Obecné nařízení o ochraně osobních údajů (GDPR) je v platnosti zhruba deset let a nedávná analýza Compliance Week se vrací k otázce, která provází toto nařízení od jeho vzniku: funguje vymáhání GDPR všude stejně? Podle zprávy je odpověď stále ne. Po deseti letech zůstávají rozdíly v tom, jak jednotlivé země EU kontrolují a trestají porušování soukromí, přetrvávajícím problémem, který má reálné důsledky pro lidi, jež má zákon chránit.

Desetiletí GDPR: Jeden zákon, 27 různých vymahačů

GDPR bylo navrženo jako jednotný, harmonizovaný soubor pravidel pokrývající všechny členské státy EU, ale nikdy nebylo vymáháno jediným centralizovaným regulátorem. Místo toho každá země udržuje vlastní národní úřad pro ochranu osobních údajů (DPA), který je zodpovědný za šetření stížností, audity firem a udělování pokut na svém území. V případech, které překračují hranice států – například u nadnárodních technologických společností působících v celé Unii – je obvykle určen „vedoucí dozorový úřad“ a koordinace probíhá prostřednictvím Evropského sboru pro ochranu osobních údajů.

Na papíře tato struktura umožňuje místní odbornost a dostupnost, takže obyvatelé každé země mají regulátora, který hovoří jejich jazykem a rozumí jejich národnímu právnímu kontextu. V praxi, jak znovu zdůrazňuje analýza Compliance Week, přinesl tento decentralizovaný model nerovnoměrné výsledky. Některé úřady jsou lépe financované, asertivnější a rychlejší v jednání než jiné. Tato nerovnoměrnost znamená, že síla vaší ochrany podle GDPR může záviset alespoň částečně na tom, kde sídlí společnost zpracovávající vaše údaje, nebo kde vy sami žijete.

Nejde o novou kritiku. Obhájci soukromí a právní vědci na ni v průběhu let opakovaně upozorňovali a skutečnost, že je stále zdůrazňována deset let poté, co zákon vstoupil v účinnost, naznačuje, že nebyla plně vyřešena. Nařízení je jen tak silné, jak silné je jeho vymáhání, a když se vymáhání mezi členskými státy výrazně liší, je obtížnější v praxi zaručit příslib rovné ochrany napříč EU.

Proč na mezerách ve vymáhání záleží běžným uživatelům

Nekonzistentní vymáhání není jen abstraktním problémem pro firemní právní týmy. Má praktické důsledky, jakmile se něco pokazí. Vezměme si situaci po úniku dat: společnost je ze zákona povinna informovat dotčené osoby a regulátory, ale jak rychle a důkladně bude toto oznámení následně prošetřeno a zda příslušný úřad vyvodí smysluplnou odpovědnost, se může výrazně lišit v závislosti na tom, která země případ řeší.

Nedávný příklad ukazuje, co je v sázce, když ochrana selže. Zpravodajství o ransomwarovém útoku Stormous na nizozemskou církevní síť ukázalo, jak rychle se citlivé osobní údaje – v tomto případě vázané na náboženskou organizaci působící v Nizozemsku – mohou dostat na veřejnost poté, co útočníci proniknou do sítě. Incidenty jako tento zdůrazňují, proč je konzistentní a dobře zdrojově vybavené vymáhání důležité: když dojde k úniku, síla a rychlost regulační reakce často rozhoduje o tom, zda oběti získají skutečné odpovědi, zda dotčené organizace zlepší svou bezpečnostní pozici a zda jsou budoucí incidenty vůbec odrazovány.

Když je vymáhání silné, úniky spouštějí vyšetřování, pokuty a veřejnou odpovědnost, které tlačí organizace k lepším datovým praktikám. Když vymáhání pokulhává, ať už kvůli nedostatečně vybaveným regulátorům, nedodělkům nebo rozdílným národním prioritám, oslabuje se odrazující účinek a jednotlivci jsou při příštím incidentu zranitelnější.

Co to znamená pro vás

Pokud žijete nebo podnikáte v EU, GDPR vám stále dává smysluplná práva: možnost požádat o přístup k vašim údajům, žádat jejich výmaz a požadovat transparentnost ohledně jejich využití. Hlavní zjištění zprávy je však užitečnou připomínkou, že tato práva nejsou vymáhána s dokonalou jednotností, a proto se vyplatí být proaktivní, spíše než předpokládat, že systém za vás vždy zachytí problémy.

Několik praktických kroků může pomoci překlenout mezeru mezi ochranou zapsanou v zákoně a ochranou, kterou skutečně zažíváte v každodenním životě:

  • Uplatňujte svá práva podle GDPR přímo vůči společnostem, místo abyste čekali, až za vás zakročí regulátoři.
  • Věnujte pozornost oznámením o úniku dat a sledujte je, protože ne každá reakce úřadu bude stejně rychlá nebo důkladná.
  • Používejte silná, jedinečná hesla a zapněte dvoufaktorové ověřování, protože technické zábrany nezávisí na tom, který regulátor země je zapojen.
  • Zvažte nástroje na ochranu soukromí, jako je VPN nebo šifrovaná komunikace, při práci s citlivými informacemi, zejména pokud si nejste jisti, jak přísně budou vaše údaje dále chráněny.

Sečteno a podtrženo

Deset let poté, co GDPR vstoupilo v platnost, tento rámec nepopiratelně zvýšil základní úroveň ochrany údajů v celé Evropě a ovlivnil regulaci soukromí i daleko za hranicemi EU. Analýza Compliance Week je však včasnou připomínkou, že zákon je jen tak účinný, jak účinný je jeho nejslabší článek vymáhání. Dokud se vymáhání napříč členskými státy nestane konzistentnější, budou jednotlivci i nadále z ochrany, kterou mělo GDPR zaručit, těžit nerovnoměrně. Nejspolehlivější cestou vpřed je prozatím spojit povědomí o svých zákonných právech s rozumnými návyky v oblasti osobní bezpečnosti, nikoli spoléhat pouze na regulátory, že mezeru zacelí.