Posouzení vlivu na ochranu osobních údajů (čl. 35 GDPR)

Tento dokument je zveřejněn v několika jazycích. V případě rozporu mezi jazykovými verzemi je závazná polská verze.

Verze 1.0 · Poslední aktualizace: 16. října 2026

1. O co jde a čím tato stránka je

Tato stránka je posouzením vlivu na ochranu osobních údajů (DPIA) služby formexposed podle čl. 35 GDPR. Nejprve odpovídá na předběžnou otázku, zda je DPIA vůbec nutné – pro každou operaci zpracování zvlášť, nikoli pro službu jako celek. Kde je odpověď kladná, provádí posouzení podle čl. 35 odst. 7 písm. a) až d): systematický popis, nezbytnost a přiměřenost, rizika pro subjekty údajů a opatření k jejich řešení. Následuje zbytkové riziko, otázka předchozí konzultace podle čl. 36 a pravidla pro přezkum.

Čl. 35 nevyžaduje, aby bylo DPIA zveřejněno. Zveřejňujeme je ze dvou důvodů. Zaprvé, Zákazníci, kteří používají kontrolu doručení nebo skenování za přihlášením, potřebují pro své vlastní posouzení skutečnosti, které známe pouze my; jako zpracovatel jim tyto skutečnosti dlužíme v každém případě (čl. 28 odst. 3 písm. f) GDPR). Zadruhé, náš crawler kontroluje weby, jejichž provozovatelé nás neznají. Měli by si mít možnost přečíst, jaká rizika pro ně a pro osoby na jejich stránkách vidíme a co s nimi děláme.

Právní povaha. Toto DPIA je dokumentací správce podle čl. 35 GDPR, kterou zveřejňujeme dobrovolně. Není součástí žádné smlouvy a nepředstavuje žádné prohlášení, záruku ani ujednání o jakosti vůči Zákazníkům nebo třetím osobám. Které služby a záruky Zákazníkům dlužíme, upravují Obchodní podmínky, Smlouva o zpracování osobních údajů a její přílohy; ohledně těchto povinností mají před touto stránkou přednost. Stránka popisuje stav ke dni této verze. Hodnocení rizik a posouzení představují náš vlastní názor a nepředjímají žádné právní hodnocení dozorovým úřadem nebo soudem; opatření označená jako „plánovaná“ jsou záměry bez závazného termínu. Pro Zákazníky je stránka podkladem pro jejich vlastní posouzení, nikoli právním poradenstvím.

Jde o první verzi prahového posouzení. Prověřuje operaci zpracování po operaci zpracování, zda je DPIA nutné, a výsledek zaznamenává v oddílu 3.5.

Pro každé skutkové tvrzení platí stejná zásada jako v našich ostatních právních dokumentech: změřeno, nikoli zamýšleno. Co je doloženo v kódu nebo v databázi, je zde uvedeno s odkazem na zdroj. Co nebylo možné doložit, je označeno „neověřeno“. Co je pouze plánováno, se označuje jako „plánováno“. Otevřené body uvádíme otevřeně, spolu s plánovaným opatřením; DPIA, které vyjmenovává pouze silné stránky, nepomáhá lidem, jichž se týká.

Pojmy: provozovatel je ten, kdo provozuje kontrolovaný web. Zákazník má účet u formexposed. Návštěvník je ten, kdo používá web Zákazníka, například jeho kontaktní formulář. Odkazem na zdroj se rozumí soubor, funkce nebo nastavení ve zdrojovém kódu, změřené podle stavu vývojového systému k 11. říjnu 2026.

V otevřenosti záměrně vedeme jednu hranici: otevřené body v zabezpečení našich vlastních serverů popisujeme pouze obecně (R13). Uvádíme riziko a jeho úroveň, ale nikoli cestu ke konkrétní zranitelnosti; podrobnosti poskytneme dozorovému úřadu na žádost.

2. Role: kdo nese povinnost a za co

Čl. 35 ukládá povinnost správci. formexposed je u některých operací zpracování správcem, u jiných zpracovatelem pro své Zákazníky a u údajů, které náš plugin pro WordPress a naše rozšíření pro TYPO3 ukládají na webu Zákazníka, není ani jedním. Odpověď na téměř každou otázku v tomto dokumentu závisí na tom, na kterou roli se otázka vztahuje. Rozdělení odpovídá Zásadám ochrany osobních údajů a Smlouvě o zpracování osobních údajů.

Operace zpracování	Role formexposed	Kdo nese povinnost podle čl. 35
Kontrola webů třetích stran bez pokynu jejich provozovatele: bezplatná kontrola, kontrola potenciálních zákazníků pro agentury, studie	Správce	formexposed
Kontrola domén v účtu Zákazníka: monitorování, aktivní testovací odeslání, průchody prohlížečem, volně přístupné soubory, puls formuláře	Správce u údajů účtu a kontrol Zákazníka; zpracovatel u osobních údajů třetích osob viditelných na ověřeném webu Zákazníka; dokud doména není ověřena, správce jako u bezplatné kontroly	formexposed za svou vlastní část; Zákazník za údaje třetích osob na svém webu
Skenování za přihlášením s testovacím účtem	Zpracovatel: přístupové údaje i obsah za přihlášením patří k webu Zákazníka	Zákazník; formexposed poskytuje součinnost
Kontrola doručení s kontrolní kopií	Zpracovatel	Zákazník; formexposed poskytuje součinnost
Rojová ochrana: sdílený seznam domén odkazů ze zablokovaného spamu	Správce: spojujeme hlášení mnoha webů, sestavujeme seznam a distribuujeme jej	formexposed
Zákaznické účty, přihlášení, protokoly, podpora, odesílání e-mailů, platby, důkazní záznamy	Správce	formexposed
Klientský portál a měsíční report pro odběratele agentury	Zpracovatel	Agentura
Údaje, které plugin a rozšíření ukládají na webu Zákazníka (karanténa, záchranná síť, uložené dotazy)	Ani jedno: údaje web nikdy neopouštějí	Provozovatel webu

Z toho plyne rozlišení, které výslovně uvádíme, protože se často chybně chápe oběma směry. Kde je formexposed správcem, provádíme posouzení sami a neseme jeho výsledek. Kde jsme zpracovatelem, nemůžeme za Zákazníka provést jeho posouzení, rozhodnout za něj otázku nezbytnosti ani jeho jménem konzultovat dozorový úřad podle čl. 36. Co tam můžeme a musíme udělat, je poskytnout mu vše, co potřebuje: popis podle písm. a), změřené skutečnosti o rizicích podle písm. c) a poctivý přehled stavu opatření podle písm. d). Pro kontrolu doručení a skenování za přihlášením je tato stránka právě tímto.

Zákazník, který oddíly o kontrole doručení beze změny převezme jako své vlastní DPIA, žádné neprovedl. Zda je kontrolní kopie u jeho formulářů odůvodněná, zda je tam třeba počítat se zvláštními kategoriemi osobních údajů a jak informuje své návštěvníky, může rozhodnout pouze on. Oddíl 11 shrnuje, co je k tomu třeba objasnit.

3. Prahové posouzení: je DPIA nutné?

3.1 Čl. 35 odst. 1 a čl. 35 odst. 3

Čl. 35 odst. 1 vyžaduje DPIA tam, kde je pravděpodobné, že určitý druh zpracování, zejména při využití nových technologií, s ohledem na svou povahu, rozsah, souvislosti a účely bude mít za následek vysoké riziko pro práva a svobody fyzických osob. Čl. 35 odst. 3 uvádí tři případy, kdy tomu tak je zejména. Žádný z těchto tří na formexposed nedopadá, a to je třeba zdůvodnit, nikoli jen tvrdit:

Písm. a) – systematické a rozsáhlé vyhodnocování osobních aspektů týkajících se fyzických osob, které je založeno na automatizovaném zpracování a na němž se zakládají rozhodnutí, která vyvolávají právní účinky nebo mají obdobně závažný dopad. Hodnotíme formuláře a weby, nikoli osobní aspekty lidí. Služba nečiní žádné rozhodnutí s právním účinkem vůči jakékoli osobě. Nejblíže tomu má rojová ochrana: zprávy obsahující odkaz na doménu ze seznamu skončí na propojených webech v karanténě. To je automatizovaný důsledek pro zprávu, nikoli rozsáhlé vyhodnocování osoby; zabýváme se jím u kritéria „Hodnocení nebo bodování“ v oddílu 3.3.
Písm. b) – rozsáhlé zpracování zvláštních kategorií podle čl. 9 nebo osobních údajů týkajících se trestných činů podle čl. 10. Není zamýšleno ani vybudováno. Takové údaje se k nám přesto mohou dostat jednou cestou: v kontrolní kopii skutečných zpráv návštěvníků při kontrole doručení. To závisí na jednotlivém případu a nejde o rozsáhlé zpracování ve smyslu tohoto ustanovení; v posouzení rizik se s tím však počítá (R1).
Písm. c) – rozsáhlé systematické monitorování veřejně přístupných prostor. Tím se rozumí fyzické sledování míst, nikoli načítání veřejných webových stránek. Uvádět toto ustanovení jako záchytný bod pro crawler webových stránek by bylo nesprávné.

Správnou cestou je proto samotný čl. 35 odst. 1, uplatněný prostřednictvím devíti kritérií Pokynů pracovní skupiny zřízené podle článku 29 k posouzení vlivu na ochranu osobních údajů (WP248 rev.01, schválené Evropským sborem pro ochranu osobních údajů), a seznam polského dozorového úřadu podle čl. 35 odst. 4 (oddíl 3.4).

3.2 Devět kritérií pokynů WP248

Pokyny uvádějí devět znaků, které naznačují pravděpodobné vysoké riziko. Podle orientačního pravidla bude operace zpracování, která splňuje dva z nich, ve většině případů vyžadovat DPIA. Správce může v jednotlivém případě dospět k jinému závěru, musí jej však zdůvodnit a zdokumentovat. Naopak může stačit i jediné kritérium. Na této stránce používáme následující zkrácená označení:

C1 – Hodnocení nebo bodování, včetně profilování a předvídání, například pracovního výkonu, ekonomické situace, spolehlivosti nebo chování.
C2 – Automatizované rozhodování s právním nebo obdobně významným účinkem.
C3 – Systematické monitorování, tj. zpracování používané ke sledování, monitorování nebo kontrole subjektů údajů, včetně prostřednictvím sítí. Pokyny toto kritérium výslovně odůvodňují tím, že subjekty údajů často nevědí, kdo jejich údaje shromažďuje a za jakým účelem.
C4 – Citlivé údaje nebo údaje vysoce osobní povahy: zvláštní kategorie podle čl. 9 a 10, ale také údaje, jejichž zpřístupnění významně ovlivňuje každodenní život, včetně elektronické komunikace, jejíž důvěrnost by měla být chráněna.
C5 – Údaje zpracovávané ve velkém rozsahu, měřeno počtem subjektů údajů, objemem a rozsahem údajů, dobou trvání a zeměpisným rozsahem.
C6 – Párování nebo kombinování souborů údajů pocházejících z různých operací zpracování nebo od různých správců, a to způsobem, který by subjekty údajů neočekávaly.
C7 – Údaje týkající se zranitelných subjektů údajů, například zaměstnanců, dětí, pacientů nebo jiných osob v nerovném postavení.
C8 – Inovativní použití nebo uplatnění nových technologických nebo organizačních řešení; v dozorové praxi se použití umělé inteligence pravidelně považuje za spadající pod toto kritérium.
C9 – Zpracování, které subjektům údajů brání ve výkonu práva nebo v používání služby či smlouvy.

Každé kritérium hodnotíme jako „splněno“, „hraniční“ nebo „nesplněno“ a hodnocení zdůvodňujeme z kódu. Hraniční případ se do celkového součtu nezapočítává jako splněný, ve výsledku je však uveden; pokud několik hraničních případů ukazuje stejným směrem, zahrneme operaci zpracování do posouzení.

3.3 Posouzení podle operací zpracování

P1 – Bezplatná kontrola bez účtu (kontrola libovolného webu třetí strany na požádání)

Na domovské stránce může kdokoli zadat doménu. Crawler pak načte nejvýše osm veřejných stránek daného webu, přečte formuláře, pořídí snímky obrazovky a vytvoří report, který může vidět každý, kdo zná jeho náhodný odkaz. Provozovatel webu se o tom nic nedozví, pokud si ve svých protokolech nevšimne identifikátoru crawleru.

C1 – hraniční. Report hodnotí ochranu formuláře úrovní („Nechráněno“, „Částečně chráněno“, „Chráněno“) a skóre. U společnosti s ručením omezeným se to netýká fyzické osoby. U podnikajících fyzických osob a osob na volné noze lze doménu přičíst jednotlivci a úroveň pak vypovídá o péči, s níž vykonávají svou profesní činnost. Hodnoceno je však technické nastavení, nikoli chování nebo vlastnosti osoby. Považujeme to za hraniční.
C2 – nesplněno. Ve vztahu k provozovateli se nic nerozhoduje. Ve vztahu k osobě, která kontrolu požaduje, platí limity na IP adresu a relaci (cfg/check_lib.php); odmítnutá kontrola nemá žádný významný účinek.
C3 – nesplněno. Jde o jednorázové načtení na požádání, nejvýše jednou za týden pro každou doménu (cfg/check_lib.php, nastavení fc_domain_days = 7). Nikdo není sledován. Okolnost, kterou pokyny uvádějí jako odůvodnění C3 – subjekty údajů o zpracování nic nevědí –, je však přítomna. V posouzení rizik se s ní počítá (R5).
C4 – nesplněno. Ukládá se struktura formuláře a nálezy, nikoli zadané hodnoty (scanner/src/crawl.js ukládá u viditelných polí pouze délku hodnoty). Začátky předvyplněných skrytých polí (do 24 znaků) a datových atributů (do 60 znaků) skener čte pouze během kontroly, aby rozpoznal tokeny a časová razítka; neukládají se. Snímky obrazovky mohou nahodile zachycovat osoby a jména; web lékařské praxe ukazuje na obrázku svou specializaci. Jde o veřejné profesní údaje, nikoli o údaje o zdraví konkrétní osoby.
C5 – hraniční. Denní limit je 200 přijatých kontrol (fc_daily_cap), tj. početně až zhruba 73 000 webů ročně. Na jeden web připadá jen několik osobních údajů a doba trvání je krátká (30 dní). Podle měření ve vývojovém systému jsou v datech 2 anonymní kontroly. Dnes nesplněno; s ohledem na navrženou kapacitu hraniční.
C6 – nesplněno. Vedle načtení stránek služba zjišťuje stáří domény prostřednictvím služby RDAP rdap.org (předává se pouze název domény; ukládá se pouze datum registrace, v mezipaměti) a překládá DNS. Jde o technické údaje o doméně, nikoli o kombinaci souborů údajů o osobách.
C7 – nesplněno.
C8 – splněno, ve slabé podobě. Stránky kontroluje automatizovaný prohlížeč a jazykový model na našem vlastním serveru klasifikuje formuláře, které pravidla nerozpoznají (scanner/src/classify.js). Model vidí název stránky, adresu, popisky polí a až 400 znaků textu formuláře. Nikdy nemůže formulář učinit „odesílatelným“.
C9 – nesplněno.

Dílčí výsledek P1: jedno kritérium ve slabé podobě (C8), dva hraniční případy (C1, C5). Podle orientačního pravidla žádná povinnost. Protože oba hraniční případy ukazují stejným směrem a subjekty údajů o zpracování nic nevědí, zahrnujeme P1 do posouzení.

P2 – Kontrola potenciálních zákazníků pro agentury

Agentura s tarifem Business a nastavenou vlastní značkou může nechat pasivně zkontrolovat web potenciálního zákazníka. Obdrží krátké zjištění pod svou značkou a podrobný report a odkaz předává dál sama (cfg/akquise_lib.php). Nikoho nekontaktujeme.

C1 – hraniční, silněji než u P1. Krátké zjištění je výslovně zamýšleno jako „otvírák dveří pro první rozhovor“. Hodnocení webu se tak stává základem pro obchodní oslovení osoby.
C5 – nesplněno. Nejvýše 30 kontrol na agenturu a měsíc (prospect_monthly), smazání po 90 dnech.
C8 – splněno, ve slabé podobě (stejná technologie jako u P1).
Ostatní kritéria – nesplněna. Zjištění se prezentuje se značkou agentury, ale není propojeno s dalšími údaji o provozovateli.

Dílčí výsledek P2: podle orientačního pravidla žádná povinnost; zahrnuto ze stejných důvodů jako P1 a proto, že účel – získávání klientů – s sebou nese vlastní riziko (R6).

P3 – Studie „Form Security Index“

Pro studii se pasivně kontroluje seznam webů, omezený na nejvýše pět otevřených úloh na jeden běh stavového procesu, který se spouští každých pět minut (cfg/studie_lib.php). Zveřejňují se pouze souhrny a segmenty až od 20 webů s formulářem (study_min_segment, cfg/studie_lib.php). Surová data se při zveřejnění mažou (cfg/studie_lib.php).

C5 – hraniční, u velkých seznamů splněno. Velikost seznamu není v kódu omezena; omezení početně umožňuje více než tisíc kontrol denně. Studie národního trhu zahrnuje tisíce webů, z nichž mnohé provozují podnikající fyzické osoby. Od takové velikosti považujeme kritérium za splněné.
C8 – splněno, ve slabé podobě.
C1 – nesplněno. Ačkoli je hodnocen jednotlivý web, zveřejňuje se pouze souhrn; hodnocení neslouží k vyjádření o jednotlivém provozovateli.
Ostatní kritéria – nesplněna.

Dílčí výsledek P3: u studií navržené velikosti dvě kritéria (C5, C8). Studie tedy dosahuje prahu; formexposed provádí posouzení jako správce. Podle měření ve vývojovém systému dosud nebyla vytvořena žádná studie.

P4 – Kontrola domén v účtu Zákazníka

Zákazník nechává domény ve svém účtu pravidelně kontrolovat. Jakmile prokáže, že je oprávněn doménu kontrolovat, přibudou aktivní testovací odeslání (nejvýše pět na kontrolu), vyhledávání volně přístupných souborů a nastavené průchody prohlížečem.

C3 – nesplněno. Kontrola je plánovaná a opakovaná, týká se však vlastního webu Zákazníka a provádí se na jeho žádost, nikoli za účelem sledování osob.
C4 – hraniční, ne. Vyhledávání volně přístupných souborů čte nejvýše prvních 8 KB z cest, jako je /backup.sql nebo ladicí protokol, aby podle obsahu poznalo, zda je soubor skutečně volně přístupný (cfg/dateien_lib.php). Takový výňatek může obsahovat údaje z formulářů zadané návštěvníky. Kontroluje se pouze v paměti a nikdy se neukládá; ukládá se cesta, typ a závažnost.
C8 – splněno, ve slabé podobě.
Ostatní kritéria – nesplněna.

Dílčí výsledek P4: žádná povinnost. Zahrnuto, protože aktivní testovací odeslání a kontrola souborů závisejí na prokázání, které se nikdy neobnovuje (R7).

P5 – Skenování za přihlášením

U ověřené domény může Zákazník uložit testovací účet pro svůj web. Skener se s ním přihlásí a přečte formuláře na až pěti určených stránkách členské sekce (cfg/login_lib.php, scanner/src/login.js).

C4 – hraniční. Přístupové údaje nejsou údaji vysoce osobní povahy ve smyslu pokynů, jejich zneužití však otevírá členskou sekci. V závislosti na webu se za přihlášením může nacházet důvěrný obsah, například v členském nebo pacientském portálu. To závisí na Zákazníkovi, nikoli na nás.
C8 – nesplněno. Automatizovaná přihlášení jsou u monitorovacích služeb běžná.
Ostatní kritéria – nesplněna.

Dílčí výsledek P5: podle orientačního pravidla žádná povinnost. U Zákazníků, jejichž členská sekce zobrazuje důvěrný obsah, se to může změnit; rozhodnutí pak leží na nich. Zahrnuto kvůli bezpečnostním rizikům (R8).

P6 – Kontrola doručení s kontrolní kopií

Zákazník zadá v nastavení pošty svého formuláře kontrolní adresu formexposed jako skrytou kopii. V důsledku toho jde každý e-mail z formuláře také do naší kontrolní poštovní schránky – naše testovací zpráva stejně jako každá skutečná zpráva od návštěvníka. Automatizované vyzvednutí přečte hlavičky a prvních 8 KB, e-mail přiřadí, vyhodnotí SPF, DKIM a DMARC a smaže jej (cfg/zustellung_lib.php).

C4 – splněno. To, co návštěvníci píší do kontaktního formuláře, je elektronická komunikace s podnikem s libovolným obsahem. Na webu lékařské praxe, advokátní kanceláře, poradny nebo školy je třeba počítat s údaji podle čl. 9 nebo s údaji o dětech. Pokyny u tohoto kritéria výslovně uvádějí důvěrnou elektronickou komunikaci.
C3 – hraniční, spíše splněno. Každá zpráva se plánovaně a průběžně kopíruje a automaticky vyhodnocuje, aniž by si toho odesílatel všiml. Účelem je kontrola cesty pošty, nikoli sledování osob. Okolnost, kterou pokyny kritérium odůvodňují – subjekty údajů nevědí, kdo jejich údaje dostává –, je však plně přítomna, dokud Zákazník své návštěvníky neinformuje.
C7 – v závislosti na Zákazníkovi. Pacienti, klienti advokátních kanceláří, uchazeči o zaměstnání, rodiče a žáci jsou často vůči příjemci své zprávy v závislém postavení.
C5 – hraniční, ne. U jednotlivého Zákazníka nejde o velký rozsah. U formexposed se kopie mnoha Zákazníků sbíhají v jedné poštovní schránce; to zvyšuje závažnost případného porušení, nikoli počet na jednoho správce.
Ostatní kritéria – nesplněna. Přiřazení k doméně a testu není párováním souborů údajů o osobách; technologie není nová.

Dílčí výsledek P6: C4 splněno, C3 hraniční a spíše splněno, C7 u mnoha typických Zákazníků splněno. V typické konstelaci jsou tedy splněna dvě nebo více kritérií. DPIA je nutné – jako povinnost Zákazníka, který je správcem. Oddíly 6 až 11 mu k tomu poskytují skutečnosti.

P7 – Rojová ochrana

Propojené weby WordPress jednou denně hlásí domény odkazů ze zpráv, které zastavila jejich ochranná vrstva. Doména, která se během sedmi dní objeví alespoň na třech různých webech s alespoň pěti zásahy, se zařadí na sdílený seznam; seznam se zasílá zpět všem propojeným webům, které pak zprávy s odkazy na tuto doménu umisťují do karantény (cfg/swarm_lib.php).

C6 – splněno. Hlášení z mnoha na sobě nezávislých webů, tedy od různých správců, se kombinují a vracejí se všem z nich jako sdílený seznam.
C1 – splněno, pokud lze doménu přičíst fyzické osobě. Seznam je zařazením jako zdroje spamu. Pokyny jako příklad tohoto kritéria uvádějí prověřování ve sdílené databázi podvodů. Většina domén na takovém seznamu patří podnikům nebo jde o jednorázové domény; může se na něj však dostat i doména jednotlivce, ať oprávněně, nebo prostřednictvím úmyslně podstrčených falešných hlášení.
C9 – hraniční. Zpráva s odkazem ze seznamu se k příjemci nedostane okamžitě, ale zůstává v jeho karanténě, dokud ji neuvolní. Neztratí se.
C2 – nesplněno. Karanténa je automatizovaným důsledkem pro zprávu, bez právního účinku a s lidským uvolněním příjemcem.
Ostatní kritéria – nesplněna. IP sítě jsou vypnuty (swarm_ip_enabled = 0, cfg/swarm_lib.php).

Dílčí výsledek P7: dvě kritéria (C6, C1) a jeden hraniční případ (C9). Práh je dosažen; formexposed provádí posouzení jako správce. Se zapnutými IP sítěmi by C1 a C6 byla splněna bez omezení; jejich zapnutí vyžaduje novou verzi tohoto posouzení (oddíl 12). Podle měření ve vývojovém systému neexistují hlášení ani záznamy na seznamu.

P8 – Zákaznické účty, přihlášení, protokoly, podpora, e-mail, platby

C1 a C9 – nesplněno. Nápadné chování při bezplatné kontrole vede k poznámce s IP adresou (cfg/check_lib.php) a případně k odmítnutí dalších kontrol. To je prevence zneužití s malým účinkem, nikoli hodnocení osobních aspektů.
Ostatní kritéria – nesplněna. Jde o běžné údaje služby pro podniky.

Dílčí výsledek P8: DPIA není nutné. Operace zpracování jsou popsány v Záznamech o činnostech zpracování.

P9 – Údaje pluginu, chyby polí, záznamník, odznak, klientský portál, „Fix it for me“

Plugin a rozšíření předávají denní údaje, inventář pluginů a kategorie chyb a plugin pro WordPress navíc předává domény odkazů pro rojovou ochranu (ve výchozím stavu zapnuto) (P7), žádný obsah, adresy, jména ani IP adresy návštěvníků; záznamník uchovává selektory nejvýše 15 minut v prohlížeči administrátora. Žádná kritéria nejsou splněna.
Odznak při načtení předává běžné údaje o spojení do protokolu webového serveru, bez cookie. Žádná kritéria nejsou splněna.
Klientský portál zpracovává e-mailové adresy odběratelů s dvojitým potvrzením (double opt-in) jménem agentury. Žádná kritéria nejsou splněna.
„Fix it for me“ nechává vložený kód formuláře přepsat jazykovým modelem na našem vlastním serveru; kód se neukládá. C8 ve slabé podobě, nic dalšího.

Dílčí výsledek P9: DPIA není nutné.

3.4 Seznam polského dozorového úřadu podle čl. 35 odst. 4

Příslušným úřadem je předseda Úřadu pro ochranu osobních údajů (Prezes Urzędu Ochrony Danych Osobowych, UODO). Předseda zveřejnil seznam druhů operací zpracování vyžadujících DPIA ve sdělení ze dne 17. června 2019 (Komunikat Prezesa Urzędu Ochrony Danych Osobowych z dnia 17 czerwca 2019 r. w sprawie wykazu rodzajów operacji przetwarzania danych osobowych wymagających oceny skutków przetwarzania dla ich ochrony, Monitor Polski 2019, položka 666). Seznam přiřazuje své položky ke kritériím pokynů WP248, uvádí příklady a výslovně není vyčerpávající; nenahrazuje posouzení podle čl. 35 odst. 1.

Podle našeho výkladu odpovídají následující druhy zpracování ze seznamu věcně operacím zpracování formexposed:

Druh zpracování podle seznamu (parafráze)	Přiřazené kritérium	Operace zpracování u formexposed	Posouzení
Porovnávání, hodnocení nebo vyvozování závěrů na základě analýzy údajů z různých zdrojů	C6	P7 Rojová ochrana	uplatní se
Hodnocení nebo bodování, včetně profilování	C1	P7 Rojová ochrana; P1 a P2 jako hraniční případy	uplatní se na P7
Zpracování zvláštních kategorií osobních údajů	C4	P6 Kontrola doručení	uplatní se v závislosti na Zákazníkovi
Inovativní použití nebo uplatnění technologických řešení	C8	P1 až P4 (jazykový model pro klasifikaci)	uplatní se ve slabé podobě
Zpracování ve velkém rozsahu	C5	P3 Studie	uplatní se u velkých seznamů
Systematické monitorování veřejně přístupných míst, včetně rozpoznávání znaků	C3	–	neuplatní se: míní se místa, nikoli weby

Toto přiřazení je výkladem, nikoli citací; znění položek je třeba v rámci právního posouzení s ním porovnat. Potvrzuje výsledek oddílu 3.3, ale nemění jej. Pokud je nám známo, UODO nezveřejnil seznam podle čl. 35 odst. 5 – operací zpracování, u nichž DPIA není nutné.

3.5 Výsledek prahového posouzení

Operace zpracování	Splněno	Hraniční	Výsledek
P1 Bezplatná kontrola	C8 (slabě)	C1, C5	není povinné; zahrnuto
P2 Kontrola potenciálních zákazníků	C8 (slabě)	C1	není povinné; zahrnuto
P3 Studie	C8 (slabě), C5 u velkých seznamů	–	nutné (povinnost formexposed)
P4 Kontrola domén Zákazníků	C8 (slabě)	C4 (kontrola souborů)	není povinné; zahrnuto
P5 Skenování za přihlášením	–	C4	není povinné; zahrnuto; pro Zákazníka v závislosti na obsahu
P6 Kontrola doručení	C4; C7 v závislosti na Zákazníkovi	C3 (spíše splněno), C5	nutné (povinnost Zákazníka; tato stránka poskytuje součinnost podle čl. 28 odst. 3 písm. f))
P7 Rojová ochrana	C6, C1	C9	nutné (povinnost formexposed)
P8 Účty, protokoly, podpora, platby	–	–	není nutné
P9 Údaje pluginu, odznak, portál, „Fix it for me“	C8 (slabě, pouze „Fix it for me“)	–	není nutné

Výsledek k čl. 35 odst. 1: Pro jednotlivé operace zpracování formexposed je DPIA nutné. Je nutné pro rojovou ochranu a pro studie navržené velikosti a formexposed je provádí jako správce. Pro kontrolu doručení je v typické konstelaci nutné, avšak jako povinnost Zákazníka; formexposed poskytuje podklady. Pro ostatní kontroly webů třetích stran a vlastních webů není povinné. Přesto je zahrnujeme, protože používají stejnou technologii, protože několik hraničních případů ukazuje stejným směrem a protože subjekty údajů – provozovatelé bez účtu a osoby na kontrolovaných stránkách – o zpracování nic nevědí. Pro účty, protokoly, podporu a platby posouzení nutné není.

Oddíly 6 až 10 se proto vztahují na P1 až P7. Pokud se tvrzení týká pouze jedné z těchto operací zpracování, je tak označeno.

4. Pověřenec pro ochranu osobních údajů: posouzení podle čl. 37

Pověřenec pro ochranu osobních údajů nebyl jmenován. Čl. 37 odst. 1 zavazuje správce i zpracovatele; otázka je tedy naší vlastní. Tři zákonné případy:

Čl. 37 odst. 1	Podmínka	Výsledek
písm. a)	Orgán veřejné moci či veřejný subjekt	Neuplatní se; LW IT Solutions Company Lukas Wójcik je soukromá podnikající fyzická osoba.
písm. b)	Hlavní činnosti spočívají v operacích zpracování, které vyžadují rozsáhlé pravidelné a systematické monitorování subjektů údajů	Hlavní činností je kontrola a monitorování webů a formulářů, pravidelně a systematicky. Žádné osoby však monitorovány nejsou: crawler nesleduje chování a kontrola doručení vyhodnocuje e-maily pouze z hlediska doručení a pravosti. Nesplněno.
písm. c)	Hlavní činnosti spočívají v rozsáhlém zpracování údajů podle čl. 9 nebo 10	Nikoli záměrně. Zvláštní kategorie se k nám mohou dostat prostřednictvím kontrolní kopie při kontrole doručení; to je nahodilé, nikoli hlavní činnost. Nesplněno.

Podle našeho posouzení tedy povinnost jmenovat pověřence neexistuje. Zda polské právo podle čl. 37 odst. 4 vyžaduje jmenování nad tento rámec, je otevřenou otázkou pro právní posouzení. Protože pověřenec pro ochranu osobních údajů nebyl jmenován, rada podle čl. 35 odst. 2 se neuplatní. Pokud právní posouzení dospěje k závěru, že povinnost pověřence jmenovat existuje, bude před schválením tohoto posouzení vyžádána rada pověřence, který bude poté jmenován (oddíl 12). Kontaktní osobou pro otázky k tomuto posouzení je vlastník na adrese contact@lukaswojcik.com.

5. Metoda, zdroje a omezení této verze

Skutečnosti v tomto dokumentu pocházejí ze zdrojového kódu aplikace a skeneru, z databázového schématu a z počtů řádků a nastavení vývojového systému, změřených 11. října 2026. K databázi a serverům se přistupovalo pouze pro čtení. Pokud měření odporuje záměru – včetně tvrzení v našich vlastních právních dokumentech –, uvádíme měření. Neuplatňujeme schválené kodexy chování podle čl. 40, jejichž dodržování by bylo třeba zohlednit podle čl. 35 odst. 8.

Měřen byl vývojový systém. Služba dosud nebyla spuštěna. Čísla jsou proto malá a zčásti jde o artefakty testování: 112 kontrol, z toho 110 bez domény Zákazníka; 432 snímků obrazovky; 2 domény, z toho 1 ověřená; žádná zapnutá kontrola doručení; žádný uložený testovací účet pro skenování za přihlášením; žádná studie; žádná hlášení v rojové ochraně. Měření je třeba zopakovat před spuštěním a poté v pravidelných intervalech.
V této verzi nebylo změřeno a před schválením je třeba doplnit: konfiguraci produkčního systému, včetně toho, zda a jak je tam zřízena kontrolní poštovní schránka a zda je tam nastaven pár klíčů pro skenování za přihlášením; zda software jazykového modelu zaznamenává požadavky; stav správy serverů (R13); smlouvu s poskytovatelem e-mailových služeb.
Nebylo možné změřit, kolik skutečných zpráv návštěvníků projde kontrolní kopií a z jakých odvětví budou Zákazníci pocházet. Obojí určuje závažnost R1 a R2 a je třeba to zjistit po spuštění.
Odkazy na zdroj směřují na soubory a funkce ve zdrojovém kódu vývojového systému. Rozhodující je popsaná funkce, nikoli její umístění v souboru.

Tento dokument je návrhem. Správce jej dosud neschválil (oddíl 12) a dva z jeho závěrů – posouzení rozsahu u P1 a P3 a závažnost kontroly doručení – závisejí na číslech, která budou k dispozici až po spuštění.

6. a) Systematický popis operací zpracování a účelů

6.1 Jak je kontrolní systém uspořádán

formexposed běží na vlastních serverech v Polsku, bez externího poskytovatele hostingu: webový server s aplikací a databází a skenovací server s kontrolní službou a místním jazykovým modelem, oba ve stejné interní síti. Kontrola probíhá takto:

Aplikace vytvoří úlohu v databázi – s výhradou limitů a blokací uvedených v oddílu 6.3.
Kontrolní služba na skenovacím serveru úlohu převezme, znovu zkontroluje seznam blokovaných, názvy hostitelů a u anonymních kontrol stáří domény a spustí izolovaný kontejner právě pro tuto úlohu: vlastní síť s vlastními pravidly filtrování, žádná zvláštní oprávnění, souborový systém pouze pro čtení, limity paměti a procesů a časový limit (scanner/src/worker.js).
Uvnitř kontejneru načte automatizovaný prohlížeč nejvýše osm veřejných stránek, nejprve domovskou stránku, poté přednostně stránky s kontakty, tiráží a podporou. Předtím přečte robots.txt; vyloučení pro FormExposedBot nebo pro všechny crawlery, které se vztahuje na domovskou stránku, kontrolu ukončí, stejně jako nedostupný robots.txt nebo chyba serveru při načítání (scanner/src/net.js). Zákazy pro jednotlivé dílčí cesty se samostatně nerespektují. Puls formuláře, načítání důkazu, nástroj pro hlavičky a vyhledávání volně přístupných souborů robots.txt nečtou. Kromě osmi stránek přibývají až tři stránky s kliknutím na „Odmítnout“ v cookie liště, až tři stránky v zobrazení pro telefon, aktivní sondy u ověřených domén a až pět stránek za přihlášením; stránky se načítají postupně, nikoli souběžně. Každý požadavek prohlížeče – včetně přesměrování a vloženého obsahu – prochází filtrem, který odmítá privátní sítě a jiné porty.
Kontejner zapíše výsledek a snímky obrazovky do dočasného adresáře. Kontrolní služba předá výsledek a obrázky aplikaci přes interní síť a dočasný adresář smaže, i po chybě (scanner/src/worker.js).
Aplikace výsledek zpracuje, u domén Zákazníků jej porovná s předchozí kontrolou a hlásí změny do cílů, které Zákazník nastavil.

6.2 Co crawler ukládá – a co ne

Položka	Co se ukládá	Co se neukládá	Odkaz na zdroj
Stránky	Adresa, stav HTTP, hlavičky, Content Security Policy, vyžádaní hostitelé třetích stran (nejvýše 120)	Obsah stránky jako text nebo HTML	`scanner/src/crawl.js`
Pole formuláře	Typ, název, popisek, zástupný text, povinné pole, viditelnost, délka existující hodnoty	Hodnoty polí; u skrytých polí se prvních 24 znaků hodnoty pouze čte během kontroly (k rozpoznání tokenů)	`scanner/src/crawl.js`
Adresy příjemců ve formuláři	pouze doména	adresa	`scanner/src/crawl.js`
Skripty	Inventář s kontrolním součtem; adresy a úvodní text bez identifikátorů účtů reklamních a analytických služeb	Identifikátory účtů a pixelů	`scanner/src/crawl.js`
Spolučtenáři	které reklamní pixely a nahrávací nástroje se načítají před kliknutím na „Odmítnout“ v cookie liště a po něm a zda maskují vstupy	Identifikátory účtů u těchto služeb	`scanner/src/mitleser.js`, `scanner/src/einwilligung.js`
Text formuláře	až 400 znaků jde do místního jazykového modelu, pokud pravidla nerozpoznají typ	Zpřístupnění třetím stranám; uložení textu	`scanner/src/classify.js`
Snímky obrazovky (crawler)	viditelná oblast první stránky; pro každý viditelný formulář obrázek prvku formuláře	–	`scanner/src/crawl.js`
Snímky obrazovky (aktivní kontrola)	Obrázek stránky s odpovědí na testovací odeslání; navíc stav, cílová adresa, titulek a prvních 300 znaků jejího textu	–	`scanner/src/active.js`
Snímky obrazovky (průchody prohlížečem)	Obrázek formuláře se začerněnými vstupními poli, komprimovaný, nejvýše 32 KB	Vstupy	`scanner/src/browser.js`
Za přihlášením	jako u polí formuláře výše	Snímky obrazovky, cookies, odkazy	`scanner/src/login.js`

Osobní údaje v těchto položkách nejsou obsaženy záměrně, ale nahodile ano: jméno kontaktní osoby vedle formuláře, týmová fotografie na domovské stránce, telefonní číslo v popisku, e-mailová doména jednotlivce, jméno v zástupném textu. Za přihlášením přibývají údaje testovacího účtu a v závislosti na webu i dalších uživatelů.

6.3 Kdo kontrolu spouští a co pak platí

Spouštěč	Úroveň důvěry v úloze	Testovací odeslání	Výsledek dostupný přes	Smazání
Někdo zadá doménu na domovské stránce (bezplatná kontrola)	anonymní	ne	Report pod náhodným odkazem	30 dní, včetně obrázků (`cfg/check_lib.php`)
Plugin nebo rozšíření bez účtu	plugin	ne	Report pod náhodným odkazem	30 dní
Agentura pro potenciálního zákazníka	registrovaná	ne	Krátké zjištění a report pod náhodným odkazem	90 dní (`cfg/akquise_lib.php`)
Zákazník, doména bez důkazu	registrovaná	ne	Účet; report pod náhodným odkazem	13 měsíců, poslední kontrola se ponechává
Zákazník, doména s důkazem	ověřená	ano, nejvýše pět na kontrolu	Účet; report pod náhodným odkazem	13 měsíců, poslední kontrola se ponechává (`cfg/fristen_lib.php`)
Studie	interní	ne	po zveřejnění pouze souhrny	při zveřejnění; bez zveřejnění bez časového omezení (R4)
Interní kontrola poskytovatele z příkazového řádku	interní; u našich vlastních testovacích a ukázkových domén také „ověřená“	ne; s úrovní „ověřená“ ano (pouze naše vlastní testovací a ukázkové domény)	pouze interně	bez časového omezení (R4)

Před bezplatnou kontrolou stojí několik vrstev (cfg/check_lib.php): nouzové zastavení; reCAPTCHA; stejná doména nejvýše jednou za sedm dní (poté se zobrazí existující report); limity na IP adresu, na relaci (jako hodnota hash, nikdy samotný identifikátor relace) a pro celou službu za den; seznam blokovaných z opt-outu a robots.txt; kontrola, že doména směřuje na veřejné adresy; a blokace velmi nových nebo neznámých domén. Anomálie – mnoho různých domén z jedné IP adresy, mnoho požadavků v krátkém čase – se zaznamenají s IP adresou a vyvolají signál bez obsahu (cfg/check_lib.php).

6.4 Kontrola domén v účtu Zákazníka

Zákazník prokáže, že je oprávněn doménu kontrolovat: záznamem DNS, meta tagem, souborem nebo prostřednictvím našeho pluginu (cfg/verify_lib.php). Teprve poté se s doménou zachází jako s ověřenou. Plánovač monitorování plánuje pravidelné kontroly pouze pro aktivní, monitorované a ověřené domény (cfg/monitor_lib.php).

Aktivní testovací odeslání jsou vázána na dvě brány: aplikace nastavuje aktivní režim pro Zákazníky pouze u ověřených domén (pro naše vlastní testovací a ukázkové domény může poskytovatel vytvořit kontrolu s úrovní „ověřená“ prostřednictvím interního nástroje příkazového řádku) a kontrolní služba znovu ověřuje úroveň důvěry a nouzové zastavení fc_active_enabled (scanner/src/worker.js). Odeslat lze pouze formulář, který pravidla s vysokou jistotou rozpoznají jako obecný kontaktní formulář, který nemá povinná pole pro skutečné osobní údaje a jehož doména nevypadá jako doména orgánu veřejné moci, vzdělávací instituce, kliniky, lékařské praxe, policie nebo soudu (scanner/src/classify.js). Jazykový model nemůže formulář učinit odesílatelným (scanner/src/classify.js). Na jednu kontrolu odejde nejvýše pět odeslání (fc_active_max_posts), zřetelně označených, s odesílatelem dummy@formexposed.com, adresou pod .invalid k otestování validace e-mailu a neškodným dodatečným řádkem hlavičky k odhalení vkládání hlaviček (scanner/src/active.js).
Průchody prohlížečem kontrolují nastavené průchody formulářem v prohlížeči až těsně před odeslání. Povoleny jsou pouze požadavky GET a HEAD; vše ostatní se přeruší, stejně jako adresy obsahující slova pro odhlášení, mazání, nákup nebo platbu (scanner/src/browser.js). Pro kontrolu se povinná pole vyplní smyšlenými hodnotami, které nikdy neopustí prohlížeč.
Volně přístupné soubory se vyhledávají jednou týdně, pouze u ověřených domén, s nejvýše jedním načtením na cestu, nejvýše 8 KB, a obsah se nikdy neukládá (cfg/dateien_lib.php).
Nezávislá druhá sonda je připravena a ve výchozím stavu vypnuta (browser_probe_enabled = 0). Pokud by byla zapnuta, obdržela by pouze doménu, adresu, selektor, kroky a volbu prohlížeče, nikdy přístupové údaje, snímky obrazovky ani údaje návštěvníků (cfg/formular_probe_lib.php).

6.5 Skenování za přihlášením

Předpoklady: funkce je nastavena, doména je ověřena a Zákazník má placený tarif a je vlastníkem nebo administrátorem pracovního prostoru (cfg/login_lib.php); potvrzuje, že účet je testovacím účtem s co nejmenšími oprávněními (cfg/login_lib.php).

Uživatelské jméno a heslo se na webovém serveru okamžitě zašifrují veřejným klíčem skenovacího serveru: jednorázový klíč pro každý záznam (X25519), odvození klíče (HKDF-SHA256), AES-256-GCM, vázáno na doménu (cfg/login_lib.php). Soukromý klíč má pouze kontrolní služba na skenovacím serveru (scanner/src/geheim.js). Kdo má webový server, databázi nebo zálohu, má pouze šifrovaný text.
Rozhraní zobrazuje pouze první znak a délku uživatelského jména (cfg/login_lib.php). Přístupové údaje se nikdy nezobrazují, nikdy nezaznamenávají a nikdy nevydávají přes API.
Pro kontrolu aplikace připojí k úloze šifrovaný text. Kontrolní služba jej dešifruje, okamžitě vymaže pole v úloze a předá přístupové údaje kontejneru pouze přes standardní vstup, nikdy jako argumenty příkazového řádku (scanner/src/worker.js). Zbytky v přerušených úlohách vymaže stavový proces po jedné hodině (cfg/login_lib.php).
Uvnitř kontejneru se prohlížeč přihlásí. Přeruší se, pokud přihlašovací stránka přesměruje na jiného hostitele, pokud přihlašovací formulář obsahuje CAPTCHA (CAPTCHA neobcházíme) nebo pokud je po odeslání stále viditelné pole pro heslo (scanner/src/login.js). Poté vymaže pole pro heslo v paměti stránky a přístupové údaje zapomene (scanner/src/login.js).
Přečte nejvýše pět stránek téže domény určených Zákazníkem. Adresy obsahující slova pro odhlášení, mazání, odstranění nebo zrušení jsou blokovány (scanner/src/login.js). Za přihlášením se nic neodesílá, nepořizují se žádné snímky obrazovky a cookies ani odkazy se do výsledku nedostanou (scanner/src/login.js).
Smazání je konečné: šifrovaný text se přepíše náhodnými daty stejné délky, řádek se smaže a čekající úlohy se vyčistí (cfg/login_lib.php). Při smazání domény řádek automaticky zmizí prostřednictvím cizího klíče.

6.6 Kontrola doručení

Kontrola doručení odpovídá na otázku, zda e-mail z kontaktního formuláře skutečně dorazí, a vyhodnocuje jeho znaky pravosti. Je volitelná, ve výchozím stavu vypnutá a vyžaduje zřízení kontrolní poštovní schránky (cfg/zustellung_lib.php).

Pokud ji Zákazník zapne, obdrží doména náhodnou značku. Zákazník zadá kontrolní adresu s touto značkou do svého formuláře jako skrytou kopii.
Od té doby jde každý e-mail z formuláře také do kontrolní poštovní schránky: naše označená testovací odeslání i všechny skutečné zprávy od návštěvníků. E-maily jdou přímo do schránky u Namecheap, Inc. (Private Email), Phoenix, Arizona, USA – dorazí pouze tehdy, směřují-li tam záznamy MX naší domény; prostřednictvím přesměrování, například u registrátora domén Namecheap, Inc., se do schránky nedostanou – a zůstávají tam, dokud nejsou vyzvednuty.
Stavový proces vyzvedává schránku každých pět minut (srv/cron_status.php). U každého e-mailu přečte hlavičky a nejvýše prvních 8 KB textu, aniž by je označil jako přečtené (cfg/zustellung_lib.php).
Z hlaviček určí značku, a tím doménu, a z textu případně identifikátor našeho testu (cfg/zustellung_lib.php). Ukládá se čas, doména a případně identifikátor testu (cfg/zustellung_lib.php), a to po dobu 180 dní (cfg/zustellung_lib.php).
Z hlaviček vyhodnotí SPF, DKIM a DMARC a výsledek uloží k doméně: výsledky kontrol, doménu adresy odesílatele, domény podpisů a adresu odesílajícího poštovního serveru (cfg/zustellung_lib.php). Pokud se výsledek zhorší, odejde Zákazníkovi jednou upozornění, které může uvádět doménu odesílatele (cfg/zustellung_lib.php).
Poté označí každý vyzvednutý e-mail ke smazání, včetně e-mailu, který nebylo možné přiřadit k žádné doméně, a na konci běhu jej ze schránky odstraní (cfg/zustellung_lib.php). Pokud se běh přeruší dříve, e-maily zůstanou až do dalšího úspěšného běhu.
Jako důkaz doručení se počítá pouze kopie právě dotčeného testu (cfg/zustellung_lib.php). Pokud nedorazí do tří hodin (delivery_wait_h), služba hlásí „Doručení chybí“.

Text skutečných zpráv se do databáze nikdy nezapisuje, stejně jako adresa návštěvníka. Obojí se přesto čte: vyzvednutí načte prvních 8 KB každého e-mailu do paměti, aby v nich vyhledalo identifikátor testu.

6.7 Rojová ochrana

Ochranná vrstva pluginu pro WordPress zastaví zprávu jako spam a spočítá domény odkazů v ní. Jednou denně nám plugin tyto domény nahlásí s počtem zásahů, nejvýše 60 denně; žádné adresy, žádný text, žádné IP adresy (cfg/swarm_lib.php).
Jednou denně z toho sestavíme seznam: doména se na něj zařadí, pokud ji během sedmi dní nahlásily nejméně tři různé weby a s nejméně pěti zásahy (swarm_min_sites, swarm_window_days, cfg/swarm_lib.php). Velké služby z pevného seznamu výjimek a domény našich Zákazníků, vždy včetně subdomén, se na seznam nikdy nedostanou (cfg/swarm_lib.php).
Seznam jde všem propojeným webům v odpovědi na denní hlášení. Jejich ochranná vrstva umisťuje zprávy s odkazy na domény ze seznamu do karantény, nikoli do koše.
Co se v novém seznamu již neobjeví, vypadne; hlášení se mažou po 30 dnech (cfg/swarm_lib.php).
IP sítě (/24 nebo /48) jsou připraveny, ale do dokončení právního posouzení vypnuty (cfg/swarm_lib.php).

6.8 Využití umělé inteligence

Jazykový model běží na našem vlastním skenovacím serveru, nikoli u poskytovatele AI. Používá se na dvou místech: v kontrolní službě klasifikuje formuláře, jejichž typ pravidla nerozpoznají; přitom vidí název stránky, adresu stránky, popisky odesílacích tlačítek, typy polí, názvy, popisky a zástupné texty a až 400 znaků textu formuláře (scanner/src/classify.js). Dotazuje se pouze tehdy, vrátí-li pravidla „neznámé“; takto klasifikované formuláře se nikdy neodesílají a nezapočítávají se do skóre ani verdiktu. Skóre, verdikt, prevence zneužití, rojová ochrana a pravidla proti spamu jsou pevná pravidla, nikoli AI. Ve funkci „Fix it for me“ přepisuje vložený kód formuláře; kód se neukládá. Model nečiní žádná rozhodnutí o osobách. Více na stránce Akt EU o umělé inteligenci: jak formexposed využívá AI.

6.9 Právní základy

Operace zpracování	Právní základ
P1 Bezplatná kontrola: kontrola požadované domény; limity a prevence zneužití	ve vztahu k žádající osobě čl. 6 odst. 1 písm. b); ve vztahu k provozovateli a zobrazeným osobám čl. 6 odst. 1 písm. f); prevence zneužití čl. 6 odst. 1 písm. f)
P2 Kontrola potenciálních zákazníků	čl. 6 odst. 1 písm. f) (oprávněný zájem agentury a formexposed)
P3 Studie	čl. 6 odst. 1 písm. f)
P4 Kontrola domén Zákazníků	čl. 6 odst. 1 písm. b) ve vztahu k Zákazníkovi; u údajů třetích osob na jeho webu pokyny Zákazníka podle čl. 28
P5 Skenování za přihlášením	Pokyny Zákazníka podle čl. 28; právní základ Zákazníka
P6 Kontrola doručení	Pokyny Zákazníka podle čl. 28; právní základ Zákazníka (v našem navrhovaném textu pro Zákazníky čl. 6 odst. 1 písm. f))
P7 Rojová ochrana	čl. 6 odst. 1 písm. f) (společná obrana proti spamu napříč mnoha weby)

Náš oprávněný zájem u P1 až P3 spočívá v tom, abychom provozovatelům a jejich poskytovatelům služeb ukázali slabiny jejich formulářů dříve, než budou zneužity ke spamu nebo jinému zneužití, a v poskytování služby. Údaje pocházejí z veřejně přístupných zdrojů. Vážení zájmů je uvedeno v oddílu 7; zda čl. 6 odst. 1 písm. f) podporuje kontrolu webů třetích stran na požádání, je otevřenou otázkou pro právní posouzení.

6.10 Příjemci a předávání do třetích zemí

Příjemce	Co	Operace zpracování	Stav
Nikdo mimo formexposed	Výsledky kontrol, snímky obrazovky, klasifikace jazykovým modelem	P1–P5	Kontrolní služba a jazykový model běží na našich vlastních serverech; v kontrolní cestě crawleru nebylo zjištěno žádné volání třetí strany kromě samotného kontrolovaného webu, služeb, jejichž obsah web vkládá (jako u každého návštěvníka), a služby RDAP rdap.org pro stáří domény (pouze název domény); hlídače monitorování jsou uvedeny v dalším řádku
Kdokoli, kdo zná odkaz	Report s nálezy a snímky obrazovky	P1, P2, P4	náhodný odkaz se 128 bity (`cfg/check_lib.php`), stránky s `noindex` (`www/report.php`)
Služby dotazované při monitorování domény Zákazníka	DNS blocklisty (SpamCop, PSBL, Mailspike, SURBL): domény a IP adresy serverů, žádné údaje návštěvníků; Google Web Risk pouze, je-li nastaven: adresa domovské stránky; autority časových razítek Certum a DigiCert: pouze hodnota hash důkazního protokolu; RDAP přes registr IANA: pouze název domény; stavové stránky poskytovatelů: nic se nepředává; wpvulnerability.net: identifikátor pluginu (bez verze) nebo šablony a verze WordPressu	P4	v provozu; podrobnosti v Záznamech o činnostech zpracování a na stránce Další zpracovatelé
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Kontrolní kopie včetně skutečných zpráv návštěvníků	P6	Smlouva dosud neuzavřena; místo zpracování a mechanismus předání je ještě třeba prověřit
Namecheap, Inc. (USA)	Registrátor a DNS; do zřízení poštovní schránky přesměrování obecných e-mailů na adresy naší domény, nikoli kontrolních kopií (ty se do schránky dostanou pouze prostřednictvím záznamů MX, které na ni směřují přímo)	– (žádné kontrolní kopie)	Mechanismus předání je třeba prověřit
Kanály upozornění zvolené Zákazníkem (e-mail, webhook, Slack, Discord, Microsoft Teams, Google Chat, Telegram)	Událost, doména, odkaz; u kontroly pravosti doména odesílatele, pokud nepatří k webu	P4, P6	cíl zvolený Zákazníkem; zčásti mimo EU. Zprávy do Telegramu odesíláme prostřednictvím našeho bota; mechanismus předání je v tomto případě otevřenou otázkou pro právní posouzení
Všechny propojené weby	Seznam domén odkazů	P7	prostřednictvím odpovědi pluginu
Druhá sonda	Doména, adresa formuláře, selektor, kroky	P4	vypnuto

6.11 Doba uložení – změřená, nikoli zamýšlená

Mazání probíhá převážně v noci ve 03:00 ve stavovém procesu (srv/cron_status.php, cfg/fristen_lib.php); hlášení rojové ochrany a řádky potenciálních zákazníků se mažou denně od 04:00, přiřazení kontroly doručení při každém vyzvednutí; anonymní reporty a reporty potenciálních zákazníků se mažou podle data vypršení (cfg/check_lib.php). Snímky obrazovky se z disku mažou spolu se svým skenem (cfg/fristen_lib.php).

Údaje	Doba podle kódu	Odkaz na zdroj	Zjištění
Bezplatná kontrola včetně obrázků	30 dní	`cfg/check_lib.php`	účinné
Kontrola potenciálních zákazníků včetně obrázků	90 dní	`cfg/akquise_lib.php`; `srv/cron_status.php` (řádky potenciálních zákazníků)	účinné
Kontroly domény Zákazníka	13 měsíců; poslední se ponechává, dokud doména existuje	`cfg/fristen_lib.php`	účinné
Výsledky průchodů prohlížečem včetně začerněných obrázků	13 měsíců	`cfg/fristen_lib.php`	účinné
Údaje smazané domény	okamžitě; osiřelé záznamy v noci	`cfg/fristen_lib.php` (`fe_domain_loeschen()`, `fe_fristen_lauf()`)	účinné, včetně inventáře skriptů a změn skriptů, které nad rámec toho nemají vlastní dobu uložení (viz Záznamy o činnostech zpracování)
Studie: surová data včetně obrázků	při zveřejnění	`cfg/studie_lib.php`	bez zveřejnění bez časového omezení; seznam kontrolovaných hostitelů zůstává bez časového omezení i po zveřejnění
Interní kontroly bez domény a bez reportu	žádná	–	žádné mazání; změřeno: 85 kontrol s 369 obrázky od 22. září 2026 (R4)
Přiřazení kontroly doručení	180 dní	`cfg/zustellung_lib.php`	účinné
Výsledek kontroly pravosti u domény	do dalšího výsledku nebo do smazání domény	`cfg/zustellung_lib.php`	přepisuje se, bez časového omezení
Kontrolní kopie ve schránce	do dalšího úspěšného vyzvednutí (pětiminutový interval)	`cfg/zustellung_lib.php`	kopie a zálohy u poskytovatele schránky neověřeny
Přístupové údaje pro skenování za přihlášením	do smazání Zákazníkem nebo smazání domény; v úloze nejdéle do konce běhu, zbytky po jedné hodině	`cfg/login_lib.php`	účinné; v zálohách pouze jako šifrovaný text po dobu až 14 dní
Hlášení v rojové ochraně	30 dní	`cfg/swarm_lib.php`	účinné
Limity bezplatné kontroly (IP, země, hash relace)	7 dní	`srv/cron_status.php`	účinné
Poznámky o nápadném chování s IP adresou	90 dní po vyřešení	`srv/cron_status.php`	nevyřešené poznámky bez časového omezení; změřeno: 3 poznámky, všechny vyřešené
IP adresa, země, prohlížeč u opt-outu	12 měsíců; vyloučení zůstává	`cfg/fristen_lib.php`	účinné
Zálohy databáze	14 dní	`cfg/backup_lib.php`	účinné; zálohy jsou v současnosti uloženy na stejném místě jako databáze a nejsou samostatně šifrovány; šifrovaná kopie na druhém místě je plánována (R13)

7. b) Posouzení nezbytnosti a přiměřenosti

Měřítkem jsou uvedené účely: ukázat provozovatelům, zda jsou jejich formuláře chráněny před spamem a zneužitím (P1 až P5), ověřit, zda e-maily z formulářů dorazí a působí jako pravé (P6), a společně se bránit spamu napříč mnoha weby (P7). Tyto účely jsou legitimní. Otázka podle čl. 35 odst. 7 písm. b) je užší: je toto zpracování v této hloubce pro daný účel nezbytné a je zásah přiměřený přínosu?

Součást	Nezbytné pro účel?	Přiměřené v podobě, v jaké je vybudováno?
Načtení několika veřejných stránek, struktura formulářů, rozpoznaná ochranná opatření	Ano. Bez nich neexistuje žádné zjištění.	Ano. Nejvýše osm stránek (plus zobrazení z oddílu 6.1), zákaz domovské stránky v robots.txt je respektován, žádné hodnoty viditelných polí, adresy příjemců pouze jako doména.
Snímek obrazovky každého formuláře	Ano, jako důkaz v reportu: provozovatel vidí, o který formulář jde.	Převážně ano. Pole jsou prázdná, protože crawler nic nevyplňuje. Obrázek však zobrazuje okolí prvku formuláře, aniž by cokoli začerňoval (R3).
Snímek obrazovky domovské stránky	Pro samotné zjištění není nutný. Slouží k rozpoznání kontrolovaného webu v reportu.	Pouze omezeně; další minimalizace je plánována. Domovské stránky často zobrazují osoby: týmové fotografie, kontaktní osoby, reference zákazníků se jmény. Viz R3 a oddíl 9.3.
Čtení hodnot skrytých polí (prvních 24 znaků, pouze během kontroly)	Ano: rozpoznávají se z nich tokeny a časová razítka.	Ano. Ukládá se pouze výsledek rozpoznání, nikoli hodnota, i za přihlášením (R8).
Stránka s odpovědí na testovací odeslání (obrázek a 300 znaků textu)	Ano, jako důkaz, jak formulář reagoval.	Ano. Odpověď se týká naší označené testovací zprávy bez osobních údajů.
Klasifikace jazykovým modelem	Užitečná, nikoli nezbytná: bez ní zůstane více formulářů „neznámých“.	Ano. Místně, bez zpřístupnění, bez oprávnění k odeslání.
Aktivní testovací odeslání	Ano. Zda ochrana funguje, se ukáže teprve tehdy, když se otestuje.	Ano, s limitem a označením. Předpoklad – prokázání kontroly – se však nikdy neobnovuje (R7).
Vyhledávání volně přístupných souborů	Ano pro Zákazníka, jehož údaje z formulářů tam mohou být volně přístupné.	Ano. Pouze ověřené domény, nejvýše 8 KB, obsah se nikdy neukládá.
Skenování za přihlášením	Ano pro formuláře v členské sekci, které by jinak zůstaly nezkontrolovány.	Převážně ano. Šifrování a mazání jsou pečlivě vybudovány; přihlášení však přijímá nešifrovaná spojení a vadné certifikáty (R8).
Kontrolní kopie skutečných zpráv návštěvníků	Pro důkaz doručení ne. Ten se opírá pouze o kopii našeho testu (`cfg/zustellung_lib.php`). Skutečné zprávy přicházejí proto, že skrytá kopie ve formuláři nerozlišuje mezi testem a skutečnou zprávou. Pro kontrolu pravosti (SPF, DKIM, DMARC) jsou užitečné, protože ukazují skutečnou cestu odeslání.	Zčásti. Obsah se neukládá, ale čte, a do vyzvednutí zůstává u poskytovatele schránky, jehož smlouva je dosud otevřená (R1, R2). Méně invazivní řešení je technicky možné: s naším pluginem by bylo možné skrytou kopii omezit na označené testovací zprávy (oddíl 9.3).
Ukládání domény odesílatele skutečných zpráv	Zčásti: ukazuje, zda formulář odesílá s adresou návštěvníka jako odesílatelem (častá příčina zařazení do spamu).	Podmíněně. U jednotlivce s vlastní doménou je doména osobním údajem a dostává se do upozornění pro Zákazníka a jeho kanály (R1).
Sdílený seznam domén odkazů	Ano. Spamový odkaz, který se současně objevuje na mnoha webech, je silným signálem, který jednotlivý web nemá.	Ano, s minimálními počty, výjimkami a karanténou namísto mazání. IP sítě by bez nového posouzení přiměřené nebyly.
Surová data studie	Do vyhodnocení ano.	Bez maximální doby ne (R4).
Report pod náhodným odkazem	Ano. Předání reportu – například poskytovateli služeb, který se o web stará – je účelem bezplatné kontroly.	Ano. Náhodný odkaz se 128 bity, `noindex`, bezplatný report pouze jako výňatek (`cfg/check_lib.php`, `FE_FREE_DETEKTOREN`), smazání po 30 dnech.

Zákonnost. U P1 až P3 a P7 se opíráme o čl. 6 odst. 1 písm. f). Ve prospěch vážení zájmů hovoří: údaje jsou veřejné a načítají se stejným způsobem jako u kteréhokoli návštěvníka; nic se neodesílá; osobní údaje jsou nahodilé a nepatrné; lhůty jsou krátké; provozovatel může další kontroly crawlerem vyloučit zákazem domovské stránky v robots.txt a jakoukoli další kontrolu prostřednictvím naší stránky opt-out, okamžitě a bez důkazu; přínos – chráněný formulář – plyne i provozovateli a jeho návštěvníkům. Proti tomu: provozovatel se o kontrole nic nedozví, report je určen třetím stranám a u podnikajících fyzických osob hodnotí osobu. Vážení zájmů považujeme za obhajitelné, dokud zůstanou zachována opatření z oddílu 9.1; právní potvrzení se očekává.

Informování subjektů údajů (čl. 13 a 14). Provozovatele a osoby na kontrolovaných stránkách informujeme prostřednictvím stránky o crawleru, která je uvedena v identifikátoru každého načtení, prostřednictvím Zásad ochrany osobních údajů a prostřednictvím stránky opt-out. Individuální informování osob, které se nahodile objeví na snímku obrazovky, by bylo možné pouze tehdy, pokud bychom je identifikovali – což by byl další, závažnější zásah. V tomto rozsahu se opíráme o čl. 14 odst. 5 písm. b). Návštěvníky, jejichž zprávy procházejí kontrolní kopií, informuje Zákazník; Smlouva o zpracování osobních údajů to vyžaduje a my k tomu poskytujeme textový blok.

Minimalizace údajů (čl. 5 odst. 1 písm. c)). Je viditelná na mnoha místech a zakotvená v kódu: žádné hodnoty polí, adresy příjemců pouze jako doména, identifikátory účtů v adresách skriptů skryté, žádný obsah z kontrolní kopie v databázi, žádné snímky obrazovky za přihlášením, v rojové ochraně pouze domény. Na dvou místech je další minimalizace možná a plánovaná (oddíl 9.3): u snímku domovské stránky bez začernění a u domény odesílatele skutečných zpráv.

Omezení uložení (čl. 5 odst. 1 písm. e)). Od 27. září 2026 noční běh u údajů Zákazníků dodržuje lhůty ze Zásad ochrany osobních údajů a odstraňuje údaje, které zůstaly bez přiřazené domény z období před tímto datem (cfg/fristen_lib.php). Otevřené zůstávají dvě cesty bez časového omezení: interní kontroly a nezveřejněné studie (R4).

Přesnost (čl. 5 odst. 1 písm. d)). Zjištění může být chybné: formulář se jeví jako nechráněný, protože se ochrana načte až po interakci, nebo s crawlerem zacházel firewall jinak než s návštěvníkem. Pro provozovatele, jehož web se veřejně šíří jako „Nechráněno“, jde o otázku pověsti. Report proto uvádí metodu, ukazuje důkazy a upozorňuje na meze kontroly zvenčí.

Výsledek k přiměřenosti: Kontrola webů třetích stran a vlastních webů je v podobě, v jaké je vybudována, v zásadě přiměřená. Na třech místech existuje potřeba zlepšení, kterou lze odstranit běžnými prostředky a pro kterou jsou plánována opatření (oddíl 9.3): snímky obrazovky domovské stránky, interní kontroly bez časového omezení a nešifrované přihlášení při skenování za přihlášením. Kontrola doručení je přiměřená u testovací kopie a u kontroly pravosti; u skutečných zpráv návštěvníků obstojí pouze tak dlouho, dokud se jejich obsah neukládá, cesta přes poskytovatele schránky je smluvně zajištěna a Zákazník informuje své návštěvníky. Dnes chybí druhý z těchto tří bodů.

8. c) Posouzení rizik pro práva a svobody subjektů údajů

Posuzuje se riziko pro subjekty údajů, nikoli pro formexposed. Pravděpodobnost se hodnotí jako nepatrná, možná, pravděpodobná nebo nastalá; „nastalá“ znamená, že událost není prognózou, ale změřeným stavem. Závažnost se hodnotí jako omezená, významná, vážná nebo velmi vážná podle toho, co může osoba ztratit: důvěrnost své zprávy, kontrolu nad účtem, svou obchodní pověst, možnost uplatnit právo. Úroveň vyplývá z obojího a popisuje současný stav s opatřeními z oddílu 9.1.

Č.	Riziko	Operace zpracování	Pravděpodobnost	Závažnost	Úroveň
R1	Skutečné zprávy návštěvníků v kontrolní kopii, včetně možných zvláštních kategorií	P6	Nastalá po zapnutí	Vážná	Vysoká
R2	Cesta kontrolní kopie přes poskytovatele schránky bez uzavřené smlouvy a s možnou vazbou na třetí zemi	P6	Pravděpodobná, dokud smlouva chybí	Vážná	Vysoká
R3	Snímky obrazovky webů třetích stran bez začernění	P1–P4	Pravděpodobná	Omezená	Střední
R4	Data kontrol a snímky obrazovky bez cesty mazání	P3, interní kontroly	Nastalá	Významná	Vysoká
R5	Kontrola a veřejné hodnocení webů třetích stran bez vědomí provozovatele; zneužití jako průzkumného nástroje	P1	Možná	Významná	Střední
R6	Kontrola potenciálních zákazníků jako základ pro nevyžádané oslovení	P2	Pravděpodobná	Omezená	Střední
R7	Prokázání kontroly se nikdy neobnovuje	P4, P5	Možná	Významná	Střední
R8	Přístupové údaje a obsah při skenování za přihlášením	P5	Možná	Vážná	Střední; u skutečných účtů vysoká
R9	Aktivní testovací odeslání a kontrola souborů na webu Zákazníka	P4	Nepatrná	Významná	Nízká
R10	Klasifikace jazykovým modelem	P1–P4	Nepatrná	Omezená	Nízká
R11	Sdílený seznam blokovaných z hlášení mnoha webů	P7	Možná	Omezená	Nízká až střední; s IP sítěmi vysoká
R12	Reporty a snímky obrazovky pod veřejným odkazem	P1, P2, P4	Možná	Omezená	Nízká
R13	Slabiny infrastruktury: zálohy, přístup k serverům, skenovací server	všechny	Možná	Vážná	Vysoká
R14	Práva subjektů údajů u osob, které nás neznají	P1–P6	Pravděpodobná	Omezená	Nízká

R1 – Skutečné zprávy návštěvníků v kontrolní kopii

Toto je nejzávažnější riziko služby a nevzniká z chyby, ale z jejího návrhu. Skrytá kopie ve formuláři nerozlišuje mezi naší testovací zprávou a zprávou návštěvníka. Pokud Zákazník zapne kontrolu doručení, dostane se do naší kontrolní poštovní schránky každá zpráva odeslaná prostřednictvím daného formuláře (cfg/zustellung_lib.php). Vyzvednutí načte hlavičky a prvních 8 KB textu do paměti, aby v nich vyhledalo náš testovací identifikátor (cfg/zustellung_lib.php). U běžného kontaktního formuláře to znamená jméno, e-mailovou adresu, telefonní číslo a celou zprávu.

Co návštěvník napíše, je na něm, a pole k osobnímu obsahu přímo vybízí: žádost o termín s popisem příznaků lékařské praxi, popis právního sporu advokátní kanceláři, žádost o zaměstnání, dotaz týkající se dítěte škole. Naše právní dokumenty uvádějí, že kopie „by neměly obsahovat žádné zvláštní kategorie osobních údajů“. To je prosba vůči Zákazníkovi, nikoli ochranné opatření: ani on, ani my předem nevíme, co návštěvník napíše.

Patří sem dvě vedlejší cesty. Zaprvé, kontrola pravosti ukládá k doméně doménu adresy odesílatele (cfg/zustellung_lib.php). Pokud formulář odesílá s adresou návštěvníka jako odesílatelem, jde o doménu návštěvníka – u velkého poskytovatele e-mailu bezvýznamnou, ale u jednotlivce s vlastní doménou jde o osobní údaj. Tato doména se objevuje i v upozornění, které jde Zákazníkovi a do kanálů, které zvolil (cfg/zustellung_lib.php). Zadruhé, ukládá adresu odesílajícího poštovního serveru (cfg/zustellung_lib.php); zpravidla jde o server webu, nikoli návštěvníka.

Pravděpodobnost – po zapnutí nastalá. Otázkou není, zda skutečné zprávy dorazí, ale kolik jich bude. Podle měření ve vývojovém systému není funkce zapnuta u žádné domény. Závažnost – vážná. Důvěrnost zprávy podniku je pro mnoho lidí důležitá a u části typických Zákazníků je třeba počítat s údaji podle čl. 9. Závažnost zmírňuje skutečnost, že se obsah nedostane do databáze, zůstává ve schránce jen krátce a nečte jej žádná osoba v formexposed. Úroveň – vysoká.

R2 – Cesta kontrolní kopie přes poskytovatele schránky bez uzavřené smlouvy

Než kontrolní kopii uvidí naše vyzvednutí, je uložena ve schránce u Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Dorazí tam pouze tehdy, směřují-li záznamy MX naší domény přímo do této schránky; přesměrování u registrátora domén Namecheap, Inc. není zastávkou kontrolních kopií (přesměrováním se do schránky nedostanou). U zastávky, která zbývá, jsou smluvní ujednání dosud otevřená: smlouva s poskytovatelem schránky nebyla uzavřena, jeho místa uložení, další zpracovatelé a doby zálohování nebyly zjištěny a zda je pro místo jeho zpracování nutné a použitelné rozhodnutí o odpovídající ochraně nebo standardní smluvní doložky, je otevřené. U našich vlastních transakčních e-mailů jde o otázku úpravy smlouvy. U kontrolních kopií je to závažnější: jde o údaje, které přijímáme jako zpracovatel, a každý poskytovatel služeb na této cestě je dalším zpracovatelem, za kterého odpovídáme podle čl. 28 odst. 4.

Navíc „smazáno po vyzvednutí“ platí pouze pro náš pohled na schránku. Zda poskytovatel uchovává smazané e-maily ve vlastních zálohách nebo v koši a jak dlouho, nebylo ověřeno. Pokud se vyzvednutí přeruší, e-maily zůstanou až do dalšího úspěšného běhu (cfg/zustellung_lib.php); pokud selže stavový proces, zůstanou neomezeně. A konečně zabezpečení samotného vyzvedávání patří k bodům, které je třeba před spuštěním ověřit v produkčním systému (oddíl 9.3).

Pravděpodobnost – pravděpodobná, dokud smlouva chybí: každá kontrolní kopie jde touto cestou. Závažnost – vážná, ze stejných důvodů jako u R1. Úroveň – vysoká. Kontrolní seznam nastavení aplikace hlásí chybějící schránku jako varování; neexistuje zámek, který by kontrolu doručení bez zdokumentované smlouvy zablokoval.

R3 – Snímky obrazovky webů třetích stran bez začernění

Crawler pořizuje snímek obrazovky viditelné oblasti první stránky a obrázek prvku formuláře u každého viditelného formuláře (scanner/src/crawl.js). Nic se přitom nezačerňuje. U průchodů prohlížečem je tomu jinak: tam se vstupní pole před pořízením snímku maskují (scanner/src/browser.js). „Očištěné“ jsou tedy pouze obrázky z průchodů prohlížečem, nikoli obrázky z crawleru a nikoli obrázek stránky s odpovědí z aktivní kontroly.

Protože crawler nic nevyplňuje, jsou pole formuláře prázdná. Domovská stránka malé firmy však často ukazuje majitele, tým, reference zákazníků se jmény a fotografiemi nebo okno chatu s obrázkem zaměstnance. To vše je veřejné; snímek obrazovky z toho činí kopii, která je uložena u nás, objevuje se v reportu a může být s odkazem předána dál.

Pravděpodobnost – pravděpodobná. V datech vývojového systému bylo naměřeno 432 snímků obrazovky. Závažnost – omezená: obsah je již veřejný a lhůty u kontrol bez účtu jsou krátké. Úroveň – střední, protože zobrazené osoby o tom nevědí a obrázek domovské stránky není pro zjištění potřebný.

R4 – Data kontrol a snímky obrazovky bez cesty mazání

Noční běh maže kontroly dvěma cestami: podle data vypršení reportu (cfg/check_lib.php) a podle lhůty pro kontroly domény Zákazníka (cfg/fristen_lib.php, pouze u kontrol s doménou). Kontrola, která nemá ani report, ani doménu, propadne oběma sítěmi. Jde o kontroly s úrovní důvěry „interní“: studie a kontroly, které poskytovatel vytváří z příkazového řádku.

Studie mažou svá surová data při zveřejnění (cfg/studie_lib.php). Pokud studie nikdy zveřejněna není – protože má příliš málo webů s formulářem (cfg/studie_lib.php pak zveřejnění odmítne) nebo protože zůstane ležet –, zůstávají kontroly, formuláře, nálezy a snímky obrazovky bez časového omezení.
Interní kontroly z příkazového řádku nemají vůbec žádnou cestu mazání. Změřeno 11. října 2026: 85 takových kontrol webů třetích stran s 978 formuláři a 369 snímky obrazovky, nejstarší z 22. září 2026, žádná s reportem ani doménou.
Poznámky o nápadném chování při bezplatné kontrole obsahují IP adresu a mažou se 90 dní po vyřešení (srv/cron_status.php). Poznámka, která nikdy vyřešena není, zůstává. Změřeno: tři poznámky, všechny vyřešené.

Pravděpodobnost – nastalá. 85 kontrol není scénářem, ale existujícími daty. Ve vývojovém systému jde o kontroly z terénního testu; v produkčním systému platí stejný kód. Závažnost – významná: pro tato data neexistuje doba uložení. S ohledem na zásadu omezení uložení (čl. 5 odst. 1 písm. e)) jde o otevřený bod s plánovaným opatřením (oddíl 9.3, priorita „první“) a týká se právě osob, které o kontrole nic nevědí. Interní kontroly jsou popsány v Záznamech o činnostech zpracování; Zásady ochrany osobních údajů je dosud samostatně neuvádějí (oddíl 9.4). Úroveň – vysoká.

R5 – Kontrola a veřejné hodnocení webů třetích stran bez vědomí provozovatele

Kdokoli může nechat zkontrolovat libovolný veřejně přístupný web, bez účtu a bez jakéhokoli vztahu k němu. Provozovatel není informován. Výsledkem je report, který web hodnotí jako „Nechráněno“, „Částečně chráněno“ nebo „Chráněno“ a který může vidět každý, kdo má odkaz. Pro subjekty údajů jsou myslitelné dva důsledky. Podnikající fyzická osoba dostane veřejně – byť jen pro příjemce odkazu – hodnocení, které může být chybným zjištěním. A report ukazuje spammerovi, který formulář lze vyplnit bez překážek.

Proti tomu stojí řada blokací (cfg/check_lib.php): nejvýše jedna kontrola na doménu za sedm dní, poté stejný report; limity na IP adresu a relaci; denní limit pro celou službu; žádné kontroly velmi nových domén, které jsou pro zneužití typické; poznámka a signál při nápadném chování; robots.txt a opt-out, kontrolované dvakrát (cfg/check_lib.php a v kontrolní službě). Bezplatný report je výňatkem: ukazuje pouze základní nálezy, nikoli důkazy všech detektorů. A neříká nic, co by bot nemohl během několika sekund zjistit sám – nechráněný formulář je zvenčí vidět.

Pravděpodobnost – možná. Závažnost – významná pro podnikající fyzickou osobu, jejíž formulář se po reportu stane cílem nebo jejíž hodnocení je chybné. Úroveň – střední.

R6 – Kontrola potenciálních zákazníků jako základ pro nevyžádané oslovení

V rozhraní je kontrola potenciálních zákazníků popsána jako „otvírák dveří pro první rozhovor“. Jak agentura krátké zjištění použije, je na agentuře; technicky je může zaslat i provozovateli, který o ně nežádal. Nikoho nekontaktujeme (cfg/akquise_lib.php) a Obchodní podmínky agenturu zavazují dodržovat pravidla pro reklamu a oslovování. Nevyžádaný e-mail se zjištěním je však přímým marketingem i mezi podniky, který v Polsku (čl. 398 zákona o elektronických komunikacích (Prawo komunikacji elektronicznej, PKE)) a v Německu (§ 7 odst. 2 německého zákona proti nekalé soutěži (Gesetz gegen den unlauteren Wettbewerb, UWG)) vyžaduje předchozí souhlas. Rozhraní na to neupozorňuje; texty kontroly potenciálních zákazníků hovoří pouze o „pasivní“ kontrole a „seznamu opt-out“.

Pravděpodobnost – pravděpodobná, protože funkce slouží k získávání zákazníků a nemůžeme ověřit, zda příjemce udělil souhlas. Závažnost – omezená: pro provozovatele jde o obtěžující marketingový e-mail s hodnocením jeho webu. Úroveň – střední. Riziko spočívá v jednání agentury; protože funkce pochází od nás, je v rozhraní plánováno upozornění (oddíl 9.3).

R7 – Prokázání kontroly se nikdy neobnovuje

Aktivní testovací odeslání, vyhledávání volně přístupných souborů a skenování za přihlášením vyžadují, aby Zákazník prokázal, že je oprávněn doménu kontrolovat. Toto prokázání se ověřuje jednou (cfg/verify_lib.php) a již nikdy znovu. V kódu neexistuje cesta, kterou by doména o prokázání přišla. Pokud doména změní vlastníka, agentura ukončí svůj mandát nebo provozovatel odstraní záznam DNS, kontroly pokračují – až denně, s až pěti testovacími odesláními a případně s přihlášením testovacího účtu, o kterém nový provozovatel nemusí vědět. Naopak není možné převést prokázání na jiného hostitele přejmenováním: název hostitele domény s prokázanou kontrolou nelze změnit.

Pravděpodobnost – možná: změny domén a mandátů jsou u agentur každodenní záležitostí. Závažnost – významná pro nového provozovatele a jeho zaměstnance, kteří dostávají označené testovací zprávy a jejichž web je bez jejich souhlasu prohledáván kvůli volně přístupným souborům. Úroveň – střední. Testovací zprávy samy vysvětlují, o co jde, a odkazují na stránku o crawleru a na opt-out; opt-out funguje i proti kontrolám Zákazníků.

R8 – Přístupové údaje a obsah při skenování za přihlášením

Šifrování přístupových údajů je pečlivě vybudováno: webový server je po uložení již nedokáže přečíst, databáze a záloha obsahují pouze šifrovaný text, záznam je vázán na svou doménu, přístupové údaje se do kontejneru dostávají pouze přes standardní vstup a poté se z paměti vymažou (oddíl 6.5). Zůstávají dvě mezery; třetí bod se týká pouze čtení, nikoli ukládání.

Nešifrované přihlášení je povoleno. Kontrola adresy připouští vedle https i http (cfg/login_lib.php, scanner/src/login.js). Pokud Zákazník zadá přihlašovací stránku s http, putuje uživatelské jméno a heslo při každé kontrole internetem v otevřeném textu.
Chyby certifikátu přihlášení nezastaví. Přihlášení se v současnosti nepřeruší, je-li certifikát webu Zákazníka neplatný (scanner/src/login.js). Certifikát proto přístupové údaje na cestě k webu Zákazníka plně nechrání. Přerušení při chybách certifikátu je plánováno (oddíl 9.3, priorita „první“).
Hodnoty skrytých polí za přihlášením se čtou, neukládají. Crawler čte prvních 24 znaků hodnoty skrytých polí (scanner/src/crawl.js) a stejná extrakční funkce běží i za přihlášením (scanner/src/login.js). Tam skrytá pole často nesou číslo účtu, identifikátor uživatele nebo e-mailovou adresu přihlášeného účtu; do mapy polí a nálezů se však dostane pouze název pole, typ, popisek a výsledek rozpoznání.

K tomu přistupuje to, čemu kód zabránit nemůže: Zákazník potvrzuje, že používá testovací účet s co nejmenšími oprávněními (cfg/login_lib.php), může však zadat skutečný administrátorský účet. Stránky, které skener poté čte, určuje Zákazník; adresy obsahující slova pro odhlášení a mazání jsou blokovány, jiné akce, které web spouští jednoduchým požadavkem, však nikoli.

Pravděpodobnost – možná. Závažnost – vážná, pokud se to týká účtu s rozsáhlými oprávněními; členská sekce s údaji všech uživatelů je pak otevřená. Úroveň – střední u testovacího účtu s malými oprávněními, vysoká u skutečného účtu. Podle měření ve vývojovém systému není uložen žádný testovací účet.

R9 – Aktivní testovací odeslání a kontrola souborů na webu Zákazníka

Testovací odeslání jde k osobám, které čtou e-maily z formulářů Zákazníka – jeho zaměstnancům nebo poskytovateli služeb. Neobsahuje žádné osobní údaje: odesílatelem je dummy@formexposed.com, text a předmět jsou označeny a uvádějí identifikátor kontroly (scanner/src/active.js). Riziko spočívá v chybné klasifikaci: pokud by skener považoval formulář pro žádost o zaměstnání, rezervaci nebo poradenství za kontaktní formulář, skončila by testovací zpráva v procesu, který má důsledky. Proti tomu stojí přísná pravidla pro „odesílatelnost“ (scanner/src/classify.js), blokace domén orgánů veřejné moci, vzdělávacích institucí, klinik, lékařských praxí, policie a soudů (scanner/src/classify.js) a vyloučení jazykového modelu z tohoto rozhodnutí (scanner/src/classify.js). Z odpovědi se ukládá stav, cílová adresa, titulek, 300 znaků textu a obrázek; týkají se naší testovací zprávy.

Kontrola souborů čte nejvýše 8 KB z typických cest. Pokud je tam skutečně volně přístupný výpis databáze, může těchto 8 KB obsahovat údaje z formulářů zadané návštěvníky. Kontrolují se pouze na signaturu a zahazují se (cfg/dateien_lib.php); ukládá se cesta, typ a závažnost.

Pravděpodobnost – nepatrná. Závažnost – významná. Úroveň – nízká. Podle měření ve vývojovém systému je v datech jedna aktivní kontrola, bez přijatého odeslání.

R10 – Klasifikace jazykovým modelem

U formulářů, které pravidla nerozpoznají, obdrží jazykový model název stránky, adresu, texty tlačítek, popisy polí a až 400 znaků textu formuláře (scanner/src/classify.js). Může to zahrnovat jméno, například „Vaše kontaktní osoba: …“. Běží na našem vlastním serveru; v kódu nic nejde třetí straně. Zda software modelu zaznamenává požadavky, nebylo ověřeno. Jeho výsledek určuje pouze zobrazený typ formuláře a nemůže formulář učinit odesílatelným; chybná klasifikace vede k horšímu zjištění, nikoli k akci.

Pravděpodobnost – nepatrná. Závažnost – omezená. Úroveň – nízká.

R11 – Sdílený seznam blokovaných z hlášení mnoha webů

Doména na seznamu způsobí, že zprávy s odkazy na ni skončí na všech propojených webech v karanténě. Pokud doména patří jednotlivci – řemeslníkovi, fotografovi, blogu –, dostávají se jeho zprávy s odkazem na vlastní web k příjemcům se zpožděním. Taková doména se může na seznam dostat, protože ji zneužívají spammeři, nebo protože někdo úmyslně posílá několika webům zprávy, které ji obsahují a neprojdou.

Proti tomu stojí (cfg/swarm_lib.php): minimálně tři různé weby a pět zásahů během sedmi dní; pevné výjimky pro velké služby; nikdy domény našich Zákazníků; ruční odstranění pomocí nástroje na serveru; karanténa namísto mazání; seznam se denně sestavuje znovu a co již není hlášeno, vypadne. Dotčené osoby seznam nevidí a nemají vlastní cestu, jak požadovat odstranění, jinak než přes nás.

Pravděpodobnost – možná. Závažnost – omezená, protože se nic neztratí a příjemce může zprávu uvolnit. Úroveň – nízká až střední. Se zapnutými IP sítěmi by byly dotčeny sítě celých poskytovatelů, IP adresy jsou osobní údaje a závažnost by vzrostla na významnou: vysoká.

R12 – Reporty a snímky obrazovky pod veřejným odkazem

Reporty z bezplatné kontroly, kontroly potenciálních zákazníků a kontrol domén Zákazníků jsou dostupné bez přihlášení pod náhodným odkazem. Odkaz obsahuje 128 bitů náhodnosti a nelze jej uhodnout (cfg/check_lib.php). Stránky nesou noindex, aplikace odesílá zásadu referreru, která předává pouze původ (www/.htaccess), a snímky obrazovky se doručují pouze spolu s reportem, ke kterému patří; jiné číslo obrázku vrátí „nenalezeno“ (www/shot.php). Riziko není kryptografické, ale lidské: odkaz se předá dál, zkopíruje do tiketu, sdílí v chatu. Kdo jej otevře, se zaznamená pouze v protokolu přístupů ke stránkám jako každé zobrazení stránky (60 dní), v němž se samotný odkaz objevuje pouze v maskované podobě; seznam čtenářů pro jednotlivé reporty neexistuje.

Pravděpodobnost – možná. Závažnost – omezená, protože report ukazuje pouze veřejné informace a vyprší po 30, resp. 90 dnech; reporty o doménách Zákazníků zůstávají dostupné, dokud kontrola existuje (13 měsíců, poslední déle). Úroveň – nízká.

R13 – Slabiny infrastruktury

Následující body jsou v našem interním podkladu pro přezkum uvedeny jako otevřené a zde je nezastíráme. Popisujeme je tak přesně, jak to Zákazníci potřebují pro své vlastní posouzení, ale ne tak přesně, aby popis ukázal cestu útočníkovi; podrobnosti poskytneme dozorovému úřadu na žádost.

Zálohy databáze jsou v současnosti uloženy na stejném místě jako databáze a nejsou samostatně šifrovány; šifrovaná kopie na druhém místě je plánována (cfg/backup_lib.php). Do té doby nechrání před ztrátou místa a kdo získá databázi, získá i zálohy. Přístupové údaje pro skenování za přihlášením jsou v nich obsaženy pouze jako šifrovaný text.
Žádné šifrování uložené databáze. Výjimkou jsou pole, která jsou šifrována jednotlivě (přístupové údaje testovacích účtů, tajný klíč druhého faktoru).
Spojení v naší interní síti nejsou šifrována všude.
Správa serverů. Zabezpečení administrativního přístupu k našim serverům dosud neodpovídá standardu, který pro provoz zamýšlíme; zabezpečování správy serverů pokračuje.
Kontrolní prostředí. Skenovací server otevírá weby třetích stran v prohlížeči. Kontrolní kontejnery jsou izolované – vlastní síť, žádná zvláštní oprávnění, pouze pro čtení, omezené (scanner/src/worker.js). Oddělení kontrolního prostředí od ostatních částí služby se dále posiluje (oddíl 9.3).

Pravděpodobnost – možná. Závažnost – vážná, protože v nouzovém případě by bylo zasaženo vše najednou. Úroveň – vysoká. Jednotlivé body lze odstranit běžnými prostředky (oddíl 9.3).

R14 – Práva subjektů údajů u osob, které nás neznají

Kdo se nahodile objeví na snímku obrazovky nebo jehož zpráva prošla kontrolní kopií, o naší existenci zpravidla neví. I kdyby věděl, nemá ke „svým“ údajům žádný klíč: neukládáme je podle osob, ale podle domén a kontrol. Na žádost o přístup podle čl. 15 můžeme odpovědět pouze tehdy, uvede-li osoba doménu; pak můžeme projít existující kontroly a obrázky. U skutečných zpráv návštěvníků není co sdělit, protože je neukládáme – s výjimkou domény odesílatele z R1. Opt-out funguje pouze pro provozovatele domény, nikoli pro zobrazené osoby; pro ně zůstává cesta přes contact@lukaswojcik.com.

Pravděpodobnost – pravděpodobná jako strukturální situace. Závažnost – omezená, protože údaje jsou krátkodobé a nejsou uspořádány podle osob. Úroveň – nízká.

9. d) Opatření k řešení rizik

Každé opatření nese stav a stavy nejsou ozdobou. Dnes zavedeno – ověřeno znamená: přečteno v kódu vývojového systému a, kde to bylo možné, změřeno vůči databázi. Částečně znamená: mechanismus existuje, ale svůj účel zatím zcela neplní. Plánováno znamená: navrženo tímto posouzením a nevybudováno; zda a kdy, rozhoduje vlastník. Teprve je třeba stanovit postupy a rozhodnutí, které žádný kód nenahradí. DPIA, které vydává plánovaná opatření za zavedená, ztrácí svou hodnotu právě v situaci, kdy je potřeba.

9.1 Dnes zavedeno – ověřeno

Opatření	Řeší	Odkaz na zdroj
Crawler čte robots.txt před každou kontrolou; vyloučení vztahující se na domovskou stránku, nedostupný robots.txt nebo chyba serveru kontrolu ukončí (dílčí cesty se jednotlivě nerespektují; puls, načítání důkazu, nástroj pro hlavičky a vyhledávání souborů jej nečtou)	R5, zákonnost	`scanner/src/net.js`
Opt-out bez důkazu, s okamžitou účinností, pro doménu a její variantu s www, pro anonymní kontroly, potenciální zákazníky, studie a kontroly Zákazníků (probíhající monitorování skončí s příští plánovanou kontrolou); kontrolováno dvakrát (aplikace a kontrolní služba); zrušit jej můžeme pouze my na žádost s důkazem	R5, R7, čl. 21	`cfg/check_lib.php`; `cfg/akquise_lib.php`; `cfg/studie_lib.php`; `scanner/src/worker.js`
Bezplatná kontrola: nouzové zastavení, reCAPTCHA, jedna kontrola na doménu a týden, limity na IP adresu a relaci, denní limit, žádné nové domény, pouze veřejné adresy, poznámka a signál bez obsahu při anomáliích	R5	`cfg/check_lib.php`
Pro limity se relace ukládá pouze jako hodnota hash, nikdy jako identifikátor relace	Minimalizace	`cfg/check_lib.php`
Žádné hodnoty polí (začátky skrytých polí a datových atributů se pouze čtou během kontroly, oddíl 6.2); adresy příjemců pouze jako doména; identifikátory účtů v adresách skriptů skryté	Minimalizace	`scanner/src/crawl.js`
Bezplatný report je výňatkem: pouze základní nálezy, žádné důkazy ze všech detektorů	R5	`cfg/check_lib.php`, `FE_FREE_DETEKTOREN`
Reporty pod 128bitovým náhodným odkazem, `noindex`, obrázky pouze pro vlastní report, mimo veřejný webový adresář; odkaz se v protokolu přístupů ke stránkám objevuje pouze v maskované podobě	R12	`cfg/check_lib.php`; `www/report.php`; `www/shot.php`
Mazání: anonymní reporty po 30 dnech, potenciální zákazníci po 90 dnech, kontroly Zákazníků po 13 měsících (poslední kontrola každé domény se ponechává, dokud doména existuje), údaje smazané domény okamžitě (výjimky viz oddíl 6.11), obrázky vždy spolu s nimi	Omezení uložení	`cfg/check_lib.php`; `cfg/fristen_lib.php`
Studie: zveřejnění pouze jako souhrn, segmenty pouze od 20 webů s formulářem, surová data smazána při zveřejnění	R4 zčásti, P3	`cfg/studie_lib.php`
Kontrolní kontejnery: vlastní izolovaná síť, žádná zvláštní oprávnění, pouze pro čtení, limity paměti a procesů, časový limit; filtr proti privátním cílům u každého požadavku, service workery blokovány a spojení WebSocket uzavírána, aby nic filtr neobešlo; požadavky webového serveru pouze na webové porty a pouze přesně na předem zkontrolovanou veřejnou adresu	R13	`scanner/src/worker.js`; `scanner/src/net.js`
Aktivní kontrola pro Zákazníky pouze u ověřené domény (interně i u našich vlastních testovacích a ukázkových domén) a se zapnutým nouzovým zastavením, kontrolováno dvakrát; nejvýše pět odeslání; pouze jasně rozpoznané kontaktní formuláře bez povinných osobních údajů; žádné domény orgánů veřejné moci, vzdělávacích institucí, klinik, lékařských praxí, policie ani soudů; jazykový model nesmí nic uvolnit; testovací zpráva bez osobních údajů, označená, s odkazem na stránku o crawleru a opt-out	R9	`scanner/src/worker.js`; `scanner/src/classify.js`; `scanner/src/active.js`
Průchody prohlížečem: pouze GET a HEAD, nebezpečné adresy blokovány, smyšlené hodnoty neopouštějí prohlížeč, obrázky se začerněnými vstupními poli	R3 (u těchto obrázků), R9	`scanner/src/browser.js`
Kontrola souborů: pouze ověřené domény, jedno načtení na cestu, nejvýše 8 KB, obsah se nikdy neukládá	R9	`cfg/dateien_lib.php`
Druhá sonda: ve výchozím stavu vypnuta; obdržela by pouze pevný seznam neškodných položek, podepsaný	Příjemci	`cfg/formular_probe_lib.php`
Skenování za přihlášením: pouze ověřená doména, placený tarif, vlastník nebo administrátor, potvrzení „testovací účet“; šifrování veřejným klíčem skenovacího serveru, vázané na doménu; přístupové údaje se nikdy nezobrazují, nezaznamenávají ani nevydávají přes API; předání pouze přes standardní vstup; pole v úloze okamžitě vymazáno, zbytky po jedné hodině; žádné snímky obrazovky, žádná odeslání, žádné adresy pro odhlášení nebo mazání, přerušení při CAPTCHA; konečné smazání s přepsáním	R8	`cfg/login_lib.php`; `scanner/src/login.js`; `scanner/src/geheim.js`; `scanner/src/worker.js`
Kontrola doručení: ve výchozím stavu vypnuta; vyzvednutí čte pouze hlavičky a 8 KB, bez označení jako přečtené; obsah a adresa návštěvníka nikdy v databázi; každý vyzvednutý e-mail se smaže, včetně nepřiřaditelných; přiřazení smazána po 180 dnech; důkaz pouze prostřednictvím kopie právě tohoto testu	R1, R2	`cfg/zustellung_lib.php`
Rojová ochrana: pouze domény, IP sítě vypnuty; minimální počty; výjimky pro velké služby a domény Zákazníků; karanténa namísto mazání; seznam denně sestavován znovu; hlášení smazána po 30 dnech	R11	`cfg/swarm_lib.php`
Jazykový model na našem vlastním serveru, bez oprávnění k odeslání	R10	`scanner/src/classify.js`
Signály přes Telegram obsahují pouze pevnou větu bez proměnných	Příjemci	`cfg/check_lib.php`
Týdenní test obnovy zálohy s upozorněním při selhání	Dostupnost	`cfg/backup_lib.php`; `srv/cron_status.php`

9.2 Částečně – zavedeno, ale zatím neplní svůj účel

Opatření	Proč ještě není plně účinné
„Očištěné“ snímky obrazovky	Začerněny jsou pouze obrázky z průchodů prohlížečem. Obrázky crawleru – domovská stránka a prvky formulářů – a obrázek stránky s odpovědí z aktivní kontroly nikoli (R3).
Lhůty pro data kontrol	Účinné u anonymních kontrol, kontrol potenciálních zákazníků a kontrol Zákazníků; nikoli u interních kontrol a nezveřejněných studií; nevyřešené poznámky o anomáliích bez časového omezení (R4).
Mazání kontrolních kopií	Účinné v našem pohledu na schránku. Pokud se běh přeruší, e-maily zůstanou; co poskytovatel schránky uchovává ve vlastních zálohách, nebylo ověřeno (R2).
Ochrana přístupových údajů při skenování za přihlášením	Silná v uloženém stavu a v kontrolní službě; nikoli na cestě k webu: `http` je povoleno, chyby certifikátu se ignorují (R8).
Prokázání kontroly	Ověřuje se jednou a poté platí navždy; název hostitele domény s prokázanou kontrolou však nelze změnit, takže prokázání nepřejde na jiného hostitele (R7).
Informování subjektů údajů	Zavedeno pro provozovatele prostřednictvím stránky o crawleru, identifikátoru, Zásad ochrany osobních údajů a opt-outu; pro návštěvníky u kontroly doručení závislé na tom, zda Zákazník převezme textový blok; aplikace to nekontroluje.
Prosba vůči Zákazníkům, aby do kontrolní kopie nedávali zvláštní kategorie	Uvedena v právních dokumentech, ale technicky nepodporována: při nastavení se aplikace neptá na typ webu a nevaruje u domén, které vypadají jako zdravotnické, právní nebo vzdělávací (R1).

9.3 Plánováno – nezavedeno

Opatření	Řeší	Priorita
Cesta mazání pro interní kontroly: mazat kontroly bez domény a bez reportu po pevné lhůtě (návrh: 30 dní); mazat surová data studie nejpozději po pevné lhůtě od jejího dokončení, i bez zveřejnění (návrh: 90 dní); jednorázově smazat stávajících 85 kontrol s 369 obrázky	R4	První
Kontrolu doručení zpřístupnit až poté, co bude uzavřena smlouva s poskytovatelem schránky, zdokumentována místa uložení, další zpracovatelé a doby zálohování, objasněn mechanismus předání pro poskytovatele schránky a záznamy MX naší domény budou směřovat přímo do schránky; do té doby ponechat funkci v produkčním systému zablokovanou	R2	První
Před zpřístupněním kontroly doručení ověřit v produkčním systému zabezpečení vyzvedávání schránky a zdokumentovat je	R2	První
Skenování za přihlášením pouze přes `https` a s platným certifikátem; odmítat adresy `http`; chyby certifikátu při přihlášení jako důvod k přerušení	R8	První
Neukládat hodnoty skrytých polí za přihlášením (pouze název, typ a délku) – již takto zavedeno, žádný další krok	R8	Hotovo
Omezit kontrolní kopii na testovací zprávy tam, kde se používá plugin nebo rozšíření: skrytá kopie pouze u odeslání s naším testovacím identifikátorem	R1	Vysoká
Neukládat doménu odesílatele skutečných zpráv ani ji nezapisovat do upozornění, pokud nejde o doménu webu ani o doménu známé odesílací služby; v upozornění namísto toho „cizí doména odesílatele“	R1	Vysoká
Varování při nastavení kontroly doručení u domén, které vypadají jako zdravotnické, právní, sociální nebo vzdělávací, s odkazem na vlastní DPIA Zákazníka	R1	Vysoká
Pravidelně obnovovat prokázání kontroly (návrh: před každou aktivní kontrolou ověřit, zda záznam DNS, meta tag, soubor nebo propojení pluginu stále existuje; jinak pokračovat pasivně a informovat Zákazníka)	R7	Vysoká
Přestat fotografovat domovskou stránku, nebo pouze se začerněnými obrázky a obličeji; obrázky formulářů omezit na prvek formuláře (jako dnes) a maskovat vstupní pole jako u průchodů prohlížečem	R3	Vysoká
Upozornění v rozhraní kontroly potenciálních zákazníků: nevyžádané zaslání krátkého zjištění e-mailem nebo telefonicky je přímým marketingem i mezi podniky a vyžaduje předchozí souhlas (čl. 398 polského zákona o elektronických komunikacích; v Německu § 7 odst. 2 UWG, přičemž u telefonátů podnikům postačuje předpokládaný souhlas)	R6	Vysoká
Infrastruktura: dokončit zabezpečení správy serverů; šifrovaná kopie zálohy na druhém místě; šifrovat spojení v interní síti všude; dále posílit oddělení skenovacího serveru od aplikace	R13	Vysoká
Lhůta pro nevyřešené poznámky o anomáliích (návrh: vyřešení do 30 dní, jinak smazání IP adresy)	R4	Střední
Stránka nebo formulář, jejichž prostřednictvím může kdokoli požádat o odstranění domény z rojové ochrany	R11, R14	Střední
Před zapnutím IP sítí v rojové ochraně: nová verze tohoto posouzení	R11	Podmínka
Zaznamenat, zda software jazykového modelu ukládá požadavky, a pokud ano, tyto protokoly vypnout	R10	Nízká

9.4 Postupy a rozhodnutí, které je teprve třeba stanovit

Kromě technických záruk vyžaduje čl. 35 odst. 7 písm. d) také postupy. Ty dosud chybějí:

Porušení zabezpečení osobních údajů. Zjištění: vlastník, upozornění na chyby v aplikaci, hlášení prostřednictvím místa pro hlášení zranitelností nebo na contact@lukaswojcik.com. Rozhodnutí o ohlášení UODO do 72 hodin (čl. 33 odst. 1): vlastník. Informování dotčených Zákazníků jako správců: bez zbytečného odkladu, pokud možno do 48 hodin, jak je přislíbeno ve Smlouvě o zpracování osobních údajů. Je třeba stanovit: písemný popis postupu a první cvičení; u kontroly doručení navíc způsob, jak zjistit, kterých Zákazníků se porušení u poskytovatele schránky týká.
Odvětví. Je třeba stanovit: zda se kontrola doručení u webů z oblasti zdravotnictví, práva, sociálních služeb a vzdělávání nabízí, nabízí s varováním, nebo je vyloučena.
Interní kontroly. Je třeba stanovit: k čemu poskytovatel používá interní kontroly z příkazového řádku, kdo je smí vytvářet a jak dlouho zůstávají jejich výsledky; a zda je kromě Záznamů o činnostech zpracování třeba je uvést i v Zásadách ochrany osobních údajů.
Studie. Je třeba stanovit: kdo sestavuje seznamy, z jakých zdrojů, s jakou maximální velikostí, a kontrolu před každou studií, zda odpovídá předpokladům tohoto posouzení.
Názory subjektů údajů (čl. 35 odst. 9). Pro tuto verzi vyžádány nebyly. Čl. 35 odst. 9 vyžaduje jejich získání pouze „ve vhodných případech“; podle našeho posouzení tomu tak zde v současnosti není. Provozovatelé kontrolovaných webů a návštěvníci webů Zákazníků k nám nemají vlastní kanál; cílené oslovení by samo o sobě bylo novým zpracováním jejich údajů a služba dosud nebyla spuštěna, takže zatím neexistuje skupina skutečných subjektů údajů. Jejich zájmy jsou zohledněny nepřímo: prostřednictvím robots.txt a opt-outu, krátkých lhůt a skutečnosti, že se obsah kontrolních kopií neukládá. Při každém přezkumu podle oddílu 12 znovu zvažujeme, zda je získání jejich názorů vhodné, například prostřednictvím zpětné vazby na stránce o crawleru nebo od Zákazníků využívajících kontrolu doručení.

10. Zbytkové riziko a předchozí konzultace podle čl. 36

Čl. 36 odst. 1 vyžaduje předchozí konzultaci s dozorovým úřadem, pokud z DPIA vyplývá, že by zpracování mělo za následek vysoké riziko v případě, že by správce nepřijal opatření ke zmírnění tohoto rizika. Otázkou proto není, zda byla zjištěna vysoká rizika – byla zjištěna čtyři –, ale zda vysoké riziko přetrvá po zavedení opatření.

U operací zpracování, u nichž je formexposed správcem (P1 až P4, P7), lze vysoká rizika R4 a R13 odstranit běžnými prostředky: cestou mazání a vyčištěním stávajících dat, šifrovanou zálohou mimo pracoviště a zabezpečením dvou serverů. S opatřeními z 9.3 klesnou na nízkou až střední úroveň. R3, R5, R6 a R7 jsou na střední úrovni a s navrženými opatřeními klesnou na nízkou. Rojová ochrana bez IP sítí zůstává na nízké až střední úrovni. Předchozí konzultace pro tuto část není namístě, pokud budou opatření označená jako „první“ a „vysoká“ zavedena před spuštěním. Pokud některé z těchto opatření před spuštěním zavedeno nebude, přetrvá u dotčené operace zpracování vysoké riziko. Tato operace zpracování pak bude zahájena až po zavedení opatření, nebo bude nejprve konzultován UODO podle čl. 36 odst. 1.

U kontroly doručení (P6) je situace jiná, a to z důvodu, který žádné opatření zcela neodstraní: co návštěvník napíše, je na něm. S uzavřenou smlouvou, zabezpečeným vyzvedáváním, omezením na testovací zprávy, kde je to možné, a upuštěním od domény odesílatele klesne R2 na nízkou a R1 na střední úroveň. U Zákazníků, jejichž návštěvníci typicky poskytují údaje podle čl. 9, může R1 přesto zůstat vysoké. Povinnost konzultace pak leží na Zákazníkovi jako správci, nikoli na formexposed. Takovým Zákazníkům doporučujeme nezřizovat kontrolní kopii pro obecný kontaktní formulář, ale pouze pro formuláře bez citlivého obsahu, nebo se kontroly doručení vzdát.

Zbytkové riziko, poctivě uvedené. Dnes jsou s opatřeními z 9.1 čtyři rizika na vysoké úrovni: R1 a R2 (kontrola doručení), R4 (data kontrol bez cesty mazání) a R13 (infrastruktura). S opatřeními z 9.3 klesnou R2, R4 a R13 na nízkou až střední úroveň. R1 zůstává na střední úrovni a trvale závisí na rozhodnutích Zákazníků. Žádné z ostatních rizik není po přijetí opatření nad střední úrovní.

Čl. 36 není sankcí a konzultace není přiznáním. Je to cesta, kterou nařízení stanoví pro situaci, kdy užitečný postup nese riziko, které správce plně neovládá. Zákazník, který chce kontrolu doručení používat u zpráv obsahujících údaje o zdraví, zde najde skutečnosti pro toto rozhodnutí.

11. Co Zákazníci potřebují pro své vlastní DPIA (čl. 28 odst. 3 písm. f))

U kontroly doručení a skenování za přihlášením je správcem Zákazník. Tato stránka mu poskytuje popis (oddíly 6.5 a 6.6), rizika z našeho pohledu (R1, R2, R8) a stav opatření (oddíl 9). Na následující otázky může odpovědět pouze Zákazník:

Co moji návštěvníci píší? Lze očekávat, že formulářem přijdou údaje o zdraví, náboženství, původu, členství v odborech, sexuální orientaci, trestných činech nebo o dětech? Pak je DPIA pro kontrolní kopii zpravidla nutné a kontrolní kopii pro tento formulář je třeba znovu zvážit.
Potřebuji kontrolní kopii pro všechny zprávy? K prokázání, že naše testovací zpráva dorazí, stačí kopie této zprávy. Kde to formulář umožňuje, nastavte skrytou kopii pouze pro testovací zprávy.
Jak informuji své návštěvníky? Vyžaduje to Smlouva o zpracování osobních údajů; Text zásad ochrany osobních údajů pro váš web popisuje cestu kopie a naši roli.
Jaký mám právní základ? Náš navrhovaný text uvádí čl. 6 odst. 1 písm. f) (spolehlivé přijímání dotazů). Pro údaje podle čl. 9 tento základ sám o sobě nestačí.
Jaké kanály upozornění zvolím? Upozornění z kontroly pravosti mohou uvádět doménu odesílatele. Kdo zasílá upozornění do chatovacích služeb mimo EU, předává ji tam.
U skenování za přihlášením: Je testovací účet skutečně testovacím účtem s nejmenšími nutnými oprávněními? Je přihlašovací stránka dostupná pouze přes https? Vidí testovací účet údaje jiných uživatelů? Pokud ano: na kterých z určených stránek?
Kdy mažu? Kontrolu doručení a testovací účet lze kdykoli vypnout a smazat; testovací účet se pak trvale přepíše.

Další dokumenty pro posouzení Zákazníka: Smlouva o zpracování osobních údajů, technická a organizační opatření, seznam dalších zpracovatelů a Záznamy o činnostech zpracování. Na otázky k jednotlivým skutečnostem odpovídáme na contact@lukaswojcik.com.

12. Přezkum, verze a schválení

Čl. 35 odst. 11 vyžaduje přezkum s cílem posoudit, zda je zpracování prováděno v souladu s DPIA, alespoň v případě, kdy dojde ke změně rizika. Toto posouzení přezkoumáváme nejméně jednou ročně a také před každou z následujících událostí; každá z nich vyvolá nové měření, nikoli jen přečtení:

zahájení produkčního provozu, s čísly z produkčního systému namísto vývojového;
první aktivace kontroly doručení v produkčním systému a uzavření smlouvy s poskytovatelem schránky;
zapnutí IP sítí v rojové ochraně;
první studie a každá studie s větším seznamem než předchozí;
zapnutí druhé sondy nebo nový příjemce v kontrolní cestě;
jakékoli nové použití jazykového modelu nad rámec klasifikace formulářů a „Fix it for me“;
jakákoli změna snímků obrazovky, lhůt nebo předpokladů pro aktivní kontroly.

Položka	Údaj
Správce	LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polsko · NIP 7252266190 · contact@lukaswojcik.com
Příslušný dozorový úřad	Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Moniuszki 1A, 00-014 Warszawa, Polsko
Pověřenec pro ochranu osobních údajů	Nejmenován; posouzení podle čl. 37 v oddílu 4
Základ skutečností	Zdrojový kód aplikace a kontrolní služby, databázové schéma, počty řádků a nastavení vývojového systému, změřené 11. října 2026, pouze pro čtení
Související dokumenty	Zásady ochrany osobních údajů, Smlouva o zpracování osobních údajů, Technická a organizační opatření, Další zpracovatelé, Záznamy o činnostech zpracování, Akt EU o umělé inteligenci, Přípustné použití a zneužití, FormExposedBot, Opt-out
Verze	1.0 ze dne 11. října 2026, první verze
Přezkumy podle čl. 35 odst. 11	Zatím žádné (první verze). Každý přezkum se sem zapíše s datem, důvodem a výsledkem.
Schválení	Dosud neschváleno. Schválení vlastníkem po právním posouzení a po rozhodnutí o opatřeních z oddílu 9.3 a otázkách z oddílu 9.4. Externí poradenství v oblasti ochrany osobních údajů dosud nebylo vyžádáno.

Jedna závěrečná poznámka patří do dokumentu, nikoli do průvodního dopisu. Části formexposed, které nejdále zasahují do cizích domén – testovací odeslání a přihlášení s cizími přístupovými údaji –, jsou vybudovány s největší opatrností: dvě brány, pevné limity, šifrování, které nepustí ani nás. Rizika v tomto posouzení leží převážně jinde: v tom, co přichází nahodile – skutečné zprávy ve skryté kopii, lidé na snímku obrazovky, kontroly, které již nikdo nemaže. To je příznivá výchozí pozice, protože nahodilé lze zastavit, aniž by se služba změnila.

Jak vám můžeme pomoci?