Úrad postupuje podľa metodiky EDPB (usmernenia 04/2022) v piatich krokoch. Najskôr vymedzí posudzované spracovateľské operácie, určí východiskovú sumu podľa kategórie porušenia, jeho závažnosti a obratu podniku, upraví ju o priťažujúce a poľahčujúce okolnosti, skontroluje zákonný strop a výsledok otestuje na účinnosť a primeranosť. Stropy sú 10 alebo 20 miliónov eur, pri podnikoch 2 % alebo 4 % celosvetového obratu. Počíta sa pritom obrat celej skupiny, nie iba spoločnosti, ktorá pochybila. Argumentovať možno závažnosťou, nápravou a nadštandardnou spoluprácou. Samotné povinné oznámenie je neutrálne. Platobná neschopnosť sa zohľadňuje len výnimočne.
Pri výpočte pokuty za porušenie ochrany osobných údajov úrad používa stanovený postup. Dozorné orgány v celej Únii vrátane slovenského Úradu na ochranu osobných údajov postupujú podľa metodiky Európskeho výboru pre ochranu údajov (usmernenia EDPB 04/2022 k výpočtu správnych pokút) a výšku pokuty určujú v piatich krokoch. Ich znalosť vám pomôže vybrať argumenty a včas ich predložiť úradu.
Päť krokov výpočtu
- Úrad vymedzí spracovateľské operácie, ktoré posudzuje, a vyhodnotí súbeh porušení. Ak viac porušení vyplýva z tých istých alebo súvisiacich operácií, celková pokuta nesmie presiahnuť strop za najzávažnejšie z nich (čl. 83 ods. 3 GDPR).
- Určí východiskovú sumu: podľa kategórie porušenia (čl. 83 ods. 4 až 6 GDPR), podľa závažnosti v konkrétnom prípade a podľa obratu podniku. Pri závažnosti zohľadní povahu, rozsah a trvanie porušenia, úmysel alebo nedbanlivosť aj kategórie dotknutých údajov.
- Sumu upraví o priťažujúce a poľahčujúce okolnosti z čl. 83 ods. 2 GDPR.
- Skontroluje, že výsledok nepresahuje zákonné maximum.
- Otestuje, či je pokuta účinná, primeraná a odrádzajúca (čl. 83 ods. 1 GDPR). V tomto kroku sa suma môže ešte zvýšiť aj znížiť.
Maximálna pokuta a obrat skupiny
Nariadenie pozná dve pásma. Pri porušení povinností prevádzkovateľa a sprostredkovateľa, napríklad v oblasti bezpečnosti spracúvania, vedenia záznamov či ohlasovania incidentov, je strop 10 miliónov eur alebo 2 % celkového svetového ročného obratu podniku, podľa toho, čo je viac (čl. 83 ods. 4 GDPR). Porušenia zásad spracúvania, právneho základu, práv dotknutých osôb a pravidiel prenosov majú strop 20 miliónov eur alebo 4 % (čl. 83 ods. 5 a 6 GDPR). Slovenský zákon tieto pásma preberá:
Úrad môže uložiť pokutu do 20 000 000 eur, alebo ak ide o podnik do 4 % celkového svetového ročného obratu za predchádzajúci účtovný rok, podľa toho, ktorá suma je vyššia, tomu, kto a) nesplnil alebo porušil niektorú zo základných zásad spracúvania osobných údajov vrátane podmienok súhlasu […]
Podnikom pritom nie je len spoločnosť, ktorá povinnosť porušila. Metodika preberá súťažné chápanie podniku ako jednej hospodárskej jednotky, takže pri dcérskej spoločnosti veľkej skupiny sa vychádza z obratu skupiny. Funguje to aj opačným smerom: pri malom obrate úrad východiskovú sumu podľa tabuliek metodiky výrazne znižuje, aby pokuta zodpovedala veľkosti firmy. Mikropodnik a nadnárodná skupina preto za rovnaké porušenie nedostanú rovnakú pokutu.
Kde sa dá v konaní argumentovať
Priestor je najmä v druhom, treťom a piatom kroku. Pri závažnosti sa posudzuje povaha a rozsah spracúvania, počet dotknutých osôb, kategórie údajov a miera zavinenia. Východisková suma pri nedbanlivostnom porušení malého rozsahu sa líši od sumy pri úmyselnom a systémovom porušení. Poľahčovať môžu kroky na zmiernenie škody a nadštandardná spolupráca, ktorá reálne obmedzí nepriaznivé následky. Predchádzajúce porušenia môžu priťažiť. Ich absencia je neutrálna. Rovnako neutrálne je splnenie povinnosti oznámiť incident podľa čl. 33 a bežná zákonná spolupráca. Od toho sa odlišuje dobrovoľné oznámenie nad rámec povinnosti alebo pomoc presahujúca zákonný štandard. Posudzuje sa aj dodržiavanie schválených kódexov správania (EDPB 04/2022, verzia 2.1, body 94–99). Vo výnimočných prípadoch metodika pripúšťa aj zníženie pre platobnú neschopnosť. Vyžaduje však objektívne dôkazy, že pokuta by nezvratne ohrozila ekonomickú životaschopnosť firmy. Opatrenia, spoluprácu aj dopady preto doložte už počas konania. Nečakajte s nimi až na rozklad.
Najčastejšie porušenia, pri ktorých sa pokuta počíta, sme zhrnuli v otázke aké povinnosti máte pri spracúvaní údajov. Typické rizikové miesto prevádzky ukazuje otázka kamery na pracovisku a v predajni.
S čím vieme pomôcť
Spracúvanie a dokumentáciu nastavíme tak, aby obstáli pri kontrole, v rámci služby GDPR a ochrana osobných údajov. Priebežný dohľad môže prevziať zodpovedná osoba (DPO). V konaní pred úradom a pri súdnom prieskume rozhodnutia vás zastúpime v rámci zastupovania v súdnych sporoch.
Ak vám prišlo oznámenie o začatí konania, ozvite sa pred prvou reakciou. Už prvé podanie ovplyvňuje, ako úrad vyhodnotí závažnosť aj mieru spolupráce.
Odpoveď je všeobecná informácia k právnemu stavu k 10. 9. 2026 — nie je právnou službou ani nenahrádza posúdenie konkrétneho prípadu. Vaša situácia sa môže v detailoch líšiť; ak si chcete byť istí, prejdime ju spolu na konzultácii.
