Soudní dvůr Evropské unie (SDEU) v rámci řízení ve věci C-383/23 potvrdil, že maximální výše pokut za porušení GDPR se má počítat z celosvětového obratu podnikatelské skupiny, nikoliv pouze z obratu jednotlivých národních společností, které porušení způsobily. Toto rozhodnutí tak bude mít dopad na nadnárodní korporátní skupiny.
Je již relativně známou skutečností, že GDPR pracuje mj. s udílením pokuty odvozených i na základě procent celosvětového obratu podniku, který se dopustil porušení tohoto nařízení. Důležitý je nicméně v tomto ohledu právě pojem podnik, který je třeba vykládat v souladu s právem hospodářské soutěže EU, neboť GDPR tento pojem blíže nedefinuje, když odkazuje právě na pravidla hospodářské soutěže EU.
A právě touto otázkou se SDEU zabýval a potvrdil ustálenou praxi, že podnikem není jen konkrétní právnická osoba, ale celá ekonomická jednotka tvořená mateřskou společností a jejími dceřinými firmami. Jak bylo nastíněno výše, jde o navázání na dosavadní výklad evropského hospodářského práva, nicméně SDEU tuto skutečnost v rámci svého rozhodnutí poprvé potvrdil i v oblasti ochrany osobních údajů.
Prakticky to znamená, že pokud dojde k porušení GDPR například u menší dceřiné společnosti, maximální výše pokuty nebude počítána jen z jejího obratu, ale z obratu celé skupiny, do které patří.
Při samotném stanovení konkrétní výše pokuty ale stále platí, že úřady musí přihlížet k celé řadě faktorů, jako je závažnost a délka porušení, počet postižených osob, výše škody a míra zavinění. Pokuta musí být nejen odstrašující, ale také přiměřená, což znamená, že i přes nový přístup k určení maximální hranice pokuty musí být zohledněna ekonomická situace konkrétní společnosti, která se porušení dopustila.
Rozhodnutí SDEU má širší význam i pro další právní předpisy EU, které obsahují podobná ustanovení o pokutách, například pro AI Act, Digital Markets Act nebo Digital Services Act. V budoucnu lze očekávat, že se stejný přístup k definici podniku bude aplikovat i v jiných oblastech digitální regulace.
Výše uvedené rozhodnutí tak znamená, že společnosti, které jsou součástí nadnárodních skupin, by měly věnovat zvýšenou pozornost dodržování Nařízení GDPR. Případné pokuty se totiž nemusí dotknout jen jednotlivých firem, ale i skupiny jako celku.