Právo na výmaz osobních údajů GDPR: co říká NSS

Obviněný prošel v roce 2016 stíháním kvůli dotační kauze, dostal podmíněný trest a zaplatil škodu. Policie mu při obvinění sejmula otisky, vyfotila ho, popsala a vytvořila profil DNA z bukálního stěru. Všechno šlo do policejních databází — a zůstalo tam roky. Když se soudní cestou domáhal výmazu, dostal se spor až k Nejvyššímu správnímu soudu. Ten v rozsudku ze dne 15. 4. 2026, čj. 7 As 172/2022-198, publikovaném ve Sbírce NSS pod č. 4749/2026, upřesnil, jak funguje právo na výmaz osobních údajů GDPR v policejním kontextu — a nepřímo tím dal signál i správcům údajů v soukromém sektoru: pokud pominul účel zpracování, uchovávat dál nelze.

Rozhodnutí je pro firemní praxi zajímavější, než se z názvu zdá. Sice se týká policie a zvláštní úpravy podle zákona č. 273/2008 Sb. a směrnice 2016/680, ale logika, kterou NSS staví — pravidelný přezkum potřebnosti dat, nezbytnost dalšího uchovávání, možnost subjektu žádat výmaz s následným soudním přezkumem — je stejná jako u obecného GDPR. Kdo dnes uchovává data zákazníků nebo zaměstnanců „pro jistotu“ a bez revize, dostává varování. A dostává ho v době, kdy dozorové orgány v celé Evropě přitvrzují u těch nejběžnějších prohřešků: uchovávání dat po skončení účelu, nedostatečná evidence titulů a alibistické odpovědi na žádosti o výmaz.

Co se stalo: identifikační úkony u obviněného z dotačního přečinu

Žalobce byl v prosinci 2015 obviněn z přečinu porušení povinnosti při správě cizího majetku. V lednu 2016 s ním policie provedla identifikační úkony podle § 65 zákona o policii — přestože žalobce nesouhlasil, po poučení se podrobil. Získané údaje putovaly do databází Policie ČR: alfanumerické údaje a fotografie do informačního systému, otisky do daktyloskopické sbírky, profil DNA do databáze DNA, bukální stěr do biologické sbírky.

V trestní linii byl žalobce následně pravomocně odsouzen Městským soudem v Praze — vedle původního přečinu i za zločin zneužití pravomoci úřední osoby. Dostal tříletý podmíněný trest se čtyřletou zkušební dobou, čtyřletý zákaz činnosti a povinnost uhradit škodu 4 500 000 Kč. Věc tedy skončila odsuzujícím rozsudkem — nešlo o osobu, u které by trestní obvinění padlo.

Přesto se domáhal výmazu údajů z policejních databází a namítal, že jejich odebrání i další uchovávání je nezákonným zásahem do práva na informační sebeurčení. Bukální stěr byl v průběhu řízení (k 31. 3. 2022) zlikvidován, zbytek dat ale policie držela dál. Právě proto se spor přesunul z otázky, zda vůbec identifikační úkony proběhnout mohly, k otázce, jak dlouho a za jakých podmínek smí správce takto získaná data držet — a jak konkrétně musí odůvodnit odmítnutí jejich výmazu.

Městský soud: policie neprokázala, k čemu jí data slouží

Městský soud v Praze v rozsudku ze dne 23. 6. 2022, čj. 6 A 88/2016-160, žalobě vyhověl a policii nařídil údaje z databází smazat. Argumentace soudu je pro pochopení celého sporu klíčová. Naplnění subjektivní stránky úmyslného trestného činu podle § 65 odst. 1 písm. a) zákona o policii samo o sobě nestačí. Policie musí u konkrétní osoby zvážit, zda existuje reálné riziko, že právě ona bude v budoucnu páchat trestnou činnost, u níž lze uchovávané údaje využít.

Žalovaný to podle soudu neudělal. Odůvodnil postup obecně — recidiva pachatelů úmyslných trestných činů, statistická pravděpodobnost, čekání na pravomocné meritorní rozhodnutí. Konkrétní posouzení případu žalobce chybělo. Ze spisu nešlo dovodit, k čemu přesně mají data u této osoby sloužit. Žalobce nebyl v minulosti stíhán, šlo o hospodářskou trestnou činnost, u které je využitelnost DNA profilu pro budoucí identifikaci pachatele spíš teoretická. Soud proto sám provedl test proporcionality — a policie v něm neuspěla.

To je pointa, která přesahuje trestní kontext. Test proporcionality neprovádí správce dat proto, aby splnil formální požadavek zákona. Provádí ho, aby v případě sporu unesl důkazní břemeno o tom, že uchovávání je nezbytné. Když správce místo konkrétního posouzení předloží obecný odkaz na statistiky, riskuje, že soud provede posouzení sám — a udělá to zpravidla přísněji než dozorové orgány, které jsou zvyklé se s obecným zdůvodněním spokojit.

NSS: česká úprava evropským požadavkům odpovídá, ale jen s pravidelnou revizí

Nejvyšší správní soud v kasačním řízení potvrdil základní směr úvahy městského soudu, přinesl ale dvě důležitá upřesnění. První míří na systém: česká úprava nestanoví maximální časový limit, po který lze identifikační osobní údaje uchovávat. To by na první pohled mohlo být v rozporu se směrnicí 2016/680. NSS ale dovodil, že kombinace povinností podle § 65 odst. 5, § 79 odst. 2 a § 82 odst. 1 zákona o policii — tak, jak je vykládá judikatura správních soudů — evropským požadavkům vyhovuje. Zákon totiž ukládá pravidelný přezkum toho, zda je další uchovávání potřebné. U biometrických a genetických údajů dokonce zkoumání „naprosté nezbytnosti“ dalšího držení dat.

Druhé upřesnění se týká záruk subjektu údajů. Právo žádat o výmaz podle § 29 zákona č. 110/2019 Sb., ve spojení s § 65 odst. 5 a § 82 odst. 1 zákona o policii, doplněné o možnost soudního přezkumu, představuje podle NSS vhodnou záruku ve vztahu k biometrickým a genetickým údajům — tedy k datům, která spadají do zvláštních kategorií podle čl. 10 směrnice 2016/680. Jinými slovy: systém není protiústavní, protože subjekt má reálnou cestu, jak se domoci výmazu. Ale ta cesta musí fungovat — správce ji nesmí zneužitelně brzdit obecnými argumenty o statistikách recidivy.

Třetí teze rozsudku má význam především pro trestní řízení: pro účely budoucí identifikace není důvod rozlišovat mezi osobou obviněnou z úmyslného trestného činu a osobou, které bylo sděleno podezření podle § 179b odst. 3 trestního řádu. Obě kategorie mají z hlediska účelu zpracování stejné postavení. Praktickým důsledkem je, že se policii otevírá stejná paleta postupů u obou skupin — a stejná povinnost průběžně vyhodnocovat, zda ještě dává smysl data držet.

Proč to zajímá i firmy, které s policií nikdy nic řešit nebudou

Rozsudek se formálně týká policejní databáze a specifické směrnice pro orgány činné v trestním řízení. Logika, kterou NSS aplikuje, se ale s obecným GDPR překrývá v podstatných bodech. Kdo zpracovává osobní údaje — ať už zákazníků, uchazečů o zaměstnání, bývalých zaměstnanců, dodavatelů nebo návštěvníků webu — čelí stejné otázce: pominul účel, pro který jsem data získal? Pokud ano, musí je bez zbytečného odkladu vymazat, jinak porušuje čl. 5 odst. 1 písm. e) a čl. 17 GDPR.

V praxi selhává právě to, co NSS vytkl policii: obecné, paušální odůvodnění dalšího držení dat. „Uchováváme pro případ reklamace“, „mohli bychom to potřebovat pro obhajobu nároků“, „vede se u nás CRM historie klientů“ — to nejsou právní tituly, to jsou zvyky. Skutečné gdpr compliance vyžaduje, aby správce uměl u každé kategorie údajů říct: jaký byl účel, jak dlouho ho potřebuji, kdy ho reviduji, co se stane po uplynutí lhůty. Bez toho čelí sankci až 20 milionů EUR nebo 4 % celosvětového obratu — a hlavně reálnému riziku, že první stížnost k ÚOOÚ nebo první žádost o výmaz odhalí, že interní procesy neexistují.

Podobná logika se prosazuje i v gdpr v marketingu. Databáze kontaktů nasbíraných před lety, u nichž firma neumí doložit původní právní titul ani rozsah souhlasu, jsou dnes spíš pasivem než aktivem. Když se ozve subjekt s žádostí o výmaz nebo o informace o zpracování, zjistí správce, že historii tvorby databáze rekonstruovat neumí — a tím se sám zbavuje obrany.

Právo na výmaz osobních údajů GDPR v praxi firem

Dvě věci stojí za zdůraznění. Zaprvé, pravidelný přezkum potřebnosti dat není formalita. NSS ho výslovně staví jako klíčovou záruku, díky které česká úprava obstojí před evropským právem. Firma, která data zpracovává, potřebuje nastavit revizní cykly — u běžných údajů typicky roční, u citlivých kategorií kratší. Revize musí být doložitelná: záznam o tom, kdo, kdy, u které kategorie údajů posoudil, zda účel trvá. Bez písemné stopy je revize v případě kontroly neexistující, i kdyby fakticky proběhla.

Zadruhé, žádost subjektu o výmaz nelze odbýt paušální odpovědí. Pokud subjekt požádá, správce musí konkrétně vysvětlit, proč data dál drží — jaký účel trvá, jaký právní titul se uplatní, do kdy se počítá s dalším zpracováním. Odkaz na abstraktní zákonnou možnost („my to podle zákona můžeme uchovávat“) není odpovědí na otázku, zda to v konkrétním případě je nutné. Přesně na tomto bodě neuspěla policie u městského soudu a NSS jí v tom dal za pravdu.

Do širšího rámce compliance gdpr patří i propojení s bezpečností dat. Otázka gdpr a kyberbezpečnosti se v poslední době řeší především u incidentů podle NIS2, ale principiálně jde o totéž: čím déle a širším rozsahem správce data drží, tím větší je expozice v případě úniku. Data, která už neslouží účelu a která nebyla včas smazána, tvoří v případě incidentu největší část škod — a zároveň nejtěžší část obhajoby před dozorovým orgánem.

Praktický dopad pro podnikatele: projděte si evidence činností zpracování, které vám GDPR ukládá vést. U každé kategorie dat si ověřte, zda účel stále trvá a zda máte dokumentovaný postup, jak se s pominutím účelu naloží. Zvlášť u zaměstnaneckých dat, kde končí pracovní poměr a data zůstávají v personálním systému. Zvlášť u obchodních dat, kde končí smluvní vztah a marketing zákazníka dál kontaktuje. A zvlášť u biometrických nebo zdravotních údajů, kde je požadavek na nezbytnost přísnější. Nastavení těchto procesů řešíme s klienty v rámci oblasti Obchodní právo a korporace — typicky spolu s revizí smluvní dokumentace, interních směrnic a zpracovatelských smluv.

Rozsudek NSS neotevírá nové právo, ale zpřesňuje očekávání dozorových orgánů i soudů. Ten, kdo dnes uchovává data jen proto, že se to tak vždycky dělalo, čelí větší expozici než před rokem. Ne proto, že by se změnil zákon. Proto, že se posunula laťka, jak podrobně musí správce svoji potřebu doložit.

Zdroj: Rozsudek Nejvyššího správního soudu ze dne 15. 4. 2026, čj. 7 As 172/2022-198, publikovaný ve Sbírce rozhodnutí NSS pod č. 4749/2026.