„Vyndejte toho červa!“ Vláda tlačí extrémní pokuty za spam, i když je nikdo nechce

Zajímalo nás přirozeně, proč mají pokuty za spam tak dramaticky růst. „Na základě připomínek obdržených k návrhu zákona se ukázalo, že zvýšení pokuty z deseti milionů korun na dvacet milionů eur je potřebné pro zajištění souladu návrhu se směrnicí o soukromí a elektronických komunikacích,“ tvrdí Marek Vošáhlík, mluvčí ministerstva průmyslu a obchodu, které návrh předložilo.

Ministerstvo se hájí odkazem na vývoj evropské legislativy a potřebu sladit výši pokut s nařízením GDPR. „Je třeba se řídit dle tohoto předpisu,“ říká Vošáhlík s tím, že na výběr měl rezort ze dvou výší sankcí: až do deseti milionů eur (stejně jako za porušení povinností správce a zpracovatele), nebo do výše až dvaceti milionů eur (jako za porušení základních zásad pro zpracování osobních údajů nebo za porušení práv subjektů údajů).

„Ministerstvo pro místní rozvoj zvolilo druhou variantu, a to vzhledem k tomu, že porušení sankcionovaná vyšší hranicí dle GDPR dle jeho názoru odpovídají typově porušením v souvislosti s obchodními sděleními,“ dodal mluvčí. Vládu podle něj tlačí čas, jelikož zákon implementuje celou řadu evropských nařízení, včetně nařízení o digitálních službách (DSA), nařízení o správě dat (DGA) či starší směrnice jako ePrivacy.

„Již uplynula implementační lhůta, a proto je nutné u návrhu zákona dokončit legislativní proces co nejdříve,“ vysvětlil Vošáhlík návrh na zrychlené čtení ve Sněmovně.

Pokoutně a bez debaty

Kritici ale poukazují na to, že navýšení pokut bylo do návrhu zákona o digitální ekonomice přidáno potichu, bez veřejné diskuze a odborné analýzy. Informovali jsme o tom na Finmag.cz: Půl miliardy za nevyžádanou poštu. Do zákona se pokoutně dostaly enormní pokuty. A upozorňuje na to i největší podnikatelský svaz v zemi; podle Hospodářské komory ČR návrh na výši pokut „nebyl obsažen v původním návrhu předloženém do mezirezortního připomínkového řízení“.

„Takto zásadní změna s dopadem na podnikatele by si ale zasloužila komplexní diskuzi založenou na skutečnostech, datech, poznatcích z dozorové činnosti, ne právně pozitivistické stručné cvičení,“ upozorňuje František Nonnemann, šéfredaktor odborného portálu GDPR.cz.

Rozpaky vzbuzuje i fakt, že nutnost sladit výši pokut s nařízením GDPR nezmiňuje kromě vlády prakticky nikdo. „Neexistuje žádné konkrétní odůvodnění, proč je toto zvýšení pokut nutné či dokonce nezbytné. Ani v kontextu Evropské unie to tak není zdaleka všude, pokuty za spamy nejsou totožné s pokutami za porušení GDPR,“ doplňuje Nonnemann.

Vysloveně záporně se k navýšení pokut staví Úřad na ochranu osobních údajů (ÚOOÚ), který tuto problematiku dozoruje. „Úřad pro ochranu osobních údajů je proti zvýšení horní hranice pokuty, protože se domnívá, že horní hranice deset milionů korun je dostačující. Tento svůj postoj úřad opakovaně prosazoval i během legislativního procesu,“ uvádí mluvčí úřadu Milan Řepka.

Z výročních zpráv ÚOOÚ ostatně nevyplývá, že by počet stížností na nevyžádaná obchodní sdělení v posledních letech rostl. V roce 2019 jich bylo 2 007, vrcholem byl rok 2020 se 3 031 stížnostmi, následující roky počet klesl pod tisícovku a loni jich úřad evidoval 1 388. „Nejvyšší pokuta byla téměř osm milionů Kč,“ dodává kontext Nonnemann.

Formalismus vítězí

Vláda se při přípravě nové legislativy odvolává na evropskou ePrivacy směrnici z roku 2002, která říká, že za porušení pravidel pro zasílání obchodních sdělení by měla být stejná pokuta jako za porušení pravidel pro ochranu osobních údajů. Výši pokut ale směrnice o ochraně osobních údajů, která v té době platila, nestanovila.

„Český zákonodárce proto dal při původní transpozici ePrivacy směrnice jednotně za spamy i protiprávní zpracování osobních údajů maximální pokutu deset milionů korun. Pak přišlo GDPR, které natvrdo stanovilo maximální pokuty deset milionů, respektive dvacet milionů eur (podle velikosti firmy a závažnosti přestupku, pozn. red.),“ připomíná Nonnemann s tím, že ePrivacy směrnice je 22 let stará.

„Zásah do lidských práv a svobod v důsledku protiprávního zpracování či zneužití osobních údajů jistě odůvodní pokutu ve výši dvaceti milionů eur nebo čtyř procent globálního obratu skupiny podniků. Zásah do mých práv způsobený tím, že mi chodí nevyžádaná obchodní sdělení, je ale zjevně méně invazivní a méně závažné porušení,“ namítá expert.

Jedním dechem dodává, že tím rozhodně nehájí obtěžující plošné bombardování nesmyslnými nabídkami, jen vypichuje nepoměr v hodnocení přestupku. U vlády podle něj vítězí formální přístup, místo aby se zamyslela nad skutečným stavem věci.

„Takto dramatické zvýšení pokut postrádá racionální odůvodnění, a to zejména s ohledem na širokou definici vnímání pojmu obchodního sdělení. Tím může být třeba i pouhé přání k Vánocům či narozeninám,“ upozorňuje. „Myslím, že pak i slušní podnikatelé mohou být třeba za technické nebo procesní pochybení trestáni nepřiměřeně přísně, zatímco na profesionální spammery ze zemí mimo Evropskou unii, na které Úřad pro ochranu osobních údajů dnes nedosáhne, nedosáhne ani s novým zákonem.“

Likvidační pokuty? Nestrašte...

Právě kvůli potenciálnímu negativnímu dopadu na české firmy zákon narazil i ve Sněmovně, která nakonec úpravu jako celek odmítla projednat ve zrychleném řízení, jak navrhovala vláda. „Tento návrh zákona může mít katastrofální důsledky pro malé a střední podniky. Zatímco nadnárodní korporace mohou absorbovat vysoké pokuty, pro naše malé a střední podniky by mohly být zcela likvidační,“ namítl poslanec za ANO Robert Králíček.

Tuto výtku ale mírní nejen ministerstvo průmyslu jako předkladatel, ale i ÚOOÚ. „Na výši sankce má vliv řada faktorů. Při posuzování je – mimo jiné – třeba respektovat i judikaturu, tedy rozhodnutí Nejvyššího správního soudu, která jednoznačně hovoří o tom, že sankce nesmí být likvidační. Úřad pro ochranu osobních údajů bude nadále postupovat při ukládání sankcí odpovědně,“ uvedl mluvčí Milan Řepka.

„Výše pokuty je udělována vždy tak, aby odpovídala míře závažnosti konkrétního přestupku spáchaného konkrétním pachatelem. Obecná pravidla a limity jsou již stanovena zákonem o odpovědnosti za přestupky a řízení o nich. Správní orgán udělující pokutu musí přihlédnout například ke specifickým okolnostem daného případu,“ souhlasí i mluvčí ministerstva průmyslu a obchodu Vošáhlík.

„Od návrhu tak nelze očekávat praxi ukládání pokut nepřiměřených k poměrům adresáta rozhodnutí. Takto uložená pokuta by ostatně neobstála při navazujícím soudním přezkumu.“

Papežštější než papež

Poslanec Králíček ve svém vystoupení upozornil i na námitky Sdružení pro internetový rozvoj (SPIR), které výši pokut rovněž označilo za zcela nepodložené empirickými daty. „Ani dozorové orgány jako Český telekomunikační úřad a Úřad pro ochranu osobních údajů v připomínkovém řízení nepožadovaly tak drastické navýšení pokut,“ uvedl s tím, že úprava jde i nad rámec požadavků Evropy.

„Opět a znovu jsme papežštější než papež. A je to furt, pořád dokola: zákon o kybernetické bezpečnosti – papežštější než papež, zákon o elektronických komunikacích – papežštější než papež. A teď nám přichází zákon o digitální ekonomice, který zásadně změní on-line prostředí – a jsme zase papežštější než papež,“ upozornil na zbytnost úpravy další poslanec za ANO Marek Novák.

Co bude dál? Odmítnutí zrychleného čtení ve Sněmovně poslalo návrh do hospodářského výboru, který jeho projednávání přerušil a do konce října sbírá pozměňovací návrhy. K jejich projednání se má dostat až na začátku listopadu. A Novák už naznačil, co bude předmětem dalších debat:

„Přestaňme být papežštější než papež, dělejme svou práci pořádně, všímejme si červíčků, které se nám do zákonů dostávají. A hlavně: zbavme se jich a vyndejme je. A z tohoto zákona je rozhodně potřeba tohoto červa vyndat.“

Co si o výši pokut za spam myslíte vy? Podělte se s námi v diskusi pod článkem.

Zaujali jsme vás? Pokračujte...

• Změna větší než GDPR. Koho se týká směrnice NIS2 a jaké hrozí sankce?

• Směrnice NIS2 se blíží, jste připraveni? Otestujte se

• Půl miliardy za nevyžádanou poštu. Do zákona se pokoutně dostaly enormní pokuty