Pokuty podle GDPR zůstávají jednou z nejvíce nepochopených součástí evropského práva na ochranu osobních údajů, a to i roky poté, co nařízení vstoupilo v platnost. Titulky se obvykle zaměřují na efektní maximální částky, ale skutečná struktura sankcí, kterou regulátoři používají, je mnohem nuanceovanější, a pochopení této struktury je důležité, ať už provozujete malou firmu, nebo prostě jen chcete vědět, jak vážně je vaše data chráněna.

Dvouúrovňová struktura pokut podle GDPR

Sankce podle GDPR jsou postaveny na dvou odlišných úrovních a to, která z nich se použije, závisí na povaze porušení, nejen na jeho rozsahu. Nižší úroveň pokrývá procesní pochybení, jako je nedostatečné vedení záznamů, nejmenování pověřence pro ochranu osobních údajů, pokud to vyžadují předpisy, nebo nesprávné nahlášení narušení ochrany údajů. Vyšší úroveň je vyhrazena závažnějším věcným porušením, včetně porušení základních zásad zpracování údajů, nezákonného předávání osobních údajů nebo ignorování práv jednotlivců na přístup k jejich informacím či jejich výmaz.

Regulátoři nejsou povinni okamžitě sáhnout k maximální sankci v žádné z úrovní. Místo toho Evropský sbor pro ochranu osobních údajů stanovil pokyny pro výpočet, které orgány pro ochranu osobních údajů používají k úměrnému stanovení pokuty podle skutečných okolností případu. Faktory, jako je délka porušení, to, zda bylo úmyslné nebo z nedbalosti, kolik osob bylo dotčeno a zda organizace spolupracovala s vyšetřovateli, všechny vstupují do konečné částky. To je důvod, proč dvě společnosti, které se dopustí podobných porušení, mohou skončit s diametrálně odlišnými pokutami: výpočet není ploché procento aplikované automaticky, ale výpočet založený na konkrétních okolnostech případu.

Proč maximální pokuta málokdy vypovídá celý příběh

Jednou z nejtrvalejších mylných představ o GDPR je, že každé porušení riskuje pokutu 20 milionů eur. Ve skutečnosti stropní částky představují nejhorší možný scénář pro nejzávažnější a nejúmyslnější porušení, nikoli typický výsledek. Jak je rozebráno v souvisejícím přehledu o tom, proč se strop 20 milionů eur málokdy použije, většina donucovacích opatření se pohybuje výrazně pod maximem a regulátoři mají tendenci vyhrazovat největší pokuty pro recidivisty, rozsáhlé zneužití údajů nebo společnosti, které ignorovaly dřívější varování.

To však neznamená, že některé pokuty, které se dostaly do titulků, nedemonstrují, jak obrovské mohou tyto sankce být, když regulátoři usoudí, že si to porušení zaslouží. Nedávným příkladem je případ týkající se pokuty 825 milionů eur pro Uber podle GDPR za data řidičů, který stojí jako jedna z největších sankcí uložených podle tohoto nařízení k dnešnímu dni. Případy, jako je tento, ilustrují, jak donucovací orgány vypočítávají pokuty nejen na základě procenta z obratu, ale také na základě rozsahu a citlivosti dotčených údajů a toho, jak dlouho nesprávná praxe pokračovala, než byla řešena.

Pokuty podle GDPR jsou součástí širšího evropského trendu v oblasti vymáhání práva

GDPR neexistuje izolovaně. Jiné jurisdikce v Evropě si vytvořily vlastní rámce, které se s ním zrcadlí nebo interagují. Ve Spojeném království například zákon o ochraně osobních údajů z roku 2018 stanoví sedm základních zásad a vlastní strukturu sankcí, která úzce sleduje model EU i po Brexitu. Švýcarsko zvolilo podobný přístup se svým aktualizovaným zákonem o ochraně soukromí a organizace působící přeshraničně nyní musí sledovat povinnosti týkající se souladu se švýcarským zákonem o ochraně osobních údajů odděleně od svých povinností podle GDPR v EU. Pro každou firmu, která zpracovává data ve více zemích, je tato mozaika překrývajících se, ale odlišných pravidel často větší bolestí hlavy pro soulad s předpisy než samotné pokuty.

Co to znamená pro vás

Pokud provozujete firmu, která shromažďuje nebo zpracovává osobní údaje, měly by pokuty podle GDPR utvářet to, jak přemýšlíte o souladu s předpisy, dlouho předtím, než se do toho zapojí regulátor. Úrovňová struktura odměňuje organizace, které mohou prokázat rozumné záruky, včasné hlášení narušení a spolupráci s orgány pro ochranu osobních údajů. Čekat, až začne vyšetřování, na opravu mezer v postupech nakládání s daty, je mnohem riskantnější než je řešit proaktivně.

Pro běžné spotřebitele slouží tyto pokuty jako signál toho, jak vážně (nebo nevážně) společnost zachází s vašimi osobními údaji. Vzor pokut, zejména velkých a spojených se základními zásadami ochrany dat spíše než s administrativními chybami, je užitečným ukazatelem toho, jak společnost s vašimi daty zachází denně.

Klíčové poznatky

Pokuty podle GDPR se řídí dvouúrovňovým systémem, kde závažnost porušení, nejen velikost společnosti, určuje, který strop se použije. Regulátoři vypočítávají sankce pomocí pokynů, které zohledňují nedbalost, délku trvání a spolupráci, spíše než aby automaticky ukládali ploché maximální pokuty. Firmy by měly přistupovat k souladu s předpisy jako k průběžné praxi, ne jako k reakci na vymáhání práva, protože zdokumentované záruky a včasné hlášení narušení výrazně snižují expozici. A pro spotřebitele je sledování toho, jak společnosti reagují na vymáhání GDPR, praktickým způsobem, jak posoudit, které organizace skutečně upřednostňují ochranu osobních údajů.