# Spracúvanie osobných údajov, keď dodávatelia pristupujú na servery

> Vzdialená správa, záplatovanie, forenzná analýza: čo upravuje zmluva o spracúvaní podľa čl. 28 GDPR, keď IT dodávateľ pristupuje na server, a čo vyjasniť vopred.

Zdroj: https://phpsos.de/sk/blog/auftragsverarbeitung-serverzugriff/  
Stav: 25.10.2026  
Poskytovateľ: PHP SOS, Núdzová pomoc pri PHP a bezpečnosť serverov. Okamžitá pomoc cez WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20de%C5%88%2C%20PHP%20SOS%2C%20potrebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20serverom%20s%20PHP.%20Spolo%C4%8Dnos%C5%A5%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručne:** Ak IT dodávateľ pristupuje na servery, na ktorých ležia osobné údaje, je spravidla potrebná zmluva o spracúvaní osobných údajov v mene prevádzkovateľa (v Nemecku AVV) podľa čl. 28 GDPR. Určuje, že dodávateľ koná len podľa pokynov, zachováva mlčanlivosť, prijíma primerané bezpečnostné opatrenia, ďalších partnerov zapája len so súhlasom a porušenia ochrany údajov hlási bez zbytočného odkladu. AVV uzavrite skôr, než nastane núdza. Táto stránka je všeobecná informácia a nie právne poradenstvo.

## Keď to musí ísť rýchlo, zmluva často chýba

V týždni po PHP2Shell si mnohé firmy narýchlo zavolali externú pomoc. Administrátor mal aktualizovať PHP, agentúra reštartovať procesy, forenzný tím skontrolovať logy. Externí tak dostali prístup k serverom, na ktorých ležia účty zákazníkov, objednávky a údaje z formulárov. Otázka, na akom právnom základe z hľadiska ochrany údajov sa to dialo, vznikla často až potom.

To je pochopiteľné, pretože v núdzi rozhoduje tempo. Dá sa tomu však vyhnúť. S niekoľkými prípravami sa dá spojiť oboje: rýchla pomoc a čistý základ.

## Kedy je s IT dodávateľom potrebné AVV

O spracúvanie v mene prevádzkovateľa ide vtedy, keď dodávateľ spracúva osobné údaje v mene a podľa pokynov prevádzkovateľa. Pri webserveroch často stačí už samotná možnosť prístupu: kto pracuje s právami root na serveri, môže čítať databázu s údajmi zákazníkov, aj keď to nemá v úmysle.

Typické situácie s prístupom na server sú:

- priebežná údržba a aktualizácie zo strany agentúry alebo systémového domu,
- prevádzka servera hosterom so spravovanými službami (managed),
- núdzová pomoc, vyčistenie a obnova po útoku,
- forenzné vyšetrovanie s kópiami nosičov údajov a logov,
- monitoring, pri ktorom údaje logov prúdia k dodávateľovi.

Počítajú sa aj krátke nasadenia. Vzdialená relácia so zdieľaním obrazovky, pri ktorej sa technik len „rýchlo pozrie“, mu môže ukázať údaje zákazníkov. Export databázy odoslaný e-mailom na hľadanie chyby je sprístupnenie. Práve takéto príležitosti často prebehnú bez základu, pretože sa nevnímajú ako projekt.

Či v konkrétnom prípade ide o spracúvanie v mene prevádzkovateľa alebo o inú situáciu, posúdi váš zodpovedný pracovník pre ochranu údajov. Dôležité je, vôbec si túto otázku položiť skôr, než sa pridelia prístupy.

## Čo vyžaduje čl. 28 GDPR v zmluve

Čl. 28 ods. 3 GDPR uvádza povinný obsah. Popri predmete, trvaní, povahe a účele spracúvania, druhoch údajov a kategóriách dotknutých osôb sa musí sprostredkovateľ okrem iného zaviazať k týmto bodom. Pravý stĺpec ukazuje, čo to prakticky znamená pri prístupoch na server.

| Povinnosť podľa čl. 28 ods. 3 | Praktický význam pri prístupe na server |
|---|---|
| a) spracúvanie len na základe zdokumentovaných pokynov | zákazka písomne, napríklad cez tiket: čo presne sa má urobiť |
| b) dôvernosť zapojených osôb | prístup dostanú len zaviazané, menovite známe osoby |
| c) opatrenia podľa čl. 32 | osobné účty, dvojfaktorové prihlásenie, šifrované spojenia |
| d) podmienky pre ďalších sprostredkovateľov | forenzní alebo hostingoví partneri len so súhlasom |
| e) podpora pri právach dotknutých osôb | súčinnosť, ak sa prístup alebo vymazanie týka servera |
| f) podpora pri čl. 32 až 36 | spolupôsobenie pri bezpečnosti, oznamovaní a posúdení vplyvu |
| g) vymazanie alebo vrátenie po skončení | kópie, obrazy a exporty sa vymažú alebo vrátia |
| h) doklady a kontroly | protokoly prístupov, informácie o opatreniach |

Čl. 33 ods. 2 GDPR navyše vyžaduje, aby sprostredkovateľ porušenie ochrany údajov, o ktorom sa dozvie, hlásil prevádzkovateľovi bez zbytočného odkladu. Pri dodávateľovi, ktorý práve vyšetruje kompromitovaný server, to nie je formalita: je často prvý, kto vidí náznaky úniku údajov. Lehotu a ďalší postup oznámenia dozornému orgánu vysvetľuje [Oznamovacia povinnosť podľa GDPR: 72 hodín po incidente](https://phpsos.de/sk/compliance/dsgvo-meldepflicht-72-stunden/).

## Zorganizovať prístupy v súlade s ochranou údajov

Podpísané AVV je základ. Či sa sľuby dodržiavajú, rozhoduje každodenná prax. Tieto kroky sa osvedčili:

1. **Vlastné osobné prístupy** pre každú osobu dodávateľa, nikdy zdieľané administrátorské účty. Ako ich zabezpečiť, je v článku [Dvojfaktorové prihlásenie pre prístupy správcov](https://phpsos.de/sk/ratgeber/zwei-faktor-admin/).
2. **Časovo obmedziť:** prístupy pre jedno nasadenie po skončení deaktivovať, trvalé účty pravidelne preverovať.
3. **Protokolovať:** zaznamenávať prihlásenia a príkazy účtov dodávateľa, aby zostalo dohľadateľné, kto čo urobil.
4. **Pracovať šetrne s údajmi:** pre analýzy kopírovať len nevyhnutné údaje, kópie ukladať šifrované, zaznamenať miesto uloženia a dátum vymazania.
5. **Zdokumentovať ukončenie:** prístupy odobraté, kópie vymazané alebo odovzdané, potvrdenie písomne.

> **Dôležité:**
> Forenzné vyšetrovanie často vytvára úplné obrazy serverov, vrátane všetkých údajov zákazníkov. Vopred upravte, kde takéto obrazy ležia, kto k nim pristupuje a kedy sa vymažú, bez ohrozenia zabezpečenia dôkazov.

## Uzavrieť AVV pred núdzou

Najlepším časom na AVV je pokojný deň. Určte dodávateľov, ktorí majú v núdzi zasiahnuť, teda hostera, agentúru a prípadne tím pre riešenie incidentov a forenznú analýzu, a uzavrite s nimi zmluvy vopred. Zachyťte pritom aj to, ktorých ďalších partnerov smie dodávateľ nasadiť.

Podpísané zmluvy uložte tam, kde leží núdzový plán, a v zozname kontaktov poznačte, s kým AVV existuje. Ostatné bezpečnostné povinnosti, napríklad lehoty aktualizácií a doklady, patria do zmluvy o plnení; viac v článku [Zmluvy s IT dodávateľmi: jasne upraviť bezpečnostné povinnosti](https://phpsos.de/sk/blog/dienstleistervertrag-sicherheit/). Pre všetky právne otázky sú správnymi kontaktmi váš zodpovedný pracovník pre ochranu údajov a právnik.

## Ako konkrétne pomáha PHP SOS?

- Pred prvým prístupom vyjasníme, aké údaje ležia na dotknutých systémoch, a rámec odsúhlasíme s vaším zodpovedným pracovníkom pre ochranu údajov.
- Pracujeme s osobnými, protokolovanými prístupmi a každý zásah zrozumiteľne dokumentujeme.
- Pomenujeme špecializovaných partnerov, ktorých by sme zapojili napríklad pre [IT forenznú analýzu](https://phpsos.de/sk/leistungen/it-forensik/), aby ste sa mohli vopred rozhodnúť.
- Po skončení [reakcie na incident (Incident Response)](https://phpsos.de/sk/leistungen/incident-response/) písomne potvrdíme odobratie prístupov a vymazanie alebo odovzdanie všetkých kópií.

**Záver:** Ochrana údajov a rýchla pomoc sa nevylučujú, ak základ stojí vopred. AVV s dodávateľmi pre kritický prípad patrí do každej núdzovej prípravy. Táto stránka je všeobecná informácia a nie právne poradenstvo.


## Časté otázky

**Je každá vzdialená správa spracúvaním v mene prevádzkovateľa?**  
Nie automaticky. Rozhodujúce je, či dodávateľ spracúva osobné údaje v mene objednávateľa alebo či k nim môže pristupovať. Pri webserveroch s účtami zákazníkov, objednávkami alebo formulármi to tak spravidla je. Zaradenie v jednotlivom prípade vykoná váš zodpovedný pracovník pre ochranu údajov.

**Môžem AVV uzavrieť ešte počas incidentu?**  
Je to možné, ale pod časovým tlakom často chýba pokoj na kontrolu. Lepšie je uzavrieť AVV vopred s dodávateľmi, ktorí majú v núdzi zasiahnuť. Potom môže práca začať okamžite.

**Musí ma dodávateľ informovať, ak spozoruje porušenie ochrany údajov?**  
Áno. Podľa čl. 33 ods. 2 GDPR oznámi sprostredkovateľ prevádzkovateľovi porušenie ochrany osobných údajov bez zbytočného odkladu po tom, čo sa o ňom dozvedel. Oznámenie dozornému orgánu zostáva vecou prevádzkovateľa.

**Smie dodávateľ prizvať ďalších partnerov, napríklad na forenznú analýzu?**  
Podľa čl. 28 ods. 2 GDPR len s predchádzajúcim písomným súhlasom prevádzkovateľa, ktorý možno udeliť jednotlivo alebo všeobecne. Pri všeobecnom súhlase musí dodávateľ informovať o zmenách, aby ste mohli vzniesť námietku.

## Zdroje

- [GDPR čl. 28: sprostredkovateľ](https://dsgvo-gesetz.de/art-28-dsgvo/)
- [GDPR čl. 33](https://dsgvo-gesetz.de/art-33-dsgvo/)
- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)