Právo na výmaz podle GDPR: Zjištění EDPB 2025
Aktualizováno pro rok 2026
Akce EDPB k výmazu v roce 2025
Evropský sbor pro ochranu osobních údajů provedl v roce 2025 rozsáhlou akci. Zaměřila se na článek 17 GDPR — právo na výmaz. Zúčastnilo se jí 32 dozorových úřadů z celé EU a EHP. Všechny jednaly současně. Cílem bylo odhalit plošná pochybení, nikoli ojedinělé případy.
Tato akce probíhala v rámci Koordinovaného rámce pro vymáhání, označovaného jako CEF. Devět dozorových úřadů na základě jeho výsledků zahájilo formální šetření.
Sedm opakujících se pochybení
Zpráva CEF pojmenovala sedm problémů zjištěných u prověřovaných subjektů:
- Nedostatečné postupy pro vyřizování žádostí o výmaz
- Příliš časté odmítání oprávněných žádostí
- Nepřiměřená zátěž kladená na žadatele
- Neschopnost dohledat veškeré osobní záznamy napříč systémy
- Překračování 30denní lhůty GDPR pro odpověď
- Nedostatečné informování žadatelů o výsledku jejich žádosti
- Vadná anonymizace použitá místo výmazu. Subjekty tvrdily, že provedou „anonymizaci”, ale záznamy zůstaly dohledatelné.
Sedmý bod je nejsložitější. Dopadá na každý subjekt, který tuto metodu používá ke snížení počtu uchovávaných osobních záznamů.
Anonymizace versus výmaz
Právo na výmaz podle GDPR neznamená vždy úplné smazání. Recitál 65 tuto metodu umožňuje, pokud výmaz není proveditelný. Typickými případy jsou záložní pásky a analytické systémy.
CEF ukazuje, že tato možnost je zneužívána. Subjekty označují proces za „anonymizaci”, aby se vyhnuly skutečnému výmazu. Záznamy ale zůstávají dohledatelné ke konkrétním osobám.
EDPB stanovuje jasnou hranici.
Skutečná anonymizace znamená, že propojení záznamů s osobou nelze obnovit. Správce nemá způsob, jak je opětovně propojit. Žádná třetí strana tento způsob nemá. Takové záznamy nespadají do působnosti GDPR. Žádost je splněna.
Pseudonymizace je odlišná. Opětovné propojení je stále možné se správným klíčem. Osobní záznamy stále existují. Žádost není splněna. Záznamy musí být smazány nebo klíč musí být zničen.
Dvouvrstvý přístup
Subjekty využívající tuto metodu v analytice potřebují dvě vrstvy.
Vrstva 1 — Příjem: Sem přicházejí nezpracované osobní záznamy. Na tyto záznamy se vztahují žádosti o výmaz. Když osoba uplatní práva podle článku 17, záznamy v této vrstvě se smažou.
Vrstva 2 — Analytika: Do této vrstvy se dostávají pouze anonymizované výstupy. Pokud byl proces maskování úplný a jednosměrný, tyto výstupy nejsou osobními údaji. Žádosti o výmaz je nezmění.
Toto nastavení funguje pouze tehdy, pokud krok maskování splňuje tři podmínky.
Za prvé: jednosměrnost. Reverzibilní tokeny a šifrované záměny nesplňují podmínku.
Za druhé: úplnost. Musí být ošetřeny všechny typy identifikátorů. Samotná jména nestačí.
Za třetí: zdokumentovanost. Subjekt musí být schopen dozorčímu úřadu ukázat, jak metoda funguje.
Maloobchodník, který zaměňuje jména zákazníků za šifrované tokeny, provedl pseudonymizaci — nikoli skutečný výmaz. Analytická vrstva stále obsahuje osobní záznamy. Žádosti o výmaz se na ni stále vztahují.
Náš průvodce souladu s GDPR popisuje právní základ pro každý přístup. Náš přehled zabezpečení uvádí potřebná kontrolní opatření. Průvodce krok za krokem najdete v článku Průvodce auditem anonymizace GDPR.