EDPB harmonizuje metodiku ukládání pokut a schválil pokyny ke vztahu nařízení o digitálních službách a GDPR

„Nové pokyny EDPB jsou významným krokem k dalšímu sladění způsobu, jakým úřady pro ochranu osobních údajů rozhodují o tom, zda by měla být uložena správní pokuta, a to buď samostatně, nebo společně s jinými nápravnými opatřeními. Nařízení GDPR výrazně posílilo nápravné pravomoci úřadů pro ochranu osobních údajů, přičemž pokuty slouží jako důležitý nástroj pro účinné prosazování. Pokyny znovu potvrzují náš závazek zajistit větší jasnost a jednotné uplatňování GDPR v celé Evropě,“

shrnula místopředsedkyně EDPB Jelena Virant Burnik. 

Úřady pro ochranu osobních údajů by se při rozhodování o uložení správní pokuty měly řídit pětistupňovou metodikou:

1. Úřad zkontroluje, zda porušení může vést k uložení pokuty, a to buď přímo dle GDPR, nebo v souladu s vnitrostátním právem.
2. Úřad určí, zda lze vyšetřované straně za dané protiprávní jednání uložit pokutu. Odpovědnost správce nebo zpracovatele závisí na tom, kdo je porušeným ustanovením vázán.
3. Úřad posoudí, zda k porušení došlo úmyslně nebo z nedbalosti, neboť zaviněné porušení je podmínkou pro uložení pokuty.
4. Úřad posoudí možné přitěžující a polehčující okolnosti. Je-li porušení méně závažné, obvykle se neuloží žádná pokuta a místo toho může být uloženo napomenutí (reprimand); je-li závažnější, existuje silná domněnka, že by měla být uložena pokuta.
5. Úřad posoudí, zda je uložení správní pokuty účinné, přiměřené a odrazující. Úřad také zváží, zda v konkrétním případě existuje důvod odchýlit se od standardního přístupu.

Pokyny rovněž poskytují přehled nápravných pravomocí v působnosti vnitrostátních úřadů pro ochranu osobních údajů a vysvětlují jejich účel, rozsah a vzájemné vztahy. Nápravná opatření zahrnují varování, napomenutí, příkazy, omezení (včetně zákazů) a odnětí osvědčení.

Sbor rovněž uvádí 14 praktických příkladů, které ilustrují, jak mohou úřady pro ochranu osobních údajů posoudit specifika případu a rozhodnout, která nápravná opatření by měla být případně uložena.

Pokyny budou do 13. listopadu 2026 předmětem veřejné konzultace, která zúčastněným stranám poskytne příležitost vyjádřit se a poskytnout zpětnou vazbu.

Pokyny o vztahu nařízení o digitálních službách (DSA) a GDPR finalizovány po veřejné konzultaci

Po veřejné konzultaci přijal EDPB konečnou verzi svých pokynů týkajících se vzájemného působení nařízení o digitálních službách (DSA) a obecného nařízení o ochraně osobních údajů (GDPR). Pokyny podporují jednotné uplatňování obou právních aktů, zejména pokud se ustanovení DSA týkají zpracování osobních údajů poskytovateli zprostředkovatelských služeb a odkazují na pojmy a definice stanovené v GDPR.

* Tyto pokyny nahrazují pokyny pracovní skupiny zřízené podle článku 29 k uplatňování a stanovování správních pokut pro účely nařízení 2016/679 a doplňují dříve přijaté pokyny pro výpočet správních pokut podle GDPR, které se spíše zaměřují na metodiku výpočtu výše správní pokuty.

** Pokyny týkající se vzájemného působení DSA a GDPR budou nyní před zveřejněním podrobeny jazykovým kontrolám. Dokument bude brzy zveřejněn na této stránce.