Faktury běžně obsahují osobní údaje OSVČ, kontaktních osob nebo zákazníků. GDPR jejich zpracování nezakazuje; vyžaduje zákonný účel, přiměřený rozsah, zabezpečení a správně nastavenou dobu uchování.
Právní titul obvykle není souhlas
Údaje potřebné k vystavení a evidenci faktury se typicky zpracovávají kvůli plnění smlouvy a splnění právních povinností. Souhlas proto obvykle není správným titulem pro samotnou fakturaci. Pro marketing je nutné posoudit samostatný právní režim; údaj z faktury nelze bez dalšího použít k libovolné propagaci.
Minimalizace údajů
Na doklad uvádějte údaje, které vyžaduje příslušný předpis nebo které jsou skutečně potřeba k identifikaci stran a plnění. Rodné číslo, soukromý telefon či nepovinná osobní adresa nemají být přidávány „pro jistotu“, pokud pro ně není účel a právní základ.
Uchování a právo na výmaz
Dobu uchování určují zejména účetní a daňové předpisy a případně potřeba hájit právní nároky. Neplatí jedna univerzální lhůta pro všechny dokumenty. Právo na výmaz proto nelze splnit smazáním údajů, které musíte dál uchovat ze zákona; po skončení účelu je ale nemáte držet bez omezení.
Přiměřené zabezpečení
- omezte přístup jen na osoby, které doklady potřebují,
- používejte silná hesla, vícefaktorové ověření a aktualizovaný software,
- zálohujte a evidujte předávání účetnímu,
- citlivost a způsob odeslání posuzujte podle rizika.
GDPR nenařizuje heslovat každý jednotlivý PDF soubor. Heslo nebo jiná forma šifrování může být vhodná podle rizika, nesmí však nahrazovat celkové řízení přístupu a bezpečný přenos.
Prameny a datum ověření
Právní a faktické informace byly redakčně ověřeny k 23. 8. 2026. U konkrétního případu zohledněte aktuální znění předpisů a individuální okolnosti.