Obchodníci s daty skládají z útržků po webu, e-shopech a aplikacích profil, který pak prodávají dál. Američané se od nich odhlašují formulářem „Do Not Sell“, v Česku máte silnější nástroj: GDPR. Ukážu, jak napsat žádost o přístup a výmaz, kdy podat stížnost u ÚOOÚ, které placené služby u nás vůbec fungují a co zapnout na iPhonu a Macu, aby nová data tolik neodtékala.
Kdo jsou obchodníci s daty a odkud mají vaše údaje
Obchodník s daty (anglicky data broker) je firma, která sbírá osobní údaje z mnoha míst, propojuje je a prodává nebo pronajímá dalším firmám. Apple v české podpoře používá přímo výraz „obchodníci s osobními údaji“ a sdílení dat s nimi výslovně řadí mezi sledování, ke kterému si aplikace na iPhonu musí vyžádat svolení.
Server Cult of Mac shrnuje, odkud se údaje berou: veřejné rejstříky a soudní dokumenty, záznamy o nákupech, sledování v aplikacích, automatické stahování webů a nákupy od jiných obchodníků. Firmy podle něj prodávají i údaje z registrací na webech, ze soutěží a dokonce ze záručních listů. Jednotlivý útržek sám o sobě moc neprozradí, dohromady ale vznikne překvapivě podrobný profil.
Nejde o okrajový byznys. Agentura Mordor Intelligence podle stejného zdroje odhaduje trh na 294 miliard dolarů v roce 2025 s růstem na 450 miliard do roku 2031. Odhlášení vám nesmaže každou stopu na internetu. Přinese ale méně spamu a podvodných nabídek a ztíží cizím lidem dohledat vaši adresu či telefon.
Proč americký návod v Česku nestačí
Američané mají stovky obchodníků s daty a hlavně weby pro vyhledávání osob, kde se dá najít konkrétní člověk. Odhlašují se formulářem „Do Not Sell My Info“ web po webu, Kaliforňané navíc hromadně přes státní nástroj DROP, který je jen pro obyvatele Kalifornie. Pro Česko tahle cesta stavěná není.
U nás platí evropské nařízení GDPR, které jde dál: nedává jen možnost „neprodávat“, ale konkrétní vymahatelná práva vůči tomu, kdo o zpracování vašich údajů rozhoduje. Takové firmě říká GDPR správce, vy jste subjekt údajů.
Tři práva, která proti obchodníkům s daty použijete
Právo na přístup (čl. 15): firma vám musí potvrdit, jestli vaše údaje zpracovává. Pokud ano, musí vám dát kopii a sdělit účely, příjemce, dobu uložení a hlavně veškeré dostupné informace o zdroji, pokud údaje nezískala od vás. Právě tohle je klíč: z odpovědi zjistíte, odkud firma vaše údaje má.
Právo na výmaz (čl. 17): firma musí údaje bez zbytečného odkladu smazat, například když odvoláte souhlas a jiný právní důvod nemá, když už údaje nepotřebuje, když jste vznesli oprávněnou námitku (u přímého marketingu je oprávněná vždy) nebo když je zpracovává protiprávně. Úřad pro ochranu osobních údajů upozorňuje, že právo není absolutní: výmazu se nedomůžete tam, kde firmě zpracování ukládá zákon (například dlužnické registry po zákonem stanovenou dobu).
Námitka proti přímému marketingu (čl. 21): proti používání údajů k přímému marketingu, včetně profilování s ním spojeného, můžete vznést námitku kdykoli. Firma pak vaše údaje pro tento účel dál zpracovávat nesmí. ÚOOÚ k tomu píše, že u přímého marketingu musí správce námitce vyhovět bez dalšího.
Užitečný je i článek 19: když firma údaje smaže, má výmaz oznámit příjemcům, kterým je předala (pokud to není nemožné nebo nepřiměřeně náročné). Na vaši žádost vám tyto příjemce musí i sdělit. Řetězec prodeje se tak dá sledovat krok za krokem.
Firma, která od vás údaje nedostala přímo, vás navíc podle článku 14 musí sama informovat, mimo jiné o tom, odkud je má. Má na to přiměřenou lhůtu, nejpozději měsíc od získání. Když údaje používá ke kontaktu s vámi, musí to udělat nejpozději při první komunikaci. Když je předává dál, nejpozději při prvním předání. Nařízení připouští výjimky, třeba když by to vyžadovalo nepřiměřené úsilí. Když vám tedy volá nebo píše někdo, s kým jste nikdy nic neměli, máte dobrý důvod se zeptat, kde vaše číslo vzal.
Jak napsat žádost a jaké lhůty platí
GDPR žádné formuláře ani předepsaný text nestanoví. Úřad pro ochranu osobních údajů doporučuje podat žádost písemně, nejlépe e-mailem nebo datovou zprávou. Adresujte ji přímo firmě nebo jejímu pověřenci pro ochranu osobních údajů (kontakt bývá v zásadách ochrany osobních údajů na webu). Z žádosti musí být jasné, kdo ji posílá, komu a čeho se domáhá.
Co do žádosti napsat
- své jméno a údaj, podle kterého vás firma najde (e-mail, telefon, číslo zákaznického účtu)
- výslovně, že uplatňujete právo na přístup podle čl. 15 GDPR a chcete znát i zdroj údajů a příjemce
- pokud chcete výmaz, odkaz na čl. 17 a důvod (odvolání souhlasu, námitka)
- pokud nechcete marketing, námitku podle čl. 21 odst. 2
- datum podání, které si uložte i s kopií e-mailu
Pokud má firma důvodné pochybnosti o vaší totožnosti, smí si vyžádat další údaje. Jen ty, které jsou k potvrzení totožnosti nezbytné.
Lhůty určuje článek 12 GDPR: firma musí odpovědět bez zbytečného odkladu, nejpozději do jednoho měsíce od obdržení žádosti. Ve složitých případech nebo při velkém počtu žádostí může lhůtu prodloužit o další dva měsíce, musí vám to ale oznámit do prvního měsíce i s důvodem. Když vám nevyhoví, musí do měsíce vysvětlit proč a upozornit vás, že můžete podat stížnost u dozorového úřadu a žádat soudní ochranu. Vyřízení je zdarma. Přiměřený poplatek nebo odmítnutí připadá v úvahu jen u žádostí zjevně nedůvodných nebo nepřiměřených, zejména opakovaných. Doložit to musí firma. Poplatek smí účtovat i za další kopie údajů.
Tip: Údaje se k obchodníkům vracejí, protože je znovu stahují z nových zdrojů. Cult of Mac proto radí brát odhlašování jako pravidelnou údržbu a kontrolovat stav každých pár měsíců. Stejně bych to dělala i tady: jednou za čtvrt roku projít, odkud chodí nevyžádané nabídky.
Kam si stěžovat: ÚOOÚ
Pokud firma do měsíce neodpoví vůbec, odpoví nedostatečně nebo údaje zpracovává dál, můžete podat stížnost u Úřadu pro ochranu osobních údajů. Úřad má na svém webu online formulář pro stížnost, podle Portálu veřejné správy ale můžete stížnost napsat i volnou formou.
Do stížnosti patří:
- označení firmy, kterou podezíráte z porušení
- popis, jak s vašimi údaji naložila
- které údaje (nebo aspoň jejich kategorie) se toho týkají
- důkazy, pokud je máte (kopie žádosti, odpověď nebo její absence)
- vaše identifikační a kontaktní údaje
Poslat ji můžete datovou schránkou (ID qkbaa2n), e-mailem na posta@uoou.gov.cz (podání je třeba elektronicky podepsat), poštou nebo osobně na adresu Pplk. Sochora 27, 170 00 Praha 7. Úřad vás do tří měsíců od přijetí vyrozumí o postupu nebo výsledku. Podání je zdarma. Ústředna úřadu konzultace neposkytuje, na rychlé dotazy k GDPR slouží informační linka +420 234 665 800 (úterý a čtvrtek od 13:00 do 15:30). Některé věci ÚOOÚ neřeší: podezření na zneužití identity patří Policii ČR, pomluvy a nepravdivé informace spadají pod ochranu osobnosti podle občanského zákoníku.
Placené služby: Incogni v Česku funguje, DeleteMe ne
Obejít desítky firem ručně zabere čas. Proto existují služby, které žádosti posílají za vás. Dvě nejznámější se ale v dostupnosti pro Česko liší.
Incogni podle své nápovědy přijímá obyvatele všech států EU včetně Česka a žádosti posílá podle GDPR. Sama upozorňuje, že rozsah výmazu se podle regionu liší. Podle Cult of Mac služba v USA opakuje žádosti každých 60 až 90 dní a individuální předplatné začíná na 7,99 dolaru měsíčně. Berte ale v potaz, že Incogni u Cult of Mac podle jeho vlastního přiznání často inzeruje a je jeho provizním partnerem.
DeleteMe mimo USA obsluhuje jen vybrané země, z Evropy Belgii, Francii, Německo, Irsko, Itálii, Nizozemsko, Španělsko a Spojené království. Česko v nabídce není.
Můj názor: placenou službu bych v Česku brala až jako druhý krok. Když vás obtěžuje konkrétní firma, žádost podle článku 15 vám řekne víc než automat, který rozesílá šablony: dozvíte se, odkud vaše údaje má. Placená služba dává smysl tomu, kdo chce pravidelně oslovovat desítky databází a nechce to hlídat sám.
Co nastavit na iPhonu, aby data neodtékala
Smazat údaje u obchodníka je polovina práce. Druhá polovina je přestat je zbytečně rozdávat. iPhone na to má čtyři nástroje a všechny fungují i v Česku.
Žádost aplikacím o nesledování: od iOS 14.5 se aplikace musí zeptat, než začnou sledovat vaši aktivitu v cizích aplikacích a na webech. Podle podpory Applu po volbě Požádat aplikaci o nesledování nedostane vývojář reklamní identifikátor a nesmí vás sledovat ani přes jiné údaje, třeba e-mailovou adresu. Přehled najdete v Nastavení > Soukromí a zabezpečení > Sledování. Když tam vypnete Povolit aplikacím žádosti o sledování, výzvy zmizí a systém všem aplikacím automaticky odpoví, ať nesledují. Jak se okno v EU letos mění, jsme popsali v článku o změnách App Tracking Transparency.
Ochrana soukromí v Mailu: skrývá vaši IP adresu, takže odesílatel nezjistí polohu ani to, jestli jste e-mail otevřeli. Zapnete ji v Nastavení > Aplikace > Mail > Ochrana soukromí volbou Chránit aktivitu v Mailu. Příručka pro iPhone upozorňuje, že funkce vyžaduje zapnuté Omezit sledování IP adresy v nastavení Wi-Fi sítě a nevztahuje se na odkazy ani přílohy.
Skrýt můj e-mail: vygeneruje náhodnou adresu, ze které se pošta přeposílá do vaší schránky. Při registraci do soutěže nebo věrnostního programu tak firma nedostane váš skutečný e-mail a adresu můžete kdykoli deaktivovat. V Mailu ji vytvoříte při psaní zprávy klepnutím na pole Od a volbou Skrýt můj e-mail (zpráva pak smí mít jen jednoho příjemce), u Přihlášení přes Apple ji nabídne přímo okno přihlášení. Apple podle své podpory obsah přeposílaných zpráv nečte. O tom, proč Apple v září ustoupil od změny domény těchto adres, jsme psali v samostatném článku.
Soukromý přenos přes iCloud: posílá provoz ze Safari přes dva oddělené servery, takže weby nevidí vaši IP adresu ani přesnou polohu a operátor nevidí, co v Safari prohlížíte. Podle seznamu dostupnosti funkcí je k dispozici i v Česku. Zapnete ho v Nastavení > [vaše jméno] > iCloud > Soukromý přenos, zvlášť na každém zařízení. Některé weby po vás pak mohou chtít další krok při přihlášení.
Soukromý přenos i vytváření adres Skrýt můj e-mail na vyžádání, třeba v Mailu, patří k předplatnému iCloud+, které podle ceníku Applu začíná na 25 Kč měsíčně. Co dalšího tarify obsahují, shrnuje přehled iCloudu a iCloudu+ v Česku.
Safari na iPhonu a Macu proti sledování
Safari podle Applu standardně brání souborům cookie třetích stran ve sledování a inteligentní prevence sledování blokuje trackery přímo na zařízení. Co konkrétní web zkoušel, ukáže Zpráva o soukromí: v Safari na iPhonu klepněte na ikonu nabídky, pak na Soukromí a zabezpečení a Zpráva o soukromí.
V anonymním prohlížení navíc Safari nasazuje vyspělou ochranu před sledováním a fingerprintingem. Od iOS 17 a macOS Sonoma v něm blokuje načítání známých trackerů a z adres odstraňuje sledovací kódy. Anonymní panely se neukládají do historie a na iPhonu si můžete nastavit, aby se zamykaly a otevřely až po Face ID, Touch ID nebo kódu (Nastavení > Aplikace > Safari).
Na Macu zkontrolujte v Safari > Nastavení > Soukromí, že je zaškrtnuté Zabránění sledování napříč stránkami. Podle příručky Safari pak Safari pravidelně maže cookies a data poskytovatelů, které sami nenavštěvujete, blokuje sledovací tlačítka sociálních sítí a proti fingerprintingu posílá webům zjednodušený popis systému, takže váš Mac splývá s ostatními. Na ochranu Macu před škodlivým softwarem, který dokáže data vytáhnout přímo z počítače, se zaměřuje návod jak ochránit Mac před malwarem a falešnými instalátory.
Nejčastější otázky o obchodnících s daty a GDPR
Je obchodování s osobními údaji v Česku legální?
GDPR zpracování osobních údajů nezakazuje, ale vyžaduje právní důvod a dává vám práva na přístup, výmaz a námitku. V USA je podle Cult of Mac obchodování s daty legální byznys, který jednotlivé státy postupně regulují.
Kolik stojí žádost o přístup nebo výmaz podle GDPR?
Nic. Informace i první kopie údajů jsou zdarma, za další kopie smí firma účtovat přiměřený poplatek. Jinak poplatek nebo odmítnutí připadá v úvahu jen u žádostí zjevně nedůvodných nebo nepřiměřených, zejména opakovaných. Doložit to musí firma.
Jak dlouho má firma na odpověď?
Jeden měsíc od obdržení žádosti. Ve složitých případech může lhůtu prodloužit o další dva měsíce, musí vám to ale do prvního měsíce oznámit i s důvodem.
Musí firma údaje smazat vždy, když o to požádám?
Ne. Výmaz není absolutní právo. Firma údaje smazat nemusí, když jejich zpracování vyžaduje zákon, například dlužnické registry po stanovenou dobu. U přímého marketingu ale musí námitce vyhovět vždy.
Jak zjistím, odkud firma moje údaje má?
Požádejte firmu, která vás oslovila, o přístup podle článku 15 GDPR a výslovně chtějte informaci o zdroji údajů. Stejnou žádost pak můžete poslat zdroji a postupovat zpětně.
Kde podám stížnost, když firma neodpoví?
U Úřadu pro ochranu osobních údajů, datovou schránkou qkbaa2n, elektronicky podepsaným e-mailem na posta@uoou.gov.cz nebo poštou. Úřad vás do tří měsíců vyrozumí o postupu.
Funguje Incogni nebo DeleteMe v Česku?
Incogni podle své nápovědy přijímá obyvatele všech zemí EU včetně Česka. DeleteMe Česko mezi obsluhovanými zeměmi nemá.
Pomůže proti obchodníkům s daty Soukromý přenos přes iCloud?
Soukromý přenos skryje IP adresu a přesnou polohu při prohlížení v Safari a ztíží sestavení profilu z webové aktivity. Údaje, které firmě sami zadáte, tím ale neochráníte. E-mail nahradí Skrýt můj e-mail, u jména, telefonu nebo adresy zbývají žádosti podle GDPR.
Je Soukromý přenos přes iCloud v Česku dostupný?
Ano. Česko je v seznamu zemí, kde Apple funkci nabízí. Potřebujete předplatné iCloud+, které začíná na 25 Kč měsíčně.
Závěr
Proti obchodníkům s daty má člověk v Česku lepší výchozí pozici než Američan: GDPR dává právo zjistit od každé firmy, jaké vaše údaje má a odkud je vzala, požádat o jejich výmaz a zakázat jejich marketingové použití. Stačí e-mail s odkazem na příslušný článek, měsíc trpělivosti a v nouzi stížnost u ÚOOÚ. Na iPhonu a Macu pak pár přepínačů sběr nových dat výrazně ztíží: žádost o nesledování, Ochrana soukromí v Mailu, Skrýt můj e-mail a Soukromý přenos přes iCloud.
