Ali vaša skladnost z GDPR deluje tudi v praksi?

Nadzorni organi za varstvo osebnih podatkov vse dosledneje presojajo, kako zaščitni ukrepi delujejo v praksi, in ne le, kaj piše v pravilnikih in pogodbah. Nedavni incidenti in odločbe v EU kažejo isti vzorec: težava nastane tam, kjer se zapisano pravilo v sistemu ne izvede, na primer pri geslu, pri obdelovalcu, v aplikaciji ali v obvestilu. Za podjetja to pomeni, da je skladnost z GDPR stvar rednega preverjanja delovanja, ne enkratnega dokumentacijskega projekta.

En zlorabljen dostop, milijoni prizadetih

Danski organi so 5. oktobra 2026 razkrili vdor, v katerem so napadalci prek legitimnega računa podjetja dostopali do imen, naslovov in številk CPR približno 8,8 milijona oseb. Skupaj s podatkom o geslih to kaže, da je napadalcu zadoščal slabo zavarovan zakonit dostop. Smiselno je redno preveriti:

• kdo ima dostop do katerih podatkov,
• katerih računov nihče več ne potrebuje,
• kako so zavarovani skrbniški računi.

Vir: databreaches

Samodejne odločitve o ljudeh zahtevajo posebno pozornost

Nizozemski organ AP je družbi Uber naložil globo 824.990.000 EUR. Računi voznikov so se ob sumu goljufije ali nizkih ocenah samodejno deaktivirali, vozniki pa o tem niso bili dovolj obveščeni (člena 22 in 13 GDPR). Uber se je pritožil, odločitev še ni pravnomočna.

Kaj to pomeni za podjetja

Kjer algoritem odloča o zaposlenih, pogodbenikih ali strankah, preverite, ali je odločanje povsem samodejno in kako so prizadeti obveščeni.

Vir: edpb

Pogodba z obdelovalcem mora obstajati in delovati

Grški nadzorni organ je kaznoval oba udeleženca: ministrstvo kot upravljavca (200.000 EUR) in družbo E.E.T.A.A. kot obdelovalca (150.000 EUR). Upravljavec je incident pravilno priglasil. Napad pa je uspel zaradi zastarelih sistemov obdelovalca, čeprav je ta tveganja poznal. Organ je ugotovil tudi pomanjkljivosti v razmerju po členu 28 GDPR in naložil sklenitev pogodbe o obdelavi. Pravilen odziv na incident torej ne nadomesti nadzora nad obdelovalcem.

Vir: edpb

Varnost pri ponudniku IT storitev je tudi vaša skrb

Švedski organ IMY je družbi Miljödata zaradi kršitve člena 32(1) GDPR naložil globo 1.800.000 SEK (približno 160.000 EUR). Po napadu avgusta 2025 so bili podatki približno 2,2 milijona oseb, vključno s podatki o bolniških odsotnostih, objavljeni na temnem spletu. Družba ni ustrezno preverjala nove programske opreme in ni imela samodejnega spremljanja sistemov v realnem času. Med njenimi prizadetimi strankami so bile tudi zasebne družbe.

Vir: edpb

Obvestilo mora odražati dejansko obdelavo

Emirates je prejel globo 180.000 EUR, čeprav je italijanski organ zbiranje zdravstvenih podatkov prek obrazca MEDIF ocenil kot lahko zakonito. Potniki iz obvestil niso mogli vnaprej ugotoviti, ali morajo obrazec izpolniti, niti jasno razbrati namenov in rokov hrambe. Sedemletna hramba je bila prekomerna. Tudi La Patria je v obvestilih navajala posebne vrste podatkov, ki jih ni obdelovala.

Vir: edpb

Ugovor mora delovati v vseh sistemih

Banka BBVA je prejela globo 5.508.000 EUR, ker je stranka še sedem mesecev prejemala oglasna obvestila, čeprav je ugovor podala v aplikaciji in pri službi za stranke. Ugovor je bil zabeležen, zaradi tehnične napake pa ni bil prenesen v sistem za trženje. Organ je zavrnil argument, da bi morala stranka uporabiti e-naslov iz politike zasebnosti. Veljavne zahteve ni mogoče prezreti, ker ni prišla po želenem kanalu.

Vir: edpb

Kar je označeno kot anonimno, mora biti anonimno tudi v resnici

Italijanski organ je družbi IQVIA naložil globo 7.000.000 EUR. Zbirka zdravstvenih podatkov približno milijona pacientov ni bila anonimna, kot je trdila družba. Trajni identifikator je skupaj z letom rojstva, spolom, diagnozami in lokacijo omogočal ponovno identifikacijo posameznikov. Organ je ugotovil tudi, da je manjkala pravna podlaga, da roki hrambe niso bili določeni in da ocena učinka ni bila izvedena.

Vir: edpb

Zahteva za dostop ne potrebuje sklicevanja na GDPR

Varnostna družba La Patria je prejela skupno globo 39.000 EUR. Ni se ustrezno odzvala na zahtevi nekdanjega zaposlenega po dokumentaciji disciplinskega postopka, vključno s podatki GPS iz službenega vozila. Organ je pojasnil, da posamezniku GDPR ni treba izrecno omeniti. Zavrnitev mora biti obrazložena in vsebovati pouk o pravnih sredstvih. Tako kot pri BBVA mora organizacija zahtevo prepoznati ne glede na obliko.

Vir: edpb

Šibko geslo kot vstopna točka za vdor

Po poročanju agencije Ritzau so pri IT-družbi Pays, povezani z vdorom v danski centralni register prebivalstva (CPR), vsaj trije uporabniški računi uporabljali geslo »123456«. Med njimi je bil tudi skrbniški račun. Pravila o geslih morajo biti torej v sistemu tehnično izvedena, ne le zapisana v internem pravilniku.

Vir: databreaches

Nadzorni organi ne presojajo le tega, kar je zapisano, temveč predvsem to, kar dejansko deluje. Preudarno je opustiti predpostavko, da urejena dokumentacija zadošča, in preizkusiti:

• gesla in dostope, posebej skrbniške,
• varnost in pogodbe pri obdelovalcih,
• trditve o anonimizaciji,
• samodejno odločanje,
• pot ugovora in zahteve za dostop skozi vse sisteme,
• skladnost obvestil z dejansko obdelavo.

Kako lahko pomagamo

Pomagamo lahko s pregledom postopkov, pogodb z obdelovalci in obvestil posameznikom ter z načrtom odprave vrzeli. Članek je splošna informacija in ne nadomešča pravnega nasveta v konkretnem primeru.