Soukromí a GDPR

Schrems II a přenosy dat do USA: analytická data v EU

19. 10. 2026·3 min čtení·shaim

EU-US Data Privacy Framework přijatý v roce 2023 umožňuje předávání osobních údajů americkým příjemcům, kteří jsou do něj zapojeni a jejichž certifikace dané předání pokrývá. V září 2025 Tribunál EU ve věci Latombe zamítl žalobu na jeho zrušení. Před volbou služby ověřte aktuální režim předání a konkrétního příjemce, například podle informací Evropské komise k přenosům EU-USA.

V červenci 2020 vydal Soudní dvůr EU rozsudek ve věci Data Protection Commissioner v. Facebook Ireland (Schrems II^?). Zrušil tehdejší Privacy Shield kvůli nedostatečné ochraně při přístupu amerických zpravodajských služeb k datům a možnostem právní nápravy pro občany EU. Rakouský DSB, francouzský CNIL a italský Garante následně v rozhodnutích z let 2021-2022 posuzovaly tehdejší nasazení Google Analytics. Tato rozhodnutí předcházela přijetí Data Privacy Frameworku a sama neurčují právní režim každého dnešního nasazení.

Standard Contractual Clauses (SCC) zůstaly v platnosti. U přenosů založených na SCC je potřeba posoudit, zda právo a praxe cílové země umožňují dodržet sjednanou ochranu, a případně přijmout doplňující opatření. Tomuto posouzení se říká Transfer Impact Assessment (TIA). Jeho potřeba a rozsah se odvíjejí od mechanismu a okolností konkrétního předání; nejde o automatickou povinnost každého provozovatele webu. Předání pokryté platným rozhodnutím o odpovídající ochraně má jiný režim než předání založené na SCC.

Data Processing Agreement nestačí

Zpracovatelská smlouva (DPA^?) upravuje vztah mezi správcem a zpracovatelem. Sama nenahrazuje mechanismus pro předání osobních údajů mimo EU/EHP. Vedle smlouvy proto potřebujete vědět, kam data skutečně putují, kdo je příjemcem a jak je dané předání zajištěno.

Kde zpracováváme analytická data

Analytická data Trackless standardně ukládáme na serverech společnosti Hetzner v Německu, v rámci EU.

V sekci Stav napojení vidíte, kdy naposledy Váš obchod odeslal data a zda je aplikace přijala.

Podle naší zpracovatelské smlouvy analytická data mimo EU/EHP nepředáváme bez doloženého pokynu zákazníka nebo požadavku právního předpisu. Samostatnou volbou zákazníka je například AI audit: agregovaná data odesílá do jím zvolené AI služby pod jeho vlastním API klíčem, což může zahrnovat předání mimo EU/EHP. U takového předání je třeba zajistit odpovídající mechanismus podle GDPR^?. Umístění standardního úložiště v EU proto není příslibem, že každý zákazníkem zvolený export nebo navazující služba zůstane v EU.

Mohlo by Vás zajímat: Fingerprinting: denní serverový otisk místo sběru GPU a fontů · ePrivacy vs. GDPR: v čem se liší