Vymáhání GDPR v roce 2026: vysoké pokuty a nové postupy
Pokuta 403 milionů eur pro Google za údaje o poloze, rychlejší přeshraniční řízení od dubna 2027 a změny GDPR, které jsou zatím jen návrhem.
Osm let poté, co se GDPR začalo uplatňovat, přináší jeho vymáhání stále velká rozhodnutí a způsob řešení přeshraničních případů se brzy změní.
Nedávná rozhodnutí
- Uber, 824,99 milionu eur (zveřejněno 8. října 2026). Nizozemský úřad pro ochranu osobních údajů (AP) zjistil, že Uber deaktivoval účty řidičů plně automatizovanými rozhodnutími, dočasně při podezření z podvodu nebo nízkém hodnocení a trvale při dlouhodobě nízkém hodnocení, v rozporu s článkem 22, a řidiče dostatečně neinformoval (článek 13). Případ začal stížnostmi 171 francouzských řidičů podanými u CNIL a týká se let 2018 až 2022. Uber se odvolal, rozhodnutí tedy není konečné.
- Google, 403 milionů eur (21. září 2026). Irská Data Protection Commission (DPC) jako vedoucí dozorový úřad zjistila, že Google porušil GDPR při zpracování údajů o poloze v Aktivitě na webu a v aplikacích, Historii polohy a Přesnosti polohy: zákonnost a korektnost, transparentnost, odpovědnost a doba uložení. Google musí zpracování uvést do souladu do šesti měsíců.
- TikTok, 530 milionů eur (2. května 2025). DPC zjistila, že TikTok neprokázal, že údaje uživatelů z EHP, ke kterým měli vzdálený přístup zaměstnanci v Číně, požívaly v zásadě rovnocenné ochrany (čl. 46 odst. 1), a že zásady ochrany soukromí neuváděly dotčené země (čl. 13 odst. 1 písm. f)).
Dohromady připomínají, že nejvyšší pokuty plynou z automatizovaného rozhodování, předávání do třetích zemí, transparentnosti a uchovávání údajů déle, než je nutné.
Rychlejší přeshraniční řízení od 2. dubna 2027
Nařízení (EU) 2025/2518 doplňuje procesní pravidla pro přeshraniční případy podle GDPR. Bylo zveřejněno 12. prosince 2025 a použije se od 2. dubna 2027. Sjednocuje, kdy je stížnost přípustná, dává stěžovatelům i firmám právo být vyslechnuti a seznámit se s předběžnými zjištěními a stanoví lhůty: v zásadě 15 měsíců na šetření, s prodloužením o 12 měsíců u složitých případů, a zjednodušený postup pro jednoduché případy. Hmotná pravidla GDPR se nemění.
Navržené změny GDPR
Digitální omnibus, který Komise navrhla v listopadu 2025, obsahuje změny GDPR, například vyšší práh a delší lhůtu pro ohlašování porušení zabezpečení osobních údajů úřadům a jednotné místo pro hlášení incidentů. EDPB a EIOÚ ve společném stanovisku z února 2026 část podpořily a k jiné části vyjádřily obavy. Jde o návrhy: dnes stále platí lhůta 72 hodin pro ohlášení porušení.
Co zkontrolovat
- Záznamy o činnostech zpracování a doby uložení, zvlášť u údajů o poloze a dalších citlivých údajů.
- Posouzení předávání pro každý přístup mimo EHP, včetně vzdálené podpory.
- Informace o zpracování, které jasně uvádějí příjemce a země.
- Postup pro porušení zabezpečení, který dodrží lhůtu 72 hodin.
- Tam, kde o lidech rozhoduje software, například při zablokování účtu: skutečné posouzení člověkem a srozumitelné vysvětlení pro dotčené osoby.
Zdroje
- Data Protection Commission: DPC fines Google EUR 403 million following inquiry into Google's processing of location data (21 September 2026)
- Data Protection Commission: DPC fines TikTok EUR 530 million (2 May 2025)
- Council of the EU: Council adopts new EU law to speed up handling of cross-border data protection complaints (17 November 2025)
- Regulation (EU) 2025/2518 on additional procedural rules for the enforcement of the GDPR
- EDPB: Dutch DPA fines Uber EUR 824 990 000 for unlawful automated decision-making and insufficient information (8 October 2026)
- EDPB and EDPS: Joint Opinion 2/2026 on the Digital Omnibus
Pouze pro informaci, nejde o právní poradenství. Naposledy aktualizováno 22. října 2026.
K dispozici také v jazyce: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Slovenčina, Dansk, Svenska, Norsk bokmål