V krátké době došlo v Evropě k dalšímu výraznému snížení původní výše pokuty. Tento
příklad je nicméně významnější než ty předešlé hned z několik důvodů.
Za prvé, k tomuto snížení nepřistoupil na rozdíl od případů ve Velké Británii sám dozorový
úřad, který finanční sankci udělil, nýbrž soud v rámci odvolání pokutovaného subjektu.
Právní závaznost takového snížení má tak mnohem větší váhu.
Za druhé, soud ve svém rozhodnutí podrobně popsal, na základě jakých skutečností
k tomuto kroku přistoupil (více níže).
A za třetí, ke snížení došlo v sousedním Německu. To na první pohled nemusí být až tak
významné, nicméně tu existuje určitá možnost, že v případě, kdy by podobná věc doputovala
k tuzemským soudům, soudci mohou do určité míry vzít v potaz argumentaci soudu ze
sousední země. Této domněnce by mohla nahrávat i skutečnost, že k podobnému rozhodnutí
v rámci České republiky ještě nedošlo, a tudíž by pro účely případné komparace nebyla jiná
možnost.
Abychom se vrátili zpět k původní kauze, soud u našich západních sousedů se zabýval sankcí
udělenou jedním z tamních dozorových úřadů, který udělil pokutu ve výši 9,55 milionů euro
telekomunikační společnosti 1&1 Telecom (dále jen jako 1&1). Při výpočtu této pokuty
vycházel úřad ze svého modelu, který do velké míry závisel na celkovém obratu společnosti.
1&1 se měla dopustit neoprávněného poskytování osobních údajů svých klientů třetím
osobám. To se mělo uskutečnit v rámci zákaznické linky 1&1, kdy mělo stačit pouhé uvedení
jména, příjmení a data narození, přičemž po oznámení těchto informací měli operátoři
zákaznické linky komukoliv poskytovat informace o telefonním čísle a emailové adrese
dotyčné osoby, aniž by dále ověřovali, zda tyto údaje poskytují oprávněné osobě. Podle
dozorového úřadu tak 1&1 nepřijala dostatečná technická a organizační opatření, čímž
ohrozila soukromí dotčených osob.
Soud sice potvrdil názor dozorového úřadu, že došlo k porušení Nařízení GDPR, nicméně se ve svém
rozhodnutí značně rozcházel se závěrem úřadu ohledně výše udělené pokuty. Tento nesoulad v
argumentaci založil soud na základě následujících skutečností:
1. Dle soudu není správné vycházet při výpočtu pokuty z obratu společnosti. Tento postup
je podle soudu nepřiměřený, a to z toho důvodu, že by za malé prohřešky byly velké
společnosti pokutovány vysokými pokutami a naopak, malé společnosti za velké prohřešky
proti Nařízení GDPR by byly pokutovány malými finančními částkami.
2. Dozorový úřad podle názoru soudu nezohlednil veškeré objektivní skutečnosti, které se
případů týkaly a vycházel pouze z předem daného postupu výpočtu pokuty.
3. Společnost 1&1 se podle soudu dopustila menšího porušení Nařízení GDPR, a to z toho
důvodu, že nešlo o masový únik dat, nýbrž o ojedinělé případy. Dále vzal soud v potaz
charakter dotčených osobních údajů, kdy se jednalo o informace, které jsou velmi
často veřejně dostupné (telefonní čísla a emailové adresy viz výše). K neoprávněnému
poskytnutí osobních údajů třetím osobám pak nedocházelo záměrně.
4. Soud vzal při rozhodování o výši pokuty také v potaz polehčující okolnosti, které spočívaly ve
spolupráci společnost 1&1 v rámci šetření celé věci, dále že se jednalo o první podobnou
pokutu udělenou 1&1 a nakonec soud přihlédl i k poškození reputace, ke které na straně 1&1
došlo.
V tomto případě lze konstatovat, že prohřešek skutečně nebyl tak významný, aby byla udělena téměř
desetimilionová pokuta v eurech. Soud ovšem ve své argumentaci jde zčásti proti Nařízení GDPR.
To ve svém článku 83 uvádí, že dozorové úřady by měly posuzovat jednotlivé okolnosti každého
případu, nicméně zde také uvádí, že pokuty lze udělovat až do výše 2 %, resp. 4 % z celosvětového
obratu, přičemž je více než jasné, že tato ustanovení míří právě na nadnárodní a ostatní velké
společnosti, které taková pokuta potrestá více, než pokud by se při jejím udělování postupovalo pouze
dle maximální výše bez ohledu na obrat (10, resp. 20 milionů euro).
Německý soud tak dal velkým hráčům do rukou silnou zbraň v podobě takovéhoto závěru, neboť
právě velké společnosti mohou v budoucnu argumentovat citovaným rozsudkem – tedy žádat o
upuštění použití ustanovení Nařízení GDPR zohledňující celosvětový obrat a vyhnout se tak vyšším
pokutám, které by jim jinak hrozily. Obecně lze pak říct, že opomíjení bezpečnostních,
organizačních nebo technických opatření patří mezi nejčastěji pokutované prohřešky proti Nařízení GDPR.
Pokud si nevíte s uvedenou problematikou rady, neváhejte se obrátit na naši obchodní společnost