GDPR a firemní e-mail hosting: bezpečnost a pravidla

Aktualizováno a ověřeno: 12. 10. 2026 · Autor: Redakce Firemní e-mail hosting

Tato stránka pomáhá malým a středním firmám připravit otázky pro poskytovatele a doložit vlastní opatření při kontrole. Vysvětlujeme, kdy se GDPR e-mailu týká, co ověřit ve smlouvě o zpracování, jaká technická opatření dávají smysl a jak postupovat krok za krokem. Obsah je informativní a nenahrazuje právní poradenství.

Kdy se GDPR týká firemního e-mailu

Prakticky vždy. Jméno a e-mailová adresa jsou osobní údaje a pošta obsahuje objednávky, životopisy či faktury. Firma je správcem, poskytovatel hostingu zpracovatelem. Z toho plyne povinnost vybrat zpracovatele, který poskytuje dostatečné záruky, a uzavřít s ním smlouvu podle článku 28 GDPR.

Co prověřit u poskytovatele

Tabulka shrnuje otázky, které stojí za to poslat obchodníkovi nebo podpoře ještě před objednávkou.

Umístění dat a subdodavatelé

Zjistěte zemi uložení schránek i záloh. Microsoft popisuje ukládání dat zákazníků z EU v rámci programu EU Data Boundary; u českých služeb lokalitu často najdete jen u některých tarifů. Kde údaj chybí, chtějte ho písemně. Podrobnosti o lokalitě dat rozebíráme na stránce e-mail hosting v ČR.

DPA, přístupová práva a audit

Smlouva o zpracování má určit předmět, dobu a účel zpracování, povinnost mlčenlivosti, pomoc s právy subjektů a právo na audit. U velkých služeb je DPA standardní dokument bez vyjednávání; ověřte proto, zda vám jeho znění vyhovuje.

Technická opatření

Článek 32 GDPR požaduje zabezpečení odpovídající riziku. U e-mailu se nejčastěji dokládá šest opatření:

1. Vynucené vícefaktorové ověření. Zapněte MFA pro všechny účty, nejen pro administrátory. Ukradené heslo pak samo o sobě nestačí a riziko neoprávněného přístupu k osobním údajům v poště výrazně klesá.
2. Šifrování při přenosu. Klienti i servery mají komunikovat přes TLS. Ověřte, že poskytovatel nepovoluje nešifrované přihlášení přes POP3 či IMAP a že webmail běží výhradně přes HTTPS.
3. Šifrování uložených dat. Požadujte informaci, zda jsou schránky a zálohy na serverech šifrované a kdo spravuje klíče. Odpověď si uložte jako součást dokumentace technických a organizačních opatření.
4. Auditní logy přihlášení a změn. Záznamy o tom, kdo se kdy přihlásil a kdo změnil oprávnění, jsou nutné pro vyšetření incidentu. Zjistěte, jak dlouho se logy uchovávají a zda je lze exportovat.
5. Řízení přístupu a rolí. Administrátorská práva mějte jen u dvou až tří lidí. Sdílené schránky přidělujte jmenovitě, aby bylo vždy dohledatelné, kdo ze zaměstnanců s jakými daty pracoval.
6. Zálohy s definovanou retencí. Stanovte, jak dlouho se mají zprávy a zálohy uchovávat a kdy se mažou. Retence musí odpovídat zákonným lhůtám i zásadě minimalizace, ne jen kapacitě úložiště.

Šifrování, 2FA a logování

TLS chrání zprávy na cestě, šifrování úložiště na serveru a koncové šifrování i před samotným poskytovatelem. MFA brání převzetí účtu a logy umožní zjistit rozsah incidentu. Detailní srovnání funkcí najdete v průvodci bezpečný e-mail hosting.

Zálohy a retenční politika

Zálohy chrání dostupnost dat, ale prodlužují dobu jejich uložení. Stanovte, jak dlouho držet běžnou korespondenci a jak dlouho účetní doklady podle zákonných lhůt, a nechte si potvrdit, kdy se mažou zálohy.

Kontrolní seznam při výběru

Dvanáct kroků, které můžete projít s pověřencem nebo právníkem:

1. Zmapujte, jaké osobní údaje poštou tečou. Faktury, životopisy, zdravotní potvrzení či smlouvy znamenají různou míru rizika. Bez soupisu nevíte, jaké požadavky na poskytovatele vůbec klást.
2. Ověřte právní titul zpracování. U většiny firemní korespondence půjde o plnění smlouvy nebo oprávněný zájem. U citlivých údajů jsou podmínky přísnější a vyplatí se konzultace s právníkem.
3. Uzavřete smlouvu o zpracování (DPA). Poskytovatel e-mailu je zpravidla zpracovatelem. Článek 28 GDPR vyžaduje smlouvu s povinnými náležitostmi; u velkých služeb bývá součástí obchodních podmínek.
4. Zjistěte lokalitu dat a záloh. Nechte si písemně potvrdit, ve kterých zemích jsou schránky i zálohy uloženy. Pokud data opouštějí EHP, ověřte, jaké záruky pro předání poskytovatel používá.
5. Projděte seznam subzpracovatelů. Zjistěte, kteří další dodavatelé mají k datům přístup a jak vás poskytovatel informuje o změnách. Seznam si uložte a kontrolujte aspoň jednou ročně.
6. Vyžádejte doklady o zabezpečení. Certifikát ISO/IEC 27001 nebo auditní zprávu nepovažujte za záruku souladu, ale za doklad, že poskytovatel má řízený systém bezpečnosti, který prověřuje nezávislá strana.
7. Nastavte vícefaktorové přihlášení. Bez MFA je schránka chráněna jen heslem. Vynucení pro všechny uživatele včetně vedení patří k nejúčinnějším a nejlevnějším technickým opatřením, která můžete doložit.
8. Definujte retenční pravidla. Rozhodněte, jak dlouho držet běžnou korespondenci a jak dlouho účetní doklady. Pravidla zapište do interní směrnice a pokud to služba umí, nastavte je technicky.
9. Upravte proces odchodu zaměstnance. Určete, kdo převezme schránku, jak dlouho bude aktivní automatická odpověď a kdy se účet smaže. Neomezené přesměrování na soukromou adresu je riziko.
10. Připravte postup pro incidenty. Porušení zabezpečení je nutné hlásit dozorovému úřadu do 72 hodin od zjištění. Mějte připravené kontakty, šablonu hlášení a vědět, co vám dodá poskytovatel.
11. Zapište opatření do záznamů o činnostech. Doplňte e-mailovou službu do záznamů o činnostech zpracování a dokumentace bezpečnostních opatření. Při kontrole tím prokážete, že výběr byl promyšlený.
12. Plánujte odchod od poskytovatele. Ověřte, jak exportujete data a v jaké lhůtě je poskytovatel po ukončení smlouvy smaže. Bez toho se z dočasného řešení snadno stane trvalá závislost.

Shrnutí

GDPR compliant e-mail hosting není produkt, ale kombinace smlouvy, lokality dat a technických opatření. Vyžádejte DPA, seznam subzpracovatelů a doklady o zabezpečení, nastavte MFA a retenci a vše zdokumentujte. Přehled tarifů najdete v hlavním srovnání firemní e-mail hosting.

FAQ