„Potřebuju od hostů souhlas se zpracováním osobních údajů?“ Ne — a právě v tom je nejčastější nedorozumění. Údaje hostů zpracováváte, protože vám to ukládá ZÁKON, ne protože vám to host dovolil. Souhlasový checkbox v check-inu nic nepřidává: jen budí dojem, že host může říct ne — a on nemůže.

GDPR pro ubytovatele není strašák. Jsou to čtyři pravidla: vědět, proč který údaj sbíráte, nesbírat nic navíc, říct to hostům a po lhůtě data zlikvidovat. Níže je ke každému hranice, lhůta a sankce.

Co udělat

Právní důvody: souhlas nepotřebujete

GDPR zná šest právních titulů (čl. 6 odst. 1 písm. a) až f)). V praxi stojíte na třech:

1. 1PRÁVNÍ POVINNOST (písm. c)) — evidenční kniha podle § 3g zákona o místních poplatcích, domovní kniha a oznámení ubytování cizince do 3 pracovních dnů podle § 100 písm. c) a f), § 101 a § 102 zákona o pobytu cizinců, podklad pro poplatek z pobytu obci. Tyhle údaje zpracovávat MUSÍTE; souhlas hosta je bezpředmětný a host ho nemůže „odvolat“.

1. 1PLNĚNÍ SMLOUVY (písm. b)) — rezervace, kontakt, komunikace k pobytu, vyúčtování. Pokrývá i komunikaci před rezervací, pokud ji host vyvolal svou poptávkou.

1. 1OPRÁVNĚNÝ ZÁJEM (písm. f)) — kamera u vchodu, vymáhání škody na vybavení, nabídka vlastních obdobných služeb bývalým hostům. Tady si musíte obhájit, že váš zájem převažuje nad soukromím hosta (balanční test), a host má právo vznést námitku (čl. 21).

Souhlas si nechte na to, co se do žádného z těchto tří titulů nevejde — a i tam pamatujte, že souhlas podmíněný poskytnutím služby podle ÚOOÚ „nenaplňuje podmínku svobodného projevu vůle“ (čl. 7 odst. 4 GDPR).

Minimalizace: zákon je strop, ne minimum

Zásada minimalizace (čl. 5 odst. 1 písm. c) GDPR) dovoluje zpracovávat jen údaje nezbytné pro daný účel. U zákonné evidence je rozsah dán taxativně: § 3g odst. 2 zákona o místních poplatcích vyjmenovává termín pobytu, identifikaci hosta včetně adresy místa přihlášení, údaje o dokladu totožnosti a výši vybraného poplatku, případně důvod osvobození — položku po položce je rozebírá samostatný článek. U cizinců přistupuje rozsah přihlašovacího tiskopisu (§ 101 a § 103 zákona o pobytu cizinců). → Evidenční kniha hostů: co v ní nesmí chybět (a co tam naopak nepatří)

Tenhle výčet je zároveň váš strop:

• Žádné kopie ani fotky dokladů „do šuplíku“ — zákon chce údaje z dokladu, ne doklad sám.
• Žádná rodná čísla — evidenční kniha je nevyžaduje.
• Žádné údaje „co kdyby se hodily“ — každý údaj navíc je jen riziko při úniku i při kontrole.

Kopie dokladu není jen přehnaná opatrnost, ale porušení dvou samostatných zákonů. Pořídit kopii občanského průkazu bez souhlasu držitele zakazuje § 39 písm. c) zákona č. 269/2021 Sb.; je to přestupek s pokutou do 10 000 Kč (§ 65 odst. 1 písm. d)), který projednává obecní úřad obce s rozšířenou působností, ne ÚOOÚ. U cestovního dokladu je zákaz širší: § 2 odst. 3 zákona č. 329/1999 Sb. zakazuje pořizovat kopii cestovního dokladu „jakýmikoliv prostředky“ bez souhlasu občana — tedy ani vyfotit mobilem; pokuta opět do 10 000 Kč (§ 34a odst. 1 písm. i)). Tento zákon dopadá na české cestovní doklady — u pasů cizinců vede ke stejnému závěru samo GDPR: ke kopii nemáte právní titul.

Zákon říká „bez souhlasu držitele“ a někdo si to vykládá jako „když host kývne, můžu“. Nemůžete: ke kopii nemáte právní titul a souhlas podmíněný ubytováním není svobodný. Prakticky — nekopírovat, nefotit. Do dokladu nahlédnete, zapíšete číslo a druh, doklad vrátíte; samotné nahlédnutí ÚOOÚ za zpracování nepovažuje.

Rodné číslo nechtějte vůbec: nakládat s ním smí jeho nositel, jinak jen v případech podle § 13c zákona č. 133/2000 Sb. — a evidenční kniha ho nevyžaduje, od roku 2020 se zapisuje datum narození.

Informační povinnost: co musí host vědět

Informace se podle čl. 13 odst. 1 GDPR poskytuje „v okamžiku získání osobních údajů“ — tedy ve chvíli, kdy host vyplňuje formulář, u online check-inu před jeho odesláním. Ne až při předání klíčů. Údaje, které máte dřív z rezervace (jméno, e-mail, telefon), pokrývá informace při rezervaci nebo v potvrzení.

Obsah čl. 13 je delší, než se čeká. Patří do něj:

• kdo jste (jméno nebo firma, IČO) a kontakt na vás,
• účely zpracování a právní základ ke každému z nich — zákonná evidence (§ 3g zák. č. 565/1990 Sb., §§ 101–102 zák. č. 326/1999 Sb.) a plnění smlouvy o ubytování,
• příjemci nebo jejich kategorie: obec jako správce poplatku z pobytu, Policie ČR u cizinců, poskytovatel vašeho softwaru jako zpracovatel,
• doba uložení — 6 let ode dne posledního zápisu,
• práva hosta: přístup, oprava, výmaz, omezení zpracování, námitka,
• právo podat stížnost u ÚOOÚ,
• že poskytnutí údajů je zákonným požadavkem, a důsledky, když je host neposkytne,
• případné předání mimo EU a záruky, které pro ně platí.

Nemusí to být u formuláře celé: GDPR připouští vrstvený přístup — krátký odstavec u check-inu plus úplný text na webu nebo za QR kódem. Podmínka je jediná: krátká verze musí na úplnou skutečně odkazovat.

Zabezpečení, lhůty a únik dat

Šest let neběží od pobytu hosta: zákon říká „po dobu 6 let ode dne provedení posledního zápisu“ (§ 3g odst. 4 zákona o místních poplatcích). U průběžně vedené knihy tedy nejstarší zápisy držíte podstatně déle než 6 let od check-outu. Stejné pravidlo má domovní kniha (§ 101 odst. 4 zákona o pobytu cizinců); listinné dokumenty, které ji nahrazují, se drží 6 let od ukončení ubytování cizince a uschovaný přihlašovací tiskopis 6 let od ubytování cizince (§ 102 odst. 4).

Konkrétní archivační lhůty, které na ubytovatele dopadají nejčastěji:

• Účetní závěrka a výroční zpráva — 10 let počínajících koncem účetního období, kterého se týkají (§ 31 odst. 2 písm. a) zákona č. 563/1991 Sb., o účetnictví).
• Účetní doklady, účetní knihy, odpisové plány, inventurní soupisy, účtový rozvrh a přehledy — 5 let počínajících koncem účetního období, kterého se týkají (§ 31 odst. 2 písm. b) téhož zákona).
• Daňové doklady, jste-li plátce DPH — 10 let od konce zdaňovacího období, ve kterém se plnění uskutečnilo (§ 35 odst. 2 zákona č. 235/2004 Sb., o dani z přidané hodnoty).
• Doklady, podle kterých se stanoví a odvádí pojistné na sociální zabezpečení — 10 kalendářních roků následujících po roce, kterého se týkají (§ 22c zákona č. 589/1992 Sb.); týká se vás jen tehdy, máte-li zaměstnance.
• Vedete-li místo účetnictví jen daňovou evidenci, řiďte se lhůtou pro stanovení daně: činí 3 roky, prodlužuje se o 1 rok, nastane-li v posledních 12 měsících před jejím koncem některá ze skutečností podle § 148 odst. 2 daňového řádu, a skončí nejpozději 10 let od svého počátku (§ 148 odst. 1 a 5 zákona č. 280/2009 Sb.). Doklady k danému roku proto reálně držte 10 let.

Když na jeden doklad dopadne víc předpisů, platí ta delší lhůta: použijete-li účetní záznam i pro daňové řízení nebo pro sociální zabezpečení, musíte ho podle § 32 odst. 1 zákona o účetnictví uschovat i po uplynutí lhůty z § 31. Prakticky: fakturu se jménem hosta za rok 2026 nemažete na konci roku 2031 jen proto, že „účetní doklady jsou na pět let“ — je-li na ní DPH, běží lhůta až do konce roku 2036.

Praktické minimum zabezpečení (čl. 5 odst. 1 písm. f), čl. 25 a čl. 32 GDPR):

• Přístup jen pro toho, kdo ho k práci potřebuje. Úklid potřebuje termín a případně jméno, ne číslo dokladu ani datum narození. → Úklidy bez telefonování: vlastní portál pro váš úklidový tým
• Zálohovaná evidence s řízeným přístupem je bezpečnější než sešit v bytě nebo tabulka v nezaheslovaném notebooku.
• Data hostů nepřeposílejte běžným e-mailem ani messengerem — po šesti letech pak nedokážete smazat kopie, o kterých nevíte.

Když data uniknou (ztracený sešit, hacknutý e-mail, omylem odeslaná tabulka), platí čl. 33 odst. 1 GDPR: ohlásit ÚOOÚ bez zbytečného odkladu, pokud možno do 72 hodin od okamžiku, kdy jste se o porušení dozvěděli — lhůta běží od zjištění, ne od události. Neohlašuje se jen tehdy, je-li nepravděpodobné, že porušení představuje riziko pro práva a svobody hostů; ztracený sešit s čísly dokladů riziko typicky představuje. Při pozdějším ohlášení uvádíte důvody zpoždění.

Dvě věci, na které se zapomíná: při vysokém riziku musíte bez zbytečného odkladu informovat i samotné hosty (čl. 34 odst. 1) a dokumentovat musíte všechna porušení, i ta neohlašovaná (čl. 33 odst. 5). Kanály ÚOOÚ: formulář „Ohlášení porušení zabezpečení osobních údajů dle GDPR“ na uoou.gov.cz, datová schránka qkbaa2n, posta@uoou.gov.cz, nebo poštou na Pplk. Sochora 27, 170 00 Praha 7. → Datová schránka: 20 minut, které vám ušetří roky obíhání úřadů

Zpracovatelé a správci: kdo pro vás data drží

Používáte-li software (jako je ten náš), je jeho provozovatel vaším ZPRACOVATELEM — zpracovává data hostů pro vás a podle vašich doložených pokynů (čl. 4 bod 8 a čl. 28 odst. 3 písm. a) GDPR). K tomu GDPR vyžaduje smlouvu s náležitostmi podle čl. 28 odst. 3 písm. a) až h): pokyny, mlčenlivost, zabezpečení, subzpracovatelé, součinnost při právech hostů, hlášení incidentů, výmaz nebo vrácení dat po skončení, audity. Písemná forma zahrnuje elektronickou (čl. 28 odst. 9), takže smlouva může být součástí obchodních podmínek — u nás je. Správcem zůstáváte vy a vy nesete odpovědnost za soulad (čl. 5 odst. 2, čl. 24).

Airbnb a Booking.com naopak vašimi zpracovateli NEJSOU. Airbnb předává hostitelům údaje jako samostatný správce samostatnému správci; vy jste tedy nezávislý správce s vlastními povinnostmi. Plyne z toho dvojí: údaje z platformy nesmíte bez vlastního titulu použít k jinému účelu (typicky si z nich stavět marketingovou databázi) a zákonnou evidenci za vás platforma nesplní.

Používáte-li nástroje s daty mimo EU, musíte to hostům podle čl. 13 odst. 1 písm. f) uvést a znát záruky pro předání (čl. 44 a násl.); přehled, kde jsou data uložena, u nás najdete v dokumentaci.

Práva hostů — a jejich meze

Host se může zeptat, co o něm evidujete (čl. 15), a chtít opravu chyby (čl. 16). Odpovědět musíte bez zbytečného odkladu, nejpozději do 1 měsíce od obdržení žádosti (čl. 12 odst. 3); u složitých nebo početných žádostí lze lhůtu prodloužit o další 2 měsíce, ale o prodloužení musíte informovat do prvního měsíce. Vyřízení je bezplatné (čl. 12 odst. 5); při důvodných pochybnostech o totožnosti žadatele si smíte vyžádat doplňující informace (čl. 12 odst. 6).

Do 1 měsíce se musí sdělit i ODMÍTNUTÍ, s odůvodněním a poučením, že host může podat stížnost u ÚOOÚ (čl. 12 odst. 4). Mlčení je porušení samo o sobě.

A mez, kterou je dobré znát nazpaměť: „smažte mě“ na zákonnou evidenci neplatí. Právo na výmaz se neuplatní tam, kde je zpracování nezbytné pro splnění právní povinnosti (čl. 17 odst. 3 písm. b)) — a evidenční i domovní knihu držíte ze zákona 6 let od posledního zápisu. Hostovi to tedy vysvětlíte a uvedete zákon. Výmaz dopadá jen na to, co zpracováváte nad zákonný rámec: marketingový kontakt, poznámky, fotky.

Marketing: kdy smíte psát bývalým hostům

Bývalému hostovi smíte poslat nabídku vlastních obdobných služeb i BEZ souhlasu — v režimu opt-out podle § 7 odst. 3 zákona č. 480/2004 Sb. Podmínky jsou tři: e-mail jste získali v souvislosti s poskytnutím služby, nabízíte jen vlastní obdobné služby a host měl jasnou a bezplatnou možnost odmítnout už při získání kontaktu i v každé další zprávě. Titulem podle GDPR je pak oprávněný zájem s právem námitky (čl. 21 odst. 2 a 3).

Souhlas (opt-in podle § 7 odst. 2) potřebujete jen tam, kde protistrana vaším zákazníkem není — u zájemců, kteří nakonec nerezervovali — a u nabídek cizích služeb.

Každé obchodní sdělení musí být podle § 7 odst. 4 zřetelně označeno jako obchodní sdělení, musí z něj být zřejmé, kdo je odesílatel, a musí obsahovat platnou adresu pro odmítnutí. Dozor vykonává rovněž ÚOOÚ. Když se host odhlásí, zasílání ukončete a kontakt pro marketing vymažte nebo zablokujte — evidenční knihy se to netýká.

Papíry, které mít: záznam o činnostech zpracování

Posouzení vlivu (DPIA podle čl. 35) ani vnitřní směrnice se u běžné evidence hostů nevyžadují. Záznam o činnostech zpracování podle čl. 30 odst. 1 ale ano — a to je nejčastější formální mezera malých ubytovatelů. Výjimka pro subjekty do 250 zaměstnanců (čl. 30 odst. 5) neplatí, když „zpracování není příležitostné“, a evidence hostů příležitostná není: vedete ji pravidelně, celý rok.

Výklad tu není jednotný — ÚOOÚ výjimku ilustruje na drobném živnostníkovi se seznamem klientů. Doporučujeme na ni nespoléhat: jednostránkový záznam je nejlevnější důkaz souladu, jaký při kontrole můžete mít. Stačí do něj napsat účel (zákonná evidence, plnění smlouvy), právní základ, kategorie subjektů a údajů, příjemce (obec, Policie ČR, poskytovatel softwaru), dobu uložení a kdo má přístup. Správce musí být schopen soulad doložit (čl. 5 odst. 2, čl. 24) — a „vím to z hlavy“ se doložit nedá.

Kamery u vchodu

Kamera je samostatné zpracování s vlastními pravidly. Ta plynou z GDPR; praktickým vodítkem je metodika ÚOOÚ k návrhu a provozování kamerových systémů z 8. 2. 2024 — není právně závazná, vychází z GDPR a pokynů EDPB 3/2019 a je psaná i pro malé provozovatele.

• Titulem je zpravidla oprávněný zájem (čl. 6 odst. 1 písm. f)) doložený balančním testem — sepište ho předem, ne až při kontrole.
• Informační tabulka patří ještě před vstup do záběru; podrobnosti lze vrstvit.
• Doba uchování: podle metodiky by ve většině případů měla postačovat doba do 72 hodin, při delší době musí správce uvést jasné důvody, proč je nezbytná.
• Dokumentace: záznam o činnostech zpracování (čl. 30), balanční test a úvaha, zda nevzniká povinnost DPIA.
• Uvnitř pronajímaného bytu kamery nemají co dělat. V bytovém domě navíc musíte respektovat pravidla SVJ pro společné prostory — záběr do nich si s SVJ předem projednejte.

Co se chystá

Nařízení (EU) 2024/1028 o shromažďování a sdílení údajů o krátkodobých pronájmech se podle svého čl. 19 používá ode dne 20. 5. 2026. Registrační postup pro ubytovatele je v něm ale podmíněný, ne povinný: členský stát ho zavede, pokud uloží online platformám povinnost předávat údaje (čl. 4 odst. 2). Česko takový postup nemá — návrh (sněmovní tisk 761) se do třetího čtení nedostal a s koncem volebního období spadl. MMR představilo 12. 8. 2026 na Podnikatelské radě eTuristu jako centrální registr fungující od roku 2027.

Prakticky: k září 2026 v ČR žádná registrace ubytovatelů ani registrační číslo do inzerátů neexistuje. Evidenční kniha, domovní kniha a hlášení cizinců přes UbyPort do 3 pracovních dnů platí beze změny. Termíny 1. 7. 2026, 1. 10. 2026 a 1. 1. 2027, které kolují v komerčních článcích, vycházejí ze zahozeného návrhu. Až eTurista přijde, přibude nový příjemce údajů — a s ním řádek v informaci pro hosty. → UbyPort bez stresu: jak správně hlásit zahraniční hosty cizinecké policii

Co hrozí: pokuty v praxi

Horní hranice GDPR jsou dvě. Do 10 000 000 EUR nebo 2 % celkového ročního obratu (podle toho, co je vyšší) se trestá porušení povinností správce a zpracovatele — zabezpečení, záznamy, ohlášení incidentu, zpracovatelské smlouvy (čl. 83 odst. 4). Do 20 000 000 EUR nebo 4 % obratu jde porušení zásad, chybějící právní titul a porušení práv hostů (čl. 83 odst. 5).

ÚOOÚ za rok 2025 uložil 7 pokut v celkové výši 14 671 000 Kč (z 23 zahájených řízení); mezi nimi 96 000 Kč za zpracování jména, příjmení a telefonu bez právního důvodu a 7 500 000 Kč za nakládání s rodnými čísly. Počet podání meziročně vzrostl o 68 % — nejvíc od účinnosti GDPR.

Nejčastější chyby a mýty

• „Bez souhlasu hosta nesmím jeho údaje evidovat.“ — Naopak: evidovat je musíte ze zákona a souhlas je bezpředmětný. Checkbox na zákonnou evidenci si odpusťte.
• „Když mi host podepíše souhlas, můžu si vyfotit pas.“ — Souhlas podmíněný ubytováním není svobodný a ke kopii nemáte právní titul: uložením kopie porušíte minimalizaci (řeší ÚOOÚ) a bez prokazatelně svobodného souhlasu i zákaz kopírování dokladu (pokuta do 10 000 Kč).
• „Newsletter bývalým hostům potřebuje souhlas.“ — Nepotřebuje, jde-li o vlastní obdobné služby a v každé zprávě je bezplatná možnost odhlášení (§ 7 odst. 3 zák. č. 480/2004 Sb.).
• „Data mažu 6 let po odjezdu hosta.“ — Lhůta běží 6 let ode dne posledního zápisu do knihy, ne od pobytu; mazání „6 let od check-outu“ odporuje § 3g odst. 4.
• „Airbnb je můj zpracovatel, ono to za mě vyřeší.“ — Airbnb je samostatný správce; evidenční knihu, hlášení policii ani poplatek obci za vás nesplní.
• „Malý ubytovatel žádnou dokumentaci nepotřebuje.“ — DPIA a směrnice ne, ale záznam o činnostech zpracování ano: výjimka pro firmy do 250 zaměstnanců platí jen pro příležitostné zpracování.
• „Únik dat nahlásím, až to prošetřím.“ — Lhůta 72 hodin běží od okamžiku, kdy jste se o porušení dozvěděli; pozdní ohlášení musíte zdůvodnit.
• „Evidenci si radši nechám navždycky, ať ji mám po ruce.“ — Po uplynutí lhůty odpadá zákonný titul a další držení dat je porušením samo o sobě (čl. 5 odst. 1 písm. e) GDPR).

Časté otázky

Aktualizováno: 5. 9. 2026, fakticky ověřeno proti uvedeným zdrojům. Informační text, ne právní ani daňové poradenství — konkrétní situaci konzultujte s odborníkem.