Dodavatel může technicky zpracovávat AML spis, ale odpovědnost povinné osoby tím nezaniká. Před zahájením služby určete role, přístupy a ukončení. Bezpečnostní incident a export spisu potřebují konkrétní provozní postup, nikoli jen obecnou větu ve smlouvě.
Role a smlouva podle skutečné služby
Povinná osoba je zpravidla správcem AML údajů, protože určuje zákonný účel svého zpracování. Dodavatel pracující pouze podle jejích pokynů je pro tuto činnost zpracovatelem. Vlastní zpracování dodavatele, například fakturace nebo samostatný účel, se musí posoudit zvlášť. Označení DPA nerozhoduje samo; rozhodují skutečné pravomoci nad účelem a podstatnými prostředky podle GDPR a vodítek EDPB.
Smlouva podle čl. 28 musí vymezit předmět, dobu, povahu, účel, typ údajů, kategorie osob a práva správce. Zahrnuje doložené pokyny, mlčenlivost, bezpečnost, další zpracovatele, pomoc správci, informace pro kontrolu a nakládání s daty po skončení. Zjistěte skutečná úložiště, přístupy podpory a seznam dalších zpracovatelů. Přenos mimo EHP posuďte podle kapitoly V; evropská faktura sama nezaručuje evropské zpracování.
Bezpečnost a porušení ochrany údajů
Článek 32 požaduje opatření přiměřená riziku. U kopií dokladů a AML podkladů nastavte oddělení zákazníků, řízení přístupů, autentizaci, šifrování, zálohy, obnovu a dohledatelné administrativní zásahy. Ověřte, jak se zakazuje veřejný odkaz, odstraňuje účet bývalého pracovníka a omezuje přístup podpory. Smluvní slib bezpečnosti nenahrazuje ověřitelný postup a odpovědné kontakty.
Zpracovatel oznamuje správci porušení ochrany osobních údajů bez zbytečného odkladu po zjištění. Správce podle čl. 33 oznamuje dozorovému úřadu bez zbytečného odkladu, pokud možno do 72 hodin od zjištění, ledaže je nepravděpodobné riziko pro práva a svobody osob. Při vysokém riziku se podle čl. 34 řeší také sdělení dotčeným osobám, s jeho zákonnými výjimkami. Každé porušení se dokumentuje; nelze všechny případy automaticky oznámit ani automaticky zatajit.
Ukončení musí zachovat zákonný spis
Před ukončením vyzkoušejte export dokumentů, výsledků kontrol, zdrojů, verzí a časových údajů. Spis musí zůstat čitelný a dohledatelný po příslušnou zákonnou dobu. Pouhý obrázek poslední stránky nenahrazuje kompletní podklady. Určete bezpečné předání, příjemce, kontrolu úplnosti a místo dalšího uchování. Zánik předplatného nemění lhůtu povinné osoby podle § 16.
Článek 28 odst. 3 písm. g) řeší podle volby správce výmaz nebo vrácení údajů po skončení a výmaz kopií, ledaže právo vyžaduje jejich uložení. Upřesněte zálohy, oprávněné výjimky a potvrzení provedení. Pilotní krátká retence technické aplikace není zákonným AML archivem. Dodavatel nesmí svévolně změnit účel a používat klientské spisy pro trénování modelu; jakýkoli další účel vyžaduje samostatné právní posouzení.
Praktický postup
- Zmapujte role, data a další zpracovatele.
- Uzavřete odpovídající smlouvu a ověřte bezpečnost.
- Nastavte hlášení incidentu a rozhodování správce.
- Ověřte export, další archiv a výmaz u dodavatele.
Modelová situace
Při změně dodavatele firma převezme čitelný spis včetně historie kontrol, ověří úplnost a následně doloží vrácení či výmaz podle smlouvy.
Kdy je situace jiná
Firma považuje existenci DPA za důkaz bezpečnosti a při ukončení zjistí, že umí stáhnout jen souhrn bez původních podkladů.
Co doložit
- Role, smlouva a přehled dalších zpracovatelů.
- Incidentní časová osa a posouzení rizika.
- Ověřený export a doklad ukončení.
Na co si dát pozor
- Automatická 72hodinová lhůta připsaná zpracovateli.
- Záměna dočasného úložiště s desetiletým archivem.
Časté otázky
Přebírá dodavatel AML odpovědnost klienta?
Ne automaticky. Rozdělení technických služeb a zpracování údajů nezbavuje povinnou osobu jejích zákonných povinností.
Použijte návod v praxi
Vyberte podklad podle právě řešeného kroku. Vzor přizpůsobte své profesi a skutečnému případu.
Vyplnit klientské podklady online
Kam pokračovat
- AML a GDPR: účel, role a přiměřený rozsah údajů — Právní základ AML evidence, informační povinnost a role dodavatele bez univerzálního souhlasu.
- Jak uchovávat a bezpečně předávat AML podklady — Zákonná evidence, retenční počátek a bezpečný export z dočasného nástroje.
Zdroje a právní podklady
- Nařízení (EU) 2016/679 – GDPR ↗
čl. 5, 6, 28, 32–34, 44 a násl. · přístup 2026-10-04 - EDPB: Guidelines 07/2020 on controller and processor ↗
skutečné rozdělení rolí, pokyny a smlouva se zpracovatelem · přístup 2026-10-04 - Zákon č. 253/2008 Sb., znění od 11. 1. 2026 ↗
§ 16–17a, § 24, § 38–39 · přístup 2026-10-04
Redakční zpracování a kontroly zdrojů nejsou nezávislým právním schválením vašeho konkrétního postupu. Uvedené podmínky a výjimky vždy porovnejte se svou situací.