Souhlas a bannery

Orientace v sankcích a územních působnostech: Pohled na nejpřísnější zákony o ochraně soukromí na světě

7. července 2026 · 17 min čtení

Rychlá odpověď: Nejpřísnější zákony o ochraně soukromí na světě, v čele s evropským GDPR, čínským PIPL a kalifornským CCPA, ukládají značné finanční sankce a rozšiřují svůj dosah daleko za hranice svých domovských zemí. Každá organizace, která shromažďuje nebo zpracovává osobní údaje rezidentů v těchto jurisdikcích, musí dodržovat tyto zákony, bez ohledu na to, kde se tato organizace fyzicky nachází. Pochopení územní působnosti a struktury sankcí je prvním krokem k vybudování obhajitelného souladu.

Klíčové poznatky

Více než 160 zemí přijalo komplexní legislativu o ochraně osobních údajů, což činí globální soulad základním očekáváním, nikoli výjimkou [1].
GDPR nese nejvyšší finanční sankce ze všech zákonů o ochraně soukromí: až 20 milionů EUR nebo 4 % celosvětového ročního obratu, podle toho, co je vyšší [1].
Pokuty za porušení GDPR přesáhly od zahájení vymáhání 7 miliard EUR, s významnými pokutami proti společnostem Meta, Amazon a TikTok [7].
Čínský PIPL a evropský GDPR se oba uplatňují extrateritoriálně, zahraniční společnosti poskytující služby rezidentům v těchto jurisdikcích musí dodržovat tyto zákony [1].
USA postrádají jednotný federální zákon o ochraně soukromí; soulad závisí na sektoru a státu, přičemž kalifornský CCPA je nejvlivnějším rámcem na státní úrovni [2].
Územní působnost určuje, který zákon se vztahuje na vaše podnikání; na jednu organizaci se může vztahovat více zákonů současně.
Malé podniky nejsou automaticky osvobozeny, prahové hodnoty CCPA a test „usazení“ GDPR mohou zahrnovat společnosti mnoha velikostí.
Mezi běžné chyby v souladu patří nedostatečné mechanismy souhlasu, špatné mapování dat a ignorování pravidel pro přeshraniční přenosy.
Platforma pro správu souhlasu (CMP), jako je Biscotti CMP, může organizacím pomoci operacionalizovat požadavky na souhlas v rámci více rámců.

Jaké jsou nejpřísnější zákony o ochraně soukromí na světě podle zemí

Nejpřísnější zákony o ochraně soukromí na světě jsou evropské Obecné nařízení o ochraně osobních údajů (GDPR), čínský Zákon o ochraně osobních údajů (PIPL), brazilský Lei Geral de Proteção de Dados (LGPD) a kalifornský CCPA/CPRA. Každý z nich kombinuje široký územní dosah s významnými nástroji pro vymáhání.

What Are the World's Strictest Privacy Laws by Country

Zde je stručné srovnání hlavních rámců:

Zákon	Jurisdikce	Maximální pokuta	Extrateritoriální?	Platí od
GDPR	Evropská unie	20 milionů EUR nebo 4 % celosvětového obratu	Ano	Květen 2018
UK GDPR	Spojené království	17,5 milionu GBP nebo 4 % celosvětového obratu	Ano	Leden 2021
PIPL	Čína	Až 50 milionů ¥ nebo 5 % ročního obratu	Ano	Listopad 2021
CCPA/CPRA	Kalifornie, USA	Až 7 988 USD za úmyslné porušení	Omezeno	Leden 2020
LGPD	Brazílie	Až 2 % brazilského obratu, s limitem 50 milionů R$	Ano	Září 2020

GDPR zůstává globálním měřítkem. Jeho kombinace vysokých pokut, širokého rozsahu a aktivního vymáhání z něj činí rámec, který většina organizací upřednostňuje při budování mezinárodních programů souladu [1].

Jak fungují sankce GDPR a jaké jsou pokuty

Sankce GDPR fungují na dvoustupňové struktuře pokut. Porušení nižší úrovně, jako je nevedení záznamů o činnostech zpracování, může vést k pokutám až do výše 10 milionů EUR nebo 2 % celosvětového ročního obratu. Porušení vyšší úrovně, včetně nezákonného zpracování osobních údajů nebo ignorování práv subjektů údajů, nese pokuty až do výše 20 milionů EUR nebo 4 % celosvětového ročního obratu, podle toho, co je vyšší [1].

Kromě pokut mohou dozorové orgány vydávat dočasné nebo trvalé zákazy zpracování dat, což v praxi může být pro podnikání škodlivější než samotná peněžní pokuta. Od zahájení vymáhání přesáhly kumulativní pokuty GDPR 7 miliard EUR, s významnými případy proti Meta Ireland, Amazon Luxembourg a TikTok [7].

Klíčové faktory, které regulátoři zvažují při výpočtu pokut:

Povaha, závažnost a doba trvání porušení
Zda bylo porušení úmyslné nebo nedbalé
Spolupráce s dozorovým orgánem
Historie předchozích porušení
Kategorie dotčených osobních údajů (zdravotní, finanční nebo biometrické údaje podléhají přísnější kontrole)

Rozdíl mezi GDPR, CCPA a dalšími předpisy o ochraně soukromí

GDPR a CCPA sdílejí stejný cíl, ochranu osobních údajů, ale významně se liší v rozsahu, udělených právech a mechanismech vymáhání [2].

GDPR se vztahuje na každou organizaci zpracovávající údaje rezidentů EU, bez ohledu na velikost společnosti. Vyžaduje právní základ pro každou činnost zpracování, nařizuje posouzení dopadu na ochranu údajů pro zpracování s vysokým rizikem a uděluje jednotlivcům práva včetně přístupu, výmazu, přenositelnosti a námitky.

CCPA/CPRA se vztahuje pouze na ziskové podniky splňující alespoň jednu z těchto prahových hodnot: roční hrubý příjem přesahující 25 milionů USD, nákup nebo prodej osobních údajů 100 000 nebo více kalifornských spotřebitelů ročně, nebo odvození 50 % nebo více ročního příjmu z prodeje osobních údajů [2]. Zaměřuje se spíše na transparentnost a práva na odhlášení než na vyžadování právního základu pro zpracování.

PIPL (Čína) zrcadlí GDPR ve struktuře, ale přidává přísnější požadavky na lokalizaci dat a nařizuje vládní bezpečnostní posouzení před přenosem „důležitých“ dat do zahraničí [1].

Praktický rozdíl: GDPR je ve výchozím nastavení opt-in pro většinu zpracování; CCPA je z velké části opt-out. PIPL kombinuje oba přístupy a zároveň přidává vrstvy národní bezpečnosti, které GDPR postrádá.

Co je územní působnost v právu na ochranu soukromí

Územní působnost definuje geografické hranice, v nichž se uplatňuje zákon o ochraně soukromí, a kriticky, zda se vztahuje na organizace působící mimo tyto hranice. Většina moderních zákonů o ochraně soukromí přijala extrateritoriální model, což znamená, že fyzická přítomnost v zemi již není vyžadována pro vznik povinností souladu.

Územní působnost GDPR se řídí článkem 3, který se vztahuje na každou organizaci usazenou v EU a na organizace mimo EU, které buď nabízejí zboží nebo služby rezidentům EU, nebo monitorují jejich chování [1]. UK GDPR se řídí identickým modelem [9].

Čínský PIPL se vztahuje na zahraniční subjekty, které nabízejí produkty nebo služby jednotlivcům v Číně, analyzují nebo posuzují chování jednotlivců v Číně, nebo spadají pod okolnosti definované v jiných platných zákonech [1].

Orientace v sankcích a územních působnostech: pohled na nejpřísnější zákony o ochraně soukromí na světě odhaluje konzistentní vzorec: trend směřuje k maximálnímu dosahu. Regulátoři chtějí zabránit organizacím, aby se vyhnuly povinnostem pouhým založením offshore společnosti.

Jak se zákony o ochraně soukromí vztahují na společnosti mimo jejich zemi

Zákony o ochraně soukromí se vztahují na zahraniční společnosti prostřednictvím konceptu extrateritoriální jurisdikce. Společnost se sídlem v Singapuru, která provozuje webové stránky zaměřené na německé spotřebitele a shromažďuje jejich e-mailové adresy, podléhá GDPR, i bez jediného zaměstnance nebo kanceláře v EU.

Spouštěče pro extrateritoriální uplatnění typicky zahrnují:

Aktivní marketing pro rezidenty jurisdikce (jazyk, měna, místní platební metody)
Zpracování osobních údajů rezidentů, i pasivně prostřednictvím analýz nebo cookies
Monitorování chování (behaviorální reklama, sledovací pixely)
Provozování místního zařízení, i malé zastoupení

Program DOJ pro zabezpečení dat v USA, platný od 8. dubna 2025, přidává další vrstvu: ukládá exportní kontroly, aby zabránil zahraničním protivníkům v přístupu k citlivým osobním údajům USA, zakazující určité datové transakce s určenými „zeměmi zájmu“ [5].

Častá chyba: Předpoklad, že protože společnost nemá fyzickou přítomnost v jurisdikci, nemá tam žádné povinnosti souladu. To je nesprávné pro GDPR, PIPL, UK GDPR a LGPD.

Který zákon o ochraně soukromí je nejtěžší dodržet

GDPR je široce považováno za nejpřísnější zákon o ochraně soukromí, který je třeba dodržovat, a to ze tří důvodů: šíře jeho požadavků, přísnost jeho standardů souhlasu a objem donucovacích opatření přijatých dozorovými orgány EU.

Soulad s GDPR vyžaduje, aby organizace dokumentovaly každou činnost zpracování, v určitých případech jmenovaly pověřence pro ochranu osobních údajů, prováděly posouzení dopadu na ochranu údajů pro zpracování s vysokým rizikem a implementovaly „ochranu soukromí od návrhu a ve výchozím nastavení“ napříč všemi systémy. Standard souhlasu podle GDPR, svobodně daný, konkrétní, informovaný a jednoznačný, je podstatně náročnější než model opt-out podle CCPA [2].

Čínský PIPL je těsně druhý, zejména pro nadnárodní společnosti, protože kombinuje požadavky na souhlas na úrovni GDPR s mandáty lokalizace dat a vládními procesy bezpečnostního přezkumu pro přeshraniční přenosy [1][4].

Zvolte GDPR jako svůj základní standard souladu, pokud vaše organizace slouží jakýmkoli rezidentům EU nebo Spojeného království. Splnění požadavků GDPR uspokojí většinu podstatných požadavků UK GDPR a dobře vás připraví na soulad s LGPD a PIPL s postupnými úpravami.

Co se stane, když porušíte nařízení GDPR nebo CCPA

Porušení GDPR může vést k pokutám až do výše 20 milionů EUR nebo 4 % celosvětového ročního obratu, donucovacím příkazům, zákazům zpracování a poškození pověsti z povinných oznámení o porušení [1]. Dozorové orgány napříč členskými státy EU prokázaly jasnou ochotu ukládat významné pokuty společnostem všech velikostí.

Porušení CCPA jsou vymáhána Kalifornskou agenturou pro ochranu soukromí (CPPA). Občanskoprávní pokuty dosahují až 2 663 USD za neúmyslné porušení a 7 988 USD za úmyslné porušení, ročně upravené o inflaci [3]. Na rozdíl od GDPR, CCPA také poskytuje soukromé právo na žalobu za porušení dat, což umožňuje spotřebitelům přímo žalovat.

Kromě finančních pokut jsou často škodlivější sekundární důsledky:

Povinné veřejné zveřejnění donucovacích opatření
Ztráta důvěry spotřebitelů a hodnoty značky
Provozní narušení z důvodu zákazů zpracování
Zvýšená regulační kontrola napříč jinými jurisdikcemi

Vztahují se zákony o ochraně soukromí na malé podniky, nebo jen na velké společnosti

Zákony o ochraně soukromí se mohou vztahovat na malé podniky, ačkoli prahové hodnoty se liší podle rámce. GDPR nemá žádnou prahovou hodnotu příjmů nebo velikosti, pokud malý podnik zpracovává osobní údaje rezidentů EU, podléhá GDPR. CCPA se naopak vztahuje pouze na ziskové podniky splňující specifické prahové hodnoty příjmů nebo objemu dat, což znamená, že mnoho malých podniků spadá mimo jeho působnost [2].

Výjimky GDPR pro malé organizace jsou úzké: Podniky s méně než 250 zaměstnanci jsou částečně osvobozeny od vedení podrobných záznamů o činnostech zpracování, ale pouze pokud jejich zpracování pravděpodobně nepovede k riziku pro práva jednotlivců, není příležitostné nebo nezahrnuje zvláštní kategorie dat.

Okrajový případ: Živnostník provozující specializovaný e-commerce obchod zaměřený na zákazníky z EU a používající nástroje pro behaviorální reklamu téměř jistě podléhá GDPR, bez ohledu na roční příjem.

Časté chyby, které společnosti dělají při dodržování zákonů o ochraně soukromí

Nejčastější selhání v souladu nejsou technická, jsou organizační. Společnosti rutinně podceňují rozsah svého shromažďování dat, neaktualizují oznámení o ochraně soukromí tak, aby odrážela skutečné zpracování, a považují souhlas za jednorázové zaškrtávací políčko spíše než za trvalý vztah.

Nejčastější chyby v souladu, seřazené podle frekvence:

Nedostatečné mechanismy souhlasu, Používání předem zaškrtnutých políček, sdruženého souhlasu nebo souhlasu skrytého v podmínkách služby.
Není zdokumentován právní základ, Zpracování dat bez identifikace a zaznamenání platného právního základu podle článku 6 GDPR.
Ignorování pravidel pro přeshraniční přenosy, Přenos osobních údajů do třetích zemí bez standardních smluvních doložek nebo rovnocenných záruk.
Neúplné mapování dat, Neznalost toho, jaké osobní údaje jsou shromažďovány, kde jsou uloženy a kdo k nim má přístup.
Nerespektování žádostí subjektů údajů, Zmeškání 30denní lhůty pro odpověď na žádosti o přístup, výmaz nebo přenositelnost.
Zastaralá oznámení o ochraně soukromí, Zveřejnění oznámení, které přesně nepopisuje aktuální činnosti zpracování.

Správně nakonfigurovaná CMP, jako je Biscotti CMP, řeší několik z těchto problémů přímo správou shromažďování, ukládání a odvolávání souhlasu napříč více regulačními rámci.

Jak určit, které zákony o ochraně soukromí se vztahují na vaše podnikání

Určení platných zákonů o ochraně soukromí vyžaduje zodpovězení čtyř otázek: Kde je vaše organizace usazena? Kde se nacházejí vaši uživatelé nebo zákazníci? Jaké kategorie osobních údajů zpracováváte? A splňujete nějaké prahové hodnoty specifické pro jurisdikci?

Praktický rozhodovací rámec:

Pokud máte usazení v EU nebo Spojeném království, nebo aktivně cílíte na rezidenty EU/UK: platí GDPR a/nebo UK GDPR [1][9].
Pokud nabízíte zboží nebo služby čínským spotřebitelům nebo analyzujete jejich chování: platí PIPL [1].
Pokud jste zisková společnost splňující kalifornské prahové hodnoty příjmů nebo objemu dat: platí CCPA/CPRA [2].
Pokud působíte v Brazílii a zpracováváte osobní údaje brazilských rezidentů: platí LGPD.
Pokud vaše podnikání zahrnuje mezinárodní přenos citlivých osobních údajů USA: zkontrolujte požadavky programu DOJ Data Security Program [5].

Současně se může vztahovat více zákonů. Společnost SaaS se sídlem v USA s evropskými zákazníky, kalifornskými zaměstnanci a marketingovou databází, která zahrnuje brazilské potenciální zákazníky, může potřebovat současně dodržovat GDPR, CCPA a LGPD.

Existují zákony o ochraně soukromí, které nemají územní dosah

Některé rámce ochrany soukromí jsou záměrně omezeny v územním rozsahu. Zákon o ochraně dat DIFC v Dubaji se například vztahuje na správce a zpracovatele registrované v DIFC nebo na ty, kteří zpracovávají data v rámci DIFC, ale netvrdí široký extrateritoriální dosah srovnatelný s GDPR [8]. Podobně mnoho starších nebo sektorově specifických federálních zákonů USA (HIPAA pro zdravotní data, FERPA pro vzdělávací záznamy) se uplatňuje na základě povahy dat a typu subjektu, nikoli na základě umístění subjektů údajů.

Globální trend však jasně směřuje k širšímu územnímu dosahu. Orientace v sankcích a územních působnostech: pohled na nejpřísnější zákony o ochraně soukromí na světě ukazuje, že novější legislativa, PIPL, LGPD a UK GDPR po Brexitu, všechny přijaly extrateritoriální modely, což signalizuje, že rámce s omezeným rozsahem se stávají spíše výjimkou než pravidlem.

Jak se sankce liší mezi GDPR a jinými rámci ochrany soukromí

Sankce GDPR jsou nejpřísnější a nejaktivněji vymáhané ze všech globálních rámců ochrany soukromí, ale mechanismy se mezi režimy významně liší.

Rámec	Vymáhací orgán	Maximální finanční pokuta	Soukromé právo na žalobu
GDPR	Národní dozorové orgány	20 milionů EUR nebo 4 % celosvětového obratu	Omezeno (liší se podle členského státu)
UK GDPR	ICO	17,5 milionu GBP nebo 4 % celosvětového obratu	Omezeno
PIPL	CAC / sektoroví regulátoři	50 milionů ¥ nebo 5 % ročního obratu	Ano (pro jednotlivce)
CCPA/CPRA	CPPA	7 988 USD za úmyslné porušení	Ano (za porušení dat)
LGPD	ANPD	2 % brazilského obratu, max. 50 milionů R$	Ano

Model vymáhání GDPR je jedinečný v tom, že funguje prostřednictvím sítě 27 národních úřadů pro ochranu osobních údajů, což vytváří nekonzistentnost v tom, jak agresivně různé členské státy stíhají porušení. Irský DPC, který dohlíží na mnoho velkých amerických technologických společností kvůli jejich sídlům v EU, čelil kritice za pomalé vymáhání, ačkoli významné pokuty proti Meta a TikTok ukazují, že systém může přinést významné výsledky [7].

Závěr: Praktické kroky pro orientaci v sankcích a územních působnostech

Orientace v sankcích a územních působnostech: pohled na nejpřísnější zákony o ochraně soukromí na světě jasně ukazuje, že éra, kdy se soulad s ochranou soukromí považoval za regionální záležitost, je pryč. Každá organizace s online přítomností a mezinárodní uživatelskou základnou je s největší pravděpodobností podřízena alespoň jednomu hlavnímu rámci ochrany soukromí s reálnými důsledky pro vymáhání.

Okamžité kroky, které je třeba podniknout:

Proveďte cvičení mapování dat, abyste identifikovali každou kategorii shromažďovaných osobních údajů, jejich zdroj, umístění úložiště a účel zpracování.
Identifikujte platné zákony pomocí výše uvedených kritérií územní působnosti, nepředpokládejte, že samotná geografie určuje vaše povinnosti.
Zkontrolujte své mechanismy souhlasu, abyste zajistili, že splňují nejvyšší platný standard (souhlas GDPR je nejpřísnější měřítko).
Zkontrolujte uspořádání přeshraničních přenosů dat a zajistěte, aby byly zavedeny standardní smluvní doložky nebo rovnocenné záruky.
Implementujte vyhovující CMP, Biscotti CMP poskytuje infrastrukturu pro správu shromažďování a dokumentace souhlasu napříč více regulačními rámci.
Zaveďte proces žádostí subjektů údajů s zdokumentovanými pracovními postupy a časovými osami pro odpovědi.
Ročně přezkoumávejte, zákon o ochraně soukromí není statický. Program DOJ Data Security Program (platný od roku 2025), vyvíjející se prováděcí předpisy PIPL a potenciální federální legislativa USA o ochraně soukromí představují pohyblivé cíle [5].

Organizace, které považují soulad s ochranou soukromí za nepřetržitou provozní disciplínu spíše než za jednorázový projekt, budou mnohem lépe připraveny vyhnout se sankcím, které definovaly prostředí vymáhání v posledních několika letech.

Často kladené otázky

Q: Vztahuje se GDPR na americkou společnost bez kanceláře v EU? Ano. Pokud americká společnost aktivně cílí na rezidenty EU, například nabízením služeb v evropských jazycích nebo měnách, GDPR se vztahuje bez ohledu na to, kde je společnost založena [1].

Q: Jaký je rozdíl mezi správcem údajů a zpracovatelem údajů podle GDPR? Správce údajů určuje účely a prostředky zpracování osobních údajů. Zpracovatel údajů zpracovává údaje jménem správce. Oba mají podle GDPR odlišné povinnosti a zpracovatelé mohou být přímo odpovědní za určitá porušení.

Q: Může společnost čelit pokutám GDPR a sankcím CCPA současně? Ano. Společnost obsluhující rezidenty EU i Kalifornie může čelit donucovacím opatřením podle obou rámců za stejné základní datové praktiky, protože zákony jsou na sobě nezávislé.

Q: Co je právní základ pro zpracování podle GDPR? Článek 6 GDPR vyžaduje, aby každá činnost zpracování spočívala na jednom ze šesti právních základů: souhlas, plnění smlouvy, právní povinnost, životně důležité zájmy, veřejný úkol nebo oprávněné zájmy. Zpracování bez zdokumentovaného právního základu je porušením vyšší úrovně.

Q: Jak se čínský PIPL liší od GDPR v oblasti přeshraničních přenosů dat? PIPL vyžaduje vládní bezpečnostní posouzení před přenosem „důležitých“ dat do zahraničí, kromě požadavků založených na souhlasu. GDPR se spoléhá na rozhodnutí o přiměřenosti, standardní smluvní doložky nebo závazná podniková pravidla, nevyžaduje vládní předběžné schválení pro většinu přenosů [1][4].

Q: Existují sankce za nejmenování pověřence pro ochranu osobních údajů podle GDPR? Ano. Neúspěch jmenovat DPO, když je to vyžadováno (pro veřejné orgány, rozsáhlé systematické monitorování nebo rozsáhlé zpracování zvláštních kategorií dat), je porušením GDPR nižší úrovně, podléhajícím pokutám až do výše 10 milionů EUR nebo 2 % celosvětového obratu.

Q: Vztahuje se CCPA na neziskové organizace? Ne. CCPA se vztahuje pouze na ziskové podniky splňující jeho prahové hodnoty. Neziskové organizace jsou obecně osvobozeny, ačkoli mohou podléhat jiným kalifornským zákonům o ochraně soukromí.

Q: Co je program DOJ Data Security Program? Program DOJ Data Security Program, platný od 8. dubna 2025, ukládá exportní kontroly, aby zabránil zahraničním protivníkům v přístupu k citlivým osobním údajům USA. Zakazuje určité datové transakce s určenými „zeměmi zájmu“ [5].

Q: Jak rychle musí být nahlášeno porušení dat GDPR? Správci musí oznámit svému dozorovému orgánu do 72 hodin od zjištění porušení osobních údajů, pokud je to proveditelné. Pokud porušení pravděpodobně povede k vysokému riziku pro jednotlivce, tito jednotlivci musí být také bez zbytečného odkladu informováni.

Q: Může platforma pro správu souhlasu pomoci s dodržováním předpisů ve více jurisdikcích? Ano. CMP jako Biscotti CMP může spravovat shromažďování, ukládání a odvolávání souhlasu napříč různými regulačními rámci, což pomáhá organizacím udržovat zdokumentovaný důkaz souhlasu, což je základní požadavek podle GDPR i PIPL.