Pokuty za GDPR ve 2. čtvrtletí 2026 vzrostly o 230 % na 225,88 milionu eur

Výběr dat sestavený společností Finbold ukazuje na výrazné zrychlení vymáhání pravidel GDPR, tedy obecného nařízení Evropské unie o ochraně osobních údajů. Úřady ve druhém čtvrtletí 2026 uložily pokuty v celkové výši 225 879 175 eur (260,59 milionu dolarů). Oproti částce 68,18 milionu eur (73,63 milionu dolarů) z prvního čtvrtletí jde zhruba o 230% nárůst. Za první polovinu roku tak sankce dosáhly přibližně 295 milionů eur (340,5 milionu dolarů).

V průměru to znamenalo asi 2,48 milionu eur (2,86 milionu dolarů) na pokutách každý den.

Téměř polovinu vykázaných pokut tvořilo Nizozemsko

Nejvyšší souhrnnou částku zaznamenalo Nizozemsko: 100,25 milionu eur, tedy téměř 49 % vykázaného celku. Následovaly Francie s 52 miliony eur, Itálie s 45,50 milionu eur a Spojené království s přibližně 18 miliony eur.

Nizozemský výsledek téměř celý určovala pokuta 100 milionů eur pro společnost MLU B.V., která provozuje aplikaci pro objednávání jízd Yango a je právním nástupcem společnosti Ridetech International B.V. Nizozemský úřad pro ochranu osobních údajů (Autoriteit Persoonsgegevens) dospěl k závěru, že osobní údaje uživatelů a řidičů z Finska a Norska byly převáděny do Ruska bez odpovídající ochrany. Společnosti zároveň nařídil, aby v těchto přenosech nepokračovala, pokud nezajistí ochranná opatření vyhovující GDPR.

Případ Yango ukazuje limity smluvních doložek

Případ upozorňuje na klíčové riziko přeshraničního předávání osobních údajů: samotné použití standardních smluvních doložek nemusí vyřešit všechny problémy. Podle dostupných zpráv nizozemský úřad zohlednil mimo jiné možnost ruského přístupu ke šifrovacím klíčům a společné nizozemsko-ruské vedení. Tyto okolnosti mohly zvyšovat riziko přístupu k údajům i jejich opětovné identifikace.

Přenosy osobních údajů do třetích zemí musí podle pokynů nizozemského regulátora stát na odpovídající úrovni ochrany, vhodných zárukách nebo konkrétní výjimce. Standardní smluvní doložky představují jednu z možných záruk, organizace ale musí ověřit, zda ochrana v daných podmínkách skutečně funguje.

Ve Francii dominovaly problémy se zabezpečením

Francie ve druhém čtvrtletí vykázala pokuty v celkové výši 52 milionů eur. Mezi nejvýznamnější případy patřila sankce 27 milionů eur pro FREE MOBILE a 15 milionů eur pro jeho mateřskou společnost FREE po závažném úniku dat. Společnost IQVIA Operations France dostala pokutu 15 milionů eur kvůli porušení pravidel při nakládání se zdravotními údaji.

Tyto případy ukazují, jak velké finanční riziko vzniká při nedostatečné ochraně citlivých informací nebo nefunkčních bezpečnostních kontrolách. Sankce se navíc mohou týkat více propojených firem, pokud jsou odpovědnost za zpracování údajů a bezpečnostní opatření rozděleny v rámci jedné podnikové skupiny.

Italské pokuty táhla ochrana bankovních údajů

Itálie zaznamenala pokuty ve výši 45,50 milionu eur. Největší část představovala sankce 31,8 milionu eur pro banku Intesa Sanpaolo kvůli nedostatkům v ochraně bankovních údajů klientů. Společnosti Poste Italiane a PostePay dostaly pokuty 6,62 milionu eur, respektive 5,88 milionu eur, za nedostatky při správě bankovních aplikací.

Italské případy řadí finanční instituce mezi sektory, které mohou čelit nejzávažnějším následkům, pokud přístupová oprávnění, správa dat nebo procesy digitálních služeb dostatečně nechrání informace o zákaznících.

Reddit doplatil na nedostatečné ověřování věku

Britský Úřad komisaře pro informace (ICO) uložil společnosti Reddit pokutu 14,47 milionu liber (16,61 milionu eur) za nedostatečné ověřování věku a nezákonné zpracování údajů dětí.

Případ rozšiřuje obrázek současného vymáhání pravidel nad rámec úniků dat a přenosů do zahraničí. Platformy, které zpracovávají informace o dětech, musí prokázat také zákonnost svých postupů při ověřování věku a zpracování údajů a zajistit přiměřenou ochranu mladistvých.

Jaká porušení a odvětví se objevovala nejčastěji?

Analýza Finboldu ukázala, že selhání zabezpečení a chybějící právní základ pro zpracování údajů stály prakticky za všemi nejvyššími pokutami ve sledovaném období.

Mezi deseti nejvyššími sankcemi se třikrát objevilo mediální odvětví a třikrát finanční sektor. Doprava a energetika se na žebříčku podílely po dvou pokutách, včetně nejvyšší sankce v nizozemském případu Yango.

Tento vzorec je důležitý pro firmy, které vnímají GDPR především jako otázku kybernetické bezpečnosti. Případy z druhého čtvrtletí ukazují, že regulátoři zkoumají i samotné základy práce s osobními údaji: zda je zpracování zákonné, zda ochranná opatření fungují v praxi, zda lze obhájit mezinárodní přenosy a zda společnost řádně kontroluje své partnery i propojené podniky.

Co čísla znamenají pro firmy

Mezičtvrtletní nárůst neznamená, že každá organizace čelí stejnému riziku. Zároveň jde o souhrn již oznámených sankcí, nikoli o předpověď budoucích pokut. Výsledky ale vysílají jasný signál: vysoké sankce mohou vzniknout kombinací nedostatků v právních, provozních, technických i organizačních kontrolách.

Firmy zpracovávající osobní údaje by měly věnovat zvláštní pozornost těmto oblastem:

• Právní základ: U každé významné činnosti se zpracováním zdokumentovat, proč je přípustná, a ověřit, zda zvolený právní základ odpovídá skutečnému využití údajů.
• Bezpečnostní opatření: Testovat, zda přístupová práva, šifrování, monitoring a reakce na incidenty chrání data také v reálném provozu.
• Mezinárodní přenosy: Posuzovat právní a technické prostředí cílové země, nikoli se spoléhat pouze na smluvní formulace.
• Dohled nad třetími stranami: Mít jasně nastavené zpracovatelské smlouvy, rozdělení odpovědnosti a kontrolní postupy pro dodavatele i dceřiné společnosti.
• Údaje dětí a ověřování věku: Zajistit, aby ověřování věku a související bezpečnostní procesy umožňovaly zákonné a přiměřené zpracování.

Hlavní závěr analýzy Finboldu je podle dostupných dat jednoznačný: vymáhání GDPR představuje pro organizace se slabou správou dat významné finanční riziko. Největší případy se netýkaly pouze jednotlivých technických chyb, ale základních nedostatků v zákonnosti zpracování, zabezpečení, ochraně při mezinárodních přenosech a dohledu nad partnery.