GDPR 2.0: co přinese nová éra ochrany dat v EU

Evropské GDPR čeká největší revize od svého zavedení v roce 2018. Legislativní balíček označovaný jako GDPR 2.0 má zjednodušit pravidla, snížit administrativní zátěž firem a lépe reagovat na realitu moderních technologií. Změny jsou zatím ve fázi návrhů a politických jednání na úrovni EU, finální podoba a termín účinnosti se teprve formují. Otevírá se tak otázka, kde leží hranice mezi efektivnější regulací a ochranou práv uživatelů. Co konkrétně se má změnit a koho se to dotkne? 

Proč se GDPR mění

GDPR vzniklo v roce 2018 jako reakce na masové úniky dat a netransparentní práci s osobními údaji. Od té doby se ale digitální svět výrazně posunul. Cloudové služby, umělá inteligence (AI), automatizované zpracování dat i přeshraniční provoz dnes pracují s informacemi v rozsahu a podobě, se kterou původní pravidla nepočítala, píše web WP GDPR.EU

V praxi se navíc ukázalo, že GDPR je v jednotlivých státech EU vykládáno rozdílně. To vede k právní nejistotě, zdlouhavým řízením a vyšší administrativní zátěži, zejména pro menší firmy, které nemají kapacity na složité procesy dodržování předpisů.

Dalším problémem je nástup umělé inteligence a nových datových modelů. Otázky kolem anonymizace, trénování AI nebo automatizovaného rozhodování zůstávají v původním znění GDPR jen částečně zodpovězené.

Cílem připravované revize je proto zjednodušit pravidla, sjednotit jejich výklad napříč EU a sladit GDPR s dalšími digitálními zákony. Evropská komise deklaruje, že nejde o oslabení ochrany dat, ale o její efektivnější a praktičtější uplatňování v dnešním digitálním prostředí.

Hlavní směry GDPR 2.0

Připravované změny GDPR nejsou revolucí v podobě zrušení základních principů ochrany osobních údajů. Jde spíše o evoluci, která má reagovat na technologický vývoj, dlouhodobou kritiku z praxe a potřebu sladit ochranu dat s dalšími digitálními regulacemi Evropské unie.

Podle návrhu Digital Omnibus a souvisejících analýz EU plánuje řadu klíčových změn:

1. Přehodnocení rozsahu osobních údajů – jedna z nejzásadnějších změn je nová definice osobních údajů. Informace se nebudou považovat za osobní údaje, pokud daný subjekt nemá reálně a s přiměřenou pravděpodobností prostředky k identifikaci osoby. To může významně ovlivnit například anonymizovaná nebo pseudonymizovaná data.
2. Zjednodušení povinností pro firmy – balíček obsahuje návrhy na snížení administrativní zátěže, například rozšíření výjimek z povinnosti vést záznamy o zpracování pro větší firmy a lepší sladění pravidel s jinými EU zákony (např. ePrivacy, AI Act).
3. Nové výjimky a právní základy – komise navrhuje flexibilnější právní základy pro zpracování osobních údajů, které lépe reflektují moderní technologie včetně AI, při zachování základní ochrany práv subjektů dat.
4. Integrace s dalšími digitálními pravidly – GDPR bude úžeji propojeno s dalšími předpisy (např. Data Act nebo pravidly pro sdílení dat v digitální ekonomice). Cílem je odstranit duplicitní nebo kolidující požadavky mezi různými předpisy.
5. Harmonizace přeshraničních postupů – procesní novinky se zaměří i na lepší koordinaci mezi úřady v jednotlivých členských státech, aby se zrychlilo a sjednotilo řešení přeshraničních případů porušení GDPR.

Reakce na návrhy – ochrana vs. inovace

Návrhy změn GDPR 2.0 vyvolaly v Evropě živou debatu. Firmy a technologický sektor vítají snahu o zjednodušení pravidel, snížení administrativní zátěže a větší právní jistotu. Upozorňují, že současná podoba GDPR je v praxi složitá, vykládána rozdílně napříč státy a často brzdí inovace, zejména v oblasti digitálních služeb a umělé inteligence, uvádí web WhiteCase.

Naopak organizace na ochranu soukromí a část odborné veřejnosti varují před tím, že i zdánlivě technické úpravy mohou vést k oslabení práv uživatelů. Kritika míří hlavně na rozšiřování výjimek a snahu zúžit pojem osobních údajů, což by mohlo v praxi omezit kontrolu jednotlivců nad vlastními daty.

Evropská komise opakuje, že cílem změn není deregulace, ale efektivnější ochrana soukromí. GDPR 2.0 má podle ní posílit princip proporcionality – tedy zaměřit povinnosti na skutečná rizika a omezit formální dodržování předpisů bez reálného přínosu.

Výsledná podoba GDPR 2.0 tak bude hledáním rovnováhy mezi ochranou základních práv a podporou inovací v digitální ekonomice.

Kdy se změny očekávají?

GDPR 2.0 zatím není hotový zákon, ale součást širšího legislativního procesu Evropské unie. Návrhy změn byly představeny Evropskou komisí v rámci digitálního balíčku označovaného jako Digital Omnibus a nyní vstupují do standardního schvalovacího kolečka.

V první fázi se návrhy projednávají v Evropském parlamentu a Radě EU, kde mohou doznat řady úprav. Právě zde se bude rozhodovat o tom, jak daleko změny skutečně zajdou a jaký kompromis vznikne mezi ochranou soukromí a zjednodušením regulace. Tento proces obvykle trvá měsíce až více než rok, zejména u citlivých témat, jako je ochrana osobních údajů.

Pokud bude finální znění schváleno, lze očekávat přechodné období, během něhož se budou muset firmy, instituce i dozorové orgány na nové podmínky připravit. U podobných evropských regulací se běžně pohybuje v řádu 12 až 24 měsíců. Reálná účinnost GDPR 2.0 tak připadá nejdříve na roky 2026–2027, v závislosti na rychlosti schvalování a rozsahu schválených změn.

Do té doby platí stávající pravidla GDPR beze změn. Pro firmy i provozovatele webů je ale vhodné vývoj sledovat už nyní. Zejména v oblastech, které se týkají práce s daty, analytiky, AI nebo přeshraničních služeb. Právě tyto oblasti budou pravděpodobně patřit k prvním, kde se nové pojetí GDPR projeví v praxi.