Evropský sbor pro ochranu osobních údajů přijal v září 2025 první pokyny, které mají propojit GDPR a nařízení o digitálních službách (DSA). Tento krok znamená zásadní změnu pro všechny online platformy, ale i pro uživatele, kteří budou moci lépe uplatnit svá práva. Nejde jen o právní teorii – nové standardy přímo určují, jakým způsobem se budou mazat nelegální příspěvky, jak transparentní musí být doporučovací algoritmy nebo zda mohou firmy cílit reklamu podle citlivých údajů. Pokud má český podnik smlouvu se zprostředkovatelem online služeb nebo provozuje vlastní platformu, týkají se ho nová pravidla okamžitě.
Co mění pokyny EDPB
Z pohledu investora či podnikatele je klíčové, že EDPB poprvé výslovně vyložil, jak se GDPR uplatní ve spojení s povinnostmi z DSA. Konkrétně se vyjasňuje, že provozovatel platformy musí při odstraňování obsahu respektovat zásadu minimalizace údajů – nesmí se sbírat více informací o uživateli, než je nutné. To má praktický dopad například na situaci, kdy expat v Česku provozuje vlastní e-shop s diskusním fórem: při blokaci uživatele kvůli nelegálnímu obsahu nesmí uložit celé jeho IP historie, ale pouze to, co je nutné pro obhajobu před soudem.
Další významnou změnou je reklama. Zákaz využívání zvláštních kategorií údajů – například zdravotního stavu, víry či politických postojů – k cílení reklamy se od 2025 týká i menších firem, které si objednávají reklamu přes velké platformy. Český podnikatel, který by chtěl propagovat své služby expatům podle jejich národnosti či jazykových preferencí, se tak ocitá v šedé zóně a musí se spolehnout na legální segmentační kritéria.
Co hrozí při porušení pravidel?
Pokud by česká firma ignorovala tato pravidla a objednala si kampaň, která využívá data o zdravotním stavu uživatelů (např. propagace doplňků stravy cílená na pacienty s diabetem), hrozí jí pokuta podle GDPR až 20 milionů eur nebo 4 % celosvětového obratu – podle toho, která částka je vyšší. To je číslo, které může být pro střední firmu likvidační. V praxi se proto vyplatí raději investovat do auditů digitální reklamy a mít jasně doloženo, že cílení probíhá pouze na základě legálních parametrů.
Je zajímavé i doporučení ohledně nezletilých uživatelů. Zákaz profilované reklamy zaměřené na děti se netýká jen velkých sociálních sítí, ale i malých aplikací či vzdělávacích portálů. Pokud expat založí v Česku startup v oblasti edtech a umožní registraci uživatelům mladším 18 let, musí okamžitě zablokovat jakékoli personalizované reklamy. Z právního hlediska to znamená dodatečné náklady – průměrně kolem 8–12 % rozpočtu projektu se podle odhadů Evropské komise vydá jen na compliance.
Proč to celé vzniká
EU reaguje na prudký růst digitálních služeb a tlak veřejnosti na bezpečnější online prostředí. Jen v roce 2024 se v EU nahlásilo 6,8 milionu případů šíření nelegálního obsahu, přičemž více než 40 % bylo spojeno s dezinformacemi. Pokyny EDPB mají zajistit, že při řešení těchto problémů nebudou porušována základní práva uživatelů, zejména ochrana soukromí. Kritický pohled však zůstává: část odborníků upozorňuje, že nové povinnosti zvyšují náklady na podnikání a mohou odradit menší hráče od vstupu na digitální trh.
Českým firmám se proto doporučuje nejen sledovat výklad EDPB, ale také se aktivně účastnit veřejných konzultací, kde lze k navrženým pokynům podávat připomínky. Do 31. října 2025 tak mohou podnikatelé ovlivnit podobu pravidel, která jim budou určovat hranice digitálního marketingu i provozu online platforem na další roky.
