Vyfotíte auto na ulici a chcete fotografii zveřejnit na sociální síti. Musíte předtím rozmazat registrační značku? Na internetu najdete dvě jednoduché odpovědi. Podle jedné SPZ není osobní údaj, protože z ní běžný člověk nezjistí, komu auto patří. Podle druhé osobním údajem je, takže ji musíte vždy rozmazat. Jenže ani jedna z těchto pouček moc nefunguje.
Než začnete hledat nástroj na rozmazávání značek, pojďme se podívat na jednu věc, která se v internetových diskuzích docela často ztrácí: to, že je něco osobním údajem, ještě neznamená, že se to nesmí zveřejnit.
Mýtus č. 1: SPZ není osobní údaj
Tohle tvrzení zní na první pohled docela logicky. Podíváte se na registrační značku auta a zpravidla netušíte, komu patří. Samotná značka vám jméno vlastníka ani provozovatele neprozradí. Jenže osobním údajem není pouze informace, ze které dokážete člověka okamžitě identifikovat jménem a příjmením. GDPR počítá také s nepřímou identifikací.
A právě registrační značkou se zabýval Nejvyšší správní soud. V rozsudku 1 As 387/2019-56 dospěl k závěru, že registrační značka vozidla, jehož vlastníkem nebo provozovatelem je fyzická osoba, je osobním údajem. Prostřednictvím registru vozidel ji totiž lze spojit s konkrétním vlastníkem nebo provozovatelem.
Pokud je vlastníkem či provozovatelem automobilu právnická osoba, samotné propojení značky s touto právnickou osobou z ní osobní údaj fyzické osoby nedělá.
„Já podle takto upravené fotky nepoznám, kdo to je,“ neznamená „nejde ho identifikovat“. Člověka lze někdy určit nepřímo nebo s pomocí dalších informací. Proto ani zakrytí obličeje smajlíkem automaticky neznamená, že je fotografie anonymizovaná. A stejné je to s registrační značkou.
Mýtus č. 2: Když je SPZ osobní údaj, nesmím ji zveřejnit
Jméno a příjmení jsou osobní údaje. Fotografie člověka může být osobním údajem. E-mailová adresa může být osobním údajem. Přesto z toho samozřejmě neplyne, že se tyto údaje nikdy nesmějí objevit na internetu.
GDPR není seznam informací, které musíme před zveřejněním začernit.
Mnohem důležitější jsou otázky: Proč údaj používám? Je to pro daný účel potřeba? Komu ho zpřístupňuji? A nepřiměřeně tím nezasahuji do práv někoho jiného? Právě tohle je důležité i u registračních značek.
Mýtus č. 3: SPZ je přece veřejně vidět
Registrační značku auta vidí každý, kdo jde kolem. Proč by tedy měl být problém ukázat ji na internetu? Protože veřejně viditelné neznamená volně použitelné k libovolnému účelu.
Je rozdíl mezi tím, když kolem auta projdou lidé na ulici, a tím, když registrační značky cíleně shromažďujete, třídíte a zveřejníte je na sociální síti.
Docela pěkně je to vidět na skutečném případu, který řešil Úřad pro ochranu osobních údajů.
Jeden uživatel zveřejnil na tehdejším Twitteru seznam plně čitelných registračních značek automobilů. U značek vozidel vlastněných fyzickými osobami ÚOOÚ posoudil jejich zveřejnění jako zpracování osobních údajů.
Autor argumentoval tím, že chtěl otevřít veřejnou diskusi o možném obcházení pravidel parkování v Praze. ÚOOÚ ale zjistil, že šlo o veřejné parkoviště, nikoli o zónu placeného stání. Argument o možném obcházení pravidel parkování proto neobstál.
A Úřad dodal ještě jednu zajímavou věc. I kdyby připustil veřejný zájem na debatě o parkování, nebylo nutné zveřejňovat celé registrační značky. Pokud chtěl autor poukazovat například na regionální původ registrace, mohl zveřejnit jen potřebnou část značky a zbytek zamaskovat.
Původně dostal pokutu 40 000 Kč. Po rozkladu ji předseda ÚOOÚ snížil na 10 000 Kč. Zohlednil přitom mimo jiné i to, že SPZ je nepřímým identifikátorem a běžný člověk podle ní zpravidla nedokáže bez dalšího zjistit konkrétního vlastníka nebo provozovatele. Rozhodnutí ÚOOÚ ve věci sp. zn. 2771/22
To ale neznamená, že za zveřejnění SPZ dostanete pokutu. Znamená to, že v tomto konkrétním případě ÚOOÚ dospěl k závěru, že autor pro zveřejnění neměl právní základ. A to je podstatně méně chytlavá, zato užitečnější informace.
Mýtus č. 4: Jsem soukromá osoba, GDPR se mě netýká
GDPR skutečně obsahuje takzvanou domácí výjimku. Nevztahuje se na zpracování osobních údajů fyzickou osobou v rámci výlučně osobní nebo domácí činnosti.
Takže když si vyfotíte auto a fotografie vám zůstane v telefonu, opravdu není potřeba svolávat pověřence pro ochranu osobních údajů. Jenže domácí výjimka není kouzelný plášť, pod který se schová všechno, co člověk dělá jako soukromá osoba.
Soudní dvůr Evropské unie už v případu Lindqvist řešil zveřejnění osobních údajů na internetu a konstatoval, že zpřístupnění údajů neurčitému počtu lidí nelze považovat za čistě osobní či domácí činnost.
V českém případu Ryneš zase Soudní dvůr řešil domácí kamerový systém. Ani ten nespadal celý pod domácí výjimku, protože kamera zabírala také veřejný prostor. Soudní dvůr později oba principy shrnul tak, že čistě osobní či domácí činnost nezahrnuje činnost, jejímž účelem je zpřístupnit údaje neomezenému počtu lidí nebo která zasahuje, byť jen částečně, do veřejného prostoru.
To neznamená ani opačnou jednoduchou poučku, že cokoli zveřejníte na sociální síti, automaticky podléhá GDPR. Jinými slovy: „jsem soukromá osoba“ samo o sobě nestačí.
Mýtus č. 5: Když někoho vyfotím mobilem, řeší to GDPR
Ani to není tak jednoduché. ÚOOÚ v roce 2026 zveřejnil informaci o konkrétním případu, kdy člověka fotografovali a natáčeli sousedé mobilními telefony. Úřad v tomto případě uvedl, že pořízení fotografie či záznamu fyzické osoby mobilním telefonem na rozdíl od monitorování definovaného prostoru stacionární kamerou nepovažuje za zpracování osobních údajů ve smyslu GDPR, jehož posouzení by spadalo do jeho působnosti.
Z jednoho konkrétního případu samozřejmě nelze udělat pravidlo pro každé fotografování mobilním telefonem. Ukazuje ale důležitou věc: ne každý spor kolem fotografie a soukromí je automaticky spor o GDPR.
Případný zásah do soukromí může být problémem i podle jiných pravidel, například podle občanského zákoníku.
Proto jednoduchá otázka „Je SPZ osobní údaj?“ k posouzení celé situace nestačí. Je potřeba ptát se také na to, co s fotografií děláme.
Mýtus č. 6: Když někdo porušuje předpisy, můžu ho zveřejnit
Představte si běžnou situaci. Někdo zaparkuje autem na chodníku. Vyfotíte ho.
Fotografii můžete chtít použít jako dokumentaci a předat ji příslušnému orgánu. Nebo ji můžete dát na veřejný Facebook s komentářem: „Podívejte se na toho idiota. Nevíte někdo, kdo to je?“
Je to pořád stejná fotografie. Účel jejího použití je ale úplně jiný.
České právo počítá s tím, že záznam může být za určitých okolností pořízen nebo použit k výkonu či ochraně práv a právem chráněných zájmů. Ani takový zákonný důvod ale neznamená, že lze záznam použít libovolným způsobem. Občanský zákoník v § 90 stanoví, že zákonný důvod k zásahu do soukromí nebo použití obrazového záznamu nesmí být využit nepřiměřeně v rozporu s oprávněnými zájmy člověka.
Z toho, že si můžete určité jednání zdokumentovat kvůli řešení problému, nevzniká obecné právo veřejně pranýřovat člověka, o kterém jste přesvědčeni, že něco provedl.
Dokumentovat něco pro řešení problému a vystavit někoho veřejnosti jsou dvě různé věci.
Mýtus č. 7: Rozmažu SPZ a mám vyřešeno
Rozmazání registrační značky může být v řadě situací velmi rozumné. Pokud ji pro účel zveřejnění nepotřebujete, proč ji ukazovat? Jenže rozmazaná značka není kouzelné tlačítko „vyřešit GDPR“.
Představte si fotografii charakteristického auta před rodinným domem. SPZ pečlivě rozmažete a přidáte obec, ulici, přesný čas a komentář: „Tak už zase tráví večer u té blondýny.“ Gratuluji. SPZ jste anonymizovali. Zbytek už tolik ne.
Kombinace dalších informací může umožnit určit, o koho jde. A zároveň můžete zveřejněním informací o tom, kde se člověk nachází nebo s kým se stýká, zasáhnout do jeho soukromého života.
Je to další pěkná ukázka mozaikového efektu. Člověka nemusíme identifikovat pomocí jednoho údaje. Někdy stačí kombinace několika zdánlivě nevinných informací.
Anonymizace proto není jen malování černého obdélníčku přes jednu věc, která nám připadá jako osobní údaj.
A co obyčejná fotografie z ulice?
Vyfotíte náměstí plné lidí a aut. Na několika autech jsou čitelné registrační značky. Znamená skutečnost, že registrační značka vozidla fyzické osoby je osobním údajem, že musíte před zveřejněním fotografie všechny značky najít a rozmazat?
Z GDPR nelze dovodit obecnou povinnost, že každá registrační značka náhodně zachycená na zveřejňované fotografii musí být vždy rozmazána.
Ani z toho ale nelze odvodit opačné pravidlo, že zveřejnění čitelné registrační značky je vždy bezproblémové.
Je rozdíl mezi značkou auta, která se náhodou objevila mezi desítkami dalších na fotografii náměstí, a cíleným vytvořením a zveřejněním seznamu registračních značek. Proto fotografie ulice s viditelnými značkami nemusí být sama o sobě problémem a současně může cílené zveřejnění seznamu značek skončit pokutou. Není v tom rozpor.
Tak mám tu SPZ rozmazat, nebo ne?
Pokud SPZ pro svoje sdělení nepotřebujete, rozmazáním zpravidla nic nezkazíte. Jen z toho nedělejte univerzální právní pravidlo.
Místo „Musím rozmazat SPZ?“ si zkuste položit jiné otázky: Proč ji zveřejňuji? Potřebuji ji? Co všechno fotografie spolu s textem prozrazuje? A mohl bych stejného cíle dosáhnout bez ní?
A nezapomeňte ani na opačnou stranu problému. Rozmazaná SPZ ještě neznamená, že jste fotografii anonymizovali nebo že nemůžete zasáhnout do něčího soukromí.
Ochrana osobních údajů totiž není soutěž v hledání věcí, přes které musíme namalovat černý obdélník.
Jestli byste si z tohoto článku měli něco odnést, tak hlavně to, že neexistuje univerzální pravidlo, co máme na fotografii skrýt. Daleko důležitější je přemýšlet, co fotografie prozrazuje a k čemu ji chceme použít.
Nejsem právník. Článek je popularizační a vychází z právních předpisů, rozhodnutí soudů a stanovisek Úřadu pro ochranu osobních údajů. Konkrétní situace může mít okolnosti, které její právní posouzení změní.
Líbí se vám moje práce?
Pokud vám moje práce dává smysl, můžete mě podpořit malým příspěvkem nebo jinak.