Evropská unie se poprvé ocitla v pozici, kdy byla nucena sama zaplatit pokutu za porušení vlastních pravidel ochrany osobních údajů. Soudní dvůr Evropské unie rozhodl, že Evropská komise má zaplatit německému občanovi odškodnění ve výši 400 eur za neoprávněný přenos jeho osobních dat do Spojených států. Tento rozsudek představuje historický moment, kdy unijní instituce byla shledána odpovědnou za porušení GDPR.
Doposud bylo prosazování těchto pravidel směřováno především na soukromé společnosti a členské státy, přičemž unijní instituce mnohdy samy čelí kritice za nedostatečné mechanismy vnitřní kontroly. Tento případ ukazuje, že i samotná Evropská komise musí podléhat stejným pravidlům a odpovědnosti.
Případ vznikl na základě situace, kdy německý občan využil možnost přihlásit se na konferenci organizovanou Evropskou komisí prostřednictvím funkce „Přihlášení přes Facebook“. Během tohoto procesu došlo k přenosu jeho IP adresy a dalších digitálních informací do Spojených států, konkrétně společnosti Meta Platforms, mateřské společnosti Facebooku. Podle GDPR mohou být přenosy osobních dat mimo EU povoleny pouze za předpokladu, že jsou zajištěny odpovídající ochranné mechanismy. Soud konstatoval, že Evropská komise v době předmětného přenosu dat tyto požadavky nesplnila.
Německý občan tvrdil, že jej přenos jeho údajů vystavil riziku zneužití těchto informací americkými bezpečnostními službami, což odporuje evropským standardům ochrany soukromí. Soud dal žalobci za pravdu a označil tento případ za závažné porušení pravidel, které vyžaduje finanční kompenzaci.
Ačkoli je výše odškodnění relativně nízká, její význam nelze podceňovat. Rozsudek zdůrazňuje, že unijní instituce musí dodržovat stejně přísná pravidla, která prosazují u členských států a soukromých společností. Tento případ tak vytváří precedens, který může být inspirací pro další podobné žaloby.
Evropská komise se k rozsudku vyjádřila stručně, když ve svém prohlášení uvedla, že vezme rozhodnutí soudu na vědomí a důkladně jej prostuduje. Současně přislíbila revizi svých interních postupů pro ochranu dat.