„Potrebujem od hostí súhlas so spracovaním osobných údajov?“ Nie — a práve v tom je najčastejšie nedorozumenie. Údaje hostí spracúvate preto, že vám to ukladá ZÁKON, nie preto, že vám to hosť dovolil. Súhlasové zaškrtávacie políčko v check-ine nič nepridáva: len budí dojem, že hosť môže povedať nie — a on nemôže.

GDPR nie je pre ubytovateľa strašiak. Sú to štyri pravidlá: vedieť, prečo ktorý údaj zbierate, nezbierať nič navyše, povedať to hosťom a po lehote údaje zlikvidovať. Nižšie je ku každému hranica, lehota a sankcia.

Čo urobiť

Právne dôvody: súhlas nepotrebujete

GDPR pozná šesť právnych titulov (čl. 6 ods. 1 písm. a) až f)). V praxi stojíte na troch:

1. 1PRÁVNA POVINNOSŤ (písm. c)) — evidenčná kniha podľa § 3g zákona o miestnych poplatkoch, domová kniha a oznámenie ubytovania cudzinca do 3 pracovných dní podľa § 100 písm. c) a f), § 101 a § 102 zákona o pobyte cudzincov, podklad pre poplatok z pobytu obci. Tieto údaje spracúvať MUSÍTE; súhlas hosťa je bezpredmetný a hosť ho nemôže „odvolať“.

1. 1PLNENIE ZMLUVY (písm. b)) — rezervácia, kontakt, komunikácia k pobytu, vyúčtovanie. Pokrýva aj komunikáciu pred rezerváciou, ak ju hosť vyvolal svojím dopytom.

1. 1OPRÁVNENÝ ZÁUJEM (písm. f)) — kamera pri vchode, vymáhanie škody na vybavení, ponuka vlastných obdobných služieb bývalým hosťom. Tu si musíte obhájiť, že váš záujem prevažuje nad súkromím hosťa (vyvažovací test), a hosť má právo namietať (čl. 21).

Súhlas si nechajte na to, čo sa do žiadneho z týchto troch titulov nezmestí — a aj tam pamätajte, že súhlas podmienený poskytnutím služby podľa úradu „nenapĺňa podmienku slobodného prejavu vôle“ (čl. 7 ods. 4 GDPR).

Minimalizácia: zákon je strop, nie minimum

Zásada minimalizácie (čl. 5 ods. 1 písm. c) GDPR) dovoľuje spracúvať len údaje nevyhnutné na daný účel. Pri zákonnej evidencii je rozsah daný taxatívne: § 3g ods. 2 zákona o miestnych poplatkoch vymenúva termín pobytu, identifikáciu hosťa vrátane adresy miesta prihlásenia, údaje o doklade totožnosti a výšku vybraného poplatku, prípadne dôvod oslobodenia — položku po položke ich rozoberá samostatný článok. Pri cudzincoch pristupuje rozsah prihlasovacieho tlačiva (§ 101 a § 103 zákona o pobyte cudzincov). → Evidenčná kniha hostí: čo v nej nesmie chýbať (a čo tam naopak nepatrí)

Tento výpočet je zároveň váš strop:

• Žiadne kópie ani fotky dokladov „do šuflíka“ — zákon chce údaje z dokladu, nie doklad sám.
• Žiadne rodné čísla — evidenčná kniha ich nevyžaduje.
• Žiadne údaje „čo keby sa hodili“ — každý údaj navyše je len riziko pri úniku aj pri kontrole.

Kópia dokladu nie je len prehnaná opatrnosť, ale porušenie dvoch samostatných zákonov. Vyhotoviť kópiu občianskeho preukazu bez súhlasu držiteľa zakazuje § 39 písm. c) zákona č. 269/2021 Sb.; je to priestupok s pokutou do 10 000 CZK (§ 65 ods. 1 písm. d)), ktorý prejednáva obecný úrad obce s rozšírenou pôsobnosťou, nie úrad na ochranu osobných údajov. Pri cestovnom doklade je zákaz širší: § 2 ods. 3 zákona č. 329/1999 Sb. zakazuje vyhotovovať kópiu cestovného dokladu „akýmikoľvek prostriedkami“ bez súhlasu občana — teda ani odfotiť mobilom; pokuta opäť do 10 000 CZK (§ 34a ods. 1 písm. i)). Tento zákon dopadá na české cestovné doklady — pri pasoch cudzincov vedie k rovnakému záveru samo GDPR: na kópiu nemáte právny titul.

Zákon hovorí „bez súhlasu držiteľa“ a niekto si to vykladá ako „keď hosť kývne, môžem“. Nemôžete: na kópiu nemáte právny titul a súhlas podmienený ubytovaním nie je slobodný. Prakticky — nekopírovať, nefotiť. Do dokladu nazriete, zapíšete číslo a druh, doklad vrátite; samotné nazretie úrad za spracúvanie nepovažuje.

Rodné číslo nechcite vôbec: nakladať s ním smie jeho nositeľ, inak len v prípadoch podľa § 13c zákona č. 133/2000 Sb. — a evidenčná kniha ho nevyžaduje, od roku 2020 sa zapisuje dátum narodenia.

Informačná povinnosť: čo musí hosť vedieť

Informácia sa podľa čl. 13 ods. 1 GDPR poskytuje „v okamihu získania osobných údajov“ — teda vo chvíli, keď hosť vypĺňa formulár, pri online check-ine pred jeho odoslaním. Nie až pri odovzdaní kľúčov. Údaje, ktoré máte skôr z rezervácie (meno, e-mail, telefón), pokrýva informácia pri rezervácii alebo v potvrdení.

Obsah čl. 13 je dlhší, než sa čaká. Patrí doň:

• kto ste (meno alebo obchodné meno, IČO) a kontakt na vás,
• účely spracúvania a právny základ ku každému z nich — zákonná evidencia (§ 3g zák. č. 565/1990 Sb., §§ 101 – 102 zák. č. 326/1999 Sb.) a plnenie zmluvy o ubytovaní,
• príjemcovia alebo ich kategórie: obec ako správca poplatku z pobytu, Polícia ČR pri cudzincoch, poskytovateľ vášho softvéru ako sprostredkovateľ,
• doba uloženia — 6 rokov odo dňa posledného zápisu,
• práva hosťa: prístup, oprava, výmaz, obmedzenie spracúvania, námietka,
• právo podať sťažnosť na úrade,
• že poskytnutie údajov je zákonnou požiadavkou, a dôsledky, keď ich hosť neposkytne,
• prípadné odovzdanie mimo EÚ a záruky, ktoré preň platia.

Nemusí to byť pri formulári celé: GDPR pripúšťa vrstvený prístup — krátky odsek pri check-ine plus úplný text na webe alebo za QR kódom. Podmienka je jediná: krátka verzia musí na úplnú skutočne odkazovať.

Zabezpečenie, lehoty a únik údajov

Šesť rokov nebeží od pobytu hosťa: zákon hovorí „počas 6 rokov odo dňa vykonania posledného zápisu“ (§ 3g ods. 4 zákona o miestnych poplatkoch). Pri priebežne vedenej knihe teda najstaršie zápisy držíte podstatne dlhšie než 6 rokov od check-outu. Rovnaké pravidlo má domová kniha (§ 101 ods. 4 zákona o pobyte cudzincov); listinné dokumenty, ktoré ju nahrádzajú, sa držia 6 rokov od ukončenia ubytovania cudzinca a uschované prihlasovacie tlačivo 6 rokov od ubytovania cudzinca (§ 102 ods. 4).

Konkrétne archivačné lehoty, ktoré na ubytovateľa dopadajú najčastejšie:

• Účtovná závierka a výročná správa — 10 rokov začínajúcich koncom účtovného obdobia, ktorého sa týkajú (§ 31 ods. 2 písm. a) zákona č. 563/1991 Sb., o účtovníctve).
• Účtovné doklady, účtovné knihy, odpisové plány, inventúrne súpisy, účtový rozvrh a prehľady — 5 rokov začínajúcich koncom účtovného obdobia, ktorého sa týkajú (§ 31 ods. 2 písm. b) toho istého zákona).
• Daňové doklady, ak ste platiteľ DPH — 10 rokov od konca zdaňovacieho obdobia, v ktorom sa plnenie uskutočnilo (§ 35 ods. 2 zákona č. 235/2004 Sb., o dani z pridanej hodnoty).
• Doklady, podľa ktorých sa určuje a odvádza poistné na sociálne zabezpečenie — 10 kalendárnych rokov nasledujúcich po roku, ktorého sa týkajú (§ 22c zákona č. 589/1992 Sb.); týka sa vás len vtedy, ak máte zamestnancov.
• Ak vediete namiesto účtovníctva len daňovú evidenciu, riaďte sa lehotou na stanovenie dane: je 3 roky, predlžuje sa o 1 rok, ak v posledných 12 mesiacoch pred jej koncom nastane niektorá zo skutočností podľa § 148 ods. 2 daňového poriadku, a skončí najneskôr 10 rokov od svojho začiatku (§ 148 ods. 1 a 5 zákona č. 280/2009 Sb.). Doklady k danému roku preto reálne držte 10 rokov.

Keď na jeden doklad dopadne viac predpisov, platí tá dlhšia lehota: ak použijete účtovný záznam aj na daňové konanie alebo na sociálne zabezpečenie, musíte ho podľa § 32 ods. 1 zákona o účtovníctve uschovať aj po uplynutí lehoty z § 31. Prakticky: faktúru s menom hosťa za rok 2026 nemažete na konci roka 2031 len preto, že „účtovné doklady sú na päť rokov“ — ak je na nej DPH, beží lehota až do konca roka 2036.

Praktické minimum zabezpečenia (čl. 5 ods. 1 písm. f), čl. 25 a čl. 32 GDPR):

• Prístup len pre toho, kto ho na prácu potrebuje. Upratovanie potrebuje termín a prípadne meno, nie číslo dokladu ani dátum narodenia. → Upratovanie bez telefonovania: vlastný portál pre vašu upratovačku
• Zálohovaná evidencia s riadeným prístupom je bezpečnejšia než zošit v byte alebo tabuľka v nezaheslovanom notebooku.
• Údaje hostí nepreposielajte bežným e-mailom ani messengerom — po šiestich rokoch potom nedokážete zmazať kópie, o ktorých neviete.

Keď údaje uniknú (stratený zošit, hacknutý e-mail, omylom odoslaná tabuľka), platí čl. 33 ods. 1 GDPR: ohlásiť úradu bez zbytočného odkladu, pokiaľ možno do 72 hodín od okamihu, keď ste sa o porušení dozvedeli — lehota beží od zistenia, nie od udalosti. Neohlasuje sa len vtedy, ak je nepravdepodobné, že porušenie predstavuje riziko pre práva a slobody hostí; stratený zošit s číslami dokladov riziko typicky predstavuje. Pri neskoršom ohlásení uvádzate dôvody omeškania.

Dve veci, na ktoré sa zabúda: pri vysokom riziku musíte bez zbytočného odkladu informovať aj samotných hostí (čl. 34 ods. 1) a dokumentovať musíte všetky porušenia, aj tie neohlásené (čl. 33 ods. 5). Kanály úradu: formulár „Ohlásenie porušenia ochrany osobných údajov podľa GDPR“ na uoou.gov.cz, dátová schránka qkbaa2n, posta@uoou.gov.cz, alebo poštou na Pplk. Sochora 27, 170 00 Praha 7. → Dátová schránka: 20 minút, ktoré vám ušetria roky obiehania úradov

Sprostredkovatelia a prevádzkovatelia: kto pre vás údaje drží

Ak používate softvér (ako je ten náš), je jeho prevádzkovateľ vaším SPROSTREDKOVATEĽOM — spracúva údaje hostí pre vás a podľa vašich doložených pokynov (čl. 4 bod 8 a čl. 28 ods. 3 písm. a) GDPR). Na to GDPR vyžaduje zmluvu s náležitosťami podľa čl. 28 ods. 3 písm. a) až h): pokyny, mlčanlivosť, zabezpečenie, subsprostredkovatelia, súčinnosť pri právach hostí, hlásenie incidentov, výmaz alebo vrátenie údajov po skončení, audity. Písomná forma zahŕňa elektronickú (čl. 28 ods. 9), takže zmluva môže byť súčasťou obchodných podmienok — u nás je. Prevádzkovateľom zostávate vy a vy nesiete zodpovednosť za súlad (čl. 5 ods. 2, čl. 24).

Airbnb a Booking.com naopak vašimi sprostredkovateľmi NIE SÚ. Airbnb odovzdáva hostiteľom údaje ako samostatný prevádzkovateľ samostatnému prevádzkovateľovi; vy ste teda nezávislý prevádzkovateľ s vlastnými povinnosťami. Plynie z toho dvojaké: údaje z platformy nesmiete bez vlastného titulu použiť na iný účel (typicky si z nich stavať marketingovú databázu) a zákonnú evidenciu za vás platforma nesplní.

Ak používate nástroje s údajmi mimo EÚ, musíte to hosťom podľa čl. 13 ods. 1 písm. f) uviesť a poznať záruky na odovzdanie (čl. 44 a nasl.); prehľad, kde sú údaje uložené, u nás nájdete v dokumentácii.

Práva hostí — a ich medze

Hosť sa môže spýtať, čo o ňom evidujete (čl. 15), a chcieť opravu chyby (čl. 16). Odpovedať musíte bez zbytočného odkladu, najneskôr do 1 mesiaca od doručenia žiadosti (čl. 12 ods. 3); pri zložitých alebo početných žiadostiach možno lehotu predĺžiť o ďalšie 2 mesiace, ale o predĺžení musíte informovať do prvého mesiaca. Vybavenie je bezplatné (čl. 12 ods. 5); pri dôvodných pochybnostiach o totožnosti žiadateľa si smiete vyžiadať doplňujúce informácie (čl. 12 ods. 6).

Do 1 mesiaca sa musí oznámiť aj ODMIETNUTIE, s odôvodnením a poučením, že hosť môže podať sťažnosť na úrade (čl. 12 ods. 4). Mlčanie je porušením samo osebe.

A medza, ktorú je dobré vedieť naspamäť: „zmažte ma“ na zákonnú evidenciu neplatí. Právo na výmaz sa neuplatní tam, kde je spracúvanie nevyhnutné na splnenie právnej povinnosti (čl. 17 ods. 3 písm. b)) — a evidenčnú aj domovú knihu držíte zo zákona 6 rokov od posledného zápisu. Hosťovi to teda vysvetlíte a uvediete zákon. Výmaz dopadá len na to, čo spracúvate nad zákonný rámec: marketingový kontakt, poznámky, fotky.

Marketing: kedy smiete písať bývalým hosťom

Bývalému hosťovi smiete poslať ponuku vlastných obdobných služieb aj BEZ súhlasu — v režime opt-out podľa § 7 ods. 3 zákona č. 480/2004 Sb. Podmienky sú tri: e-mail ste získali v súvislosti s poskytnutím služby, ponúkate len vlastné obdobné služby a hosť mal jasnú a bezplatnú možnosť odmietnuť už pri získaní kontaktu aj v každej ďalšej správe. Titulom podľa GDPR je potom oprávnený záujem s právom námietky (čl. 21 ods. 2 a 3).

Súhlas (opt-in podľa § 7 ods. 2) potrebujete len tam, kde protistrana vaším zákazníkom nie je — pri záujemcoch, ktorí nakoniec nerezervovali — a pri ponukách cudzích služieb.

Každé obchodné oznámenie musí byť podľa § 7 ods. 4 zreteľne označené ako obchodné oznámenie, musí z neho byť zrejmé, kto je odosielateľ, a musí obsahovať platnú adresu na odmietnutie. Dozor vykonáva rovnako úrad. Keď sa hosť odhlási, zasielanie ukončite a kontakt na marketing vymažte alebo zablokujte — evidenčnej knihy sa to netýka.

Papiere, ktoré mať: záznam o činnostiach spracúvania

Posúdenie vplyvu (DPIA podľa čl. 35) ani vnútorné smernice sa pri bežnej evidencii hostí nevyžadujú. Záznam o činnostiach spracúvania podľa čl. 30 ods. 1 však áno — a to je najčastejšia formálna medzera malých ubytovateľov. Výnimka pre subjekty do 250 zamestnancov (čl. 30 ods. 5) neplatí, keď „spracúvanie nie je príležitostné“, a evidencia hostí príležitostná nie je: vediete ju pravidelne, celý rok.

Výklad tu nie je jednotný — úrad výnimku ilustruje na drobnom živnostníkovi so zoznamom klientov. Odporúčame na ňu nespoliehať: jednostranový záznam je najlacnejší dôkaz súladu, aký pri kontrole môžete mať. Stačí doň napísať účel (zákonná evidencia, plnenie zmluvy), právny základ, kategórie dotknutých osôb a údajov, príjemcov (obec, Polícia ČR, poskytovateľ softvéru), dobu uloženia a kto má prístup. Prevádzkovateľ musí byť schopný súlad doložiť (čl. 5 ods. 2, čl. 24) — a „viem to z hlavy“ sa doložiť nedá.

Kamery pri vchode

Kamera je samostatné spracúvanie s vlastnými pravidlami. Tie plynú z GDPR; praktickým vodidlom je metodika úradu k návrhu a prevádzkovaniu kamerových systémov z 8. 2. 2024 — nie je právne záväzná, vychádza z GDPR a usmernení EDPB 3/2019 a je písaná aj pre malých prevádzkovateľov.

• Titulom je spravidla oprávnený záujem (čl. 6 ods. 1 písm. f)) doložený vyvažovacím testom — spíšte ho vopred, nie až pri kontrole.
• Informačná tabuľka patrí ešte pred vstup do záberu; podrobnosti možno vrstviť.
• Doba uchovania: podľa metodiky by vo väčšine prípadov mala postačovať doba do 72 hodín, pri dlhšej dobe musí prevádzkovateľ uviesť jasné dôvody, prečo je nevyhnutná.
• Dokumentácia: záznam o činnostiach spracúvania (čl. 30), vyvažovací test a úvaha, či nevzniká povinnosť DPIA.
• Vnútri prenajímaného bytu kamery nemajú čo robiť. V bytovom dome navyše musíte rešpektovať pravidlá spoločenstva vlastníkov pre spoločné priestory — záber do nich si so spoločenstvom vopred prerokujte.

Čo sa chystá

Nariadenie (EÚ) 2024/1028 o zhromažďovaní a zdieľaní údajov o krátkodobých prenájmoch sa podľa svojho čl. 19 používa odo dňa 20. 5. 2026. Registračný postup pre ubytovateľov je v ňom však podmienený, nie povinný: členský štát ho zavedie, ak uloží online platformám povinnosť odovzdávať údaje (čl. 4 ods. 2). Česko taký postup nemá — návrh (snemovná tlač 761) sa do tretieho čítania nedostal a s koncom volebného obdobia spadol. Ministerstvo pre miestny rozvoj predstavilo 12. 8. 2026 na Podnikateľskej rade eTuristu ako centrálny register fungujúci od roku 2027.

Prakticky: k septembru 2026 v ČR žiadna registrácia ubytovateľov ani registračné číslo do inzerátov neexistuje. Evidenčná kniha, domová kniha a hlásenie cudzincov cez UbyPort do 3 pracovných dní platia bez zmeny. Termíny 1. 7. 2026, 1. 10. 2026 a 1. 1. 2027, ktoré kolujú v komerčných článkoch, vychádzajú zo zahodeného návrhu. Keď eTurista príde, pribudne nový príjemca údajov — a s ním riadok v informácii pre hostí. → UbyPort bez stresu: ako správne hlásiť zahraničných hostí cudzineckej polícii

Čo hrozí: pokuty v praxi

Horné hranice GDPR sú dve. Do 10 000 000 EUR alebo 2 % celkového ročného obratu (podľa toho, čo je vyššie) sa trestá porušenie povinností prevádzkovateľa a sprostredkovateľa — zabezpečenie, záznamy, ohlásenie incidentu, zmluvy o spracúvaní (čl. 83 ods. 4). Do 20 000 000 EUR alebo 4 % obratu ide porušenie zásad, chýbajúci právny titul a porušenie práv hostí (čl. 83 ods. 5).

Úrad za rok 2025 uložil 7 pokút v celkovej výške 14 671 000 CZK (z 23 začatých konaní); medzi nimi 96 000 CZK za spracúvanie mena, priezviska a telefónu bez právneho dôvodu a 7 500 000 CZK za nakladanie s rodnými číslami. Počet podaní medziročne vzrástol o 68 % — najviac od účinnosti GDPR.

Najčastejšie chyby a mýty

• „Bez súhlasu hosťa nesmiem jeho údaje evidovať.“ — Naopak: evidovať ich musíte zo zákona a súhlas je bezpredmetný. Zaškrtávacie políčko na zákonnú evidenciu si odpustite.
• „Keď mi hosť podpíše súhlas, môžem si odfotiť pas.“ — Súhlas podmienený ubytovaním nie je slobodný a na kópiu nemáte právny titul: uložením kópie porušíte minimalizáciu (rieši úrad) a bez preukázateľne slobodného súhlasu aj zákaz kopírovania dokladu (pokuta do 10 000 CZK).
• „Newsletter bývalým hosťom potrebuje súhlas.“ — Nepotrebuje, ak ide o vlastné obdobné služby a v každej správe je bezplatná možnosť odhlásenia (§ 7 ods. 3 zák. č. 480/2004 Sb.).
• „Údaje mažem 6 rokov po odchode hosťa.“ — Lehota beží 6 rokov odo dňa posledného zápisu do knihy, nie od pobytu; mazanie „6 rokov od check-outu“ odporuje § 3g ods. 4.
• „Airbnb je môj sprostredkovateľ, ono to za mňa vyrieši.“ — Airbnb je samostatný prevádzkovateľ; evidenčnú knihu, hlásenie polícii ani poplatok obci za vás nesplní.
• „Malý ubytovateľ žiadnu dokumentáciu nepotrebuje.“ — DPIA a smernice nie, ale záznam o činnostiach spracúvania áno: výnimka pre firmy do 250 zamestnancov platí len pre príležitostné spracúvanie.
• „Únik údajov nahlásim, až to prešetrím.“ — Lehota 72 hodín beží od okamihu, keď ste sa o porušení dozvedeli; neskoré ohlásenie musíte zdôvodniť.
• „Evidenciu si radšej nechám navždy, nech ju mám po ruke.“ — Po uplynutí lehoty odpadá zákonný titul a ďalšie držanie údajov je porušením samo osebe (čl. 5 ods. 1 písm. e) GDPR).

Časté otázky

Aktualizované: 5. 9. 2026, fakticky overené proti uvedeným zdrojom. Informačný text, nie právne ani daňové poradenstvo — konkrétnu situáciu konzultujte s odborníkom.