Súlad s GDPR v off-page monitoringu

Off-page monitoring sleduje, čo sa o značke deje mimo vlastného webu: nové spätné odkazy, zmienky v odborných médiách, hodnotenia, profily na sociálnych sieťach a čoraz častejšie citácie v AI odpovediach. Práve pri tom sa pravidelne spracúvajú osobné údaje, často bez toho, aby si to zúčastnení uvedomovali. Tento článok ukazuje, kedy sa na off-page SEO vzťahuje GDPR, aké zmluvy a právne základy sú potrebné a ako v Rakúsku nastaviť monitoring právne bezpečne.

Prečo je ochrana údajov pri off-page monitoringu kritická pre podnikanie

Off-page SEO sa dlho považovalo za čisto technickú disciplínu. V skutočnosti každý audit spätných odkazov, každý monitoring značky a každá outreach kampaň spracúva údaje, ktoré sa vzťahujú na identifikovateľné osoby: mená autoriek a novinárov, skutočné mená pod hodnoteniami, profily na sociálnych sieťach a IP adresy. Takéto spracúvanie teda nie je mimo ochrany údajov, ale v plnom rozsahu spadá do pôsobnosti GDPR.

Riziko zodpovednosti je reálne a rastie. Do 1. marca 2026 dosiahli kumulované pokuty podľa GDPR približne 6,11 miliardy eur v 2 685 evidovaných konaniach o pokute, v priemere 2 277 122 eur na konanie (medzinárodný tracker, celá EÚ). Tieto čísla nie sú abstraktným zvyškovým rizikom, ale finančnou kotvou, podľa ktorej by agentúry a ich zákazníci mali nastaviť svoje off-page procesy.

Realita nástrojov tému ešte vyostruje. Väčšina off-page nástrojov beží ako cloudový SaaS a cloud je v rakúskych podnikoch štandardom: 52 % podnikov využívalo v roku 2025 cloudové služby, 30 % umelú inteligenciu a 26 % dátovú analytiku (Rakúsko, podniky s 10 a viac zamestnancami). Každé z týchto cloudových spracúvaní potrebuje riadny právny základ z hľadiska ochrany údajov, len čo ide o osobné údaje.

Fungovanie: kedy sa spracúvajú osobné údaje

Rozhodujúcim prvým krokom je preveriť, či vôbec ide o osobné údaje, teda či sa údaje vzťahujú na identifikovateľnú osobu. Pri off-page monitoringu je odpoveď často áno, a to na viacerých miestach naraz.

• IP adresy: Súdny dvor EÚ vo veci Breyer rozhodol, že dynamická IP adresa je pre prevádzkovateľa osobným údajom, ak má právne prostriedky na identifikáciu osoby prostredníctvom tretej strany, napríklad poskytovateľa internetového pripojenia (Súdny dvor EÚ, C-582/14, k smernici 95/46/ES). Rozsudok padol pred začiatkom uplatňovania GDPR, jeho základná myšlienka relatívneho vzťahu k osobe sa však v praxi prenáša na logy, analytiku a dáta z crawlerov.
• Kontakty autorov a novinárov: Mená, e-mailové adresy a príslušnosť k redakciám z PR databáz sú jednoznačne osobné údaje.
• Hodnotenia a zmienky na sociálnych sieťach: Skutočné mená pod recenziami, profilové mená na LinkedIn alebo XING a citované výroky sa dajú priradiť konkrétnym osobám.
• Údaje recenzentov a komentujúcich: Aj pseudonymy môžu byť osobnými údajmi, ak sa dajú prepojiť s ďalšími údajmi o osobe.

Len čo nastane niektorý z týchto prípadov, potrebuješ právny základ podľa čl. 6 GDPR. V B2B off-page oblasti je to spravidla oprávnený záujem podľa čl. 6 ods. 1 písm. f) GDPR. Ten bezpodmienečne predpokladá zdokumentovaný test vyváženia záujmov: tvoj záujem na monitoringu oproti záujmom dotknutej osoby, ktoré si zaslúžia ochranu. Bez zdokumentovaného vyváženia právny základ chýba, aj keby bol záujem vecne oprávnený.

Stratégia: zmluva so sprostredkovateľom, prenos do tretích krajín a rozdelenie rolí

Off-page monitoring takmer nikdy nefunguje bez externých nástrojov. Vznikajú tak dva hlavné okruhy povinností: spracúvanie prostredníctvom sprostredkovateľa a prenos do tretích krajín.

Spracúvanie prostredníctvom sprostredkovateľa podľa čl. 28 GDPR

Kto používa Ahrefs, Semrush, BrandMentions alebo Brand24 a nechá v nich spracúvať osobné údaje, potrebuje zmluvu so sprostredkovateľom podľa čl. 28 GDPR. Prevádzkovateľom je spravidla podnik, poskytovateľ nástroja je sprostredkovateľom. Ak agentúra nasadí nástroj v mene zákazníka, poskytovateľ je jej ďalším sprostredkovateľom podľa čl. 28 ods. 2 a 4 GDPR a zákazník musí jeho zapojenie schváliť. Funkčná zmluva so sprostredkovateľom upravuje minimálne:

• Predmet a účel: Aké údaje sa smú spracúvať a na aký účel, ako aj zákaz zmeny účelu.
• Viazanosť pokynmi: Sprostredkovateľ koná len na základe zdokumentovaných pokynov prevádzkovateľa.
• Subdodávatelia: Povinnosť schválenia a zoznam zapojených ďalších sprostredkovateľov, napríklad poskytovateľov hostingu a analytiky.
• Opatrenia a vymazanie: Technické a organizačné opatrenia a vrátenie alebo vymazanie údajov po skončení zmluvy.

Prenos do tretích krajín pri nástrojoch z USA

Mnohé zavedené off-page nástroje majú sídlo v USA alebo spracúvajú údaje v USA. Prenos do tretej krajiny sa tým stáva samostatným bodom kontroly. Prípustný je na základe rámca EU-US Data Privacy Framework (DPF), ak je konkrétny poskytovateľ certifikovaný, alebo na základe štandardných zmluvných doložiek (SCC) s doplňujúcim posúdením vplyvu prenosu (TIA). Nie každý poskytovateľ sídli v USA: zmluvnou stranou v zmluve so sprostredkovateľom od Ahrefs je spoločnosť Ahrefs Pte Ltd so sídlom v Singapure. Na Singapur sa DPF nevzťahuje, prenos tam prebieha na základe SCC a vyžaduje TIA. Pri každom nástroji zvlášť prever, na akom základe prenos prebieha, a výsledok zdokumentuj. Paušálny predpoklad, že DPF pokrýva všetko, neobstojí.

Reputácia, recenzie a digitálne PR

Pri hodnoteniach a zmienkach je vhodným základom väčšinou oprávnený záujem, má však hranice: spracúvanie musí zostať obmedzené na monitoring. Obohacovanie údajov do podoby komplexných osobných profilov ide nad tento rámec a oprávnený záujem ho nepokrýva. V digitálnom PR sa v B2B oblasti oslovovanie pracovných kontaktov v redakciách z hľadiska ochrany údajov spravidla považuje za pokryté oprávneným záujmom, pretože sa týka pracovnej roly. Pre e-mail ako kanál to však nestačí: v Rakúsku je reklamný e-mail podľa § 174 ods. 3 TKG 2021 aj voči podnikom prípustný len s predchádzajúcim súhlasom. Oprávnený záujem podľa GDPR tento súhlas nenahrádza.

Osvedčené postupy pre off-page monitoring v súlade s ochranou údajov

Nasledujúce opatrenia zabezpečia, že monitoring bude preukázateľne v súlade s právom, a účinok SEO pritom neoslabia.

• Udržiavaj záznam o spracovateľských činnostiach: Veď ho aj pre off-page pracovné postupy. Každé opakované spracúvanie, napríklad mesačné audity spätných odkazov alebo trvalý monitoring značky, v ňom musí byť uvedené s účelom, právnym základom a lehotou vymazania.
• Zmluvu so sprostredkovateľom uzatvor pred spustením nástroja: Zabezpeč si ju skôr, ako nástroj začne spracúvať údaje v ostrej prevádzke, nie až pri audite.
• Zaveď anonymizáciu IP adries: Anonymizuj alebo pseudonymizuj IP adresy v analytike a logoch čo najskôr, ideálne ešte pred uložením.
• Definuj koncept vymazávania: Stanov konkrétne lehoty uchovávania v súlade so zásadou minimalizácie uchovávania podľa čl. 5 ods. 1 písm. e) GDPR. Dáta z crawlerov a auditov potrebujú dátum expirácie, nie neobmedzený archív.
• Zdokumentuj test vyváženia záujmov: Test oprávneného záujmu zaznamenaj písomne pre každú kategóriu spracúvania. Je súčasťou zásady zodpovednosti podľa čl. 5 ods. 2 GDPR.
• Minimalizácia údajov pri oslovovaní kontaktov: V PR databázach zbieraj len kontaktné údaje, ktoré potrebuješ na pracovné oslovenie, a žiadne súkromné doplňujúce informácie.

Povinnosti špecifické pre Rakúsko a kanály v súlade s právom

V Rakúsku platí popri GDPR zákon o ochrane údajov (Datenschutzgesetz, DSG), dozorným orgánom je úrad na ochranu údajov (Datenschutzbehörde, DSB). DSG dopĺňa GDPR o vnútroštátne pravidlá, napríklad o spracúvaní orgánmi verejnej moci a o sankciách, európske povinnosti však neruší. Na budovanie odkazov sú vhodné inštitucionálne zdroje ako firemný adresár WKO-Firmen-A-Z, rakúske odborné médiá a odvetvové adresáre. Prinášajú earned media a zmienky z verejne dostupných zdrojov a z hľadiska ochrany údajov sú menej rizikové ako plošný zber súkromných profilov zo sociálnych sietí.

Profesijné siete pritom zostávajú kľúčovou pákou. V Rakúsku bolo začiatkom roka 2025 7,30 milióna identít na sociálnych sieťach, čo zodpovedá 80,1 % populácie, a reklamný dosah LinkedIn predstavoval 31,1 % používateľov internetu (Rakúsko). Monitoring profesijných zmienok je teda účinný, musí sa však opierať o profesijný kontext a oprávnený záujem.

Nastavenie monitoringu AI citácií v súlade s ochranou údajov

Sledovanie vlastnej značky v AI odpovediach je nový off-page kanál. Dosah je obrovský: ChatGPT mal v októbri 2025 približne 800 miliónov aktívnych používateľov týždenne (celosvetovo) a Google AI Overviews dosiahli v druhom štvrťroku 2025 hranicu 2 miliárd používateľov mesačne v 200 krajinách a teritóriách (celosvetovo). Overovať, či a ako tam AI cituje vlastnú značku, je legitímny monitoring značky.

Z hľadiska ochrany údajov je tu rozhodujúci smer toku údajov. Pri GEO monitoringu sleduješ výstupy AI systémov o vlastnej značke. Pokiaľ sa pýtaš len na vlastné značkové výrazy a vyhodnocuješ výsledky, spravidla nespracúvaš osobné údaje tretích osôb. Citlivé je to vtedy, keď prompty alebo logy obsahujú údaje používateľov či zákazníkov, alebo keď sa zachytávajú a ukladajú odpovede s výrokmi o identifikovateľných tretích osobách. Potom platia rovnaké povinnosti ako pri ostatnom off-page monitoringu: právny základ, minimalizácia a lehota vymazania.

Časté chyby

• Žiadna zmluva so sprostredkovateľom pri monitorovacích nástrojoch: Používanie Ahrefs, Semrush alebo Brand24 bez zmluvy so sprostredkovateľom patrí k najčastejším porušeniam a pri audite je okamžite viditeľné.
• Nepreverený prenos do tretích krajín: Paušálny predpoklad, že nástroje z USA sú cez DPF automaticky pokryté, nenahrádza preverenie každého poskytovateľa vrátane SCC a TIA.
• Chýbajúce vyváženie pri oprávnenom záujme: Čl. 6 ods. 1 písm. f) GDPR bez zdokumentovaného testu vyváženia záujmov neobstojí, aj keď je záujem vierohodný.
• Neobmedzené uchovávanie: Dáta z crawlerov a o spätných odkazoch bez konceptu vymazávania porušujú zásadu minimalizácie uchovávania podľa čl. 5 GDPR.
• Off-page chýba v zázname o spracovateľských činnostiach: Mnohé záznamy pokrývajú len web, nie priebežný monitoring značky a spätných odkazov.
• Vytváranie profilov namiesto monitoringu: Obohacovanie údajov recenzentov alebo údajov zo sociálnych sietí do podoby komplexných osobných profilov prekračuje hranicu oprávneného záujmu.
• Neupravené ukladanie IP adries: Surové logy IP adries bez anonymizácie zbytočne zvyšujú objem údajov a riziko.

Metriky a preukázanie súladu

Súlad s ochranou údajov je merateľný a treba ho vedieť preukázať. Nasledujúce ukazovatele a doklady robia stav overiteľným:

• Miera pokrytia zmluvami so sprostredkovateľom: Podiel používaných off-page nástrojov s platnou zmluvou so sprostredkovateľom, cieľ 100 %.
• Dokumentácia prenosov: Pre každý nástroj z USA uložený doklad o základe prenosu, teda certifikácia v rámci DPF alebo SCC plus TIA.
• Dodržiavanie lehôt vymazania: Doklad, že dáta z crawlerov a auditov sa po uplynutí stanovenej lehoty skutočne vymažú alebo anonymizujú.
• Čas reakcie na práva dotknutých osôb: Doba vybavenia žiadostí o prístup a vymazanie, pričom hornou hranicou je zákonná lehota.
• Aktuálnosť záznamu o spracovateľských činnostiach: Dátum poslednej kontroly záznamu o spracovateľských činnostiach pre všetky off-page pracovné postupy.
• Zdokumentované testy vyváženia záujmov: Počet kategórií spracúvania s písomne zaznamenaným vyvážením záujmov.

Zásada zodpovednosti podľa čl. 5 ods. 2 GDPR vyžaduje, aby si dodržiavanie predpisov vedel zabezpečiť aj preukázať. V spore rozhoduje dokumentácia, nie dobrý úmysel.

Ďalšie súvislosti: zodpovednosť medzi agentúrou a zákazníkom

Pri agentúrnych zákazkách zostáva rozdelenie rolí medzi agentúrou a zákazníkom často nevyjasnené. V praxi je zvyčajne zákazník prevádzkovateľom pre off-page údaje svojej značky, zatiaľ čo agentúra vystupuje ako sprostredkovateľ alebo, ak sleduje vlastné účely, ako spoločný prevádzkovateľ. Túto rolu treba jasne upraviť v zmluve vrátane pokynov, zoznamu nástrojov a povinností vymazania. Vyjasni aj to, kto prijíma žiadosti dotknutých osôb a kto zabezpečí ich včasné vybavenie.

Ako ďalšie kroky sa odporúča inventár nástrojov so stavom zmlúv so sprostredkovateľom a prenosov, zdokumentovaný koncept vymazávania pre všetky dáta z crawlerov a monitoringu a zaradenie off-page pracovných postupov do záznamu o spracovateľských činnostiach. Kto tieto tri stavebné prvky nastaví správne, môže robiť audity spätných odkazov, monitoring značky a sledovanie AI citácií bez porušenia GDPR alebo rakúskeho DSG.