Co GDPR od společností skutečně vyžaduje

Obecné nařízení o ochraně osobních údajů stanovuje pravidla, která na papíře znějí jednoduše: organizace musí shromažďovat pouze osobní údaje, které potřebují, jasně lidem sdělit, jak budou tyto údaje použity, řádně je zabezpečit a jednotlivcům poskytnout právo na přístup, opravu nebo výmaz jejich vlastních informací. Společnosti působící v EU nebo zpracovávající údaje patřící obyvatelům EU jsou těmito požadavky právně vázány bez ohledu na to, kde má společnost své sídlo.

Případy vymáhání pokut podle GDPR v roce 2024 však ukazují, že propast mezi tím, mít zásady ochrany soukromí, a skutečně dodržovat GDPR, může být obrovská. Regulátoři po celé Evropě strávili posledních několik let přeměnou abstraktních principů, jako je „minimalizace údajů" a „právní základ pro zpracování", na konkrétní právní povinnosti se skutečnými finančními důsledky. Velikost a četnost nedávných sankcí naznačují, že úřady pro ochranu údajů již nepovažují GDPR za papírové cvičení. Aktivně vyšetřují, jak společnosti nakládají s údaji v zákulisí.

Nedávné donucovací kroky: Uber, LinkedIn a další

Jedním z nejjasnějších příkladů tohoto posunu je případ společnosti Uber. Nizozemský úřad pro ochranu osobních údajů uložil společnosti poskytující přepravní služby pokutu 825 milionů eur, což je jedna z druhých nejvyšších pokut podle GDPR, jaké kdy byly uděleny. Sankce se týkala toho, jak Uber nakládal s údaji týkajícími se řidičů, kteří byli automaticky deaktivováni systémy platformy, což vyvolalo otázky týkající se transparentnosti, automatizovaného rozhodování a toho, zda měli dotčení řidiči smysluplný způsob, jak porozumět rozhodnutím učiněným o jejich účtech nebo je napadnout.

Přibližně ve stejné době čelil LinkedIn vlastnímu přezkumu v tom, co bylo nazváno kontroverzí „Browsergate". Obvinění se týkala tvrzení, že profesní síťová platforma tajně skenovala nainstalovaná rozšíření prohlížečů uživatelů, což vyvolalo otázky, zda uživatelé dali k tomuto druhu shromažďování údajů informovaný souhlas. Bez ohledu na to, zda se všechna obvinění nakonec prokáží, tento případ ilustruje, jak se regulátoři a výzkumníci v oblasti ochrany soukromí stále více zaměřují na shromažďování údajů na pozadí, které by běžní uživatelé neměli šanci sami odhalit.

Tyto případy stojí vedle širšího vzorce evropských úřadů, které stíhají společnosti za postupy nakládání s údaji, které by dříve možná zůstaly bez povšimnutí. Samostatně pak incidenty, jako je narušení bezpečnosti litevského státního registru, které ohrozilo stovky tisíc záznamů a bylo spojeno se zahraničním aktérem, zdůrazňují, že vymáhání práva se neomezuje pouze na úmyslné zneužití údajů. Selhání zabezpečení a narušení týkající se litevského státního registru spadají pod stejný regulační rámec, protože GDPR vyžaduje, aby organizace chránily osobní údaje před neoprávněným přístupem již od samého počátku.

Jak tyto pokuty odhalují běžná porušení GDPR

Při pohledu na tyto donucovací kroky se objevuje několik opakujících se témat. Zaprvé, automatizované systémy, které rozhodují o lidech, jako jsou deaktivace účtů, potřebují jasná vysvětlení a lidský dohled, nejen výstupy algoritmů. Zadruhé, shromažďování údajů, které probíhá neviditelně, bez přímého vědomí uživatele nebo jeho výslovného souhlasu, přitahuje zvýšenou regulační pozornost bez ohledu na deklarované záměry společnosti. Zatřetí, nedostatečné zabezpečení osobních údajů, ať už kvůli slabým interním kontrolám nebo vnějším útokům, může vyvolat stejnou míru odpovědnosti jako úmyslné zneužití těchto údajů.

To, co tyto případy spojuje, je skutečnost, že regulátoři netrestají společnosti pouze za to, že mají sepsané špatné zásady. Trestají společnosti za to, co se s údaji lidí skutečně děje v praxi, ať už jde o neprůhledný algoritmus, skrytý skenovací nástroj nebo nedostatečně chráněnou databázi.

Co vymáhání GDPR znamená pro vaše osobní údaje

Pro běžné uživatele jsou tyto donucovací kroky připomínkou toho, že GDPR není jen teoretickou ochranou. Dává vám skutečná práva, včetně práva vědět, jaké údaje o vás společnost uchovává, práva požadovat opravu nebo výmaz a práva podat stížnost u národního úřadu pro ochranu osobních údajů, pokud se domníváte, že byla tato práva porušena. Například ve Francii je tímto úřadem CNIL a pochopení toho, jak funguje národní úřad pro ochranu osobních údajů, jako je CNIL, vám může pomoci zjistit, na koho se obrátit, pokud máte obavy ohledně postupů společnosti při nakládání s údaji ve vaší zemi.

Velikost pokut, jako je ta pro Uber, také signalizuje společnostem, že obcházení ochrany údajů nese skutečné finanční riziko, což následně vytváří pobídku pro lepší postupy v celém odvětví, i když úroveň dodržování předpisů se mezi organizacemi stále výrazně liší.

Klíčová zjištění

Pokud chcete chránit svá vlastní data ve světle těchto donucovacích trendů, zvažte několik konkrétních kroků. Zkontrolujte nastavení ochrany soukromí a oprávnění udělená aplikacím a platformám, které pravidelně používáte, zejména těm spojeným s vaším profesním nebo finančním životem. Čtěte aktualizace zásad ochrany soukromí, když vám je společnosti zasílají, protože často odrážejí změny provedené v reakci na regulační tlak. A vězte, že máte právo podat stížnost u úřadu pro ochranu osobních údajů své země, pokud se domníváte, že společnost s vašimi informacemi zacházela nesprávně. Případy pokut podle GDPR v roce 2024, jako je ten s Uberem, ukazují, že tyto stížnosti mohou vést ke skutečné odpovědnosti, nejen k symbolickým sankcím.