Ověření věku a GDPR: co ukládat u objednávky

Ověření věku a GDPR se nevylučují: určete účel, právní titul, potřebné údaje a dobu uchování. Pro běžné rozhodnutí 18+ může e-shop pracovat s potvrzeným výsledkem místo plného data narození. To však neznamená, že zpracování je automaticky anonymní nebo že si můžete ponechat libovolnou kopii dokladu.

Jaké údaje e-shop opravdu potřebuje?

Začněte konkrétním pravidlem pro prodávaný výrobek. Důkaz splnění věkové hranice, čas kontroly a vazba na objednávku mohou být důležité pro provoz a doložení postupu. Rozsah odůvodněte; přidávání dalších identifikačních údajů „pro jistotu“ není samo o sobě účelem. Základ stanoví GDPR, zejména čl. 5, 6 a 25.

EDPB v prohlášení 1/2025 zdůrazňuje přiměřenost, minimalizaci a oddělení věkové kontroly od dalších účelů. Jako možný přístup uvádí předání funkčního výsledku přes třetí stranu. Současně doporučuje dostupné alternativy a možnost řešit chybný výsledek. Prohlášení EDPB z 11. února 2025.

Co dostává obchod a co zpracovává AgeCheck?

Výsledek obchodnického API AgeChecku zahrnuje stav, metodu, údaj 18+, identifikátor ověření, referenci obchodu, časy a informaci o opětovném použití síťového ověření. Neobsahuje jméno, plné datum narození ani číslo dokladu zákazníka. Dokumentace integrace.

Samotná služba vedle výsledku pracuje s provozními údaji a pseudonymním záznamem pro opakované ověření. Ten obsahuje metodu, platnost a podle zdroje také rok narození. Rozsah údajů při prvotním ověření se liší podle metody. Proto není přesné tvrdit, že celý proces zpracovává výhradně jediný anonymní bit ano/ne. Podrobnosti porovnejte s aktuálními zásadami ochrany osobních údajů a zvolenou metodou.

Je nutné získat souhlas zákazníka?

Ne každé zákonné ověření stojí na souhlasu. Pokud je zpracování nezbytné pro splnění konkrétní právní povinnosti, přichází v úvahu čl. 6 odst. 1 písm. c) GDPR. Je třeba doložit vztah mezi povinností a rozsahem údajů; obecná fráze „kvůli zákonu“ neodůvodní celý zákaznický profil.

U dobrovolné věkové politiky, zapamatování výsledku nebo jiného účelu posuďte právní základ samostatně. U tabáku a alkoholu navíc zohledněte omezení dalšího použití údajů v § 6 odst. 7 a § 15 odst. 4 zákona č. 65/2017 Sb. Údaje z kontroly automaticky nepřidávejte do reklamních publik. Pravidla pro použití údajů při prodeji.

Jak dlouho uchovávat důkaz o ověření?

GDPR nestanoví univerzální počet dnů pro všechny věkové kontroly. Zvolte odůvodněnou dobu pro jednotlivé účely a oddělte záznam ověření, technické logy, síťové zapamatování a účetní doklady. Doba uchování faktury se automaticky nepřenáší na fotografii občanského průkazu.

AgeCheck má oddělené mechanismy mazání starších ověřovacích relací, prošlých síťových identit a diagnostických záznamů. Při nasazení si potvrďte konkrétní provozní lhůty a sladění s vaší evidencí. Potřebné podklady vyžádejte včas; nepočítejte s neomezeným archivem.

Co vyřešit s dodavateli a ve formuláři?

Určete role jednotlivých subjektů podle jejich skutečných účelů a rozhodování. Pokud dodavatel vystupuje jako zpracovatel, potřebujete odpovídající ujednání podle čl. 28 GDPR. U každého poskytovatele identity se nepředpokládá automaticky stejná role. Vycházejte z podmínek zpracování a konkrétního zapojení.

Před ověřením srozumitelně vysvětlete účel, příjemce údajů, uchování a práva. Zajistěte kontakt pro chybný výsledek a kontrolovaný přístup zaměstnanců k evidenci. Při metodě pracující s dokladem nebo biometrikou posuďte konkrétní rizika a případnou potřebu posouzení vlivu podle čl. 35 GDPR. Neposílejte zákazníky automaticky k zasílání úplných dokladů běžným e-mailem.