Španělský youtuber Carles Tamayo opět zabrnkal na citlivou strunu, a to svým obvyklým neformálním, zábavným a štiplavým stylem. V závěrečném dílu Se nos ha ido de las manos („Vymklo se to z rukou“), dokumentárního seriálu, který měl premiéru ve španělské veřejnoprávní televizi v dubnu 2026, se zabývá tím, jak firmy nakupují a prodávají osobní údaje.

Díl nazvaný El activo eres tú („Aktivum jste vy“) klade na stůl nepříjemnou otázku: Kdo má naše data a co se s nimi děje? A čeho jsme ochotni se vzdát výměnou za příslib něčeho zdarma? Poté, co Tamayo dostával spamové hovory od firem, které o něm věděly příliš mnoho, proměnil svou vlastní produkční společnost v obchodníka s daty, aby zevnitř viděl, jak se osobní údaje shromažďují a obchodují.

Tady je vysvětlení, jak funguje byznys obchodníků s daty a jaká práva vám GDPR (obecné nařízení o ochraně osobních údajů) dává.

Co je obchodník s daty a jak vydělává

Obchodník s daty je společnost, která shromažďuje, analyzuje a prodává informace o lidech a organizacích. Cennými se tyto informace pro kupce stávají díky tomu, jak je lze kombinovat a analyzovat. Návyky, zájmy, údaje o poloze a další signály lze spojovat – stále častěji s pomocí AI – v něco použitelného. Obchodníci s daty prodávají surovinu, ze které lze sestavit profil téměř kohokoli.

V Tamayově reportáži například jeden obchodník s daty nabízí informace o lidech, kterým se nedávno narodilo dítě. Tito novopečení rodiče předali své údaje v nemocnici výměnou za účast ve slosování o produkty pro novorozence.

Obchodníci s daty obvykle shromažďují e-mailové adresy, IP adresy(nové okno), přibližnou polohu, online nákupy, vyhledávání na internetu, zájmy vybrané v aplikaci a zařízení, která člověk používá.

Zavolala vám někdy telefonní společnost (nebo jakákoli firma) a napadlo vás, odkud má vaše číslo? Je to jednodušší, než si myslíte. Cookies, mobilní aplikace a online formuláře mohou shromažďovat vaše informace a předávat je obchodníkům s daty. Totéž dokážou offline zdroje, například věrnostní karty, slosování a veřejné záznamy.

Co jsou cookies a k čemu slouží

Na každém webu, který navštívíte, na vás čeká malé vyskakovací okno s žádostí o přijetí nebo odmítnutí cookies. Pravděpodobně ho jen zběžně přelétnete, cookies přijmete(nové okno) a jdete dál – a ani se nezeptáte, co cookies vlastně jsou(nové okno) nebo co díky vašemu svolení firmy právě mohou dělat s vašimi daty.

Cookies jsou malé soubory, které web ukládá do vašeho prohlížeče, aby si pamatoval informace o vaší návštěvě. Ty, které obchodníky s daty zajímají, jsou reklamní cookies navržené k vytváření behaviorálních profilů a zobrazování personalizované reklamy.

Sledovat vás ale dnes mohou i metody, které jdou daleko za hranice cookies. Otisk prohlížeče například vytváří jedinečný podpis z charakteristik vašeho zařízení, zatímco sledování napříč weby sleduje vaši aktivitu při přecházení mezi weby. V mobilu dělají něco podobného reklamní ID, která propojují vaše chování s trvalým identifikátorem.

Odmítnutí cookies zlepšuje vaše soukromí, ale plně je nezaručuje. A jakmile se začnete ptát, kam vaše data putují, kdo je má a jak se používají, dříve či později narazíte na otázku, zda je obchodování s vašimi daty vůbec legální.

Jak vás GDPR chrání

GDPR je soubor pravidel Evropské unie, který upravuje, jak organizace a firmy shromažďují, používají, sdílejí a ukládají osobní údaje kohokoli v EU. Platí také pro společnosti se sídlem mimo EU, které cílí na osoby v EU. Ve Španělsku na dodržování dohlíží Španělská agentura pro ochranu osobních údajů (AEPD), která také vyřizuje stížnosti, když firma tato práva poruší.

GDPR stanoví několik základních práv:

Právo na přístup: Zjistěte, jaké osobní údaje o vás firma uchovává, k čemu je používá, s kým je sdílela a odkud je získala. Můžete také požádat o kopii.

Právo na opravu: Nechte opravit nesprávné nebo zastaralé informace.

Právo na výmaz: Známé jako „právo být zapomenut“, umožňuje požádat o smazání vašich dat, když je firma už nepotřebuje, když odvoláte souhlas nebo vznesete námitku proti jejich použití anebo když byla zpracována nezákonně.

Právo vznést námitku: Odmítněte určité typy zpracování, například použití vašich údajů pro reklamu. U přímého marketingu je toto právo absolutní: jakmile vznesete námitku, firma musí přestat.

Právo na přenositelnost údajů: Získejte osobní údaje, které firma od vás získala, ve strukturovaném, běžně používaném a strojově čitelném formátu, aby bylo možné je přenést k jinému poskytovateli služeb. Platí to, když firma zpracovává vaše údaje na základě vašeho souhlasu nebo smlouvy automatizovaně.

GDPR dává lidem vymahatelná práva podložená pokutami, ale mnoho lidí si neuvědomuje, že tato práva mohou uplatnit zdarma. Firma může poplatek účtovat nebo žádost odmítnout jen tehdy, je-li zjevně neopodstatněná nebo nepřiměřená.

Jak Tamayova reportáž ukazuje, mezi zárukami, které zákon nabízí, a tím, co běžný člověk ví o ochraně svých osobních údajů, je široká propast. Tato propast lidem ztěžuje využívat dostupné právní nástroje a znovu převzít kontrolu nad svými daty.

Jak využít svá práva podle GDPR proti obchodníkům s daty

Výše uvedená práva fungují jen tehdy, když je využijete. Žádné z nich nevyžaduje právníka ani zvláštní formulář: stačí e-mail na kontakt firmy pro ochranu soukromí.

Zeptejte se, odkud vaše data pocházejí. Pokud vás firma kontaktuje a vaše údaje jí nikdy nebyly poskytnuty, zeptejte se, odkud je má. Podle práva na přístup vám to musí sdělit a tato odpověď často vede přímo k obchodníkovi s daty.

Pošlete žádost o přístup. Zeptejte se firmy nebo obchodníka, jaké údaje o vás uchovává, k čemu je používá a s kým byly sdíleny, a požádejte o kopii. Žádost je bezplatná a firma musí odpovědět do jednoho měsíce. U složitých žádostí může lhůtu prodloužit o další dva měsíce, ale musí vám to sdělit.

Vzneste námitku a požádejte o výmaz. Ve stejném e-mailu můžete vznést námitku proti používání svých dat pro marketing a požádat o jejich smazání. Společnost musí o výmazu informovat také každého, komu vaše data sdílela, ledaže je to nemožné nebo by to vyžadovalo nepřiměřené úsilí.

Zaregistrujte se do Listy Robinson. Ve Španělsku musí firmy, které zasílají přímý marketing, před kontaktováním zkontrolovat tento seznam pro odhlášení z reklamy. Registrace je zdarma.

Stěžujte si u AEPD. Pokud vás firma ignoruje, odmítne bez platného důvodu nebo nedodrží lhůtu, můžete podat bezplatnou stížnost Španělské agentuře pro ochranu osobních údajů.

Omezte, co mohou obchodníci s daty vůbec shromažďovat

Vaše práva podle GDPR uklízejí to, co už je venku. Několik jednoduchých návyků omezí, kolik nových dat se k obchodníkům dostane.

Zkontrolujte oprávnění aplikací a vypněte každý přístup, který aplikace k fungování nepotřebuje, zejména přístup k poloze, kontaktům nebo fotkám.

Odmítněte cookies, které nejsou nezbytné. Na webech v EU by odmítnutí mělo být stejně snadné jako přijetí a blokuje reklamní cookies, které živí behaviorální profily.

Nepřihlašujte se na weby a do služeb, když jen procházíte. Když se přihlásíte ke Google, YouTube, Amazonu nebo ke zpravodajskému webu, vše, co hledáte, sledujete, čtete nebo kupujete, se váže k vašemu účtu. Při procházení bez přihlášení mají firmy méně informací, které s vámi mohou spojit.

Používejte prohlížeč zaměřený na soukromí, například Firefox nebo Brave, které ve výchozím nastavení blokují mnoho sledovacích prvků. Můžete také prozkoumat evropské alternativní webové prohlížeče zaměřené na soukromí.

Přejděte na Proton Mail, naši soukromou a bezpečnou e-mailovou službu, která neumí číst vaše e-maily a neprohledává vaši doručenou poštu kvůli reklamě, sledování ani dohledu. Blokuje také sledovací pixely, které marketéři obvykle používají ke zjištění, kdy otevřete zprávu (a další ukazatele).

Používejte VPN(nové okno) ke skrytí své IP adresy před weby, aplikacemi a reklamními sítěmi, aby ji nemohly používat k odhadu vaší polohy nebo k propojení vaší aktivity napříč weby. Proton VPN má také funkci NetShield, která blokuje reklamy a sledovací prvky ještě před načtením. Má nezávisle auditovanou politiku žádných logů(nové okno), takže nevede záznam o tom, co děláte online.

Používejte šifrovaného správce hesel k vytváření silných a jedinečných hesel, aby jeden napadený účet neodhalil ostatní. Proton Pass vám také dává hide-my-email aliasy pro newslettery, slosování a online obchody. Pokud některý z nich začne dostávat spam, můžete zjistit, kdo jej mohl sdílet nebo nechat uniknout, a poté alias deaktivovat.

Jak Tamayova reportáž ukazuje, obchodníci s daty jsou součástí obchodního modelu postaveného na našich datech. GDPR a nástroje, které chrání naše soukromí, nám ale dávají způsoby, jak znovu převzít kontrolu. Cílem není zmizet z internetu, ale vědomě rozhodovat o tom, kdo smí k našim datům přistupovat a z jakého důvodu.