GDPR a IT outsourcing: zmluva so spracovateľom (DPA checklist 2026)

Prečo je DPA zmluva nevyhnutnosťou pri IT outsourcingu

Keď odovzdáte spracovanie osobných údajov externej IT firme – či už ide o správu servera, vývoj aplikácie alebo cloudové riešenie – stávate sa prevádzkovateľom a váš dodávateľ spracovateľom v zmysle nariadenia GDPR (čl. 28). Bez písomnej spracovateľskej zmluvy (Data Processing Agreement, DPA) porušujete nariadenie priamo, a to bez ohľadu na to, či došlo k úniku dát alebo nie.

Úrad na ochranu osobných údajov SR (UOOU) môže za chýbajúcu alebo neúplnú DPA uložiť pokutu až do výšky 10 miliónov eur alebo 2 % celosvetového ročného obratu. Napriek tomu mnohé slovenské firmy stále uzatvárajú IT zmluvy bez akejkoľvek zmienky o ochrane osobných údajov. Tento článok vám dáva konkrétny checklist, ktorý môžete použiť ešte pred podpisom zmluvy.

Čo je DPA a kedy ju potrebujete

DPA (Data Processing Agreement) je písomná zmluva alebo dodatok k hlavnej zmluve, ktorý upravuje podmienky, za ktorých externý dodávateľ spracúva osobné údaje vo vašom mene. Potrebujete ju vždy, keď IT dodávateľ:

• má prístup k databázam obsahujúcim osobné údaje vašich zákazníkov alebo zamestnancov,
• spravuje váš server, cloudové úložisko alebo e-mailovú infraštruktúru,
• vyvíja alebo prevádzkuje aplikáciu, ktorá zbiera či uchováva osobné údaje,
• zabezpečuje monitoring, helpdesk alebo vzdialenú správu systémov,
• poskytuje SaaS riešenia, do ktorých nahrávate údaje o klientoch.

Jednoduché pravidlo: ak externý dodávateľ kedykoľvek vidí, dotýka sa alebo ukladá akékoľvek osobné údaje, DPA je povinná.

DPA checklist 2026 – povinné náležitosti podľa čl. 28 GDPR

Nasledujúci checklist vychádza priamo z textu GDPR a odporúčaní Európskeho výboru pre ochranu údajov (EDPB). Pred podpisom zmluvy so svojím IT dodávateľom si overte, či zmluva obsahuje všetky body.

1. Predmet a trvanie spracúvania

• ✅ Presný popis účelu spracúvania (napr. správa CRM systému, hosting e-shopu, vývoj mobilnej aplikácie).
• ✅ Časový rozsah – kedy spracúvanie začína a kedy končí (vrátane postupu po skončení zmluvy).
• ✅ Jasné vymedzenie, že spracovateľ koná výlučne na základe dokumentovaných pokynov prevádzkovateľa.

2. Povaha a účel spracúvania

• ✅ Druh spracovateľských operácií (ukladanie, zálohovanie, analýza, prenos, mazanie).
• ✅ Právny základ spracúvania na strane prevádzkovateľa (súhlas, zmluva, oprávnený záujem a pod.).

3. Kategórie osobných údajov a dotknuté osoby

• ✅ Taxatívny výpočet kategórií údajov (meno, e-mail, adresa, IP adresa, platobné údaje, zdravotné záznamy…).
• ✅ Skupiny dotknutých osôb (zákazníci, zamestnanci, návštevníci webu).
• ✅ Osobitné kategórie (zdravotné, biometrické, rasové údaje) – ak sa spracúvajú, musia byť výslovne uvedené.

4. Povinnosti a práva prevádzkovateľa

• ✅ Právo vydávať záväzné pokyny spracovateľovi.
• ✅ Právo na audit a inšpekciu – spracovateľ musí umožniť overenie súladu.
• ✅ Mechanizmus oznamovania zmien pokynov a postup pri ich odmietnutí spracovateľom.

5. Záväzky spracovateľa – jadro zmluvy

Toto je najdôležitejšia časť. Spracovateľ musí zmluvne potvrdiť, že:

1. Spracúva údaje len podľa pokynov prevádzkovateľa – a ak je povinný konať inak na základe práva EÚ alebo členského štátu, informuje o tom prevádzkovateľa (pokiaľ to zákon nezakazuje).
2. Zaväzuje svojich zamestnancov mlčanlivosťou – všetky osoby s prístupom k údajom musia mať uzavretú dohodu o mlčanlivosti.
3. Prijíma primerané technické a organizačné opatrenia (čl. 32 GDPR) – šifrovanie, pseudonymizácia, kontrola prístupu, pravidelné testovanie bezpečnosti.
4. Pomáha prevádzkovateľovi plniť povinnosti voči dotknutým osobám – právo na prístup, opravu, vymazanie, prenosnosť údajov.
5. Pomáha pri oznamovaní porušení ochrany údajov – incidenty nahlási prevádzkovateľovi bez zbytočného odkladu, v praxi do 24–72 hodín.
6. Po skončení zmluvy vymaže alebo vráti všetky osobné údaje – zmluva musí definovať lehotu a spôsob (bezpečné vymazanie, fyzická deštrukcia médií).
7. Poskytne všetky informácie potrebné na preukázanie súladu a umožní audity.

6. Subdodávatelia (ďalší spracovatelia)

• ✅ Zmluva musí jasne uviesť, či spracovateľ môže alebo nemôže angažovať subdodávateľov.
• ✅ Ak áno: buď konkrétny zoznam schválených subdodávateľov, alebo povinnosť vopred informovať prevádzkovateľa a dať mu právo vzniesť námietku.
• ✅ Spracovateľ zodpovedá za to, že na subdodávateľa prenesie rovnaké povinnosti ako má sám (čl. 28 ods. 4 GDPR).
• ✅ Zoznam bežných IT subdodávateľov, na ktorých treba myslieť: cloudové platformy (AWS, Azure, Google Cloud), CDN poskytovatelia, monitorovacie nástroje (Sentry, Datadog), e-mailové brány.

7. Prenos údajov do tretích krajín

• ✅ Ak spracovateľ alebo jeho subdodávatelia prenášajú údaje mimo EÚ/EHP, zmluva musí obsahovať vhodné záruky – typicky štandardné zmluvné doložky (SCC) podľa rozhodnutia Komisie z roku 2021.
• ✅ Výslovný zákaz prenosu do tretích krajín bez predchádzajúceho súhlasu prevádzkovateľa, ak nie sú zavedené záruky.
• ✅ Pozor na americké cloudové služby – napriek rámcu EU-US Data Privacy Framework odporúčame vždy vyžadovať SCC ako záložnú záruku.

8. Technické a organizačné bezpečnostné opatrenia (TOO)

Príloha zmluvy alebo samostatná sekcia by mala konkretizovať minimálne:

• Šifrovanie údajov v pokoji (at rest) aj pri prenose (in transit) – napr. AES-256, TLS 1.3.
• Riadenie prístupu a princíp minimálnych oprávnení (least privilege).
• Pravidelné zálohy a testovanie obnovy (RPO/RTO parametre).
• Penetračné testovanie – frekvencia a rozsah.
• Patch management – záväzok aktualizovať systémy v definovaných lehotách.
• Fyzická bezpečnosť dátových centier (ISO 27001, SOC 2 certifikácie ako dôkaz).

9. Zodpovednosť a náhrada škody

• ✅ Jasné rozdelenie zodpovednosti medzi prevádzkovateľom a spracovateľom.
• ✅ Poistenie kybernetických rizík – odporúčame požadovať doklad o poistení od spracovateľa.
• ✅ Postup pri uplatnení nárokov od dotknutých osôb voči prevádzkovateľovi, ktoré vznikli zavinením spracovateľa.

Najčastejšie chyby pri uzatváraní DPA so IT dodávateľmi

Z praxe slovenských firiem vyplývajú tieto opakujúce sa problémy:

• DPA chýba úplne – zmluvný vzťah je ošetrený len servisnou zmluvou bez akejkoľvek zmienky o osobných údajoch.
• Príliš všeobecné formulácie – „spracovateľ prijme primerané opatrenia“ bez akejkoľvek konkretizácie je v prípade sporu nevymáhateľné.
• Zabudnuté prílohy – chýba zoznam kategórií údajov alebo popis technických opatrení.
• Neriešení subdodávatelia – zmluva mlčí o tom, či môže IT firma využívať cloudové alebo iné externé služby.
• Chýbajúca lehota na hlásenie incidentov – bez konkrétnej lehoty (napr. do 24 hodín) nesplníte 72-hodinovú povinnosť voči UOOU.
• Bez doložky o výmaze po skončení zmluvy – po ukončení spolupráce môžu údaje ostať u dodávateľa neobmedzene dlho.

Praktický postup: ako DPA uzatvoriť krok za krokom

1. Zmapujte toky údajov – zistite, ku ktorým osobným údajom má IT dodávateľ prístup a aké operácie s nimi vykonáva.
2. Požiadajte dodávateľa o jeho vzor DPA – väčšina etablovaných IT firiem má pripravený štandardný text; ak ho nemajú, je to varovný signál.
3. Skontrolujte zmluvu podľa tohto checklistu – doplňte chýbajúce body formou dodatku.
4. Zapracujte konkrétne prílohy – zoznam kategórií údajov, popis TOO, zoznam subdodávateľov.
5. Konzultujte s právnikom alebo DPO – najmä pri citlivých údajoch alebo prenosoch do tretích krajín.
6. Nastavte pravidelný review – DPA by ste mali prehodnocovať minimálne raz ročne alebo pri každej väčšej zmene spracúvania.

GDPR a IT outsourcing v roku 2026: trendy, na ktoré si dať pozor

Regulačné prostredie sa neustále vyvíja. V roku 2026 by ste mali mať na radare najmä tieto oblasti:

• AI a strojové učenie – ak váš IT dodávateľ používa AI nástroje na spracovanie vašich dát, DPA musí explicitne adresovať automatizované rozhodovanie a profilovanie (čl. 22 GDPR).
• NIS2 smernica – od októbra 2024 platí v SR transpozícia smernice NIS2, ktorá kladie prísnejšie požiadavky na kybernetickú bezpečnosť dodávateľského reťazca. DPA a bezpečnostné prílohy by mali byť zosúladené aj s týmito požiadavkami.
• EU AI Act – pre IT systémy s prvkami umelej inteligencie vstupujú od roku 2025–2026 do platnosti povinnosti podľa AI Act, čo ovplyvňuje aj zmluvy s dodávateľmi AI riešení.
• Zvýšená aktivita dozorných orgánov – UOOU SR aj európske DPA úrady zvyšujú frekvenciu kontrol práve v oblasti IT outsourcingu a cloudových služieb.

Záver: DPA nie je formalita, ale ochrana vášho biznisu

Spracovateľská zmluva podľa GDPR nie je len byrokratická povinnosť – je to nástroj, ktorý chráni vás, vaše dáta aj vašich zákazníkov. Dobre nastavená DPA jasne vymedzuje zodpovednosti, znižuje riziko pokút a buduje dôveru v partnerský vzťah s IT dodávateľom.

Ak hľadáte IT partnera, ktorý rozumie nielen technológiám, ale aj zodpovednosti za dáta, kontaktujte nás v Diverzity Studios. Pracujeme transparentne, DPA uzatvárame štandardne ako súčasť každej spolupráce a pomôžeme vám nastaviť IT outsourcing tak, aby bol nielen efektívny, ale aj v plnom súlade s GDPR.

Frequently asked questions

Musím mať DPA zmluvu aj s malou slovenskou IT firmou, nie len s veľkými cloudovými poskytovateľmi?

Áno, povinnosť uzatvoriť spracovateľskú zmluvu (DPA) platí pre každého spracovateľa bez ohľadu na jeho veľkosť či sídlo. Ak slovenská IT firma – aj malá živnosť – spracúva osobné údaje vo vašom mene, DPA je zákonnou povinnosťou podľa čl. 28 GDPR. Veľkosť dodávateľa nehrá žiadnu rolu.

Čo sa stane, ak IT dodávateľ odmietne podpísať DPA?

Odmietnutie podpísať DPA je závažný problém. Znamená to, že dodávateľ buď nerozumie GDPR, alebo vedome nesúhlasí so záväzkami, ktoré mu zákon ukladá. V takom prípade odporúčame zvážiť výber iného dodávateľa. Ak aj napriek tomu s ním chcete spolupracovať, poraďte sa s právnikom – ale vedzte, že zodpovednosť voči UOOU zostáva na vás ako prevádzkovateľovi.

Môže DPA byť súčasťou hlavnej IT zmluvy alebo musí byť samostatný dokument?

DPA môže byť buď samostatný dokument, alebo príloha či dodatok k hlavnej zmluve. Dôležité je, aby bola písomná (elektronická forma je postačujúca) a aby obsahovala všetky náležitosti podľa čl. 28 GDPR. V praxi je prehľadnejšie mať ju ako samostatnú prílohu, pretože sa môže meniť nezávisle od hlavnej zmluvy.

Ako často treba aktualizovať DPA zmluvu so IT dodávateľom?

DPA by ste mali prehodnocovať minimálne raz ročne a vždy, keď nastane podstatná zmena – napríklad keď IT dodávateľ začne využívať nového subdodávateľa, zmení sa rozsah spracúvaných údajov, alebo sa zmení legislatíva (napr. nové usmernenia EDPB). Odporúčame do zmluvy zakomponovať klauzulu o pravidelnom review.

Vzťahuje sa GDPR aj na spracovateľov so sídlom mimo EÚ?

Áno, GDPR má extrateritoriálny dosah. Ak IT dodávateľ so sídlom mimo EÚ spracúva údaje osôb z EÚ, GDPR sa naňho vzťahuje. V takom prípade je navyše potrebné zabezpečiť vhodný právny základ pre prenos údajov do tretej krajiny – najčastejšie formou štandardných zmluvných doložiek (SCC), ktoré bývajú súčasťou DPA.

Stačí, ak IT dodávateľ má certifikát ISO 27001 – môžem sa spoľahnúť na to, že spĺňa GDPR?

Certifikát ISO 27001 je dobrým indikátorom vyspelého prístupu k informačnej bezpečnosti, ale automaticky neznamená súlad s GDPR. Ide o dva rozdielne rámce – ISO 27001 sa zameriava na informačnú bezpečnosť, GDPR na ochranu osobných údajov. DPA zmluva je povinná vždy bez ohľadu na certifikácie dodávateľa. Certifikáty môžete využiť ako dôkaz technických opatrení v prílohe DPA.