje zápisy nepřečte. Co přesně server vidí (velikosti, časy, počty), stojí v zásadách zpracování.

1. Souhlas klientky — základ všeho

Začni od toho, co čl. 9 odst. 1 říká: zpracování údajů o zdraví zakazuje. Musíš se tedy vejít do některé z výjimek v odstavci 2 — a v praxi máš jedinou reálnou.

Dveře, o kterých si lidé myslí, že jsou otevřené, otevřené nejsou. Výjimka pro zdravotnické profese (čl. 9 odst. 2 písm. h) na tricholožky a kadeřnice v Česku nedopadá. Trichologie ani kadeřnictví nejsou zdravotní službou podle zákona č. 372/2011 Sb. — jsou to živnosti; nejsi zdravotnickou pracovnicí podle zákona č. 96/2004 Sb. ani členkou žádné komory; a zákon č. 110/2019 Sb. ti neukládá profesní mlčenlivost, o kterou by se výjimka opřela (obecnou povinnost mlčenlivosti z § 15 starého zákona č. 101/2000 Sb. nová úprava nepřevzala). Nespoléhej na písm. h) jen proto, že si zapisuješ něco, co vypadá zdravotně.

Reálným základem je proto výslovný souhlas klientky (čl. 9 odst. 2 písm. a). Výslovný souhlas je víc než souhlas obyčejný: kromě toho, že musí být svobodný, konkrétní, informovaný a jednoznačný, musí být daný výslovným prohlášením — podepsaný papír nebo zaškrtnutí s textem, ne „přišla a nic nenamítala“. Musíš ho umět doložit (čl. 7 odst. 1) a klientka ho může kdykoli odvolat, stejně snadno, jako ho dala (čl. 7 odst. 3).

Hotový text máš připravený. Ve vzoru souhlasu klientky je k vytištění všechno, co je vypsané níž — včetně zvláštní věty o fotografiích a nepovinné věty o výuce. Vytiskni, doplň své jméno a IČO, nech podepsat, papír si založ.

A zapiš si to do karty. V kartě klientky je záznam o souhlasu se zpracováním: zda ho dala, kdy, jakou formou (papír, e-mail) a zda ho odvolala. Ten záznam je tvoje doložitelnost podle čl. 7 odst. 1 — papír se ztrácí, karta ne. Papír tím ale neuschováš: záznam v kartě říká, že souhlas existuje, sám o sobě není jeho zněním.

Souhlas má být svobodný, konkrétní, informovaný a doložitelný. Ať pokryje:

• kdo údaje zpracovává — ty, jménem a IČO;
• co si zapisuješ — anamnéza, alergeny, poznámky o zdravotním stavu vlasové pokožky, fotografie;
• proč — vedení karty klientky a sledování vývoje mezi návštěvami;
• kde to je uložené — v aplikaci v tvém zařízení, zašifrované; a jestli to synchronizuješ mezi svými zařízeními přes server provozovatele (pokud máš Pro nebo Max, řekni to — je to předání zpracovateli);
• jak dlouho si to necháš;
• že souhlas může kdykoli odvolat a jak to udělá, a že odvoláním není dotčeno, co jsi zpracovala předtím.

Souhlas si nech písemně — papír s podpisem nebo e-mail od klientky. Ústní souhlas je platný, ale neprokážeš ho, a důkazní břemeno je na tobě.

[PRÁVNÍK: k potvrzení dvě věci. (1) Že trichologie a kadeřnictví opravdu nespadají pod čl. 9 odst. 2 písm. h) ve spojení s § 51 zákona č. 372/2011 Sb. — tvrdíme to, ale je to tvrzení o kvalifikaci profese, ne o technice, a mělo by ho potvrdit někdo, kdo za ně ručí. (2) Jestli je znění vzoru souhlasu, který tricholožkám dáváme, dostatečné pro výslovný souhlas podle čl. 9 odst. 2 písm. a) — zejména rozdělení na tři samostatné úkony: souhlas se zpracováním, svolení s podobiznou podle § 84–90 občanského zákoníku a nepovinný souhlas s použitím pro výuku.]

Fotografie mají navíc svůj vlastní režim. Podobizna člověka je chráněná občanským zákoníkem (§ 84–90) samostatně, vedle GDPR — a splnění GDPR tě téhle povinnosti nezbavuje. Ke každému focení vlasové pokožky potřebuješ svolení k pořízení a k použití podobizny, a to i tehdy, když už máš souhlas podle GDPR. Řekni jasně, k čemu fotky budou: jen do karty, nebo i do výuky. Svolení lze odvolat, a odvolá-li ho klientka, může po tobě žádat náhradu škody, pokud jsi na jeho trvání spoléhala — tohle GDPR nemá a lidé to přehlížejí.

2. Souhlas s použitím pro výuku a kazuistiku

V kartě klientky je pole Souhlas s použitím — zaškrtávátko „Klientka souhlasí s použitím svého případu pro výuku a kazuistiku“, datum a políčko V jakém rozsahu (třeba „bez fotek obličeje“).

Je to samostatný souhlas pro samostatný účel. Vzít případ z karty ven — do přednášky, do kazuistiky, do článku — není totéž jako vést kartu. Je to nový účel a potřebuje vlastní základ. Když případ exportuješ bez zapsaného souhlasu, aplikace tě na to upozorní a export nezastaví: rozhodnutí je tvoje, ale nemá být nevědomé. Do vyexportovaného příběhu se stav souhlasu zapíše.

Anonymizace není náhrada souhlasu, dokud je z fotky nebo z popisu klientka poznatelná — a u vlasové pokožky často je.

3. Záznamy o činnostech zpracování (čl. 30)

Tenhle záznam mít musíš, i když jsi OSVČ bez zaměstnanců. Výjimka pro organizace do 250 zaměstnanců (čl. 30 odst. 5) na tebe nedopadá, a to hned dvakrát: sama se vylučuje, jakmile se zpracovávají zvláštní kategorie údajů podle čl. 9 — tedy vždy, když vedeš anamnézu — a podruhé proto, že zpracování není příležitostné, ale probíhá u každé klientky při každé návštěvě. Počet zaměstnanců na tom nic nemění.

Jak takový záznam vypadá, když ho vede provozovatel aplikace, si můžeš přečíst v jeho vlastním — je v repozitáři jako docs/legal/zaznam-o-cinnostech-zpracovani.md. Tvůj bude kratší, ale kolonky má mít tytéž.

Je to jeden list papíru nebo jeden soubor. Nikam se neposílá; musíš ho ukázat, kdyby si o něj ÚOOÚ řekl. Minimálně v něm má být:

• tvoje jméno, IČO, adresa a kontakt;
• účel zpracování — „vedení karty klientky a záznamů o návštěvách“;
• kategorie subjektů — „klientky“ — a kategorie údajů — „identifikační a kontaktní údaje, údaje o zdraví vlasové pokožky, anamnéza, alergeny, fotografie“;
• kategorie příjemců — „provozovatel aplikace Tricho jako zpracovatel (šifrovaná data)“; komukoli dalšímu údaje nepředáváš;
• předání mimo EU/EHP — u tebe zpravidla žádné;
• lhůty pro výmaz — kolik let si kartu necháš;
• obecný popis zabezpečení — „šifrování v zařízení, zámek zařízení, aktualizovaný systém, záchranný kód uložený mimo zařízení“.

4. Pověřenec a posouzení vlivu

• Pověřence (DPO) jmenovat nemusíš. Povinnost dopadá na orgány veřejné moci a na rozsáhlé, systematické zpracování; solo praxe do toho nespadá.
• Posouzení vlivu (DPIA) dělat nemusíš. Zpracování neodpovídá typům, u kterých je ÚOOÚ vyžaduje. Ten závěr si ale někam napiš — dvě věty s datem do složky k záznamu podle čl. 30. Doložit, že jsi o tom rozhodla, je snazší než to dokazovat zpětně. Provozovatel to udělal za sebe a nechal to otevřené: docs/legal/dpia-zaverecna-zprava.md. Kritéria i způsob úvahy si můžeš vzít jako vzor.

5. Zpracovatelská smlouva

Se zpracovatelem musíš mít písemnou smlouvu podle čl. 28. Šablonu máš připravenou tady — vytiskni, doplň svoje údaje, podepiš a založ. Vychází ze standardních smluvních doložek Evropské komise, takže se v ní ÚOOÚ zorientuje.

6. Porušení zabezpečení — 72 hodin

Ztracený nezamčený telefon s kartotékou, ukradený notebook, poslání fotek špatné adresátce — to všechno je porušení zabezpečení. Máš 72 hodin od okamžiku, kdy ses o něm dozvěděla, na ohlášení Úřadu pro ochranu osobních údajů. Nestíháš-li, ohlas to i později a napiš proč.

Pozor na past: formulář na webu ÚOOÚ se neodesílá. Vyplníš ho, on ti vygeneruje PDF — a to musíš doručit datovou schránkou, poštou, nebo e-mailem s uznávaným elektronickým podpisem. Jinak podání není úplné a lhůta ti běží dál. Nemáš-li datovou schránku, pořiď si ji dřív, než ji budeš potřebovat.

Když se porušení stane na straně provozovatele, dá ti vědět bez zbytečného odkladu a ÚOOÚ pak ohlašuješ ty — jsi správkyně. Každé porušení si zdokumentuj, i to, které neohlásíš (čl. 33 odst. 5).

Šifrování ti ubere jednu povinnost, ne obě. Podle čl. 34 odst. 3 písm. a) nemusíš o porušení informovat klientky, byly-li dotčené údaje nesrozumitelné — a obsah karet na serveru nesrozumitelný je. Neplatí to ale pro technické údaje, které šifrované nejsou (kolik máš záznamů, kdy ses jich dotkla), a ohlašovací povinnost vůči úřadu tím nezaniká vůbec. Riziko taky nemizí úplně: porušením je i situace, kdy data zůstanou celá, ale nejde je obnovit — ztráta dostupnosti je porušení sama o sobě.

7. Jak dlouho si kartu nechat

Žádnou zákonnou dobu tu nemáš. Zákon o zdravotních službách na tebe nedopadá a hygienický provozní řád mluví o něčem jiném. Neplatí tedy „pět let, protože se to tak dělá“ — dobu určuješ ty podle svého účelu a podle rozsahu souhlasu, a měla by být co nejkratší, ale dost dlouhá na to, abys mohla srovnat vývoj mezi návštěvami. Napiš si ji do záznamu podle čl. 30 a řekni ji klientce v souhlasu. A pak ji dodrž — údaje, které už nepotřebuješ, smaž.

Jediné, co má tvrdý zákonný floor, jsou faktury — ty si necháváš deset let bez ohledu na kartu klientky.

8. Jak mazat

V kartě klientky máš dvě různá smazání. „Smazat“ kartu jen schová — data zůstanou a dají se vrátit; hodí se na uklizení diáře, není to výmaz podle GDPR. „Smazat trvale“ je nevratné: karta, návštěvy i fotografie zmizí z tvého zařízení i ze serveru a ostatní tvoje zařízení je smažou, jakmile se připojí. Aplikace si nechá napsat slovo SMAZAT, než to provede.

Kam trvalé smazání nedosáhne

Aby to bylo řečené rovně — tohle ti aplikace napíše na obrazovku dřív, než cokoli smaže:

• Cloudové zálohy, které už vznikly, klientku obsahují dál. V plánu Pro 12 měsíců, v Max 5 let. Pak vyprší samy. Smazání jedné klientky do nich nesahá. Když smažeš celý účet, zálohy mizí s ním.
• Zařízení, které je zrovna offline, ji smaže až se připojí. Když ho už nikdy nezapneš, zůstane na něm.
• Zálohy celého serveru — server se zálohuje do samostatného úložiště mimo vlastní disk (Oracle Object Storage, stejný poskytovatel a region), pro případ havárie s diskem nebo aplikací. Snímky se drží 30 denních, 12 měsíčních a 2 roční, takže nejstarší je až dva roky starý. Do těch smazání nesahá vůbec: doběhnou a vyprší samy. Platí to i pro smazání celého účtu. Víc v zásadách zpracování.
• Zůstane po ní prázdná stopa — samotné id záznamu bez obsahu, podle kterého ostatní zařízení poznají, co mají smazat. A záznam o tom, že se mazalo: datum a počet, žádná jména, žádný obsah.

Pokud tě klientka požádá o výmaz, tyhle čtyři body jsou ta část odpovědi, kterou nemá cenu obcházet.

[PRÁVNÍK: obstojí čtyři výše popsaná omezení (prodleva u už vzniklých cloudových záloh až 60 měsíců, zálohy celého serveru až 24 měsíců, offline zařízení, přetrvávající id záznamu a záznam o provedení) jako výmaz „bez zbytečného odkladu“ podle čl. 17 odst. 1 — a stačí, že se o nich tricholožka dozví v aplikaci a tady, nebo to patří i do zpracovatelské smlouvy jako výslovné omezení pokynu k výmazu? Podklad: openspec/changes/gdpr-client-purge/design.md §8.]

9. Co ještě zůstává na tobě

• Informovat klientku podle čl. 13 — kdo jsi, co si zapisuješ, proč, jak dlouho, jaká má práva a že si může stěžovat u ÚOOÚ. Souhlas a tahle informace se dají napsat na jeden papír.
• Vyřídit její žádost o přístup, opravu nebo výmaz do jednoho měsíce.
• Zabezpečit vlastní zařízení: zámek telefonu, aktuální systém, Recovery Secret uložený jinde než v zařízení. Nejčastější únik dat v malé praxi není hacker — je to telefon položený na pultu.

Co můžeš říct klientce

„Vedu si tvoji kartu v aplikaci, která všechno šifruje přímo v mém telefonu. Nikdo jiný než já se k tomu nedostane — ani výrobce aplikace.“ To je pravda doslova, ne marketingová zkratka. Co ti řekne klientka, zůstane mezi vámi.

Jak s údaji zacházíme my jako provozovatel, čteš v zásadách zpracování osobních údajů.

Verze 2026-09-05.