Evropský sbor pro ochranu osobních údajů (EDPB) přijal dne 17. září 2026 k veřejné konzultaci Pokyny č. 04/2026 k uplatňování pravomoci ukládat správní pokuty ve vztahu k dalším nápravným opatřením podle GDPR. Dokument objasňuje, za jakých okolností by měly dozorové úřady přistoupit k uložení správní pokuty a kdy může být vhodnější jiné nápravné opatření.
Pokyny nahrazují dřívější pokyny Pracovní skupiny podle článku 29 k uplatňování a stanovování správních pokut (WP253) a doplňují Pokyny EDPB č. 04/2022, které se zabývají výpočtem výše správních pokut. Nový dokument se zaměřuje především na rozhodnutí, zda pokutu uložit, nikoli na stanovení její konkrétní výše.
Správní pokuta není jediným nápravným opatřením
Obecné nařízení o ochraně osobních údajů (GDPR) svěřuje dozorovým úřadům několik nástrojů k zajištění dodržování jeho požadavků. Podle článku 58 odst. 2 GDPR mohou úřady mimo jiné vydávat upozornění a napomenutí, ukládat příkazy ke splnění povinností, omezit nebo zakázat zpracování osobních údajů, odejmout certifikaci nebo uložit správní pokutu.
Volba vhodného opatření musí zohledňovat konkrétní okolnosti případu. Pokyny zdůrazňují, že správní pokuta není automatickým důsledkem každého porušení GDPR. Dozorový úřad musí posoudit, zda je její uložení odůvodněné s ohledem na povahu a závažnost porušení a na cíle, kterých má nápravné opatření dosáhnout.
Důležité je zejména rozlišovat mezi upozorněním a napomenutím. Upozornění má preventivní povahu a vztahuje se na zamýšlené operace zpracování, u nichž existuje pravděpodobnost, že povedou k porušení GDPR. Napomenutí se naopak uplatňuje v případě, kdy k porušení již došlo.
Bod odůvodnění 148 GDPR současně předpokládá, že při méně závažných porušeních nebo v případech, kdy by pokuta představovala pro fyzickou osobu nepřiměřenou zátěž, může být namísto pokuty uloženo napomenutí.
Pět kroků při rozhodování o uložení pokuty
Pokyny EDPB stanovují metodiku, podle níž mají dozorové úřady posuzovat, zda je uložení správní pokuty namístě. Metodika zahrnuje pět kroků:
Může dané porušení vést k uložení správní pokuty? Úřad nejprve posoudí, zda jsou splněny právní podmínky pro její uložení.
Lze pokutu uložit konkrétnímu subjektu? Je nutné určit, zda dotčený subjekt může nést odpovědnost za dané porušení.
Bylo porušení úmyslné, nebo nedbalostní? Úřad musí posoudit zavinění ve vztahu k jednání, které vedlo k porušení GDPR.
Je porušení méně závažné? Posuzuje se jeho povaha a závažnost s přihlédnutím ke kritériím uvedeným v čl. 83 odst. 2 GDPR.
Byla by pokuta účinná, přiměřená a odrazující? V závěrečné fázi se hodnotí, zda je pokuta vzhledem ke konkrétním okolnostem případu vhodným opatřením.
Tato metodika má podpořit jednotnější rozhodovací praxi dozorových úřadů a transparentnější odůvodňování jejich rozhodnutí.
Odpovědnost a zavinění: není nutné identifikovat konkrétní fyzickou osobu
Pokyny se zabývají také otázkou odpovědnosti za porušení GDPR. Pro uložení pokuty není nezbytné identifikovat konkrétní fyzickou osobu, která porušení způsobila, ani prokazovat, že vedení společnosti o porušení vědělo.
Odpovědnost správce může vzniknout také v souvislosti s jeho vlastními nedostatky při plnění povinností týkajících se zpracování osobních údajů, včetně vztahu ke zpracovateli.
Z hlediska zavinění postačuje pro splnění příslušných podmínek pro uložení pokuty úmysl nebo nedbalost. Posuzuje se mimo jiné, zda se subjekt mohl vyhnout jednání, které vedlo k porušení GDPR, a zda si mohl být vědom protiprávní povahy svého jednání.
Samotná neznalost práva ani skutečnost, že se subjekt spoléhal na externí právní poradenství, jej automaticky nezbavují odpovědnosti. Omluvitelný právní omyl může mít význam pouze ve výjimečných případech, kdy jsou splněny odpovídající podmínky.
Méně závažná porušení: kdy nemusí být pokuta vhodná
Jednou z klíčových částí pokynů je vymezení méně závažných porušení GDPR. Při jejich posuzování musí dozorový úřad zohlednit kritéria stanovená v čl. 83 odst. 2 GDPR a konkrétní okolnosti případu.
Obecně platí, že u méně závažného porušení by pokuta zpravidla neměla být uložena. Úřad může místo ní přistoupit k napomenutí, případně může dospět k závěru, že za daných okolností není nutné uložit žádné nápravné opatření.
Naopak u porušení, která nejsou méně závažná, existuje silný předpoklad ve prospěch uložení správní pokuty. Ani toto rozlišení však neznamená, že výsledek je automatický. I u méně závažného porušení může být pokuta odůvodněná, pokud to vyplývá z individuálních okolností a kritérií podle čl. 83 odst. 1 GDPR.
Při hodnocení závažnosti se zohledňuje zejména účel a rozsah zpracování, počet dotčených subjektů údajů, vzniklá nebo pravděpodobná újma, doba trvání porušení a povaha zpracovávaných údajů. Význam může mít také zranitelnost dotčených osob, například dětí, nebo nerovnováha mezi stranami, typicky ve vztahu mezi zaměstnavatelem a zaměstnancem.
Kritéria pro posouzení správní pokuty podle čl. 83 odst. 2 GDPR
Při rozhodování o uložení pokuty musí dozorové úřady posoudit všechna relevantní kritéria podle čl. 83 odst. 2 GDPR. Patří mezi ně zejména:
povaha, závažnost a délka trvání porušení;
úmyslná nebo nedbalostní povaha jednání;
kroky přijaté ke zmírnění vzniklé újmy;
míra odpovědnosti správce nebo zpracovatele s přihlédnutím k přijatým technickým a organizačním opatřením;
případná předchozí porušení;
míra spolupráce s dozorovým úřadem;
kategorie dotčených osobních údajů;
způsob, jakým se úřad o porušení dozvěděl;
dodržení dříve uložených nápravných opatření;
dodržování schválených kodexů chování nebo certifikačních mechanismů;
další přitěžující nebo polehčující okolnosti.
Pokyny zároveň upozorňují, že samotná absence předchozích porušení nepředstavuje polehčující okolnost. Řádné dodržování právních povinností je totiž standardem, nikoli mimořádnou okolností, která by sama o sobě měla vést ke zmírnění sankce.
Opakovaná porušení mohou změnit hodnocení případu
Významnou roli hraje také to, zda jde o jednorázové pochybení, nebo o opakující se problém. Opakování stejného nebo podobného jednání může svědčit o systémových nedostatcích v postupech organizace a ovlivnit posouzení závažnosti porušení.
Pokyny jako příklad uvádějí opakované nerespektování žádostí o výmaz osobních údajů i po předchozím napomenutí nebo opakované opožděné vyřizování žádostí o přístup k osobním údajům. Jednání, které by původně mohlo být hodnoceno jako méně závažné, se za určitých okolností může v důsledku opakování a systémové povahy změnit na porušení, u něhož je uložení pokuty namístě.
Předchozí rozhodnutí dozorového úřadu proto nemusí být relevantní pouze pro stanovení výše případné pokuty. Může mít význam i pro samotné rozhodnutí, zda pokutu uložit.
Účinnost, přiměřenost a odrazující účinek
Závěrečným krokem je posouzení, zda by správní pokuta byla účinná, přiměřená a odrazující, jak vyžaduje čl. 83 odst. 1 GDPR.
Účinnost znamená, že zvolené opatření musí být způsobilé reagovat na konkrétní porušení a přispívat k dodržování GDPR. Přiměřenost vyžaduje, aby opatření odpovídalo okolnostem případu a nepřekračovalo to, co je nezbytné. Odrazující účinek má pomoci předcházet obdobným porušením v budoucnu, a to jak u dotčeného subjektu, tak u dalších organizací.
Při výběru mezi několika stejně vhodnými opatřeními by měl dozorový úřad upřednostnit to, které je méně zatěžující. Správní pokuty přitom plní nejen sankční funkci, ale také funkci individuální a obecné prevence.
Praktické dopady pro správce a zpracovatele
Pokyny potvrzují, že posouzení sankčního rizika podle GDPR nelze omezit pouze na maximální zákonnou výši pokuty. Podstatné je také to, jak dozorový úřad vyhodnotí závažnost jednání, zavinění, předchozí pochybení a vhodnost jednotlivých nápravných opatření.
Pro správce a zpracovatele z toho vyplývá význam průběžného přezkumu interních postupů, řádného vyřizování žádostí subjektů údajů, dokumentování přijatých opatření a včasného řešení nedostatků. Pokud již dozorový úřad v minulosti upozornil na určité pochybení, opakování stejného jednání může podstatně zhoršit postavení organizace.
Z hlediska právní praxe budou pokyny důležité také při posuzování rozhodnutí dozorových úřadů. Mohou poskytnout rámec pro hodnocení toho, zda úřad řádně odůvodnil volbu správní pokuty oproti jinému nápravnému opatření a zda se vypořádal s relevantními okolnostmi případu.
Závěr
Pokyny EDPB č. 04/2026 podrobněji vymezují postup, podle něhož mají dozorové úřady rozhodovat o uložení správních pokut podle GDPR. Zdůrazňují, že pokuta nemá být automatickým následkem každého porušení, ale výsledkem individuálního posouzení právních podmínek, zavinění, závažnosti a okolností konkrétního případu.
Pro organizace je zásadní zejména skutečnost, že opakovaná nebo systémová pochybení mohou původně méně závažné porušení posunout do kategorie, u níž bude uložení pokuty pravděpodobnější. Současně platí, že každé nápravné opatření musí být účinné, přiměřené a odrazující.
Redakční poznámka: Dokument označuje verzi 1.0 jako přijatou k veřejné konzultaci dne 17. září 2026. Nejedná se tedy o konečné znění.
