GDPR a ochrana dat v účetnictví — povinnosti podnikatele v roce 2026

2. dubna 2026 · JUDr. Martin Černý, specialista na právo IT a GDPR · general

GDPR se týká každého podnikatele, který vystavuje faktury, zpracovává mzdy nebo vede kontakty zákazníků. Zjistěte, jaké máte povinnosti, jak dlouho smíte data uchovávat a jak se vyhnout pokutám až 20 milionů EUR.

GDPR a ochrana dat v účetnictví — povinnosti podnikatele v roce 2026

Rychlá odpověď: GDPR se týká každého podnikatele včetně OSVČ, který vystavuje faktury, vede kontakty nebo zpracovává mzdy. Klíčové povinnosti: mít právní základ pro zpracování, uchovávat doklady jen po zákonnou archivační lhůtu (faktury 5 let, daňové doklady pro DPH 10 let, mzdové listy 30 let), reagovat na žádosti subjektů do 30 dnů, data zabezpečit a uzavřít zpracovatelskou smlouvu s externím účetním. Únik dat hlaste ÚOOÚ do 72 hodin.

Aktualizováno pro rok 2026.

Když se řekne GDPR, většina podnikatelů si představí cookie lištu na webu. Jenže ochrana osobních údajů se dotýká i míst, kde byste ji nečekali — třeba vašeho účetnictví.

Každá faktura, mzdový list nebo kontakt v adresáři obsahuje osobní údaje. Zpracováváte-li je špatně, riskujete pokutu až 20 milionů EUR nebo 4 % celosvětového ročního obratu. V praxi sice ÚOOÚ v Česku uděluje pokuty v řádu desítek tisíc až milionů korun, ale ani to není příjemné.

Tenhle článek vám dá jasný přehled — od základů přes konkrétní povinnosti až po praktický checklist.

Co je GDPR a proč se týká účetnictví

GDPR (General Data Protection Regulation) je evropské nařízení platné od května 2018, v Česku doplněné zákonem č. 110/2019 Sb. Vztahuje se na každého, kdo zpracovává osobní údaje fyzických osob — tedy i na vás, pokud vystavujete faktury, vedete kontakty zákazníků nebo zpracováváte mzdy.

Kde se s osobními údaji potkáváte

Osobní údaj je jakákoliv informace, která identifikuje konkrétní fyzickou osobu. V účetnictví jich máte víc, než byste čekali.

Na fakturách najdete jméno, adresu, IČO a DIČ zákazníka (u OSVČ jde o osobní údaje — přímo identifikují člověka), bankovní spojení a kontakty. Tyto údaje se na doklad dostanou pokaždé, když vytvoříte a odešlete fakturu — třeba i automatickým doplněním údajů zákazníka z registru ARES. Ve mzdové agendě zpracováváte nejcitlivější kategorii: rodná čísla, adresy, údaje o zdravotním pojištění, mzdové výměry, případně exekuční příkazy.

Váš adresář obchodních partnerů obsahuje kontaktní osoby s emaily a telefony, historii komunikace i poznámky o platební morálce. I bankovní výpisy obsahují jména plátců a čísla účtů.

💡 IČO a DIČ u OSVČ jsou osobní údaje, protože přímo identifikují člověka. U právnických osob (s.r.o., a.s.) tomu tak není.

Právní základ — proč smíte data zpracovávat

GDPR vyžaduje, abyste měli právní základ pro každé zpracování. V účetnictví se opíráte hlavně o tyto:

Plnění právní povinnosti (čl. 6 odst. 1 písm. c) je nejdůležitější základ. Zákon vám přikazuje vést účetnictví a uchovávat doklady — nemůžete si vybrat. Jde o zákon o účetnictví, zákon o DPH, zákon o daních z příjmů a zákoník práce pro mzdovou agendu.

Plnění smlouvy (čl. 6 odst. 1 písm. b) pokrývá situace, kdy potřebujete údaje zákazníka k vystavení faktury nebo dodání služby. Oprávněný zájem (čl. 6 odst. 1 písm. f) využijete pro evidenci platební morálky, interní analýzy nebo ochranu před podvody.

Souhlas v účetnictví obvykle nepotřebujete — máte silnější právní základy. Souhlas je relevantní spíše pro marketing. Pro vedení účetnictví a uchovávání dokladů tedy nepotřebujete souhlas subjektu údajů. Zákazník nemůže požadovat výmaz účetních dokladů v zákonné archivační lhůtě.

Doba uchování dokladů vs. GDPR

Tady nastává největší konflikt. GDPR říká „uchovávejte data co nejkratší dobu", ale účetní a daňové zákony říkají „uchovávejte doklady 3 až 30 let".

Platí jednoduché pravidlo: zákonná archivační povinnost má přednost. Data musíte uchovávat po dobu stanovenou zákonem, ale ani den déle.

Jakmile zákonná lhůta uplyne, osobní údaje musíte smazat nebo anonymizovat. Nelze je uchovávat „pro jistotu". Lhůta přitom běží od konce zdaňovacího období, ne od data na dokladu — doklady z ledna 2026 při tříleté lhůtě archivujete minimálně do konce roku 2029. Tyto doklady budete potřebovat i jako podklad k daňovému přiznání OSVČ.

Práva subjektů údajů

GDPR dává fyzickým osobám (zákazníkům, dodavatelům, zaměstnancům) konkrétní práva. Na žádost musíte reagovat do 30 dnů.

Právo na přístup: zákazník se může zeptat, jaké údaje zpracováváte, a vy mu musíte poskytnout jejich kopii. Právo na opravu: při změně adresy nebo jména údaje opravíte, ale u již vystavených faktur vystavíte opravný doklad. Právo na výmaz: zákazník může žádat smazání, ale pokud data potřebujete pro plnění zákonné povinnosti (archivace), můžete výmaz odmítnout se zdůvodněním.

Právo na omezení zpracování umožňuje zákazníkovi požádat, abyste jeho data dočasně nezpracovávali. Právo na přenositelnost znamená, že zákazník může chtít data ve strojově čitelném formátu (CSV, JSON). Právo vznést námitku se uplatní při zpracování na základě oprávněného zájmu.

Zabezpečení dat

GDPR vyžaduje přiměřené zabezpečení osobních údajů. V praxi to znamená šifrování dat při přenosu (HTTPS) i v úložišti, vlastní účet pro každého uživatele bez sdílení přihlašovacích údajů, nastavení rolí a oprávnění podle principu minimálních práv a dvoufaktorové ověření.

Na organizační straně jde o pravidelné školení zaměstnanců (minimálně jednou ročně), interní směrnice o zacházení s údaji a plán reakce na incident — při úniku dat musíte nahlásit ÚOOÚ do 72 hodin. Papírové dokumenty s osobními údaji nesmí ležet volně na stole a při likvidaci musí být skartovány.

Používáte-li cloudové účetní řešení, musí poskytovatel ukládat data v EU, šifrovat je a mít zpracovatelskou smlouvu. Cloudové řešení je ve skutečnosti často bezpečnější než lokální instalace — profesionální poskytovatelé investují do zabezpečení víc než průměrný podnikatel.

Zpracovatelská smlouva s účetním

Pokud účetnictví zpracovává externí účetní nebo účetní firma, jsou z pohledu GDPR zpracovatelem vašich údajů. Mezi vámi musí existovat zpracovatelská smlouva (Data Processing Agreement) podle čl. 28 GDPR. Bez ní hrozí pokuta oběma stranám.

Smlouva musí obsahovat předmět a dobu zpracování, povahu a účel (vedení účetnictví, mzdy), typy osobních údajů, kategorie subjektů (zákazníci, dodavatelé, zaměstnanci), vaše práva na kontrolu a povinnosti zpracovatele — zpracovávat data jen podle pokynů, zajistit mlčenlivost, přijmout bezpečnostní opatření, nepředávat data třetím stranám, pomáhat s žádostmi subjektů a po skončení spolupráce data vrátit nebo smazat.

Zpracovatelskou smlouvu potřebujete nejen s účetním, ale i s poskytovatelem softwaru, mzdového systému, archivační firmou a IT správcem.

Pokuty za porušení

ÚOOÚ může udělit pokuty ve dvou úrovních. Do 10 milionů EUR (nebo 2 % obratu) za porušení technických opatření, vedení záznamů, oznamování incidentů nebo zpracovatelské smlouvy. Do 20 milionů EUR (nebo 4 % obratu) za porušení základních principů, práv subjektů, předávání dat do třetích zemí nebo zpracování bez právního základu.

V české praxi ÚOOÚ uděluje pokuty v řádu desítek tisíc až jednotek milionů korun. Nejčastější prohřešky: nezabezpečené údaje, chybějící zpracovatelská smlouva, uchovávání dat déle než nutné a nereagování na žádosti. Kromě pokuty hrozí i reputační škoda (informace je veřejná), žaloby od poškozených a ztráta důvěry partnerů.

Checklist: 10 kroků k souladu

1. Zmapujte, jaká data zpracováváte — udělejte inventuru osobních údajů na fakturách, v kontaktech, mzdách a smlouvách
2. Určete právní základ — ke každému typu údajů přiřaďte důvod (zákonná povinnost, smlouva, oprávněný zájem)
3. Vytvořte záznamy o zpracování — povinnost máte při pravidelném zpracování dat, což v účetnictví platí vždy
4. Zkontrolujte zpracovatelské smlouvy s účetním, poskytovatelem softwaru i IT správcem
5. Nastavte doby uchování — pro každý typ dokladu konkrétní lhůtu, po jejím uplynutí data smažte
6. Zabezpečte přístup — silná hesla, dvoufaktorové ověření, role podle principu minimálních práv
7. Zašifrujte citlivá data — při přenosu (HTTPS) i v úložišti
8. Připravte se na žádosti subjektů — šablony odpovědí a jasný proces, lhůta je 30 dní
9. Školte zaměstnance — minimálně jednou ročně, zaznamenejte účast
10. Mějte plán pro případ úniku dat — kdo co dělá, nahlášení ÚOOÚ do 72 hodin

GDPR v účetnictví není strašák — je to sada pravidel, která chrání data vašich zákazníků i vás samotné. Používejte nástroje, které vám s tím pomohou, a soustřeďte se na podnikání.

Časté otázky

Musím jako OSVČ řešit GDPR?

Ano. GDPR se vztahuje na každého, kdo zpracovává osobní údaje, bez ohledu na velikost. Vystavujete-li faktury s údaji zákazníků, jste správcem osobních údajů.

Potřebuji pověřence pro ochranu osobních údajů?

Většina malých a středních podnikatelů ne. Povinnost mají orgány veřejné moci a firmy zpracovávající data ve velkém měřítku nebo citlivé údaje jako hlavní činnost.

Jak dlouho musím archivovat faktury kvůli GDPR?

GDPR neurčuje archivační lhůty — ty stanoví účetní a daňové zákony, které mají přednost. Účetní doklady uchovávejte 5 let, daňové doklady pro DPH 10 let a mzdové listy 30 let. Po uplynutí lhůty osobní údaje smažte nebo anonymizujte, protože data nesmíte držet déle, než je nutné.

Potřebuji se zákazníkem souhlas se zpracováním údajů na faktuře?

Ne. Pro vystavení faktury a vedení účetnictví se opíráte o silnější právní základy — plnění smlouvy a plnění právní povinnosti. Souhlas se hodí spíš pro marketing; pro účetní doklady ho nepotřebujete a zákazník nemůže žádat jejich výmaz v zákonné archivační lhůtě.

Co když zákazník chce smazat faktury?

Nemůžete. Faktury archivujete podle zákona o účetnictví (5 let) a zákona o DPH (10 let). Zákazníkovi vysvětlíte zákonnou povinnost a po uplynutí lhůty data smažete.

Můžu uchovávat faktury v Excelu?

Technicky ano, ale je to rizikové. Tabulkové procesory nemají šifrování, audit trail ani řízení přístupu. Profesionální účetní systém je z pohledu GDPR bezpečnější volba.

Musím šifrovat emaily s fakturami?

GDPR přímo neříká „musíte šifrovat emaily", ale vyžaduje přiměřená opatření. U mzdových dokladů a citlivých dat je šifrování silně doporučené.

Jak bezpečně zlikvidovat papírové doklady?

Skartovačkou s bezpečnostní úrovní P-4 nebo vyšší. Neházejte staré faktury do koše. Pro větší objemy využijte certifikovanou skartovací službu.

Musí mít externí účetní zpracovatelskou smlouvu?

Ano. Externí účetní nebo účetní firma je z pohledu GDPR zpracovatelem vašich údajů a musíte s ní mít uzavřenou zpracovatelskou smlouvu podle čl. 28 GDPR. Bez ní hrozí pokuta oběma stranám. Stejnou smlouvu potřebujete i s poskytovatelem softwaru či IT správcem.

Co je to data breach a do kdy ho musím nahlásit?

Data breach je jakýkoliv bezpečnostní incident s neoprávněným přístupem, ztrátou nebo zničením osobních údajů — ztracený notebook, hacknutý email, faktura odeslaná špatnému příjemci. Incident zdokumentujte a posuďte riziko. Při riziku pro práva a svobody osob nahlaste únik Úřadu pro ochranu osobních údajů (ÚOOÚ) do 72 hodin od okamžiku, kdy jste se o něm dozvěděli, a při vysokém riziku informujte i dotčené osoby.

Tento článek slouží jako obecný informační průvodce a nepředstavuje právní poradenství. Pro konkrétní situaci doporučujeme konzultaci s odborníkem na ochranu osobních údajů.

JUDr. Martin Černý se specializuje na právo informačních technologií a ochranu osobních údajů. Pomáhá firmám s implementací GDPR od roku 2018.