Evropský sbor pro ochranu osobních údajů (EDPB) zveřejnil návrh pokynů, které by mohly změnit fungování vymáhání GDPR v praxi. Podle shrnutí návrhu zavádí tento návrh presumpci EDPB ve prospěch pokut za porušení GDPR u porušení, která nejsou méně závažná, a to ve spojení se záměrně nízkou laťkou pro prokázání nedbalosti. Jednoduše řečeno, regulační orgány by vycházely z předpokladu, že závažné porušení si zaslouží pokutu, a společnosti by nesly větší břemeno prokázání, proč by tomu tak nemělo být.
Zdrojové materiály dostupné k tomuto článku se omezují na shrnutí, proto se tento příspěvek drží toho, co toto shrnutí uvádí, a vysvětluje pravděpodobné důsledky v obecné rovině.
Co návrh pokynů EDPB navrhuje
Jádrem návrhu je změna výchozího nastavení. Dosud měly dozorové orgány podle GDPR k dispozici řadu nápravných pravomocí, od napomenutí a příkazů k nápravě až po správní pokuty. Návrh pokynů navrhuje, aby u porušení, která nejsou méně závažná, byla pokuta očekávaným výsledkem, nikoli jednou z mnoha možností.
Ve shrnutí vynikají dva prvky:
- Presumpce ve prospěch pokut u porušení, která nejsou méně závažná.
- Záměrně nízká hranice pro nedbalost, což je důležité, protože zavinění je klíčovou podmínkou pro uložení pokuty.
Shrnutí také uvádí, že organizace budou muset doložit robustní opatření, aby prokázaly, že jednaly s náležitou péčí. Návrh je proposal, nikoli konečný pokyn, takže podrobnosti se po konzultaci mohou změnit.
Proč nízká laťka pro nedbalost mění vymáhání
Pokuty podle GDPR obecně závisí na tom, zda bylo porušení úmyslné nebo nedbalostní. Pokud je prokázání nedbalosti obtížné, regulační orgány mohou váhat s uložením pokuty nebo se případy mohou zaseknout ve sporu o tom, co společnost věděla nebo měla vědět.
Nízká laťka tuto dynamiku mění. Pokud společnost neučinila kroky, které by učinila rozumně pečlivá organizace, lze nedbalost prokázat bez dalšího rozsáhlého zkoumání. Ve spojení s presumpcí ve prospěch pokut by to organizaci ztížilo argumentaci, že porušení bylo prostě smůla nebo čestné přehlédnutí.
To zapadá do širšího tlaku na konzistenci. EDPB již zavedl pětistupňový přístup k výpočtu pokut, kterému jsme se věnovali v našem vysvětlení pětistupňové metody pokut GDPR podle EDPB. Tato metoda se zabývá tím, jak vysoká by pokuta měla být. Nový návrh řeší dřívější otázku, zda má být pokuta vůbec uložena. Pro souvislosti o pásmech pokut a roli zavinění si přečtěte našeho průvodce pokutami a sankcemi podle GDPR v roce 2026.
Co to znamená pro vás
Pro běžné lidi by praktický dopad byl nepřímý, ale významný. Práva na soukromí na papíře mají význam jen tehdy, pokud existují důsledky, když jsou ignorována. Pokud se pokuty stanou očekávanou reakcí na závažná porušení, společnosti mají silnější finanční důvod:
- Shromažďovat méně osobních údajů již od počátku.
- Zabezpečit údaje, které uchovávají, a dokumentovat jak.
- Včas reagovat na žádosti o přístup, výmaz a námitky.
- Školit zaměstnance a prověřovat dodavatele, kteří nakládají s údaji zákazníků.
To neznamená, že každá stížnost skončí sankcí, a nezaručuje to rychlejší výsledky pro jednotlivce. Očekává se, že méně závažná porušení budou řešena odlišně, a pokyny jsou stále ve formě návrhu. Směr vývoje však směřuje k vymáhání, které má skutečnou váhu.
Organizace se mezitím pravděpodobně zaměří na důkazy. Podle tohoto přístupu by schopnost doložit záznamy, posouzení rizik a rychlou nápravu mohla být rozdílem mezi pokutou a mírnější reakcí.
Jak dnes uplatnit svá práva podle GDPR
Nemusíte čekat, až budou pokyny finalizovány. Pokud jste v EU nebo EHP, nebo společnost zpracovává vaše údaje podle GDPR, můžete již nyní jednat:
- Požádejte o přístup. Pošlete žádost subjektu údajů o přístup, abyste zjistili, jaké údaje o vás společnost uchovává a jak je používá.
- Požádejte o výmaz. Pokud údaje již nejsou potřebné nebo odvoláte souhlas, požádejte společnost o jejich smazání.
- Vznesete námitku proti zpracování. Můžete vznést námitku proti určitým způsobům použití, včetně přímého marketingu.
- Veďte si záznamy. Uchovávejte kopie svých žádostí a odpovědí s daty.
- Eskalujte, pokud jsou ignorovány. Pokud společnost řádně neodpoví, můžete si stěžovat u svého národního orgánu pro ochranu osobních údajů.
Dokumentovaná a dobře podložená stížnost je typem důkazu, na který mohou regulační orgány reagovat, a silnější postoj k vymáhání by těmto stížnostem dodal větší váhu.
Klíčové poznatky
Presumpce EDPB ve prospěch pokut za porušení GDPR by v případě přijetí v navrhované podobě učinila z pokut běžnou reakci na porušení, která nejsou méně závažná, a usnadnila by prokázání nedbalosti. To vytváří tlak na společnosti, aby s osobními údaji nakládaly pečlivě, a dává právům jednotlivců větší praktickou sílu.
Využívejte práva, která již máte: požádejte o přístup, požádejte o výmaz a v příslušných případech vznesete námitku. Chcete-li pochopit, jak se sankce vypočítávají, jakmile je pokuta na stole, přečtěte si naše vysvětlení pětistupňové metody pokut EDPB a pásem sankcí podle GDPR.
