Jak často aktualizovat zásady ochrany osobních údajů a informovat uživatele

Většinu aktualizací nevyvolávají nové zákony, ale váš vlastní produkt. Zásady aktualizujte před spuštěním kterékoli z těchto změn, nebo současně s ním:

• Přidání nebo výměna poskytovatele, který přijímá osobní údaje, například služby pro analytiku, e-mail, platby, podporu nebo hosting
• Instalace nového SDK, pixelu nebo tagu, zejména pro reklamu nebo atribuci
• Shromažďování nové kategorie údajů, například polohy, kontaktů, fotografií, zdravotních informací nebo hlasových nahrávek
• Použití stávajících údajů k novému účelu, například k personalizaci, reklamě nebo trénování AI modelu
• Spuštění AI funkcí, které odesílají obsah uživatelů poskytovateli modelu
• Zahájení prodeje či sdílení údajů nebo jejich využívání pro cílenou reklamu
• Rozšíření do nové země nebo nového státu USA, případně překročení prahu, od kterého se zákon uplatní
• Změna dob uchovávání, míst uložení nebo mezinárodního předávání údajů
• Změna názvu firmy, adresy, kontaktních údajů nebo kontaktu pro ochranu soukromí
• Změna způsobu, jakým uživatelé uplatňují svá práva, například nový formulář žádosti nebo stránka nastavení

Osvědčeným zvykem je přidat do kontrolního seznamu pro vydání otázku „dopad na zásady ochrany osobních údajů?“. Pokud zní odpověď ano, změna zásad vychází spolu s funkcí.

Pevný interval stanoví jen jeden významný zákon, několik dalších však klade požadavky, které ve výsledku znamenají totéž:

• CCPA: oddíl 1798.130(a)(5) kalifornského občanského zákoníku (Civil Code) vyžaduje, aby dotčené podniky uváděly ve svých online zásadách ochrany osobních údajů stanovené informace a aktualizovaly je alespoň jednou za 12 měsíců. Prováděcí předpisy k CCPA navíc vyžadují, aby zásady uváděly datum poslední aktualizace.
• CalOPPA: zásady musí uvádět datum účinnosti a popisovat postup, jak jsou uživatelé informováni o podstatných změnách.
• GDPR: pevný interval nestanoví, ale informace, které lidem poskytujete, musí být přesné, a evropské pokyny k transparentnosti zdůrazňují, že odpovědnost platí po celou dobu životního cyklu zpracování, nejen v okamžiku shromáždění údajů.
• Austrálie: APP 1 vyžaduje jasně formulované a aktuální zásady ochrany osobních údajů.

V praxi z toho plyne jednoduché pravidlo: kontrolujte zásady alespoň jednou za 12 měsíců a aktualizujte je ihned, když se vaše praxe změní. I roční kontrolu, při které nenajdete nic ke změně, se vyplatí zdokumentovat, protože dokládá, že zásady aktivně udržujete. Ke kalifornskému obsahu viz průvodce zásadami ochrany osobních údajů podle CCPA a CPRA.

Ne každá úprava vyžaduje oznámení. Pokyny k transparentnosti Pracovní skupiny podle článku 29, které schválil Evropský sbor pro ochranu osobních údajů, doporučují zvážit dopad na lidi, včetně jejich možnosti uplatnit svá práva, a také jak nečekaná nebo překvapivá by pro ně změna byla.

Pokyny uvádějí konkrétní příklady. Vždy je třeba oznámit tyto změny:

• Změnu účelu zpracování
• Změnu totožnosti správce
• Změnu způsobu, jakým mohou lidé uplatnit svá práva

Opravy překlepů ani stylistická a gramatická vylepšení se za věcné změny nepovažují. Mezi těmito krajnostmi rozhoduje úsudek. Přidání nového reklamního partnera, zahájení mezinárodního předávání údajů nebo využití údajů k trénování AI modelů jsou změny, které by většina čtenářů považovala za důležité. Upřesnění stávající věty bez změny jejího významu obvykle takovou změnou není.

V případě pochybností považujte změnu za podstatnou. Oznámit drobnou změnu navíc stojí málo; potichu zavést významnou změnu může poškodit důvěru a přilákat pozornost dozorových úřadů.

U podstatných změn nestačí změnit datum v záhlaví stránky. Evropské pokyny k transparentnosti uvádějí, že oznámení má využít vhodný způsob, například e-mail, dopis nebo vyskakovací okno, který je věnovaný výhradně změnám a není smíchaný s marketingovým obsahem, a že prohlášení vyzývající lidi, aby „pravidelně kontrolovali zásady ochrany osobních údajů kvůli změnám“, se považují nejen za nedostatečná, ale i za nekalá. U zásadních změn, jako jsou nové kategorie příjemců nebo nové předávání mimo region, doporučují oznámení s dostatečným předstihem, aby lidé mohli změnu zvážit a uplatnit svá práva.

Praktický plán oznámení:

1. Zveřejněte novou verzi s datem účinnosti a ponechte starou verzi dostupnou
2. Pošlete držitelům účtů e-mail se stručným a srozumitelným shrnutím, co se mění a proč
3. Zobrazte přihlášeným uživatelům oznámení v aplikaci nebo na webu
4. Vysvětlete pravděpodobný dopad a možnosti volby, které lidé mají, například možnost odhlásit se
5. Ponechte přiměřenou lhůtu, než změny nabudou účinnosti

Příklad formulace: „Od 1. března budeme používat nového poskytovatele e-mailových služeb se sídlem ve Spojených státech. Údaje k vašemu odběru newsletteru budou předávány na základě standardních smluvních doložek. Odběr můžete kdykoli zrušit.“

Některé změny vyžadují víc než oznámení. Pokud podle GDPR plánujete použít osobní údaje k novému účelu, článek 13 odst. 3 vyžaduje informovat lidi ještě před zahájením takového dalšího zpracování, a pokud zpracování vychází ze souhlasu, potřebujete souhlas, který nový účel pokrývá. Pokyny také varují, že transparentnost nenapraví změnu natolik zásadní, že by zpracování zcela změnilo svou povahu.

Podobně to vidí i americké úřady. Ve svém příspěvku z roku 2024 pracovníci FTC varovali, že firma, která přejde na benevolentnější nakládání s údaji a oznámí to lidem pouze skrytou, zpětně účinnou změnou svých podmínek služby nebo zásad ochrany osobních údajů, se může dopouštět nekalého nebo klamavého jednání. Příspěvek odkazuje na dřívější případy, včetně případu, kdy firma změnila své zásady ochrany osobních údajů tak, aby mohla sdílet údaje s třetími stranami, aniž by spotřebitele informovala nebo získala jejich souhlas.

Bezpečný výchozí postup u významných změn:

• Uplatňujte nové postupy pouze na údaje shromážděné po změně, nebo
• Před jejich uplatněním na údaje, které již máte, požádejte o jasný, aktivní souhlas

Pokud si nejste jisti, která možnost platí, poraďte se před spuštěním změny s kvalifikovaným právníkem.

Dobrá správa verzí usnadní odpověď na každou budoucí otázku. Vaše zásady by měly uvádět přinejmenším datum účinnosti, které vyžaduje CalOPPA, a datum poslední aktualizace, které u dotčených podniků vyžadují prováděcí předpisy k CCPA. Mnoho webů také přidává na začátek nebo konec zásad krátké shrnutí změn.

Interně veďte archiv:

• Každou zveřejněnou verzi s datem účinnosti a datem, kdy byla nahrazena
• Jednořádkové shrnutí, co se změnilo a proč
• Kopie všech odeslaných oznámení o změnách a data jejich odeslání
• Záznamy o souhlasech získaných ke změnám, které souhlas vyžadovaly

Díky archivu můžete doložit, které zásady platily, když se uživatel registroval, přesně odpovědět na dotaz úřadu nebo zákazníka a vyřešit spory o tom, co jste v dané době slibovali. Zrychlí také roční kontrolu, protože vycházíte ze záznamu dřívějších rozhodnutí, a ne z paměti.

Legal Policy Generator používá verzované doložky vybírané deterministicky podle vašich odpovědí, takže když odpovědi aktualizujete, znovu vygenerované znění se změní jen tam, kde se změnila vaše fakta nebo verze podkladových doložek. Ať používáte jakýkoli nástroj, uchovávejte si vlastní kopie.

Mění se i zákony a několik nedávných změn se může dotknout vašich zásad:

• Státy USA: komplexní zákony o ochraně soukromí v Indianě, Kentucky a na Rhode Islandu nabyly účinnosti 1. ledna 2026 a rozšířily rostoucí seznam států, které dávají právo odmítnout cílenou reklamu, prodej údajů a profilování. Průvodce zákony o ochraně soukromí ve státech USA shrnuje běžné povinné informace.
• Kalifornie: aktualizované prováděcí předpisy k CCPA nabyly účinnosti 1. ledna 2026 a doplnily pravidla pro technologie automatizovaného rozhodování, posouzení rizik a audity kybernetické bezpečnosti s postupnými termíny pro dosažení souladu.
• Děti: novelizované pravidlo COPPA bylo zveřejněno v dubnu 2025 s upravenými požadavky na oznámení a souhlas.
• Spojené království: zákon Data (Use and Access) Act 2025 nabývá účinnosti postupně a mění části britského rámce ochrany osobních údajů, jak popisuje průvodce zásadami podle UK GDPR.
• Nový Zéland: zákon Privacy Amendment Act 2025 doplnil nový princip o informování lidí, jejichž údaje jsou shromažďovány nepřímo.

Nemusíte sledovat každý návrh zákona. Místo toho při každé roční kontrole ověřte oficiální zdroje pro regiony, kde působíte, a přihlaste se k odběru novinek od úřadů, které jsou pro vaše publikum důležité.

Vložte si do kalendáře opakovanou událost a tento postup projděte každý rok, případně dříve po velkém vydání:

1. Zopakujte inventuru údajů: formuláře, účty, SDK, tagy, poskytovatelé a AI funkce
2. Porovnejte ji se zásadami: je něco nového, odstraněného nebo popsaného jinak?
3. Zkontrolujte poskytovatele: ověřte názvy, role, umístění a případné záruky pro předávání
4. Zkontrolujte regiony: obsluhujete nyní novou zemi nebo stát, nebo překračujete práh, například práh CCPA?
5. Zkontrolujte oficiální zdroje: hledejte nové zákony nebo pokyny v každém regionu, kde působíte
6. Otestujte žádosti o uplatnění práv: pošlete zkušební žádost každou cestou, kterou zásady uvádějí
7. Porovnejte je s nástroji pro souhlas a štítky v obchodech: lišta souhlasu, štítky ochrany soukromí v App Storu a formulář Zabezpečení dat v Google Play by měly odpovídat zásadám
8. Aktualizujte a zaznamenejte: zveřejněte změny s novým datem, archivujte starou verzi a u podstatné změny informujte uživatele

Pokud se nic nezměnilo, zaznamenejte, že kontrola proběhla. Chcete-li zásady sestavit znovu z aktualizovaných odpovědí, generátor zásad ochrany osobních údajů vám před zveřejněním zdarma ukáže náhled výsledku. Celý postup psaní jednotlivých oddílů popisuje článek jak napsat zásady ochrany osobních údajů.