Brusel, 21. září – Na svém posledním plenárním zasedání přijal EDPB pokyny k uplatňování pravomoci ukládat správní pokuty ve vztahu k jiným nápravným pravomocem podle GDPR a konečné znění svých pokynů k souhře mezi aktem o digitálních službách (DSA) a GDPR.

Nové pokyny EDPB představují významný krok k dalšímu sladění toho, jak orgány pro ochranu osobních údajů rozhodují o tom, zda má být uložena správní pokuta, a to buď samostatně, nebo společně s jinými nápravnými opatřeními.

GDPR výrazně posílilo nápravné pravomoci orgánů pro ochranu osobních údajů, přičemž pokuty slouží jako důležitý nástroj účinného prosazování. Pokyny znovu potvrzují náš závazek zajistit větší jasnost a jednotné uplatňování GDPR v celé Evropě.

místopředsedkyně EDPB Jelena Virant Burnik

Při rozhodování o tom, zda uložit správní pokutu, by se orgány pro ochranu osobních údajů měly řídit pětikrokovou metodikou:

1. orgán pro ochranu osobních údajů ověří, zda porušení může vést k uložení pokuty, a to na základě opory buď přímo v GDPR, nebo ve vnitrostátním právu.
2. orgán pro ochranu osobních údajů určí, zda může být vyšetřované straně za dané porušení uložena pokuta. To, zda odpovídá správce nebo zpracovatel, závisí na tom, kdo je vázán porušeným ustanovením.
3. orgán pro ochranu osobních údajů posoudí, zda bylo porušení spácháno úmyslně nebo z nedbalosti, jelikož zaviněné porušení je podmínkou pro uložení pokuty.
4. orgán pro ochranu osobních údajů posoudí možné přitěžující a polehčující okolnosti. Je-li porušení méně závažné, zpravidla nebude uložena pokuta a místo ní může být vydána důtka; není-li méně závažné, existuje silná domněnka, že by pokuta měla být uložena.
5. orgán pro ochranu osobních údajů posoudí, zda by uložení správní pokuty bylo účinné, přiměřené a odrazující. Přitom může zvážit, zda v konkrétním případě existuje důvod odchýlit se od standardního přístupu.

Pokyny rovněž poskytují přehled o nápravných pravomocích v rámci působnosti vnitrostátních orgánů pro ochranu osobních údajů a vysvětlují jejich účel, rozsah a vzájemný vztah. Nápravná opatření zahrnují varování, důtky, příkazy, omezení (včetně zákazů) a odnětí certifikace.

Sbor rovněž uvádí 14 praktických příkladů, které ilustrují, jak mohou orgány pro ochranu osobních údajů posoudit specifika případu a rozhodnout, která nápravná opatření by měla být případně uložena.

Pokyny budou předmětem veřejné konzultace do 13. listopadu 2026, která zúčastněným stranám poskytne příležitost předložit připomínky a zpětnou vazbu.

Pokyny k DSA a GDPR dokončeny po veřejné konzultaci

Po veřejné konzultaci přijal EDPB konečné znění svých pokynů k souhře mezi DSA a GDPR. Tyto pokyny podporují jednotné uplatňování obou právních aktů, zejména tam, kde se ustanovení DSA týkají zpracování osobních údajů poskytovateli zprostředkovatelských služeb a odkazují na pojmy a definice stanovené v GDPR.

Poznámka pro editory:

* Tyto pokyny nahrazují pokyny WP29 k uplatňování a stanovování správních pokut pro účely nařízení 2016/679 a doplňují dříve přijaté pokyny k výpočtu správních pokut podle GDPR, které se spíše zaměřují na metodiku výpočtu výše správní pokuty.