Pokuty podle GDPR zveřejněné v září a říjnu 2026: zabezpečení, zpracovatelé a práva lidí
Sedm rozhodnutí podle GDPR z Norska, Irska, Francie, Švédska, Řecka a Itálie: slabé zabezpečení, chybějící zpracovatelské smlouvy a ignorované žádosti.
Od začátku září do poloviny října 2026 zveřejnil Evropský sbor pro ochranu osobních údajů (EDPB) řadu pokut podle GDPR uložených vnitrostátními úřady. Vedle velkých případů Uberu a Googlu, o kterých jsme psali v Vymáhání GDPR v roce 2026, vystupují dvě témata: slabé zabezpečení a nerespektované souhlasy a žádosti.
Zabezpečení a zpracovatelé
- HSE, 645 000 eur, Irsko (28. srpna 2026). Vetřelci se dostali k papírové zdravotnické dokumentaci uložené v bývalých psychiatrických nemocnicích. Pokuty, napomenutí a příkazy.
- Hôpital Privé de la Loire, 500 000 eur, Francie (3. září 2026). Útočník se dostal k údajům 524 867 pacientů: chybělo vícefaktorové ověřování pro externí uživatele, přístup nebyl omezen na ošetřující tým, chybělo odhalování v reálném čase a 202 246 "důvěryhodných osob", jejichž údaje byly také odcizeny, nebylo informováno.
- Miljödata, 1,8 milionu švédských korun, Švédsko (22. září 2026). Kybernetický útok na poskytovatele IT zasáhl 2,2 milionu lidí; chyběly dostatečné kontroly při instalaci nového softwaru a monitorování v reálném čase.
- Řecké ministerstvo sociální soudržnosti a rodiny, 200 000 eur, a jeho zpracovatel E.E.T.A.A., 150 000 eur (28. července 2026). Zastaralé systémy přes známá rizika a nedostatky podle článku 28; oba musí uzavřít zpracovatelskou smlouvu.
Souhlas a práva lidí
- Xandr, 92 milionů norských korun (asi 8,6 milionu eur), Norsko (2. října 2026). Reklamní firma zpracovávala při aukcích v reálném čase údaje uživatelů seznamovací aplikace pro gaye, bisexuály, trans a queer lidi bez platného právního základu. Spoléhala na souhlas získaný aplikací, který byl neplatný: každý společný správce musí souhlas ověřit sám. Jde o dosud nejvyšší pokutu norského úřadu a je pravomocná.
- EXTIA, 300 000 eur, Francie (21. července 2026). Z 265 žádostí o výmaz v roce 2024 nebylo 12 nikdy vyřízeno a 166 lidí se nikdy nedozvědělo výsledek.
- BBVA, 5 508 000 eur, Itálie (3. července 2026). Klient vznesl v aplikaci banky námitku proti marketingu, přesto sedm měsíců dostával propagační oznámení kvůli chybě synchronizace mezi interními systémy.
Co dělat teď
Zkontrolujte vícefaktorové ověřování a monitorování systémů s citlivými údaji, podepsanou zpracovatelskou smlouvu s každým dodavatelem a to, zda žádost nebo námitka dorazí do systému, který ji má provést.
Dazr Compliance drží na jednom místě bezpečnostní kontroly GDPR, registr dodavatelů s odkazy na smlouvy a termíny revizí, záznamy podle článku 30 a evidenci porušení s odpočtem 72 hodin, s připomínkami, když se blíží revize.
Zdroje
- Datatilsynet: Microsoft company fined NOK 92 million (updated 3 November 2026)
- EDPB: Norwegian DPA fines Xandr EUR 8 600 000 for unlawful processing of personal data (16 October 2026)
- Data Protection Commission: Final decision following inquiry into the Health Service Executive (HSE)
- CNIL: Health data breach, EUR 500,000 fine against Hôpital Privé de la Loire
- IMY: Administrative fine against Miljödata
- EDPB: Hellenic DPA decision on a data breach involving E.E.T.A.A. S.A. as processor (8 October 2026)
- CNIL: Failure to respect the rights of individuals, EUR 300,000 fine against EXTIA
- EDPB: News, national news from data protection authorities
- EDPB: Italian DPA fines BBVA EUR 5 508 000 for failing to respect a customer's objection to direct marketing (9 October 2026)
Pouze pro informaci, nejde o právní poradenství. Naposledy aktualizováno 7. listopadu 2026.
K dispozici také v jazyce: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Slovenčina, Dansk, Svenska, Norsk bokmål