Sedmý ročník průzkumu mezinárodní advokátní kanceláře DLA Piper zaměřený na GDPR ukázal, že ochrana osobních údajů v Evropě zůstává jedním z hlavních regulačních témat. V roce 2024 bylo uděleno pokut v celkové výši 1,2 miliardy eur, což představuje významný krok v prosazování pravidel ochrany dat.
Nejvýraznější roli sehrála irská Komise pro ochranu dat (DPC), která uložila pokuty v hodnotě přes 310 milionů eur společnosti LinkedIn a 251 milionů eur společnosti Meta. Od zavedení GDPR v květnu 2018 se Irsko stalo dominantním regulátorem, s celkovou výší pokut přesahující 3,5 miliardy eur. Pro srovnání, druhým nejaktivnějším regulátorem je lucemburský dozorový dat s pokutami ve výši 746,38 milionu eur (drtivou část této výše tvoří pokuta udělená společnosti Amazon). Celková výše pokut uložených od začátku platnosti GDPR již dosáhla 5,88 miliardy eur.
Trendy v roce 2024
V období od 28. ledna 2024 do konce tohoto roku byly uděleny pokuty ve výši 1,2 miliardy eur, což je pokles o 33 % oproti předchozímu roku. Tento pokles je však spíše výjimkou než změnou trendu, neboť v roce 2023 byla udělena rekordní pokuta 1,2 miliardy eur společnosti Meta, která ovlivnila celkovou výši udělených pokut v roce 2023. Bez takové mimořádné pokuty v roce 2024 zůstávají celkové hodnoty pokut vysoké a zaměření dozorových úřadů na ochranu osobních údajů pokračuje.
Velké technologické společnosti a sociální média nadále dominují mezi plátci nejvyšších pokut. V roce 2024 například nizozemský úřad udělil pokutu 290 milionů eur provozovateli aplikace Uber za přenosy osobních údajů do třetích zemí. Přesto se regulace rozšířila i do jiných sektorů, jako jsou finanční služby a energetika. Například španělský úřad uložil pokutu 6,2 milionu eur tamní velké bance za nedostatečná bezpečnostní opatření a italský úřad pokutoval energetickou společnost částkou 5 milionů eur za použití zastaralých údajů.
Osobní odpovědnost jako nový prvek regulace
Jedním z nejvýraznějších posunů v roce 2024 bylo zaměření na osobní odpovědnost vedení společností. Nizozemský úřad zahájil vyšetřování, zda je možné pohnat k osobní odpovědnosti ředitele společnosti Clearview AI za opakované porušování GDPR. Tento přístup může signalizovat novou strategii regulátorů, kteří se mohou v osobní odpovědnosti pokusit najít silný nástroj ke zlepšení souladu s GDPR.