# Zpracování osobních údajů, když dodavatelé přistupují na servery

> Vzdálená správa, záplatování, forenzní analýza: co upravuje smlouva o zpracování podle čl. 28 GDPR, když IT dodavatelé přistupují na servery.

Zdroj: https://phpsos.de/cs/blog/auftragsverarbeitung-serverzugriff/  
Stav: 25.10.2026  
Poskytovatel: PHP SOS, Nouzová pomoc pro PHP a bezpečnost serverů. Okamžitá pomoc přes WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20den%2C%20PHP%20SOS%2C%20pot%C5%99ebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20PHP%20serverem.%20Firma%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručně:** Pokud IT dodavatel přistupuje na servery, na nichž jsou osobní údaje, je zpravidla nutná smlouva o zpracování osobních údajů (AVV) podle čl. 28 GDPR. Stanoví, že dodavatel jedná jen podle pokynů, zachovává mlčenlivost, přijímá přiměřená bezpečnostní opatření, další partnery zapojuje jen s povolením a porušení zabezpečení údajů hlásí bez zbytečného odkladu. Smlouvu uzavřete dříve, než nastane krize. Tato stránka je obecná informace a není právním poradenstvím.

## Když to musí jít rychle, smlouva často chybí

V týdnu po PHP2Shell si mnoho firem krátkodobě obstaralo externí pomoc. Administrátor měl aktualizovat PHP, agentura restartovat procesy, forenzní tým zkontrolovat logy. Externí osoby k tomu dostaly přístup na servery, na nichž leží účty zákazníků, objednávky a data z formulářů. Otázka, na jakém právním základě z hlediska ochrany osobních údajů se to dělo, vyvstala často až potom.

To je pochopitelné, protože v krizi se počítá tempo. Je to ale předcházitelné. Několika přípravami lze obojí spojit: rychlou pomoc a čistý základ.

## Kdy je smlouva o zpracování s IT dodavatelem nutná

Zpracování osobních údajů jménem správce nastává, když dodavatel zpracovává osobní údaje jménem a podle pokynů správce. U webserverů k tomu často stačí už možnost přístupu: kdo pracuje na serveru s právy root, může číst databázi s daty zákazníků, i když to nemá v úmyslu.

Typické situace s přístupem na server jsou:

- průběžná údržba a aktualizace agenturou nebo systémovým domem,
- provoz serveru poskytovatelem hostingu se spravovanými službami,
- nouzová pomoc, vyčištění a obnova po útoku,
- forenzní vyšetření s kopiemi datových nosičů a logů,
- monitoring, při němž data logů proudí k dodavateli.

Počítají se i krátké zásahy. Vzdálená relace se sdílením obrazovky, při níž technik jen „krátce nahlédne“, mu může ukázat data zákazníků. Export databáze zaslaný pro hledání chyb e-mailem je předání. Právě takové příležitosti probíhají často bez základu, protože se nevnímají jako projekt.

Zda jde v konkrétním případě o zpracování osobních údajů, nebo o jinou konstelaci, posuzuje váš pověřenec pro ochranu osobních údajů. Důležité je položit si tu otázku vůbec, dříve než se přidělí přístupy.

## Co vyžaduje čl. 28 GDPR ve smlouvě

Čl. 28 odst. 3 GDPR uvádí povinný obsah. Vedle předmětu, doby trvání, povahy a účelu zpracování, druhů údajů a kategorií subjektů údajů se musí zpracovatel mimo jiné zavázat k následujícím bodům. Pravý sloupec ukazuje, co to prakticky znamená u přístupů na servery.

| Povinnost podle čl. 28 odst. 3 | Praktický význam při přístupu na server |
|---|---|
| a) zpracování jen na základě zdokumentovaných pokynů | zakázka písemně, například přes ticket: co přesně se má udělat |
| b) mlčenlivost zapojených osob | přístup dostanou jen zavázané, jmenovitě známé osoby |
| c) opatření podle čl. 32 | osobní účty, dvoufázové ověření, šifrovaná spojení |
| d) podmínky pro další zpracovatele | forenzní nebo hostingoví partneři jen s povolením |
| e) podpora při právech subjektů údajů | součinnost, pokud se žádost o informace nebo výmaz týká serveru |
| f) podpora při čl. 32 až 36 | součinnost při zabezpečení, oznamování a posouzení vlivu |
| g) výmaz nebo vrácení po skončení | kopie, obrazy a exporty se smažou nebo vrátí |
| h) doklady a kontroly | protokoly přístupů, informace o opatřeních |

Čl. 33 odst. 2 GDPR navíc vyžaduje, aby zpracovatel porušení zabezpečení údajů, o němž se dozví, bez zbytečného odkladu oznámil správci. U dodavatele, který právě vyšetřuje kompromitovaný server, to není formalita: je často prvním, kdo uvidí náznaky úniku dat. Lhůtu a další průběh oznámení dozorovému úřadu vysvětluje [Oznamovací povinnost podle GDPR: 72 hodin po incidentu](https://phpsos.de/cs/compliance/dsgvo-meldepflicht-72-stunden/).

## Organizace přístupů v souladu s ochranou údajů

Podepsaná smlouva je základ. Zda se sliby dodržují, se rozhoduje v každodenní praxi. Tyto kroky se osvědčily:

1. **Vlastní, osobní přístupy** pro každou osobu dodavatele, nikdy sdílené administrátorské účty. Jak je zabezpečit, stojí v článku [Dvoufázové ověření pro administrátorské přístupy](https://phpsos.de/cs/ratgeber/zwei-faktor-admin/).
2. **Časově omezit:** přístupy pro jeden zásah po skončení deaktivovat, trvalé účty pravidelně kontrolovat.
3. **Protokolovat:** přihlášení a příkazy účtů dodavatele zaznamenávat, aby zůstalo dohledatelné, kdo co udělal.
4. **Pracovat šetrně k datům:** pro analýzy kopírovat jen nutná data, kopie ukládat šifrovaně, zaznamenat místo uložení a datum výmazu.
5. **Zdokumentovat ukončení:** přístupy odebrány, kopie smazány nebo předány, potvrzení písemně.

> **Důležité:**
> Forenzní vyšetření často vytváří úplné obrazy serverů včetně všech dat zákazníků. Předem upravte, kde takové obrazy leží, kdo k nim přistupuje a kdy se smažou, aniž by bylo ohroženo zajištění důkazů.

## Smlouvu o zpracování uzavřít před krizí

Nejlepší okamžik pro smlouvu o zpracování je klidný den. Jmenujte dodavatele, kteří mají v krizi zasahovat, tedy poskytovatele hostingu, agenturu a případně tým pro řešení incidentů a forenzní analýzu, a smlouvy s nimi uzavřete předem. Zachyťte přitom také, jaké další partnery smí dodavatel zapojit.

Podepsané smlouvy uložte tam, kde leží krizový plán, a v seznamu kontaktů poznamenejte, s kým smlouva o zpracování existuje. Ostatní bezpečnostní povinnosti, například lhůty aktualizací a doklady, patří do smlouvy o plnění; více v článku [Smlouvy s IT dodavateli: jasně upravit bezpečnostní povinnosti](https://phpsos.de/cs/blog/dienstleistervertrag-sicherheit/). Pro všechny právní otázky jsou správnými kontakty váš pověřenec pro ochranu osobních údajů a advokát.

## Jak konkrétně pomáhá PHP SOS?

- Před prvním přístupem vyjasníme, jaká data na dotčených systémech leží, a rámec odsouhlasíme s vaším pověřencem pro ochranu osobních údajů.
- Pracujeme s osobními, protokolovanými přístupy a každý zásah srozumitelně dokumentujeme.
- Jmenujeme specializované partnery, které bychom například pro [IT forenzní analýzu](https://phpsos.de/cs/leistungen/it-forensik/) zapojili, abyste se mohli rozhodnout předem.
- Po dokončení [reakce na incident](https://phpsos.de/cs/leistungen/incident-response/) písemně potvrdíme odebrání přístupů a výmaz nebo předání všech kopií.

**Závěr:** Ochrana osobních údajů a rychlá pomoc se nevylučují, pokud je základ připraven předem. Smlouva o zpracování s dodavateli pro krizový případ patří do každé krizové prevence. Tato stránka je obecná informace a není právním poradenstvím.


## Časté dotazy

**Je každá vzdálená správa zpracováním osobních údajů?**  
Ne automaticky. Rozhodující je, zda dodavatel osobní údaje zpracovává jménem správce nebo k nim může mít přístup. U webserverů s účty zákazníků, objednávkami nebo formuláři to platí zpravidla. Zařazení v jednotlivém případě provede váš pověřenec pro ochranu osobních údajů.

**Mohu smlouvu o zpracování uzavřít ještě během incidentu?**  
Možné to je, ale pod časovým tlakem často chybí klid na kontrolu. Lepší je uzavřít smlouvu předem s dodavateli, kteří mají v krizi zasahovat. Práce pak může začít okamžitě.

**Musí mě dodavatel informovat, když zjistí porušení zabezpečení osobních údajů?**  
Ano. Podle čl. 33 odst. 2 GDPR zpracovatel oznámí správci porušení zabezpečení osobních údajů bez zbytečného odkladu poté, co se o něm dozvěděl. Oznámení dozorovému úřadu zůstává věcí správce.

**Smí dodavatel přibrat další partnery, například pro forenzní analýzu?**  
Podle čl. 28 odst. 2 GDPR jen s předchozím písemným povolením správce, které lze udělit jednotlivě nebo obecně. U obecného povolení musí dodavatel informovat o změnách, abyste mohli vznést námitku.

## Zdroje

- [GDPR čl. 28: zpracovatel](https://dsgvo-gesetz.de/art-28-dsgvo/)
- [GDPR čl. 33](https://dsgvo-gesetz.de/art-33-dsgvo/)
- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)