Chyby, rizika a oficiální zdroje
PCI DSS a GDPR pro malé obchodníky: který dotazník SAQ vyplnit a jak chránit karetní data
Co je PCI DSS 4.0.1, které dotazníky SAQ se týkají terminálu, SoftPOS a e-shopu, poplatky za nesplnění, co nikdy neukládat a jak se karetní údaje dotýkají GDPR. Praktický přehled.
PCI DSS (Payment Card Industry Data Security Standard) je bezpečnostní standard karetních společností, který musí dodržovat každý, kdo přijímá, zpracovává nebo ukládá údaje platebních karet – tedy i malý obchodník s jedním terminálem. Nejde o zákon, ale o smluvní povinnost: vyžaduje ji váš acquirer, který za vás ručí karetním společnostem. Malí obchodníci obvykle jednou ročně vyplní sebehodnoticí dotazník (SAQ); jeho rozsah záleží na tom, jak platby přijímáte. Čím méně karetních údajů projde vašimi systémy, tím jednodušší je splnit požadavky. Nezávisle na PCI DSS platí GDPR: číslo karty spojené se jménem zákazníka je osobní údaj. Přehled dalších rizik je v článku nejčastější chyby a oficiální zdroje.
Aktuální verze standardu
Platnou verzí je PCI DSS v4.0.1 (zveřejněná v roce 2024 jako opravná verze 4.0). Požadavky, které verze 4.0 označila jako „budoucí“, se staly povinnými od 31. 3. 2025. Pro malé obchodníky to znamená hlavně důraz na ochranu platebních stránek e-shopu proti podvrženým skriptům, silnější hesla a vícefaktorové přihlášení do administrace. Konkrétní požadavky pro váš případ určuje dotazník SAQ, který vám přidělí acquirer; aktuální dokumenty najdete na webu PCI Security Standards Council.
Který dotazník SAQ se vás týká
Přehled hlavních typů (zjednodušeně; o typu rozhoduje acquirer):
| Typ SAQ | Kdy se obvykle používá | Rozsah |
|---|---|---|
| SAQ A | e-shop, kde karetní údaje zadává zákazník jen na stránce nebo v okně brány (přesměrování, iframe) | nejmenší |
| SAQ A-EP | e-shop, jehož stránka ovlivňuje platební formulář (vlastní JavaScript, přímé odeslání na bránu) | střední |
| SAQ B | samostatné terminály s vytáčeným připojením nebo jen otisk | malý |
| SAQ B-IP | samostatné terminály připojené přes internet | malý až střední |
| SAQ C-VT | ruční zadávání karet do virtuálního terminálu ve webovém prohlížeči | střední |
| SAQ P2PE | terminály v certifikovaném řešení point-to-point šifrování | malý |
| SAQ SPoC (u řešení podle standardu MPoC postupujte podle pokynů acquirera) | přijímání karet v mobilu (čtečky k telefonu, SoftPOS) | malý |
| SAQ D | ostatní případy, ukládání karetních údajů | velmi rozsáhlý |
Pokud nevíte, který typ máte, zeptejte se acquirera. Patří to i do kontrolního seznamu pro srovnání nabídek.
Kolik stojí (ne)splnění
Ilustrativní struktura, kterou se setkáte ve smlouvách (nejde o ceník konkrétního poskytovatele):
| Položka | Ilustrativně |
|---|---|
| Portál pro vyplnění SAQ | často v ceně služby |
| Poplatek za nevyplnění nebo „nesoulad s PCI DSS“ | desítky až stovky Kč měsíčně |
| Externí sken zranitelností (u některých SAQ) | stovky až tisíce Kč ročně |
| Náklady na únik dat | forenzní šetření, výměny karet, pokuty schémat – může jít o statisíce |
Nevyplnění dotazníku může být i důvodem k výpovědi smlouvy ze strany acquirera (smlouva, délka a výpověď). Nevyplněný dotazník tedy může zvednout efektivní sazbu (efektivní sazba z výpisu). Například 150 Kč měsíčně při obratu 100 000 Kč je dalších 0,15 % obratu.
Co nikdy neukládat
- Celé číslo karty (PAN) – jen pokud je to nezbytné a v souladu s PCI DSS; malý obchodník by ho neměl mít nikde.
- Bezpečnostní kód (CVC/CVV) – nesmí se ukládat vůbec, ani po autorizaci.
- PIN – nikdy.
- Data z magnetického proužku nebo čipu.
Uložené karetní údaje navíc nepomohou ani při sporu – jaké doklady skutečně archivovat, popisuje článek chargeback pro obchodníky. Typické prohřešky malých provozů: fotografie karty „pro rezervaci“, čísla karet v e-mailu nebo v tabulce, papírové formuláře s čísly karet. Pro rezervace použijte předautorizaci přes terminál nebo platební odkaz brány.
Praktické kroky pro malý provoz
- Kartu nechte v ruce zákazníka – vkládá ji do terminálu sám.
- Terminál kontrolujte – nalepené čtečky (skimmery) a výměnu terminálu bez ohlášení hlaste acquirerovi.
- Oddělte síť – terminál a pokladnu na samostatné Wi-Fi, ne na síti pro hosty.
- Silná hesla a vícefaktorové přihlášení do portálu acquirera a administrace e-shopu.
- E-shop s přesměrováním na bránu – nejmenší rozsah povinností (SAQ A).
- Aktualizace – e-shopový systém, pluginy, telefony se SoftPOS.
- Školení – obsluha nesmí přijímat čísla karet po telefonu a zapisovat je.
GDPR a karetní údaje
Podle nařízení (EU) 2016/679 (GDPR) je osobním údajem každá informace o identifikované nebo identifikovatelné osobě. Číslo karty, jméno držitele a údaje o nákupu spojené s konkrétním zákazníkem proto za osobní údaje považujte. Z toho plyne:
- právní základ – zpracování pro provedení platby je obvykle nutné pro plnění smlouvy; marketingové využití údajů o platbách vyžaduje samostatný základ,
- minimalizace – neuchovávejte víc, než potřebujete (viz výše),
- zpracovatelé – poskytovatel brány nebo pokladního systému může být vaším zpracovatelem; posuďte, zda potřebujete zpracovatelskou smlouvu podle čl. 28 GDPR,
- porušení zabezpečení – únik osobních údajů může vyžadovat ohlášení Úřadu pro ochranu osobních údajů do 72 hodin od zjištění (čl. 33 GDPR) a informování dotčených osob,
- acquirer jako poskytovatel platebních služeb zpracovává údaje ve vlastní roli podle svých povinností.
Rozsah povinností závisí na vaší situaci; u e-shopů s větším objemem dat se poraďte s odborníkem na ochranu osobních údajů. Srovnání bran z hlediska bezpečnosti najdete v článku platební brána pro e-shop.
Co dělat při podezření na únik karetních dat
- Okamžitě kontaktujte acquirera – má postup pro takové případy.
- Neodstraňujte stopy (logy, soubory), mohou být potřeba k šetření.
- Změňte hesla a odpojte napadené zařízení od sítě.
- Posuďte ohlášení ÚOOU podle GDPR.
- Informujte zákazníky, pokud to vyžaduje GDPR nebo acquirer.
Časté otázky
Musím PCI DSS řešit, když mám jen terminál od banky?
Ano, ale obvykle v nejmenším rozsahu – krátký dotazník a základní provozní pravidla. Acquirer vám řekne, který typ SAQ vyplnit.
Je SoftPOS z hlediska PCI DSS jednodušší?
Obvykle ano, pokud používáte certifikované řešení. Karetní údaje zpracovává zabezpečená aplikace a vaše povinnosti se týkají hlavně zabezpečení telefonu (SoftPOS).
Kdo mi pomůže s dotazníkem?
Acquirer často poskytuje portál s průvodcem. U složitějších případů (SAQ D) existují kvalifikovaní posuzovatelé (QSA).
Zdroje
- PCI Security Standards Council – standard PCI DSS a dotazníky SAQ
- Úřad pro ochranu osobních údajů – GDPR a ohlašování porušení zabezpečení
- EUR-Lex – nařízení (EU) 2016/679 (GDPR)
- Česká národní banka – dohled nad poskytovateli platebních služeb
