GDPR nestačí na systémové kauzy

Když podáte stížnost kvůli nakládání s osobními údaji na Facebooku, Instagramu, WhatsAppu nebo TikToku, neskončí u vašeho národního regulátora. V českém případě tedy ne u Úřadu pro ochranu osobních údajů, ale v Dublinu. Irská Komise pro ochranu údajů řeší téměř všechna velká řízení podle GDPR proti globálním technologickým firmám. Její bývalá šéfka Helen Dixonová teď připustila, že systém u nejdůležitějších problémů naráží. Na akci irské Law Society tento měsíc řekla, že GDPR „není vždy užitečné pro systémové otázky“ (Law Society of Ireland).

Tahle věta je podstatná právě proto, od koho zazněla. Dixonová vedla irský dohled v letech, kdy se z něj stal hlavní evropský rozhodčí pro velké technologické platformy. Osm let po začátku účinnosti GDPR se tím vrací otázka, zda evropská ochrana soukromí nemá slabinu přímo ve své konstrukci.

Jak se z jednoho města stalo evropské centrum ochrany soukromí

GDPR zavedlo v článku 56 mechanismus označovaný jako „one-stop-shop“, tedy jednotné kontaktní místo (EUR-Lex). Záměr byl praktický: firma neměla jednat zvlášť s 27 národními úřady, pokud působí přes hranice. Případ měl řešit úřad v zemi, kde má společnost své hlavní sídlo v EU. Apple, Google, Meta, TikTok, LinkedIn i Microsoft si evropské centrály zřídily v Irsku. Irská DPC se tak fakticky stala evropským regulátorem soukromí pro velkou část technologického průmyslu (anonym.community).

Vymáhání pravidel běží přes spolupráci podle článku 60. Irská DPC jako vedoucí dozorový úřad stížnost vyšetří a připraví návrh rozhodnutí. Ten následně pošle ostatním národním úřadům, kterých se případ týká. Těm se v unijním jazyce říká dotčené dozorové úřady. Pokud vznesou námitky, což se děje často, spor putuje k Evropskému sboru pro ochranu osobních údajů, který vydá závazné stanovisko (EUR-Lex). V praxi to připomíná soud, v němž Dublin píše rozsudek, ale dalších 26 soudců může zablokovat trest.

Tento systém měl zabránit tomu, aby si firmy vybíraly mírnější regulátory. V praxi ale vytvořil jiný problém: jeden středně velký úřad se stal úzkým hrdlem pro vymáhání pravidel na celém kontinentu.

Velké pokuty, pomalé inkaso

Irská DPC podle dostupných přehledů uložila zhruba 80 % všech velkých pokut v EU vůči technologickým firmám podle GDPR (anonym.community). Největší částky jsou známé: 1,2 mld. EUR pro Metu za nezákonné předávání údajů evropských uživatelů do Spojených států, 530 mil. EUR pro TikTok kvůli tomu, že k evropským datům měli přístup čínští inženýři, a 310 mil. EUR pro LinkedIn za nezákonné behaviorální profilování (anonym.legal).

Uložit pokutu a skutečně ji vybrat jsou dvě různé věci. Firmy se proti téměř každému velkému rozhodnutí odvolávají a irské soudy mohou platbu během řízení pozastavit. Mezi oznámenými sankcemi a penězi, které úřady opravdu dostanou, proto zůstává velký rozdíl. Ostatní národní regulátoři mají zase svázané ruce: mechanismus podle článku 60 jim umožňuje podávat námitky, ale v přeshraničních případech proti těmto firmám nemohou jednat samostatně. Sledují proces, zatímco Dublin rozhoduje.

Oprava s termínem

Nové procesní nařízení ke GDPR, které vstoupí v platnost v dubnu 2027, zavádí pro vedoucí úřady patnáctiměsíční lhůtu na vydání návrhu rozhodnutí v přeshraničních případech (Netguardia). Dosud se vyšetřování táhla roky. Pokuta 1,2 mld. EUR pro Metu přišla pět let po původní stížnosti. Reforma má také jasněji stanovit, kdy mohou dotčené úřady podávat námitky a kdy se spor musí přesunout k Evropskému sboru pro ochranu osobních údajů (Netguardia).

Procesní oprava míří na rychlost. Neřeší ale základní nerovnováhu: jeden národní úřad, odpovědný irským soudům a svázaný irským správním právem, nese regulační odpovědnost za technologické firmy, které obsluhují 450 milionů Evropanů. Když Dixonová říká, že rámec naráží u systémových otázek (Law Society of Ireland), ukazuje tím na problém, kterého se reforma pro rok 2027 nedotýká. Rozhodnutí mohou přicházet rychleji, ale pořád potečou stejným úzkým kanálem. Důležitější otázka proto zní, zda Evropa časem přehodnotí samotný kanál, nejen rychlost provozu v něm.