Pracovní skupina Evropské unie (WP 29) vydala 3. října 2017 „Pokyny pro uplatňování a stanovení pokut podle Obecného nařízení o ochraně osobních údajů“ (dále jen „Pokyny“). Tyto Pokyny slouží především ke stanovení všeobecných principů, kterými by se měli řídit všechny subjekty ukládající správní pokuty podle GDPR, tedy zejména dozorový úřad (Úřad na ochranu osobních údajů). Znalost Pokynů nicméně pomůže i správcům a zpracovatelům osobních údajů, jelikož budou moci lépe porozumět požadavkům, které jsou na ně kladeny.
Principy
Dle Pokynů by se dozorové úřady při ukládání a stanovování pokut měly řídit čtyřmi základními principy:
- Porušení nařízení by mělo vést k uložení „ekvivalentní sankce“.
- Správní pokuty by měly být „účinné, přiměřené a odrazující“.
- Příslušný dozorový úřad by měl provádět hodnocení „v každém jednotlivém případě“.
- Harmonizovaný přístup k správním pokutám v oblasti ochrany údajů vyžaduje aktivní účast a výměnu informací mezi orgány dohledu.
Za účelem zajištění konzistentní a vysoké úrovně ochrany fyzických osob a odstranění překážek pohybu osobních údajů v Evropské unii by úroveň ochrany osobních údajů měla být stejná ve všech členských státech Evropské unie. Dozorový úřad by měl vždy posuzovat každý jednotlivý případ porušení Nařízení a na základě zjištěného skutkového stavu uložit přiměřenou sankci. Tato sankce vždy nemusí spočívat pouze v uložení správní pokuty (dle čl. 58 odst. 2 písm. b) Nařízení může dozorový úřad například udělit pouze napomenutí), vždy by ale měla být dostatečně účinná, přiměřená a odrazující. Jednotlivé dozorové úřady by také měly spolupracovat mezi sebou – například ve formě sdílení neobvyklých případů, mezinárodních konferencí a pravidelné komunikace.
Kritéria článku 83 odst.2 Nařízení
Dozorový úřad při rozhodování, zda udělit či neudělit správní pokutu (případně v jaké výši) posuzuje kritéria, která jsou obsažena v článku 83 odst. 2 Nařízení. Jedná se o demonstrativní výčet jedenácti kritérií, mezi které patří například posouzení povahy, závažnosti a délky trvání porušení Nařízení, nebo to, zda správce či zpracovatel osobních údajů ve skutečnosti dodržuje schválené kodexy chování. Pokyny se dále zabývají právě zpřesněním a vysvětlením těchto jednotlivých kritérií.
Co vše může ovlivnit udělení a stanovení výše správní pokuty?
To, zda bude pokuta dozorovým úřadem uložena záleží na okolnostech každého jednotlivého případu. Úřady nebudou moci jednotlivá porušení Nařízení posuzovat libovolně. Vždy budou muset zvážit (a dostatečně odůvodnit) své rozhodnutí na základě následujících kritérií:
- Zvlášť důležitým kritériem je povaha, závažnost a délka trvání porušení Nařízení. Dozorový úřad bude přihlížet také k povaze, rozsahu a účelu zpracování osobních údajů, stejně tak k tomu, kolika subjektů se porušení Nařízení dotklo a jak velká škoda byla způsobena. Nařízení stanovuje dvě maximální výše pokuty (10 nebo 20 milionů EUR) a tím také naznačuje, že je třeba rozlišovat míru intenzity jednotlivých porušení Nařízení. Za takzvaná „méně závažná porušení“ dozorový úřad může udělit pouze napomenutí, není to však jeho povinnost (to stejné platí v případě, že by udělení pokuty pro fyzickou osobu představovalo nepřiměřenou zátěž). Pokud subjekt poruší více jednotlivých povinností, které mu Nařízení ukládá, udělí se mu sankce podle toho, které je nejzávažnější.
- Dozorové úřady také budou posuzovat, zda k porušení došlo úmyslně, anebo pouze z nedbalosti. Při úmyslném porušení Nařízení pravděpodobně budou ukládány vyšší pokuty než při nedbalostním porušení. Příkladem úmyslného porušení dle Pokynů může být například to, že management společnosti povolí protiprávní zpracování osobních údajů, nebo bude obchodováno s osobními údaji za účelem marketingu bez souhlasu subjektů údajů.
- Pokud dojde k porušení Nařízení, dozorový úřad bude sledovat, jaké kroky správce nebo zpracovatel osobních údajů podnikl ke zmírnění škod. Pokud k porušení dojde, odpovědná strana by měla udělat vše, co je v jejích silách, aby se snížily důsledky tohoto porušení. Takové odpovědné chování (nebo jeho nedostatek) bude bráno dozorovým úřadem v úvahu při výběru nápravných opatření, jakož i při výpočtu správní pokuty v konkrétním případě. Může se jednat například o kontaktování dalších správců/zpracovatelů, kteří se pravděpodobně zapojili do zpracování těchto údajů, např. pokud došlo k chybnému sdílení údajů s třetími stranami.
- Dle Nařízení je třeba, aby každý správce/zpracovatel osobních údajů podnikl technická a organizační opatření. Jejich efektivní zavedení bude také bráno jako kritérium pro výši pokuty. Spíše než povinnost zajistit cíle, tato ustanovení zavádí povinnost zajistit prostředky, tj. správce/zpracovatel musí provést potřebná hodnocení a přijmout vhodné závěry. Otázka, kterou musí dozorový úřad zodpovědět je, zda správce „udělal vše to, co by se dalo očekávat“, vzhledem k povaze, účelu nebo rozsahu zpracovávaných osobních údajů. Dozorové úřady v těchto případech budou spíše preferovat v daném odvětví ověřené postupy. Budou kladeny otázky jako: Je správce v prodlení s implementací daných opatření? Implementoval potřebné postupy v rámci všech úrovní organizace?
- Dozorový úřad bude zaznamenávat a monitorovat všechna předchozí porušení Nařízení. Bude posuzováno, zda se správce/zpracovatel již dříve dopustil stejného porušení nebo zda se správce/zpracovatel již dříve dopustil porušení za podobných podmínek (například v důsledku nedostatečné znalosti Nařízení nebo v důsledku nevhodného posouzení rizik, neodůvodněného zpoždění v odpovědi na žádost, a tak dále).
- Důležitým faktorem také bude míra spolupráce s dozorovým úřadem za účelem nápravy daného porušení a zmírnění jeho možných nežádoucích účinků. Například poskytování informací, komunikace, umožnění přístupu ke kontrole atp.
- Porušením Nařízení také mohou být dotčeny různé kategorie osobních údajů. Může se jednat o údaje o sexuální orientaci, zdravotním stavu, údaje dětí atp. Dozorový úřad potom bude posuzovat například to, zda jsou z těchto osobních dat osoby přímo identifikovatelné, zda šíření takových informací může způsobit okamžité poškození subjektu údajů a další. Je pravděpodobné, že čím bude údaj „citlivější“, tím vyšší pokuta bude dozorovým úřadem udělena.
Mezi další kritéria uložení nebo výše pokuty také nepochybně bude patřit to, jakým způsobem (a zda vůbec) správce nebo zpracovatel včas oznámil porušení nařízení, zdali správce/zpracovatel splnil předchozí opatření (pokud mu nějaká byla uložena), zda jsou dodržovány schválené kodexy chování. V neposlední radě také na výši pokuty může mít vliv jakákoli jiná relevantní polehčující nebo přitěžující okolnost.
Závěrem
Odpovědi, které Pokyny pracovní skupiny Evropské unie poskytují, pomohou dozorovým úřadům na základě okolností každého jednotlivého případu posoudit výše zmíněná kritéria a uložit správní pokutu vedle, nebo namísto, dalších opatření podle článku 58 Nařízení.