Presadzovanie GDPR v roku 2026: vysoké pokuty a nové postupy
Pokuta 403 miliónov eur pre Google za údaje o polohe, rýchlejšie cezhraničné konania od apríla 2027 a zmeny GDPR, ktoré sú zatiaľ len návrhom.
Osem rokov po tom, čo sa GDPR začalo uplatňovať, prináša jeho presadzovanie stále veľké rozhodnutia a spôsob riešenia cezhraničných prípadov sa čoskoro zmení.
Nedávne rozhodnutia
- Uber, 824,99 milióna eur (zverejnené 8. októbra 2026). Holandský úrad na ochranu osobných údajov (AP) zistil, že Uber deaktivoval účty vodičov plne automatizovanými rozhodnutiami, dočasne pri podozrení z podvodu alebo nízkom hodnotení a natrvalo pri dlhodobo nízkom hodnotení, v rozpore s článkom 22, a vodičov dostatočne neinformoval (článok 13). Prípad sa začal sťažnosťami 171 francúzskych vodičov podanými na CNIL a týka sa rokov 2018 až 2022. Uber sa odvolal, rozhodnutie preto nie je konečné.
- Google, 403 miliónov eur (21. septembra 2026). Írska Data Protection Commission (DPC) ako vedúci dozorný orgán zistila, že Google porušil GDPR pri spracúvaní údajov o polohe v Aktivite na webe a v aplikáciách, Histórii polohy a Presnosti polohy: zákonnosť a spravodlivosť, transparentnosť, zodpovednosť a doba uchovávania. Google musí spracúvanie uviesť do súladu do šiestich mesiacov.
- TikTok, 530 miliónov eur (2. mája 2025). DPC zistila, že TikTok nepreukázal, že údaje používateľov z EHP, ku ktorým mali vzdialený prístup zamestnanci v Číne, požívali v podstate rovnocennú ochranu (čl. 46 ods. 1), a že vyhlásenie o ochrane súkromia neuvádzalo dotknuté krajiny (čl. 13 ods. 1 písm. f)).
Spolu pripomínajú, že najvyššie pokuty vyplývajú z automatizovaného rozhodovania, prenosov do tretích krajín, transparentnosti a uchovávania údajov dlhšie, než je potrebné.
Rýchlejšie cezhraničné konania od 2. apríla 2027
Nariadenie (EÚ) 2025/2518 dopĺňa procesné pravidlá pre cezhraničné prípady podľa GDPR. Bolo uverejnené 12. decembra 2025 a uplatňuje sa od 2. apríla 2027. Zjednocuje, kedy je sťažnosť prípustná, dáva sťažovateľom aj firmám právo byť vypočutí a oboznámiť sa s predbežnými zisteniami a stanovuje lehoty: v zásade 15 mesiacov na vyšetrovanie, s predĺžením o 12 mesiacov pri zložitých prípadoch, a zjednodušený postup pre jednoduché prípady. Hmotné pravidlá GDPR sa nemenia.
Navrhované zmeny GDPR
Digitálny omnibus, ktorý Komisia navrhla v novembri 2025, obsahuje zmeny GDPR, napríklad vyšší prah a dlhšiu lehotu na oznamovanie porušení ochrany osobných údajov úradom a jednotné miesto na hlásenie incidentov. EDPB a EDPS v spoločnom stanovisku z februára 2026 časť podporili a k inej časti vyjadrili obavy. Ide o návrhy: dnes stále platí lehota 72 hodín na oznámenie porušenia.
Čo skontrolovať
- Záznamy o spracovateľských činnostiach a doby uchovávania, najmä pri údajoch o polohe a ďalších citlivých údajoch.
- Posúdenia prenosov pre každý prístup mimo EHP vrátane vzdialenej podpory.
- Informácie o spracúvaní, ktoré jasne uvádzajú príjemcov a krajiny.
- Postup pri porušení ochrany údajov, ktorý dodrží lehotu 72 hodín.
- Tam, kde o ľuďoch rozhoduje softvér, napríklad pri zablokovaní účtu: skutočné posúdenie človekom a zrozumiteľné vysvetlenie pre dotknuté osoby.
Zdroje
- Data Protection Commission: DPC fines Google EUR 403 million following inquiry into Google's processing of location data (21 September 2026)
- Data Protection Commission: DPC fines TikTok EUR 530 million (2 May 2025)
- Council of the EU: Council adopts new EU law to speed up handling of cross-border data protection complaints (17 November 2025)
- Regulation (EU) 2025/2518 on additional procedural rules for the enforcement of the GDPR
- EDPB: Dutch DPA fines Uber EUR 824 990 000 for unlawful automated decision-making and insufficient information (8 October 2026)
- EDPB and EDPS: Joint Opinion 2/2026 on the Digital Omnibus
Len na informačné účely, nejde o právne poradenstvo. Naposledy aktualizované 22. októbra 2026.
K dispozícii aj v jazyku: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Dansk, Svenska, Norsk bokmål