Pokyny EDPB 04/2026: kdy porušení GDPR vede k pokutě
EDPB stanovuje pět kroků, podle kterých úřady rozhodují, zda za porušení GDPR uložit pokutu, nebo napomenutí. Připomínky do 13. listopadu 2026.
Dne 17. září 2026 přijal Evropský sbor pro ochranu osobních údajů (EDPB) pokyny 04/2026. Popisují, jak mají vnitrostátní dozorové úřady rozhodovat, zda za porušení GDPR uložit správní pokutu, nebo použít jiné nápravné opatření, například napomenutí nebo příkaz. EDPB je zveřejnil 21. září 2026. Připomínky lze zaslat do 13. listopadu 2026, 23:59 SEČ.
Pokyny nahrazují dřívější pokyny pracovní skupiny WP29 ke správním pokutám a doplňují pokyny EDPB k výpočtu výše pokut.
Pět kroků
- Lze za porušení uložit pokutu? Úřad potřebuje oporu v GDPR nebo ve vnitrostátním právu.
- Lze pokutovat tuto stranu? Zda odpovídá správce, nebo zpracovatel, závisí na tom, koho porušené ustanovení zavazuje.
- Úmysl, nebo nedbalost? Zaviněné porušení je podmínkou pokuty.
- Jde o méně závažné porušení? Úřad zváží přitěžující a polehčující okolnosti podle čl. 83 odst. 2. Méně závažné porušení zpravidla nevede k pokutě a místo ní může být uděleno napomenutí. Pokud méně závažné není, platí silná domněnka, že pokuta bude uložena.
- Byla by pokuta účinná, přiměřená a odrazující? Zde může úřad v konkrétním případě najít důvod odchýlit se od obecného postupu.
Pokyny vysvětlují i další nápravné pravomoci (varování, napomenutí, příkazy, omezení včetně zákazů a odnětí osvědčení) a uvádějí 14 praktických příkladů.
Také konečné: DSA a GDPR
Na stejném plenárním zasedání přijal EDPB konečné znění pokynů 3/2025 o vztahu mezi aktem o digitálních službách (DSA) a GDPR pro zprostředkovatelské služby, které zpracovávají osobní údaje.
Co dělat teď
V kroku 4 rozhodují faktory podle čl. 83 odst. 2 mezi napomenutím a pokutou: mimo jiné opatření přijatá ke zmírnění škody, spolupráce s úřadem, předchozí porušení a dotčené kategorie údajů. Rozhoduje, zda to dokážete rychle doložit.
Dazr Compliance drží tyto důkazy na jednom místě: záznamy o činnostech zpracování (článek 30), DPIA s historií každé změny, opakované kontroly GDPR a evidenci porušení s odpočtem 72 hodin. Chcete-li pokyny připomínkovat, použijte do 13. listopadu konzultační formulář EDPB.
Zdroje
- EDPB: EDPB harmonises fining methodology and adopts final DSA-GDPR guidelines (21 September 2026)
- EDPB: Guidelines 04/2026 on the application of the power to impose administrative fines in relation to other corrective powers under the GDPR, version 1.0 (adopted 17 September 2026)
- EDPB: public consultation on Guidelines 04/2026, 21 September to 13 November 2026
- EDPB: Guidelines 3/2025 on the interplay between the DSA and the GDPR, final version
Pouze pro informaci, nejde o právní poradenství. Naposledy aktualizováno 7. listopadu 2026.
K dispozici také v jazyce: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Slovenčina, Dansk, Svenska, Norsk bokmål