Během dalšího bloku závěrečného dne CyberEdu NIS2 Academy jsme se ponořili do tématu ochrany osobních údajů (GDPR), kterému se věnoval Bohuslav Lichnovský. Jeho prezentace nebyla jen přehledem právní úpravy, ale předáváním reálných dopadů, které GDPR může mít na firmy, a to nejen skrze pokuty, ale i možné soudní spory s poškozenými jednotlivci.
GDPR vs. NIS2: Podobnosti a rozdíly
NIS2 bývá často srovnávána s GDPR. Zásadní rozdíl je v tom, že GDPR neobsahovalo tak konkrétní povinnosti, jaké přináší například zákon o kybernetické bezpečnosti. GDPR se ale rozhodně nevyplatí podcenit.
Dvojí riziko: Pokuty a soudní nároky
Firmy čelí nejen možnosti sankcí od Úřadu pro ochranu osobních údajů, ale i čím dál většímu riziku, že poškození jednotlivci budou žádat náhradu škody. A tyto nároky mohou přesahovat pokuty několikanásobně. Zatímco v mediích vídáme pokuty ve stovkách milionů eur, žaloby poškozených osob mohou cílit na částky tisícinásobně vyšší.
Zajímavost: Průměrná pokuta v České republice
Ačkoli evropské úřady ukládají citelnější pokuty, v České realitě je situace odlišná. Průměrná pokuta udělená právnické osobě činí dle Lichnovského v praxi jen pár desítek korun ročně. Motivace ke compliance tedy nemusí být postavena pouze na strachu z pokut.
Náhrady škody: nový motivátor pro firmy
Evropská úprava GDPR umožňuje jednotlivcům domáhat se náhrady škody. Nejde jen o finanční ztrátu, ale i o ztrátu kontroly nad osobními údaji nebo nelegitimní zpracování údajů.
Důležité je, že se nejedná jen o možnost jednotlivce, ale také o možnost jednotlivců se spojit a podat žalobu hromadně. Tím se náklady na řízení pro jednotlivce významně sníží, na druhou stranu se tím pro firmu násobně zvýší hrozící sankce.
Case study: Meta a obchod s daty
Typický případ představuje například Meta (Facebook), která čelí hromadným žalobám. Jejich příklad ukazuje, jak obchodní model postavený na sběru a prodeji osobních údajů bez adekvátního souhlasu může vést k mnohasetmilionovým pokutám a soudním nárokům. V Německu již soudy přiznaly stovky odškodnění jednotlivcům v hodnotě stovek až tisíců eur. V kombinaci s počtem uživatelů v EU (cca 408 milionů) jde o potenciálně obrovské částky.
Závěr a doporučení
Compliance s GDPR není jen o vyhnutí se pokutám, ale i o ochraně důvěry zákazníků a reputace firmy. Riziko soudních sporů v souvislosti s osobními údaji roste, a to nejen v zahraničí. Tato část regulace se stává novým faktorem při rozhodování managementu o investicích do bezpečnosti a ochrany dat.
A co vy? Už jste se setkali s tím, že poškozený člověk požadoval náhradu škody podle GDPR? Sdílejte s námi svou zkušenost!