GDPR pokuty podľa jednotnejších pravidiel: EDPB prináša päťstupňový postup a finalizuje usmernenia k DSA
Kedy má porušenie GDPR skončiť napomenutím a kedy už správnou pokutou? Európsky výbor pre ochranu údajov (EDPB) chce rozhodovanie dozorných orgánov v celej Európskej únii viac zjednotiť. Nové Usmernenia 04/2026 zavádzajú päťstupňovú metodiku pre rozhodovanie o uložení správnej pokuty a jej kombinovaní s ďalšími nápravnými opatreniami. Usmernenia boli prijaté 17.09.2026 a do 13.11.2026 sú predmetom verejnej konzultácie.
Dozorný orgán má postupne posúdiť, či je konkrétne porušenie vôbec sankcionovateľné pokutou, komu možno porušenie pripísať, či bolo spáchané úmyselne alebo z nedbanlivosti, aké existujú poľahčujúce a priťažujúce okolnosti a napokon, či je pokuta účinná, primeraná a odrádzajúca. Pri menej závažných porušeniach môže postačovať napomenutie, zatiaľ čo pri ostatných porušeniach EDPB vychádza zo silnej domnienky v prospech uloženia pokuty. Usmernenia zároveň pracujú so širším spektrom nápravných opatrení – od varovaní a pokarhaní až po príkazy, obmedzenia spracúvania či odňatie certifikácie.
Nejde pritom primárne o to, aká vysoká pokuta má byť, ale o predchádzajúcu otázku, či sa pokuta má uložiť a ako má fungovať spolu s ostatnými nápravnými právomocami. Usmernenia tak dopĺňajú už existujúcu metodiku EDPB pre výpočet výšky správnych pokút a majú prispieť k jednotnejšej vymožiteľnosti GDPR medzi jednotlivými členskými štátmi.
Súčasne EDPB prijal konečnú verziu Usmernení 3/2025 o vzájomnom pôsobení medzi aktom o digitálnych službách a GDPR. Ich význam rastie najmä pri online platformách a ďalších poskytovateľoch sprostredkovateľských služieb, pretože plnenie povinností podľa DSA často zahŕňa aj spracúvanie osobných údajov. EDPB preto vysvetľuje, ako majú byť oba regulačné režimy uplatňované súbežne a konzistentne. Konečná verzia bola prijatá po verejnej konzultácii 17.09.2026.
Pre prax je spoločným menovateľom oboch dokumentov posun od formálneho GDPR compliance k otázke, ako bude dodržiavanie pravidiel reálne presadzované. Prevádzkovatelia a online platformy by preto nemali hodnotiť jednotlivé povinnosti izolovane. Pri prípadnom porušení bude čoraz dôležitejšia jeho závažnosť, zavinenie, reakcia prevádzkovateľa a súbeh viacerých nápravných opatrení; pri platformách navyše pribúda potreba koordinovať GDPR compliance s povinnosťami vyplývajúcimi z DSA.
