Prídu rekordné pokuty za porušovanie GDPR aj na Slovensko?

Foto: Shutterstock

Čo sa to vlastne v Česku stalo

„V prípade Avastu úrad konštatoval porušenie zásady zákonnosti, spravodlivosti a transparentnosti, absenciu testu zlučiteľnosti, nesplnenie riadnej informačnej povinnosti, nevykonanie testu nevyhnutnosti, a problematická bola aj anonymizácia údajov, ktorá nebola v súlade s tvrdeniami firmy,“ približuje odborník na ochranu osobných údajov Jakub Berthoty z advokátskej kancelárie Dagital Legal.

Podľa jeho slov mal však na výšku pokuty zásadný vplyv predovšetkým status značky Avast, ktorá vyvíja produkty na ochranu spotrebiteľa, a to aj pred zneužitím osobných údajov.

Takto to robia vo Francúzsku

V západnej Európe už nie sú vysoké pokuty za nedodržiavanie pravidiel GDPR výnimkou. Francúzsky úrad CNIL udelil len v roku 2021 presne 18 pokút v celkovej výške 214 miliónov eur. Priemerná výška pokút vo Francúzsku tak bola na úrovni 12 miliónov eur na jednu spoločnosť.

„Malý počet udelených pokút nie je dôsledkom nedostatku sťažností, ale politiky francúzskeho regulátora. CNIL totiž udelil pokutu len v každom tisícom prípade. No ak pokutu udelil, bola obrovská,“ vysvetľuje advokát.

Na Slovensku na rekordnú pokutu stále čakáme

Napriek zahraničným trendom je na Slovensku situácia opačná – rastie počet rozhodnutí a súčasne klesá výška pokút. Priemerná výška pokút v roku 2023 predstavovala 1 390 eur, pričom najvyššia udelená pokuta bola vo výške 7-tisíc eur. Dôvodom takejto politiky Úradu na ochranu osobných údajov SR je nedostatok personálnych zdrojov.

Na poddimenzovanosť úradu upozorňuje advokátska kancelária Dagital Legal vo svojich pravidelných Správach o ochrane osobných údajov už tri roky. „Veľké množstvo konaní a nedostatok zamestnancov spôsobuje, že sa úrad snaží prebiehajúce konania ukončovať rýchlo a s nízkou pokutou. Nízka pokuta totiž motivuje účastníkov nepodať rozklad a nezačať druhostupňové správne konanie,“ vysvetľuje J. Berthoty.

V tejto súvislosti tiež upozorňuje, že nízke pokuty nenapĺňajú svoj celospoločenský a odstrašujúci význam, ktorý majú mať podľa čl. 83 GDPR. „Úrad nepotrebuje vydávať desiatky rozhodnutí a bezvýznamných pokút ročne. Potrebuje sa strategicky zamerať na veľkých hráčov a služby, ktoré najviac porušujú pravidlá ochrany osobných údajov, s vplyvom na širokú verejnosť. Tak, ako to máme možnosť vidieť v Českej republike v prípade Avastu,“ uzatvára odborník na ochranu osobných údajov.