Právo sociálnych sietí v DACH: GDPR fanpage, BFSG a hudobné práva

Právo sociálnych sietí: prečo sa firemné profily dotýkajú viacerých právnych oblastí naraz

Firemný účet na LinkedIne, Instagrame alebo TikToku sa právne dotýka viacerých oblastí naraz: spracúvania údajov, reklamy, použitia autorských diel, osobnostných práv a od roku 2026 aj transparentnosti pri AI. Každá z týchto oblastí má vlastné právne základy, vlastné dozorné orgány a vlastné sankcie. Typickou chybou marketingových tímov sú diery v zodpovednosti: ochrana údajov sedí u zodpovednej osoby, označovanie reklamy u agentúry, hudobné licencie u nikoho.

Tento článok prináša dve veci. Po prvé mapu, ktorá právna téma sa rieši kde a kto za ňu vo firme zodpovedá. Po druhé prehĺbenie tém, ktoré nesie samotný článok: ochrana údajov pri fanpage, social plugins podľa Fashion ID, fotky zamestnancov a právo na vlastnú podobizeň, prenos údajov do USA cez Data Privacy Framework a prístupnosť podľa BFSG. Všetky tvrdenia platia k stavu august 2026 a nenahrádzajú právne poradenstvo. Konkrétnu realizáciu treba odsúhlasiť s advokátom alebo so zodpovednou osobou za ochranu údajov.

Právna mapa: témy, právne zdroje, zodpovednosti

Tabuľka priraďuje každej právnej téme právny zdroj, hlavné riziko a miesto, ktoré by za ňu vo firme malo zodpovedať. Ako tieto povinnosti zasahujú do celkového plánovania, ukazuje prehľad Základy a stratégia sociálnych sietí.

Dôležité pre priradenie: sankcie sa rádovo výrazne líšia. Porušenie povinností transparentnosti podľa AI Actu stojí až 15 mil. EUR alebo 3 % celosvetového ročného obratu, pri BFSG je horná hranica 100 000 EUR. Pri označovaní reklamy a pri hudbe je denné riziko menšie, zato pravdepodobnosť výskytu vyššia: výzvy na zdržanie sa konania a takedowny prichádzajú pravidelne, pokuty zriedka. Governance model s jasnými stupňami schvaľovania, ako ho opisuje článok o rolách, schvaľovaní a workflowe, tieto témy udrží dlhodobo. Bez pevne určenej zodpovednosti pri každom riadku prepadne každý z nich.

GDPR a Facebook fanpage: spoločná zodpovednosť

Súdny dvor EÚ vo veci Wirtschaftsakademie Schleswig-Holstein (C-210/16) rozhodol, že prevádzkovateľ Facebook fanpage je spoločne s Facebookom zodpovedný za spracúvanie údajov návštevníkov. Rozsudok z 5. júna 2018 sa ešte opieral o starú smernicu o ochrane údajov; dnes mu zodpovedá čl. 26 GDPR. Skutočným jadrom je odôvodnenie: kto parametrizuje štatistiku Insights, teda nastavuje filtre cieľových skupín a vyžiada si vyhodnotenia, spolupôsobí pri účeloch a prostriedkoch spracúvania. To, že techniku prevádzkuje Meta, prevádzkovateľa stránky nezbavuje zodpovednosti.

V Nemecku výsledok potvrdil Spolkový správny súd 11. septembra 2019 (6 C 15.18). OVG Schleswig 25. novembra 2021 (4 LB 20/13) spresnil rozsah: spoločná zodpovednosť platí pre spracúvanie cookies a Insights, nie pre profilovanie a ukladanie reklamných údajov, ktoré Meta prevádzkuje nad tento rámec. Rozsah spoluzodpovednosti sa tým zmenšuje, samotná povinnosť zostáva.

Čo to znamená operatívne? Tri veci, ktoré firemný účet na platformách Meta potrebuje:

• Dohoda spoločných prevádzkovateľov: prevádzka fanpage predpokladá dohodu podľa čl. 26 GDPR. Musí byť uzavretá a založená v dokumentácii spracúvania.
• Transparentnosť: zásady ochrany osobných údajov firmy musia pokrývať prevádzku fanpage, využívanie Insights a rolu Meta. Odkaz z fanpage na zásady ochrany osobných údajov je minimálny štandard.
• Právny základ: pre spracúvanie Insights musí firma vedieť pomenovať právny základ. Test vyváženia záujmov by tu mala zdokumentovať zodpovedná osoba za ochranu údajov, nie marketing.

Rakúskych firiem sa rozsudok Súdneho dvora EÚ týka rovnako; švajčiarskych firiem vtedy, keď oslovujú používateľov v EÚ, pričom vlastný švajčiarsky režim ochrany údajov pribúda ako ďalšia vrstva. Judikatúra sa formálne vzťahuje na Facebook, princíp však platí pre každú platformu s porovnateľnými štatistickými funkciami, teda aj pre Instagram Insights alebo LinkedIn Page Analytics. Či dozorné orgány kontrolujú rovnako prísne, zostáva otvorené; riziko je v každom prípade štruktúrované rovnako.

Fashion ID: social plugins na vlastnom webe

Druhý stavebný kameň sa netýka účtu, ale firemného webu. Vo veci Fashion ID (C-40/17) Súdny dvor EÚ 29. júla 2019 rozhodol, že prevádzkovateľ webu s vloženým tlačidlom Like od Facebooku môže byť spoločne s Facebookom zodpovedný za zber a prenos údajov návštevníkov. Rozhodujúce je toto: tlačidlo Like prenáša údaje Facebooku hneď, ako sa stránka načíta, bez ohľadu na to, či návštevník klikne alebo či vôbec má konto na Facebooku.

Spoločná zodpovednosť končí pri prenose. Za to, čo s údajmi robí Facebook potom, prevádzkovateľ webu nezodpovedá. Pre prax z toho vyplýva jasný štandard, na ktorom dnes panuje široká zhoda:

• Žiadny priamo vložený plugin: tlačidlá Like, Share a Follow, ktoré pri načítaní stránky posielajú údaje platforme, nepatria na stránku bez súhlasu.
• Riešenie na dva kliky alebo statické odkazy: statický odkaz na firemný profil neprenáša nič. Kto chce funkcie zdieľania, aktivuje plugin až po súhlase.
• Zapojte consent management: social plugins a vložené príspevky (Instagram embed, LinkedIn embed, YouTube prehrávač) patria do consent lišty ako samostatná kategória, nie skryté pod „funkčné".

Rozsudok Fashion ID je dôvod, prečo seriózne agentúry doručujú vložené social feedy na firemných weboch už len za consentom alebo ako kópiu vykreslenú na serveri. Vzdať sa ich stojí málo: statický odkaz na profil plní tú istú funkciu bez prenosu údajov.

Právo na vlastnú podobizeň: fotky zamestnancov na firemných účtoch

Tu leží téma s najvyššou pravdepodobnosťou výskytu a s najtenšou dokumentáciou vo väčšine firiem. Tímové fotky, zábery z eventov, behind the scenes reels, portréty zamestnancov v náborovom príspevku: všetko sú to osobné údaje a zároveň zásahy do osobnostných práv zobrazenej osoby. Právo na vlastnú podobizeň znamená, že každá osoba v zásade sama rozhoduje, či a v akom kontexte sa jej podobizeň zverejní.

V pracovnom pomere pribúda osobitosť: súhlas musí byť dobrovoľný a dobrovoľnosť je medzi zamestnávateľom a zamestnancom štrukturálne sporná. Súhlas skrytý v pracovnej zmluve alebo paušálne vyžiadaný pri onboardingu preto veľa neunesie. Čo v praxi obstojí:

• Samostatný písomný súhlas: vlastný dokument oddelený od pracovnej zmluvy, ktorý pomenúva účel, platformy, druh použitia (organické, paid, nábor, web) a trvanie.
• Skutočná sloboda voľby: odmietnutie nesmie mať nevýhody a musí to byť v dokumente napísané. Kto nechce byť na fotkách, nie je pozvaný na tímovú fotku.
• Počítajte s odvolaním: súhlas je kedykoľvek odvolateľný. Firma potrebuje proces, ktorý pri odvolaní alebo odchode zamestnanca nájde a odstráni dotknuté príspevky. Bez registra assetov s priradením osôb je to nemožné.
• Viazanosť na kontext: fotka z letnej firemnej párty nepokrýva použitie ako testimonial v paid kampani. Každý účel, ktorý presahuje pôvodný súhlas, potrebuje nový.
• Tretie osoby na zábere: zákazníci, hostia, deti zamestnancov na eventoch. Tu pomáhajú informačné tabule a fotozóny, súhlas pri cielených portrétoch však nenahradia.

Pri programoch korporátnych influencerov sa otázka posúva: kto publikuje cez vlastný profil, rozhoduje o svojej podobizni sám. Firma však musí vyjasniť, ktoré assety (logá, produktové fotky, zábery zákazníkov) smú zamestnanci používať a ako prebieha označovanie. Guidelines k tomu rieši článok o budovaní employee advocacy programu.

Poznámka ku generatívnej AI: kto používa fotky zamestnancov ako vstup pre AI generované varianty alebo vytvára syntetické osoby podobné skutočným zamestnancom, pohybuje sa v oblasti s malým množstvom ustálenej judikatúry. Navyše tu platí povinnosť označovania podľa čl. 50 AI Actu, pozri článok o povinnostiach transparentnosti podľa článku 50.

Data Privacy Framework: prenos údajov do Meta, Google a spol.

Každý firemný účet na americkej platforme znamená prenos údajov do USA. Od rozhodnutia o primeranosti z 10. júla 2023 môžu osobné údaje prúdiť americkým firmám, ktoré sa zúčastňujú na EU-US Data Privacy Framework. Americké subjekty veľkých platforiem pod to spadajú, pokiaľ sú certifikované. Pre operatívnu prácu na sociálnych sieťach to znamená: právny základ pre prenos v súčasnosti existuje.

Neistota leží v trvácnosti. Či Data Privacy Framework obstojí pri ďalšom súdnom preskúmaní, je otvorená otázka; v odbornej diskusii to beží pod heslom „Schrems III". Ide o odhad, nie o fakt, a samotná Komisia nespomína prebiehajúce napadnutie. Príprava sa napriek tomu oplatí:

• Uprednostnite first-party dáta: newsletter, CRM a dáta z vlastného webu zostávajú vo vlastnom prístupe, nezávisle od rámca pre prenosy.
• EU hosting pre vlastné nástroje: nástroje na social media manažment, analytiku a automatizácie vyberajte pokiaľ možno so serverom v EÚ.
• Dokumentácia prenosov: v zázname o spracovateľských činnostiach zachyťte, ktoré platformy dostávajú údaje a na akom základe. Ak rámec padne, tento zoznam je východiskom pre prechod na štandardné zmluvné doložky.

Hĺbku k overovaniu certifikácie, štandardným zmluvným doložkám a Transfer Impact Assessmentu nájdete v článku o prenose do tretích krajín do USA.

Prístupnosť: čo znamená BFSG pre sociálne siete

Nemecký zákon o posilnení prístupnosti (BFSG) platí od 28. júna 2025 a transponuje smernicu EÚ 2019/882. Týka sa B2C e-commerce, e-shopov, aplikácií a webov so službami pre spotrebiteľov. Požiadavky vychádzajú z WCAG a EN 301 549, vyhlásenie o prístupnosti je povinné. Pre produkty, ktoré boli pred rozhodným dňom v legálnom používaní, stanovuje § 38 BFSG prechodné obdobie do 27. júna 2030. BFSG je nemecké právo; pre Rakúsko a Švajčiarsko platia vlastné predpisy, ktoré si musíte overiť samostatne.

Samotné príspevky na sociálnych sieťach pod BFSG nespadajú. Povinnosť dopadá na to, kam príspevky vedú: landing pages, nákupné cesty, lead formuláre, rezervačné nástroje. Paid social kampaň, ktorá smeruje na neprístupnú predajnú stránku, nevytvára riziko v príspevku, ale v cieli. Prístupnosť sa napriek tomu oplatí aj v obsahu: titulky, alt texty a dostatočný kontrast pôsobia na všetkých platformách zároveň ako páka na reach. Povinnosť compliance a logika reachu tu ukazujú tým istým smerom.

Ostatné právne témy v skratke

Štyri témy z mapy potrebujú na tomto mieste len zaradenie, pretože prehĺbenie nájdete inde.

Označovanie reklamy: Spolkový súdny dvor 9. septembra 2021 v troch influencerských konaniach rozhodol, že komerčný účel treba pri protiplnení označiť, samotné tap tagy však povinnosť označovania nezakladajú; prelinkovanie na stránku výrobcu sa pravidelne hodnotí ako reklamný nadbytok. Rakúsko a Švajčiarsko majú vlastné režimy nekalej súťaže, princíp oddelenia reklamy a redakcie platí všade. Postoj: v pochybnostiach označiť, aj pri vlastných zamestnancoch.

Hudba: bežná hudobná knižnica TikToku a Instagramu je pre business účty obmedzená. TikTok jasne uvádza, že firmy musia pre všetky komerčné aktivity používať Commercial Music Library. Mimo knižníc platforiem si komerčné použitie hudby vyžaduje licenciu, v Nemecku cez GEMA, v Rakúsku cez AKM, vo Švajčiarsku cez SUISA. Trendový zvuk, ktorý creator smie voľne používať, je pre firemný účet licenčný problém.

DSA a transparentnosť reklamy: reklama musí byť ako reklama označená a musí uvádzať, kto ju nasadzuje a prečo sa zobrazuje; targeting na citlivé údaje je zakázaný, targeting na deti je zakázaný úplne. Veľmi veľké platformy vedú verejné ad repozitáre, do ktorých vidia aj konkurenti. Pre performance tímy to znamená: nastavenia cieľových skupín, ktoré umožňujú odvodiť náboženstvo, zdravotný stav alebo sexuálnu orientáciu, budú zamietnuté alebo dodatočne namietané.

Označovanie AI obsahu: povinnosti transparentnosti podľa AI Actu platia od 2. augusta 2026; pre generatívne systémy uvedené na trh pred týmto dátumom platí pre strojovo čitateľné označenie odklad do decembra 2026. Komisia svoje usmernenia k povinnostiam transparentnosti zverejnila 20. júla 2026. Väčšina firiem je v pozícii deployera, nie providera, a musí zverejniť AI generované creatives, syntetické hlasy a chatboty. Ako vyzerá workflow označovania v bežnej prevádzke, opisuje článok o praktickom nasadení čl. 50 nariadenia o AI.

Typické chyby a ako sa im vyhnete

Vzorce sa opakujú naprieč odvetviami. Fanpage bežia roky bez zdokumentovanej dohody spoločných prevádzkovateľov, pretože sa nikto necíti zodpovedný. Weby nesú tlačidlá Like zo starej šablóny. Fotky zamestnancov ležia v kampaniach, ktorých súhlas zanikol odchodom danej osoby. Trendový zvuk v náborovom reeli pochádza zo súkromného účtu.

Spoločným menovateľom je chýbajúca inventarizácia. Kto nevie, ktoré účty, pluginy, fotky a zvuky sú v nasadení, nedokáže priradiť právny základ. Ako orientačné pravidlo sa osvedčuje ročný compliance check podľa mapy vyššie: pri každom riadku jedna zodpovedná osoba, jeden dokument, jeden dátum kontroly. Bez tejto evidencie sa každé odvolanie súhlasu a každá otázka úradu zmení na pátraciu akciu.

Záver

Právo sociálnych sietí v regióne DACH je súčtom spoluzodpovednosti podľa GDPR, osobnostných práv, práva nekalej súťaže, autorského práva, DSA, BFSG a AI Actu. Jediný checklist to nepokryje. Sankcie siahajú od výzvy na zdržanie sa konania cez takedowny až po pokuty v dvojcifernej výške miliónov. Zvládnuteľné zostanú tieto témy len vtedy, keď sú zodpovednosť a dokumentácia vyjasnené pred publikovaním, a nie až vtedy, keď napíše úrad alebo bývalý zamestnanec.