Průvodce ochranou soukromí 4. září 2026

GDPR galerie pro fotografy: co si ověřit, než začnete nahrávat

Každá klientská galerie obsahuje osobní údaje: tváře, jména, e-mailové adresy, občas dětskou oslavu narozenin. Poskytovatel galerie je tím pádem váš zpracovatel a GDPR má krátký seznam věcí, které od takového vztahu očekává. Tento průvodce shrnuje, co zákon žádá, dává vám kontrolní seznam, podle kterého poskytovatele změříte, a ukazuje, co odpovědět klientovi, který se zeptá.

Malý visací zámek ležící na klávesnici notebooku — Fotografie od Towfiqu barbhuiya na Unsplash

Co GDPR po galerii doopravdy chce

Nařízení se o fotografech ani galeriích nikde nezmiňuje. Mluví o správcích, zpracovatelích a osobních údajích, a fotografie rozpoznatelné osoby osobním údajem je. Většinu práce odvedou tři články.

Právní základ a informování lidí (čl. 6 a 13)

Potřebujete důvod, proč fotografie zpracováváte, obvykle smlouvu s klientem nebo svůj oprávněný zájem, a lidé na snímcích musí vědět, co se s fotkami děje. U svatby to znamená smlouvu s párem a jednu větu pro hosty o tom, kam fotky putují. Tahle část je na vás, žádný poskytovatel ji za vás nevyřeší.

Smlouva s tím, kdo je ukládá (čl. 28)

Firma, která vaše galerie hostuje, zpracovává osobní údaje pro vás, takže GDPR vyžaduje písemnou smlouvu mezi vámi: zpracovatelskou smlouvu, anglicky Data Processing Agreement (DPA), německy Auftragsverarbeitungsvertrag (AVV). Určuje, co smí poskytovatel s údaji dělat, kdo jsou jeho další zpracovatelé a co se stane, až od něj odejdete. Bez ní je porušením už samotný hosting.

Zabezpečení a doba uložení (čl. 32)

Přiměřená technická opatření: šifrování při přenosu, řízení přístupu, zálohy, datové centrum s uznávanou certifikací. A hranice, jak dlouho věci zůstávají: zásada omezení uložení říká, že fotky jsou online, dokud pro to existuje účel, a pak jdou pryč. Galerie, ve které si nastavíte, kdo se dovnitř dostane, a jedním kliknutím ji celou stáhnete, dělá svoji polovinu.

Kontrolní seznam

Šest věcí, podle kterých poskytovatele galerií změříte, ještě než nahrajete jedinou klientskou fotku. Poskytovatel, který projde všemi šesti, promění vaši část GDPR většinou jen v papíry, které už máte.

Hosting v EU a zveřejněný seznam dalších zpracovatelů

To, kde soubory fyzicky leží, rozhoduje o tom, jestli budete muset vysvětlovat mezinárodní předání. Úložiště uvnitř EU tuhle otázku odstraní. Seznam dalších zpracovatelů vám řekne, kdo se k údajům ještě dostane: e-mailová služba, monitoring chyb, platební brána. Když je poskytovatel odmítne jmenovat, máte odpověď.

Podepsaná zpracovatelská smlouva, AVV nebo DPA

Ne odstavec v obchodních podmínkách, který tvrdí, že nějaká existuje, ale dokument s vaším jménem a jménem poskytovatele. Měl by jmenovat další zpracovatele, bezpečnostní opatření, lhůtu pro ohlášení bezpečnostního incidentu a to, co se stane s vašimi daty po výpovědi. Podepsanou kopii si nechte u klientských smluv.

Řízení přístupu, které nastavíte u každé galerie zvlášť

Svatební galerie a firemní portréty potřebují jiné dveře. Heslo drží cizí lidi venku, vstup přes e-mail vám řekne, kdo přišel, PIN ke stahování oddělí prohlížení od odnášení. Ověřte si, že jde o nastavení u jednotlivé galerie, ne pro celý účet.

Doba uložení a mazání ve vašich rukou

Jak dlouho galerie zůstane venku, rozhodujete vy, ne tarif poskytovatele. Smazání by na vaší straně mělo být okamžité a na jejich konečné: uvedený počet dní pro živou kopii a pro zálohy. Poskytovatel, který smazaná data drží donekonečna, vám znemožní vyhovět žádosti o výmaz.

Ohlášení incidentu s pevnou lhůtou

Od chvíle, kdy se o porušení zabezpečení dozvíte, máte 72 hodin na ohlášení dozorovému úřadu. Poskytovatel vám to tedy musí dát vědět s velkou rezervou uvnitř tohoto okna a smlouva by měla říkat, jak rychle. Bez zbytečného odkladu je běžná a slabá formulace, počet hodin je lepší.

Pomoc s žádostmi o přístup a export

Klienti se mohou zeptat, jaké údaje o nich máte, a požádat o kopii. U galerie to znamená fotky, seznam hostů, reakce a záznam o stažení. Poskytovatel, který umí vyexportovat galerii i její aktivitu naráz, promění zákonnou povinnost v jedno odpoledne administrativy.

Jak na tom běžní poskytovatelé jsou

Čtyři galerijní platformy, které fotografové v Evropě opravdu používají, v pěti bodech seznamu, na které si poskytovatel může odpovědět sám. Ověřeno v září 2026; nastavení poskytovatele se může změnit, takže si to před podpisem porovnejte s jeho aktuální smlouvou.

Na čem záleží	Pixieset Vancouver, Kanada	Pic-Time Sídlo v Izraeli	picdrop Berlín, Německo	Photoglacier Rakousko, servery v Německu
Sídlo firmy	Kanada	Izrael	Německo	Rakousko (nord3 digital e.U.)
Kde jsou fotky uložené	Mohou být uložené mimo EU	Azure, AWS a MongoDB v EU, USA a Austrálii	Německo	Hetzner Object Storage v Německu, datová centra ISO/IEC 27001
Zpracovatelská smlouva	DPA je součástí podmínek	Na stránkách, které jsme prošli, uvedená není; vyžádejte si DPA před podpisem	AVV k dispozici	DPA v angličtině a AVV v němčině, podepsané elektronicky
Předávání mimo EU	Ano, kryté standardními smluvními doložkami	Ano, se servery v USA a Austrálii	Hosting je v Německu, u fotek tedy žádné	Žádné: všichni další zpracovatelé hostují v EU, platby jdou přes Stripe Ireland
Zveřejněný seznam dalších zpracovatelů	Před podpisem si projděte DPA	Před podpisem si projděte DPA	Vyžádejte si ho spolu s AVV	Ano, v DPA: Hetzner, Mailgun nebo Mailjet, Sentry, PostHog, Let's Encrypt

Když se klient zeptá, kde jeho fotky jsou

Stává se to častěji než dřív a obvykle u klienta, u kterého to nejmíň čekáte: právník na svatbě, škola, firma, jejíž pověřenec pro ochranu osobních údajů má seznam. Když máte věci nastavené dobře, odpověď se vejde do čtyř vět.

Pojmenujte zemi a firmu

Německo, na serverech Hetzneru, přes rakouskou firmu: to je odpověď. Cloud není. Pokud tuhle větu za svého poskytovatele doplnit neumíte, je to první věc k nápravě a seznam dalších zpracovatelů je místo, kde ji najdete.
Pošlete papíry

Přiložte podepsané DPA nebo AVV. Klientovi, který se ptal, obvykle stačí dokument se dvěma podpisy, a firemní klient ho může potřebovat do vlastní evidence. Zároveň ukazuje, že jste s tou otázkou počítali.
Vysvětlete, kdo galerii otevře

Řekněte, jestli je chráněná heslem, jestli hosté vstupují přes e-mail a jestli je ke stahování potřeba PIN. Pokud pár odkaz rozeslal rodině, řekněte to; seznam hostů v galerii vám ukáže, kdo ji otevřel.
Dejte datum a možnost skončit dřív

Řekněte jim, jak dlouho galerie zůstane online a co bude potom. Nabídněte, že ji na požádání stáhnete dřív, a vysvětlete, co u poskytovatele znamená smazání: za jak dlouho zmizí živá kopie a za jak dlouho se přepíšou zálohy.

K čemu se DPA od Photoglacieru doopravdy zavazuje

Photoglacier je platforma na klientské galerie, kterou provozuje nord3 digital e.U. v Rakousku, a každá fotka leží na Hetzner Object Storage v Německu. DPA je stejné ve všech tarifech, i v tom bezplatném. Nedělá vodoznaky, nemá tiskový obchod ani CRM a bezplatný tarif ukazuje značku Photoglacier. Co umí, je držet data uvnitř EU a dát čísla písemně.

Ohlášení bezpečnostního incidentu vám do 48 hodin
Po ukončení se vaše data do 30 dnů smažou nebo vrátí a zálohy se do 90 dnů přepíšou
Záznamy v seznamu hostů galerie se po 14 dnech anonymizují a IP logy se drží nejvýš 14 dnů
Fotky se ukládají, zobrazují a přenášejí, nic víc: nikdy se neanalyzují, nikdy se nepoužívají k trénování
Další zpracovatelé jsou jmenovaní v DPA a všichni hostují v EU: Hetzner, Mailgun nebo Mailjet, Sentry, PostHog, Let's Encrypt

Založit účet zdarma Nejdřív otevřít ukázkovou galerii

Na co se lidé ptají

Vztahuje se GDPR na online galerii s klientskými fotkami?

Ano, pokud jste v EU nebo v ní jsou lidé na fotkách. Fotografie identifikovatelné osoby je osobní údaj a stejně tak jsou jím jména a e-mailové adresy navázané na galerii. Vy jste tím pádem správce a poskytovatel galerie váš zpracovatel, a proto záleží na tom, kde poskytovatel sídlí a jakou spolu máte smlouvu.

Potřebuji s poskytovatelem galerie zpracovatelskou smlouvu?

Ano. Článek 28 GDPR vyžaduje písemnou smlouvu mezi správcem a každým, kdo pro něj zpracovává osobní údaje, a firma, která pro vás hostuje klientské fotky, dělá přesně tohle. Někteří poskytovatelé mají ujednání schované v obchodních podmínkách; samostatně podepsaný dokument se klientovi nebo úřadu ukazuje snáz. Nechte si ho u klientských smluv.

Vyžaduje GDPR, aby byly fotky uložené v EU?

Ne. Vyžaduje, aby se každé předání mimo EU opíralo o uznaný nástroj, třeba o rozhodnutí o odpovídající ochraně nebo standardní smluvní doložky, a abyste uměli vysvětlit, který z nich se použil. Uložení fotek v EU tuhle otázku smaže úplně, a proto řada fotografů bere hosting v EU jako nejjednodušší cestu, ne jako zákonnou povinnost.

Splňuje Pixieset GDPR?

Pixieset je kanadská firma, její data mohou být uložená mimo EU a její DPA je součástí podmínek, přičemž předávání z EU kryjí standardní smluvní doložky. Podle GDPR je to použitelné nastavení, ale znamená to, že se vy jako správce opíráte o nástroj pro předávání a měli byste to umět říct, když se někdo zeptá. Jestli je to pro vaše klienty přijatelné, rozhodujete vy, ne poskytovatel.

Splňuje picdrop GDPR?

picdrop je berlínská firma, která hostuje v Německu, nabízí AVV a uvádí, že na uživatelských datech nepouští žádnou AI. V bodech, na které si poskytovatel může odpovědět sám, je to silná pozice: u fotek žádné mezinárodní předání a podepsaná zpracovatelská smlouva. Jako u každého poskytovatele ale soulad pořád závisí na tom, jak službu používáte, od nastavení přístupu po to, jak dlouho galerie necháváte venku.

Jak dlouho můžu mít klientské fotky online?

GDPR žádný počet dní nestanoví; říká, že osobní údaje se nemají uchovávat déle, než vyžaduje účel. U předávací galerie je účelem to, aby si klient fotky vyzvedl, takže si dobu napište do smlouvy, řekněte ji klientovi a dodržte ji. U svateb bývá běžných dvanáct měsíců. Galeriím Photoglacier neplatnost nehrozí v žádném tarifu, takže datum si nastavujete vy, ne ceník.

Co mám dělat, když mě klient požádá o smazání fotek?

Stáhněte galerii, smažte ji u poskytovatele a klientovi to písemně potvrďte i s datem. Podívejte se, co smlouva poskytovatele říká o zálohách, protože kopie v záložním cyklu je pořád kopie; DPA Photoglacieru k tomu dává čísla na úrovni účtu, data smazaná nebo vrácená do 30 dnů a zálohy přepsané do 90. Váš vlastní archiv je jiná otázka, protože můžete mít smluvní nebo autorskoprávní důvody soubory si nechat, a tohle si vyjasněte s kvalifikovaným poradcem.

Poskytuje Photoglacier AVV nebo DPA?

Ano, na vyžádání. Existuje německá Vereinbarung zur Auftragsverarbeitung (AVV) a anglická Data Processing Agreement (DPA), totéž ve dvou jazycích. Vyžádejte si ji přes kontaktní formulář s tématem „Dotaz na DPA“ a uveďte, v jakém jazyce ji potřebujete. Nejdřív doplníte své údaje a podepíšete, pak nám ji pošlete zpět; my ji protipodepíšeme a vrátíme vám hotové vyhotovení. Smlouva platí ve všech tarifech, i v tom bezplatném.

GDPR galerie je pro fotografa hlavně otázka kde, a s kým

Kdo hledá online galerii v souladu s GDPR pro fotografy, obvykle se právě dozvěděl otázku od klienta a zjistil, že na ni neumí odpovědět. Odpověď bývá málokdy složitá. Jde o to, kde jsou soubory uložené, jestli mezi fotografem a poskytovatelem existuje zpracovatelská smlouva, kdo se k údajům ještě dostane a jestli fotograf umí galerii stáhnout, když účel skončil. Poskytovatel uvnitř EU s podepsanou smlouvou a zveřejněným seznamem dalších zpracovatelů odpoví na většinu z toho dřív, než klient otázku dořekne.

Photoglacier je na takovou odpověď postavený. Firma je rakouská, fotky leží na Hetzner Object Storage v Německu a zpracovatelská smlouva, kterou fotograf podepisuje, je ve všech tarifech tentýž dokument, se lhůtou pro ohlášení incidentu, lhůtami pro mazání a jmény dalších zpracovatelů uvnitř. GDPR galerie pořád potřebuje, aby fotograf měl svoji stranu v pořádku: právní základ, větu ve smlouvě o tom, kam fotky putují, a datum, kdy jdou pryč. Úkolem platformy je, aby zbyla jenom tahle část.

Tento průvodce popisuje, jak se GDPR obecně vztahuje na fotografy a jejich poskytovatele galerií, a není právní radou. Pravidla se mění a okolnosti se liší, takže u rozhodnutí, na kterém záleží, se obraťte na kvalifikovaného poradce ve své zemi. Pixieset, Pic-Time a picdrop jsou ochranné známky svých vlastníků; Photoglacier s nimi nemá žádné propojení. Údaje o poskytovatelích jsme ověřovali v září 2026 a mohou se změnit.