Europski odbor za zaštitu podataka (EDPB) objavio je nacrt smjernica koje bi mogle promijeniti način na koji provedba GDPR-a funkcionira u praksi. Prema sažetku nacrta, prijedlog utvrđuje EDPB-ovu pretpostavku novčanih kazni za kršenja koja nisu manja, uz namjerno nizak prag za utvrđivanje nepažnje. Jednostavnije rečeno, regulatori bi polazili od pretpostavke da ozbiljno kršenje zaslužuje novčanu kaznu, a tvrtke bi snosile veći teret dokazivanja zašto ne bi trebala biti kažnjena.

Dostupni izvorni materijal za ovu priču ograničen je na sažetak, pa se ovaj tekst drži onoga što taj sažetak navodi i objašnjava vjerojatne implikacije u općenitim crtama.

Što nacrt smjernica EDPB-a predlaže

Srž nacrta je promjena zadane postavke. Do sada su nadzorna tijela imala niz korektivnih ovlasti prema GDPR-u, od opomena i naloga za usklađivanje do upravnih novčanih kazni. Nacrt smjernica predlaže da za kršenja koja nisu manja novčana kazna bude očekivani ishod, a ne jedna od mnogih opcija.

Dva elementa ističu se u sažetku:

  • Pretpostavka u korist novčanih kazni za kršenja koja nisu manja.
  • Namjerno nizak prag za nepažnju, što je važno jer je krivnja ključni uvjet za izricanje novčane kazne.

Sažetak također napominje da će organizacije morati pokazati snažne mjere kako bi dokazale da su postupale s odgovarajućom pažnjom. Nacrt je prijedlog, a ne konačne smjernice, pa se pojedinosti mogu promijeniti nakon savjetovanja.

Zašto nizak prag nepažnje mijenja provedbu

Novčane kazne prema GDPR-u općenito ovise o tome je li kršenje bilo namjerno ili nepažnjom. Ako je dokazivanje nepažnje teško, regulatori mogu oklijevati izreći novčanu kaznu ili se slučajevi mogu zaglaviti u raspravi o tome što je tvrtka znala ili trebala znati.

Nizak prag mijenja tu dinamiku. Ako tvrtka nije poduzela korake koje bi poduzela razumno pažljiva organizacija, nepažnja se može utvrditi bez mnogo dodatnog ispitivanja. U kombinaciji s pretpostavkom novčanih kazni, to bi organizaciji otežalo argumentiranje da je kršenje jednostavno bila loša sreća ili iskren previd.

To se uklapa u širi trend prema dosljednosti. EDPB je već predstavio petostupanjski pristup izračunu novčanih kazni, koji smo obradili u našem objašnjenju EDPB-ove petostupanjske metode izračuna GDPR novčanih kazni. Ta metoda bavi se time kolika bi novčana kazna trebala biti. Novi nacrt bavi se prethodnim pitanjem treba li novčanu kaznu uopće izreći. Za pozadinu o razinama novčanih kazni i ulozi krivnje pogledajte naš vodič o GDPR novčanim kaznama i sankcijama u 2026..

Što to znači za vas

Za obične ljude praktični učinak bio bi neizravan, ali značajan. Prava na privatnost na papiru važna su samo ako postoje posljedice kada se ignoriraju. Ako novčane kazne postanu očekivani odgovor na ozbiljna kršenja, tvrtke imaju jači financijski razlog da:

  • Prikupljaju manje osobnih podataka od samog početka.
  • Zaštite podatke koje čuvaju i dokumentiraju kako to čine.
  • Pravodobno odgovore na zahtjeve za pristup, brisanje i prigovor.
  • Obuče osoblje i provjere dobavljače koji rukuju podacima kupaca.

To ne znači da će svaka pritužba završiti kaznom i ne jamči brže ishode za pojedince. Očekuje se da će se manja kršenja tretirati drugačije, a smjernice su još uvijek u nacrtu. No smjer kretanja je prema provedbi koja ima stvarnu težinu.

Organizacije će se pak vjerojatno usredotočiti na dokaze. Prema ovom pristupu, sposobnost da se pokažu evidencije, procjene rizika i pravovremeno korektivno djelovanje mogla bi biti razlika između novčane kazne i blažeg odgovora.

Kako danas ostvariti svoja GDPR prava

Ne morate čekati da smjernice budu konačne. Ako ste u EU-u ili EGP-u ili tvrtka obrađuje vaše podatke prema GDPR-u, već sada možete djelovati:

  1. Zatražite pristup. Pošaljite zahtjev za pristup podacima kako biste saznali što tvrtka čuva o vama i kako to koristi.
  2. Zatražite brisanje. Ako podaci više nisu potrebni ili povučete privolu, zatražite od tvrtke da ih izbriše.
  3. Prigovorite obradi. Možete prigovoriti određenim upotrebama, uključujući izravni marketing.
  4. Vodite evidenciju. Sačuvajte kopije svojih zahtjeva i odgovora, s datumima.
  5. Eskalirajte ako se ignorira. Ako tvrtka ne odgovori na odgovarajući način, možete podnijeti pritužbu nacionalnom tijelu za zaštitu podataka.

Dokumentirana, dobro utemeljena pritužba je vrsta dokaza na koju regulatori mogu djelovati, a jači stav prema provedbi učinio bi te pritužbe značajnijima.

Ključni zaključci

EDPB-ova pretpostavka novčanih kazni, ako bude usvojena kako je predloženo, učinila bi kazne normalnim odgovorom na kršenja koja nisu manja i olakšala utvrđivanje nepažnje. To vrši pritisak na tvrtke da pažljivo rukuju osobnim podacima i daje pravima pojedinaca veću praktičnu snagu.

Koristite prava koja već imate: zatražite pristup, zatražite brisanje i prigovorite gdje je to primjereno. Kako biste razumjeli kako se kazne izračunavaju kada je novčana kazna već na stolu, pročitajte naša objašnjenja o EDPB-ovoj petostupanjskoj metodi izračuna kazni i razinama GDPR kazni.