Pokuty za porušení GDPR ve 2. čtvrtletí vyskočily na 225,9 milionu eur

Případ ukazuje, že u mezinárodních přenosů nestačí pouze formálně uzavřít smluvní dokumentaci. Organizace musí posoudit, zda cílová země a praktické podmínky přenosu poskytují ochranu, která je fakticky srovnatelná s ochranou vyžadovanou právem Evropské unie. Nizozemské rozhodnutí se konkrétně týkalo nedostatečných záruk pro přenosy do třetích zemí.

Pokuta ve výši přibližně 100 milionů eur představovala asi 44 % celkového objemu sankcí za druhé čtvrtletí. Právě tato koncentrace pomáhá vysvětlit prudký mezikvartální růst a současně ukazuje, proč by firmy měly přeshraniční datové toky zahrnout do řízení finančních rizik.

Výrazné sankce udělily také Francie, Itálie a Spojené království

Mezi další významné případy patřily:

• Francie: Telekomunikační společnosti Free Mobile a Free dostaly dohromady pokuty ve výši 42 milionů eur, z toho na Free Mobile připadla sankce 27 milionů eur. Případy souvisely s nedostatky v zabezpečení údajů předplatitelů.
• Itálie: Banka Intesa Sanpaolo byla potrestána pokutou 31,8 milionu eur za nedostatky při ochraně zákaznických bankovních údajů.
• Spojené království: Britský úřad Information Commissioner’s Office (ICO), který dohlíží na ochranu osobních údajů, udělil společnosti Reddit pokutu 14,47 milionu liber. Podle úřadu Reddit neoprávněně využíval osobní údaje dětí a nezavedl dostatečně robustní kontrolu věku uživatelů. Reddit proti rozhodnutí o peněžité sankci podal odvolání.

Případ Redditu potvrzuje, že ochrana soukromí dětí zůstává oblastí s vysokým rizikem. Do hledáčku regulátorů se může dostat ověřování věku, zákonnost zpracování údajů dětí i opatření, která mají omezit předvídatelnou újmu.

Na co se regulátoři zaměřují nejčastěji?

Vývoj ve druhém čtvrtletí se netýkal jediného typu pochybení. Mezi nejvýraznější témata patřila:

Nedostatečné zabezpečení

Selhání bezpečnostních opatření se objevilo mimo jiné ve velkých francouzských telekomunikačních případech a u italské banky. Firmy, které zpracovávají velké objemy zákaznických údajů, potřebují kontrolní mechanismy odpovídající citlivosti, rozsahu i konkrétnímu provoznímu kontextu zpracování.

Chybějící nebo nedostatečný právní titul

Podle výkonného shrnutí nástroje CMS GDPR Enforcement Tracker patří nedostatečný právní titul ke zpracování mezi nejčastější důvody významných pokut podle GDPR. Společnosti by měly být schopny u každé podstatné zpracovatelské činnosti doložit, proč osobní údaje používají, komu je předávají a na jakém právním základě tak činí.

Slabé záruky při přenosu dat do třetích zemí

Případ Yango zařadil mezinárodní přenosy mezi nejzřetelnější vysoce hodnotná rizika sledovaná ve druhém čtvrtletí. Posouzení by mělo zahrnovat skutečný tok informací, jednotlivé příjemce, možný přístup úřadů v cílové zemi i účinnost doplňkových ochranných opatření. Nestačí pouze ověřit, zda existuje standardní smluvní dokumentace.

Nedostatky v ochraně dětí

Rozhodnutí britského ICO ve věci Redditu zdůrazňuje potřebu designu přiměřeného věku uživatelů, spolehlivých postupů pro ověřování věku a obhajitelného přístupu k zákonnému využívání osobních údajů dětí.

Média a finance patří mezi nejvíce exponované sektory

Mediální a finanční společnosti představovaly šest z deseti nejvyšších pokut za druhé čtvrtletí podle rozpisu Finbold. Tyto obory spolu s technologiemi, telekomunikacemi a dalšími službami pro spotřebitele často zpracovávají osobní údaje ve velkém měřítku nebo je využívají v komplikovaných a vzájemně propojených systémech.

Neznamená to, že všechny firmy v těchto odvětvích čelí stejné míře rizika. Nejvyšší expozice obvykle vzniká tam, kde se kombinuje velké množství dat s profilováním chování, citlivými informacemi, rozsáhlou uživatelskou základnou, přeshraniční infrastrukturou nebo složitými vztahy s dodavateli a dalšími partnery.

Co by měly firmy působící v Evropě řešit přednostně

Výsledky druhého čtvrtletí lze převést do pěti praktických priorit:

1. Zmapovat zpracování a právní tituly. Udržovat aktuální přehled o tom, jaká data se shromažďují, proč se zpracovávají, kdo k nim má přístup a jaký právní základ jednotlivé použití podporuje.
2. Ověřovat bezpečnost v reálném provozu. Prověřit řízení přístupů, autentizaci, monitoring, dobu uchovávání, reakci na incidenty i kontrolu dodavatelů, nikoli pouze existenci interních směrnic.
3. Posílit ochranu údajů dětí. Pokud mohou službu využívat děti, měla by být součástí produktových a compliance kontrol kontrola věku, souhlasy, posouzení rizik i ochranná opatření přiměřená věku.
4. Znovu posoudit mezinárodní přenosy. Dokumentovat posouzení rizik, ověřit role jednotlivých příjemců a tam, kde samotné smluvní podmínky nestačí, doplnit další záruky.
5. Předávat vysoce rizikové zpracování vedení. Výše největších sankcí ukazuje, že ochrana soukromí není pouze právní kontrolní seznam, ale také finanční a provozní otázka.

Hlavní závěr druhého čtvrtletí 2026

Celková výše pokut 225,9 milionu eur ukazuje, jak rychle může jediné významné rozhodnutí změnit statistiku vymáhání. Sankce související s Yango představovala téměř polovinu čtvrtletního součtu. Případy z telekomunikací, bankovnictví a ochrany dětí zároveň ukazují, že úřady prověřují jak samotné zabezpečení, tak oprávněnost využívání osobních údajů.

Firmy působící v Evropě by proto měly pravidla GDPR vnímat jako součást řízení podnikových rizik. Zákonnost zpracování, kybernetické zabezpečení, ochrana dětí i přeshraniční přenosy dat by měly být průběžně testovány a podloženy důkazy, které obstojí při kontrole dozorového úřadu.