Pokuty podľa GDPR zverejnené v septembri a októbri 2026: zabezpečenie, sprostredkovatelia a práva ľudí
Sedem rozhodnutí podľa GDPR z Nórska, Írska, Francúzska, Švédska, Grécka a Talianska: slabé zabezpečenie, chýbajúce zmluvy a ignorované žiadosti.
Od začiatku septembra do polovice októbra 2026 zverejnil Európsky výbor pre ochranu údajov (EDPB) sériu pokút podľa GDPR, ktoré uložili vnútroštátne úrady. Popri veľkých prípadoch Uberu a Googlu, o ktorých sme písali v Presadzovanie GDPR v roku 2026, vystupujú dve témy: slabé zabezpečenie a nerešpektované súhlasy a žiadosti.
Zabezpečenie a sprostredkovatelia
- HSE, 645 000 eur, Írsko (28. augusta 2026). Votrelci sa dostali k papierovej zdravotnej dokumentácii uloženej v bývalých psychiatrických nemocniciach. Pokuty, napomenutie a príkazy.
- Hôpital Privé de la Loire, 500 000 eur, Francúzsko (3. septembra 2026). Útočník sa dostal k údajom 524 867 pacientov: chýbalo viacfaktorové overovanie pre externých používateľov, prístup nebol obmedzený na ošetrujúci tím, chýbalo odhaľovanie v reálnom čase a 202 246 "dôveryhodných osôb", ktorých údaje boli tiež odcudzené, nebolo informovaných.
- Miljödata, 1,8 milióna švédskych korún, Švédsko (22. septembra 2026). Kybernetický útok na poskytovateľa IT zasiahol 2,2 milióna ľudí; chýbali dostatočné kontroly pri inštalácii nového softvéru a monitorovanie v reálnom čase.
- Grécke ministerstvo sociálnej súdržnosti a rodiny, 200 000 eur, a jeho sprostredkovateľ E.E.T.A.A., 150 000 eur (28. júla 2026). Zastarané systémy napriek známym rizikám a nedostatky podľa článku 28; obaja musia uzavrieť zmluvu o spracúvaní.
Súhlas a práva ľudí
- Xandr, 92 miliónov nórskych korún (asi 8,6 milióna eur), Nórsko (2. októbra 2026). Reklamná firma spracúvala pri aukciách v reálnom čase údaje používateľov zoznamovacej aplikácie pre gejov, bisexuálov, trans a queer ľudí bez platného právneho základu. Spoliehala sa na súhlas získaný aplikáciou, ktorý bol neplatný: každý spoločný prevádzkovateľ musí súhlas overiť sám. Ide o doteraz najvyššiu pokutu nórskeho úradu a je právoplatná.
- EXTIA, 300 000 eur, Francúzsko (21. júla 2026). Z 265 žiadostí o vymazanie v roku 2024 nebolo 12 nikdy vybavených a 166 ľudí sa nikdy nedozvedelo výsledok.
- BBVA, 5 508 000 eur, Taliansko (3. júla 2026). Klient namietal v aplikácii banky proti marketingu, napriek tomu sedem mesiacov dostával propagačné oznámenia pre chybu synchronizácie medzi internými systémami.
Čo robiť teraz
Skontrolujte viacfaktorové overovanie a monitorovanie systémov s citlivými údajmi, podpísanú zmluvu o spracúvaní s každým dodávateľom a to, či žiadosť alebo námietka dorazí do systému, ktorý ju má vykonať.
Dazr Compliance drží na jednom mieste bezpečnostné kontroly GDPR, register dodávateľov s odkazmi na zmluvy a termínmi revízií, záznamy podľa článku 30 a evidenciu porušení s odpočtom 72 hodín, s pripomienkami, keď sa blíži revízia.
Zdroje
- Datatilsynet: Microsoft company fined NOK 92 million (updated 3 November 2026)
- EDPB: Norwegian DPA fines Xandr EUR 8 600 000 for unlawful processing of personal data (16 October 2026)
- Data Protection Commission: Final decision following inquiry into the Health Service Executive (HSE)
- CNIL: Health data breach, EUR 500,000 fine against Hôpital Privé de la Loire
- IMY: Administrative fine against Miljödata
- EDPB: Hellenic DPA decision on a data breach involving E.E.T.A.A. S.A. as processor (8 October 2026)
- CNIL: Failure to respect the rights of individuals, EUR 300,000 fine against EXTIA
- EDPB: News, national news from data protection authorities
- EDPB: Italian DPA fines BBVA EUR 5 508 000 for failing to respect a customer's objection to direct marketing (9 October 2026)
Len na informačné účely, nejde o právne poradenstvo. Naposledy aktualizované 7. novembra 2026.
K dispozícii aj v jazyku: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Dansk, Svenska, Norsk bokmål