Rekordní pokuty za GDPR v roce 2025 — co to znamená pro český trh

Rekordní rok pro GDPR enforcement

Rok 2025 přinesl pokuty za porušení GDPR v celkovém objemu přibližně €1,2 miliardy v celé Evropské unii. Dozorové úřady napříč členskými státy výrazně zpřísnily přístup k vymáhání.

Největší jednotlivé pokuty roku 2025:

• TikTok — €530 milionů (DPC, Irsko) za nelegální přenosy dat do Číny. První velký případ enforcement přenosů dat do asijských zemí.
• Meta — €479 milionů (Španělsko) za nelegální zpracování uživatelských dat v reklamním ekosystému.
• Google — €200 milionů (CNIL, Francie) za reklamy v Gmailu bez platného souhlasu.
• SHEIN — €150 milionů (CNIL, Francie) za nastavení cookies bez platného souhlasu.

Francie vedla v celkovém objemu pokut (€486,8 mil.), následovaná Španělskem a Itálií.

Nejvýraznější pochybení přišla v oblastech:

• Nelegální zpracování osobních údajů — bez platného právního základu, včetně chybějícího nebo neplatného souhlasu.
• Nedostatečná transparentnost — neúplné nebo zavádějící informace o zpracování v cookie lištách a privacy policy.
• Porušení práv subjektů údajů — nerespektování odvolání souhlasu, nedostupné preference centrum.
• Nelegální přenosy dat do třetích zemí — využívání služeb bez adekvátních záruk.

Co to znamená pro české firmy

Český Úřad pro ochranu osobních údajů (ÚOOÚ) sleduje evropský trend. Kontroly se zaměřují na:

Cookie lišty a souhlas. ÚOOÚ aktivně prověřuje, zda cookie lišty splňují požadavky na platný souhlas — rovnocenná tlačítka, granulární volba, možnost odmítnutí bez ztížení. Generické cookie bannery s předvolených souhlasem jsou jasné porušení.

Zpracování bez právního základu. Spuštění analytických nebo marketingových cookies před udělením souhlasu je nejčastější pochybení. Automatické blokování cookies do momentu udělení souhlasu by mělo být standardem.

Chybějící audit trail. Při kontrole musíte prokázat, že souhlas byl udělen platně — kdo, kdy, k čemu, jaká verze banneru. Bez transakčního záznamu je váš souhlas tvrzení, ne důkaz.

Praktická doporučení

1. Proveďte audit cookie lišty. Ověřte, že splňuje všech šest podmínek platného souhlasu podle GDPR.
2. Nastavte automatické blokování. Žádné cookies před souhlasem — Waulter to řeší ve výchozím nastavení.
3. Uchovávejte audit-ready logy. Transakční ID, časové razítko, verze konfigurace pro každý souhlas.
4. Aktualizujte právní dokumenty. Cookie policy a zásady ochrany osobních údajů musí odpovídat aktuální konfiguraci.

Rekordní pokuty nejsou důvod k panice, ale k akci. Správné nastavení CMP je první krok k souladu — a s Waulterem trvá minuty, ne týdny.