Rekordní pokuty GDPR v roce 2021 – co se můžeme naučit

Rok rekordních pokut

Rok 2021 byl z pohledu GDPR přelomový. Dozorové úřady napříč Evropou udělily pokuty v celkové výši přesahující jednu miliardu EUR, což je výrazný nárůst oproti předchozím rokům. Tyto pokuty jasně ukazují, že éra shovívavosti skončila a dozorové úřady berou vymáhání GDPR vážně.

Nejvyšší pokuty roku 2021

Amazon – 746 milionů EUR

Lucemburský dozorový úřad CNPD udělil společnosti Amazon historicky nejvyšší pokutu za porušení GDPR. Pokuta se týkala způsobu, jakým Amazon zpracovával osobní údaje pro účely behaviorální reklamy bez řádného souhlasu. Amazon se proti rozhodnutí odvolal, ale pokuta zůstává symbolem rostoucí přísnosti regulátorů.

WhatsApp – 225 milionů EUR

Irský dozorový úřad DPC pokutoval WhatsApp za nedostatečnou transparentnost vůči uživatelům. Společnost dostatečně neinformovala uživatele o tom, jak jejich údaje zpracovává a sdílí s mateřskou společností Facebook (Meta). Tato pokuta podtrhuje důležitost jasné a srozumitelné informační povinnosti.

Google – celkem přes 150 milionů EUR

Francouzský CNIL udělil Google pokutu za nesprávné zacházení s cookies. Google neumožňoval uživatelům odmítnout cookies stejně snadno, jako je přijmout. Toto rozhodnutí má přímý dopad na všechny provozovatele webových stránek.

Další významné pokuty

• Grindr (Norsko) – 6,3 milionů EUR za nelegální sdílení údajů o sexuální orientaci uživatelů s reklamními partnery
• Clearview AI (Itálie, Francie, Řecko) – celkem přes 40 milionů EUR za neoprávněné shromažďování biometrických údajů z internetu
• Vodafone (Španělsko) – 8,15 milionů EUR za neautorizované marketingové hovory

Jaké porušení vedou k pokutám

Analýza pokut ukazuje nejčastější důvody:

• Nedostatečný právní základ pro zpracování – zejména chybějící nebo neplatný souhlas
• Porušení informační povinnosti – netransparentní nebo neúplné informace
• Nedostatečné zabezpečení osobních údajů
• Neoprávněné předávání údajů třetím stranám
• Porušení práv subjektů údajů – nereagování na žádosti

Poučení pro české firmy

I když české firmy nejsou Amazon ani Google, principy jsou stejné. ÚOOÚ postupně zvyšuje aktivitu a pokuty v České republice rostou. Z rekordních pokut roku 2021 si můžeme vzít tato poučení:

• Transparentnost je klíčová – investujte do srozumitelných zásad ochrany osobních údajů
• Souhlas musí být řádný – zejména v oblasti cookies a marketingu
• Zabezpečení není dobrovolné – technická a organizační opatření musí odpovídat rizikům
• Spolupráce s úřadem pomáhá – firmy, které aktivně spolupracovaly a přijaly nápravná opatření, dostávaly nižší pokuty

Rok 2022 bude pravděpodobně pokračovat v trendu vysokých pokut. Nejlepší ochranou je prevence – zajistěte soulad s GDPR dříve, než se dozorový úřad začne zajímat o vás.