Najväčším strašiakom pri GDPR sú pokuty, predovšetkým ich výška, ktorá môže byť až do sumy 20 mil. eur alebo až do výšky 4 % celkového svetového ročného obratu spoločnosti za predchádzajúci účtovný rok, podľa toho, ktorá suma je vyššia.
Niektoré úrady na ochranu osobných údajov síce udelili naozaj vysoké pokuty, slovenský Úrad na ochranu osobných údajov však udeľuje pokuty najviac v sumách niekoľko tisíc eur. Z doterajšej praxe Úradu a jeho vydaných rozhodnutí môžeme povedať, že doterajšie pokuty boli udelené najmä za individuálne a nie systémové pochybenia. Aby sme to uvideli na pravú mieru, kontrolované osoby mali nastavené systémy týkajúce sa ochrany osobných údajov, ale v individuálnych prípadoch porušili ustanovenia GDPR. Ako príklad je možné uviesť súkromnú spoločnosť, ktorá spracúvala osobné údaje na základe oprávneného záujmu. Avšak spoločnosť nemala vypracované riadne testy proporcionality, ale iba „opisné“, a teda nepreukázala, že jej práva prevažujú nad právami dotknutých osôb a bola sankcionovaná pokutou 7 tisíc eur.
K problematike ukladania pokút za porušenie GDPR vydal dňa 26. septembra 2024 Európsky súdny dvor (ESD) zaujímavé rozhodnutie vo veci TR proti Land Hessen. Vec sa týkala žalobcu TR, ktorý mal bankový účet v banke Land Hessen. V banke došlo k porušeniu ochrany údajov žalobcu TR, ktoré spočívalo v nezákonnom prístupe jedného z jej zamestnancov k údajom TR. Banka riadne nahlásila porušenie ochrany údajov, dozorný orgán vec prešetril, ale neuložil pokutu, s čím však TR nesúhlasil a vec zažaloval. ESD konštatoval, že dozorný orgán nie je povinný vždy uložiť pokutu za porušenie GDPR. Uvedené sa týka najmä prípadov, keď dozorný orgán dôsledne preskúma sťažnosť a/alebo porušenie ochrany údajov a prijme primerané opatrenia na nápravu situácie, čo sa podľa ESD v posudzovanom prípade aj udialo.
Ďalším zaujímavým rozhodnutím ESD je rozhodnutie zo 4. októbra 2024 vo veci A v Patērētāju tiesību aizsardzības centrs (pozn.: Centrum ochrany práv spotrebiteľov v Lotyšsku). ESD v tomto rozhodnutí uviedol, že porušenie GDPR neznamená automaticky náhradu škody, a ak sa preukáže škoda, môže byť kompenzovaná len s ospravedlnením. Z pohľadu Slovenska a náhrady škody v našich podmienkach nejde o nezvyčajné rozhodnutie, z pohľadu iných členských štátov však môže mať významné následky.
Zmyslom tohto článku nie je zľahčovať dodržiavanie povinností vyplývajúcich z GDPR, ale skôr poukázať na skutočnosť, že ak majú spoločnosti riadne nastavené procesy na ochranu osobných údajov, pokuty za prípadné zistené pochybenia nie sú zo strany Úradu likvidačné. S poukázaním na najnovšie rozhodnutia ESD je dokonca možné pri komunikácii s Úradom argumentovať, že výsledkom pochybenia nemusí byť automaticky uloženie pokuty, ale postačí prijať primerané opatrenia na nápravu.
Kinstellar, s. r. o.
Kinstellar je popredná európska advokátska kancelária s viac ako 480 odborníkmi v Nemecku, Európe a USA. Našou hlavnou činnosťou je poskytovanie vynikajúceho, integrovaného právneho a daňového poradenstva, ktoré je odborne podložené, inovatívne a orientované na výsledok. Spolu so spoločnosťami v skupine Kinstellar vyvíjame taktiež udržateľné riešenia pre financovanie a management. Nami poskytované poradenstvo využívajú skupiny a stredné podniky, ako aj finančné inštitúcie a investori.
V dialógu s našimi mandantmi nachádzame odpovede na všetky právne aspekty ekonomického života. Náš odborný profil tak zahŕňa právo obchodných spoločností vrátane fúzii a akvizícií, súťažné, kartelové ako aj bankové právo vrátane práva kapitálového trhu a podnikového financovania. Špecializujeme sa na právo duševného vlastníctva, právo informačných technológii a telekomunikácií, právne otázky spojené s distribúciou tovaru, právne vzťahy k nehnuteľnostiam, pracovné právo, konkurzné právo, právo životného prostredia. Klientov zastupujeme pred riadnymi aj rozhodcovskými súdmi. Okrem toho ponúkame rozsiahle poradenstvo pri štruktúrovaní a financovaní investičných zámerov.