Ako sme spomenuli v nedávnej správe, subdodávateľ je pre mnohých prevádzkovateľov údajov ústredným a nevyhnutným hráčom a zároveň slabým článkom v reťazci bezpečnosti údajov.

Nedávna judikatúra, ako aj rozhodnutia orgánov na ochranu údajov, opätovne poukázali na to, že prevádzkovateľ údajov zostáva v prvej línii v prípade porušenia ochrany údajov u jeho subdodávateľa.

To však nemení zodpovednosť subdodávateľa, keď sa stane cieľom kybernetického útoku. Jeho kľúčové postavenie v centre dátových systémov odôvodňuje obzvlášť vysoké štandardy, pokiaľ ide o organizáciu a reakciu.

V scenári zverejnenom koncom mája na svojej webovej stránke CNIL čerpá inšpiráciu zo skutočných udalostí, aby predstavila praktický prípad a načrtla rôzne fázy a opatrenia, ktoré by mal subdodávateľ čeliaci kybernetickému útoku prijať.

Komisia zdôrazňuje úlohu dvoch kľúčových ľudí v spoločnosti, hlavného úradníka pre informačnú bezpečnosť (CISO) a úradníka pre ochranu údajov (DPO), a ich nevyhnutnú reakciu v prípade hlásení týkajúcich sa abnormálnej aktivity.

Zdôrazňuje tiež zásadnú úlohu monitorovacích nástrojov pri odhaľovaní takejto aktivity (nestabilita, latencia, strata údajov, chyby atď.).

Tím krízového riadenia zriadený subdodávateľom musí určiť, aké opatrenia sa budú podniknúť interne a kým. Predovšetkým musí zorganizovať dvojakú reakciu: riadenie útoku na vlastné údaje subdodávateľa a súčasné riešenie narušenia údajov zákazníkov.

Subdodávateľ má 72 hodín na posúdenie závažnosti situácie a únikov údajov a na prijatie niekoľkých krokov:

• Informovať CNIL (francúzsky úrad na ochranu údajov) o porušení ochrany údajov týkajúcom sa jeho vlastných údajov a so súhlasom jeho klientov aj o spracovaní vykonanom v jeho mene. Prípadne môže spracovateľ údajov tiež podporovať a poradiť svojim klientom v tomto postupe oznamovania.
• Čo najrýchlejšie informujte klientov o rozsahu porušenia a jeho následkoch a tieto informácie doplňujte v reálnom čase podľa vývoja situácie.
• Informovať dotknuté osoby o ohrození ich údajov v závislosti od rizík porušenia ich práv a slobôd.

Keďže počítačové systémy sú v súčasnosti veľmi pravidelne vystavené útokom, CNIL trvá na potrebe byť vopred pripravený na vznik tohto typu situácie ochranou údajov (šifrovanie, dvojfaktorové overovanie atď.) a zabezpečením vhodného postupu riadenia.

Stojí za to pripomenúť, že Francúzsko je jednou z krajín sveta najviac postihnutých narušeniami bezpečnosti, a to až do tej miery, že približne päťdesiat senátorov v polovici mája požiadalo o zriadenie parlamentnej vyšetrovacej komisie v tejto veci. 

Navyše, hoci CNIL istý čas prejavovala pochopenie, teraz prísne sankcionuje spoločnosti, ktoré včas neprijali opatrenia, ktoré by im umožnili zablokovať alebo zmierniť útoky.

Vo Francúzsku

CNIL zverejnila svoju správu o činnosti za rok 2025 v polovici mája.

Správa sumarizuje rok, ktorý sa vyznačoval prudkým nárastom sťažností a rekordný počet únikov údajovpolovica z nich súvisí s počítačovým hackerstvom.

Úrad vykonal 323 kontrol a vydal 83 sankcií za bezprecedentnú celkovú sumu takmer 487 miliónov eur.

Kybernetická bezpečnosť je teraz hlavnou prioritou: v roku 2026 sa polovica kontrol CNIL zameria na bezpečnosť údajov.

Súbežne s tým CNIL pokračuje vo svojom poslaní podporovať spoločnosti a tiež posilňuje svoje aktivity na zvyšovanie povedomia medzi širokou verejnosťou, najmä medzi mladými ľuďmi.

Správa tiež zdôrazňuje, vzostup umelej inteligencie.

CNIL sa pripravuje na implementáciu európskeho nariadenia o umelej inteligencii a vyvíja nástroje na reguláciu jej používania.

Avšak v roku 2026 úrad nezískal žiadne nové pracovné miesta, a to aj napriek novým zručnostiam v tejto oblasti.

CNIL 26. mája uložila spoločnosti Iqvia Operations France pokutu vo výške 5 miliónov eur, najmä za nedodržanie ochranných opatrení zameraných na obmedzenie rizík pre jednotlivcov v súvislosti so správou skladov zdravotných údajov.

CNIL spustila 11. mája akčný plán týkajúci sa prepojených okuliarov.

Úrad zdôrazňuje, že tieto zariadenia, často spojené s umelou inteligenciou, môžu viesť k takmer neustálemu sledovaniu vo verejných aj súkromných priestoroch.

Prieskum ukazuje, že 67 % Francúzov to vníma ako riziko pre svoje súkromie.

CNIL (Francúzsky úrad na ochranu údajov) opakuje, že ich používanie naďalej podlieha GDPR, právam na ochranu obrazu a požiadavke získať súhlas jednotlivcov, ktorí boli natáčaní alebo nahrávaní. Oznamuje európsky akčný plán a odporúča niekoľko osvedčených postupov na obmedzenie rušivého používania.

Táto komunikácia prichádza v čase, keď spoločnosť Meta vyvíja funkciu rozpoznávania tváre pre svoje inteligentné okuliare a keď spoločnosti Samsung a Google 19. mája predstavili svoje prvé okuliare so systémom Android XR, pripojené k smartfónu a integrované s operačným systémom Gemini, ktoré umožňujú hlasové interakcie a trvalé zachytávanie kontextu.

Nakoniec, koncom mája, CNIL zverejnila usmernenie, ktoré má pomôcť aktérom v oblasti cloudu identifikovať ich zodpovednosti s konkrétnymi príkladmi.

Mimovládna organizácia Kvadratúra siete 21. mája zverejnila hĺbkovú analýzu navrhovaného zákona o zákaze prístupu na sociálne siete pre maloletých mladších ako 15 rokov, o ktorom sa v parlamente bude hlasovať už čoskoro.

Združenie poukazuje na to, že pod zámienkou ochrany maloletých by text zaviedol overovanie totožnosti pre všetkých používateľov, čím by sa zovšeobecnil systém, ktorý bol predtým obmedzený na stránky pre dospelých.

Táto povinnosť by bola v rozpore so zásadou minimalizácie údajov podľa GDPR a s právom na anonymné prehliadanie, ktoré uznal Súdny dvor Európskej únie (SDEÚ).

27. mája počas prezentácie návrhu zákona o ochrane detí minister školstva Édouard Geffray naznačil, že zamestnanci, ktorí sa v škole správali nevhodne k maloletým, budú teraz zaradení na „čiernu listinu“, a to aj v prípade, že neboli odsúdení za trestný čin.

Otázka procesných záruk a ochrany údajov dotknutých osôb zostáva otvorená.

Poskytovateľ platieb tretej strany Almerys opäť čelí narušeniu bezpečnosti.

Zdravotná poisťovňa Alan 24. mája upozornila svojich poisťovní na únik údajov, ku ktorému došlo u jej subdodávateľa.

Medzi potenciálne zneužité údaje patrí rodinný stav, číslo sociálneho zabezpečenia, číslo zmluvy a dátumy poistenia. Predpokladá sa, že postihnutých je niekoľko stoviek zdravotných poisťovní a miliónov čísel sociálneho zabezpečenia.

Tento incident slúži ako pripomienka, že aj v prípade subdodávateľského vzťahu si prevádzkovateľ zachováva svoje povinnosti vyplývajúce z GDPR týkajúce sa bezpečnosti a oznamovania.

V článku publikovanom 24. mája 01net odhaľuje výsledky vyšetrovania softvér na monitorovanie pracoviska.

Výskumníci zachytili sieťovú prevádzku z deviatich sledovacích platforiem, ktoré všetky prenášajú osobné údaje zamestnancov tretím stranám.

Medzi prenášané údaje patria mená zamestnancov, e-mailové adresy a údaje o aktivite.

Tieto informácie dostáva celkovo viac ako 145 domén tretích strán vrátane spoločností Google, Meta, Microsoft, LinkedIn, Yandex a AppLovin.

Tretina testovaných nástrojov tiež prenáša presnú geolokáciu zamestnanca.

V Európe

Európske inštitúcie a orgány

Európska komisia zverejnila návrh súboru usmernení, ktoré objasňujú klasifikácia vysoko rizikových systémov umelej inteligencie, ako aj zoznam konkrétnych príkladov, ktorých cieľom je pomôcť dodávateľom a prevádzkovateľom určiť, či ich systém umelej inteligencie predstavuje vysoké riziko.

Všetky zainteresované osoby alebo organizácie vrátane dodávateľov a vývojárov, podnikov a verejných orgánov, ako aj akademickej obce, výskumných ústavov a občanov, sú vyzvané, aby predložili svoje pripomienky do 23. júna 2026.

Začiatkom mája spoločnosť Google získala od Európskej komisie predĺženie lehoty na riešenie problémov súvisiacich s dodržiavaním nariadenia o digitálnych trhoch (DMA).

Vo vyhlásení pre európske orgány spoločnosť argumentovala, že návrh Komisie, ktorý ju ako „strážcu brány“ prinúti zdieľať určité vyhľadávacie údaje s konkurentmi, ako je OpenAI alebo alternatívne vyhľadávače, predstavuje značné riziko opätovnej identifikácie používateľov.

Tento postoj by sa zo strany spoločnosti Google mohol považovať za nezvyčajný, ale v súčasnosti je predmetom intenzívnej diskusie.

Štúdia publikovaná 29. apríla v časopise Media Laws poukazuje na súvislosť medzi touto otázkou článku 6(11) zákona DMA o zdieľaní údajov a diskusiami o digitálnom omnibuse týkajúcimi sa rozsahu definície osobných údajov: „Vyhľadávacie údaje, súkromie a limity heuristiky: Kritické čítanie predbežných zistení EK proti spoločnosti Alphabet“.

Zatiaľ čo navrhované nariadenie o digitálne euro Keďže Európsky parlament v súčasnosti hlasuje o eure a Eurosystém sa pripravuje na jeho vydanie do roku 2029, CNIL a nemecký Federálny úrad pre ochranu údajov zverejnili 13. mája spoločnú správu o výzvach v oblasti ochrany údajov v súvislosti s budúcim digitálnym eurom.

Oba orgány pripomínajú svoju spoločnú prácu: potrebu vysokej miery dôvernosti platieb nízkej hodnoty, „offline“ režim bez sledovania zo strany ECB a poskytovateľov platobných služieb a prísnu kontrolu autorizovaných účelov (boj proti praniu špinavých peňazí, predchádzanie podvodom).

Dňa 21. mája 2026 podala Európska spotrebiteľská organizácia BEUC spolu s 29 svojimi členmi z 27 krajín sťažnosti Európskej komisii a príslušným vnútroštátnym orgánom na spoločnosti Meta, TikTok a Google s tvrdením, že tieto spoločnosti neprijali potrebné opatrenia na boj proti... šírenie podvodných reklám vo finančnom sektore na svojich platformách, ako to vyžaduje európske nariadenie o digitálnych službách (DSA).

Vyšetrovanie BEUC dokumentuje masívne pretrvávanie podvodných reklám (rýchle pôžičky, falošné investície, garantované výnosy), z ktorých 53 100 hlásení TP4T bolo údajne ignorovaných alebo odmietnutých platformami.

Správy z členských krajín Európskej únie.

Správa „GDPR Enforcement Tracker“ z roku 2026 od konzultačnej firmy CMS ukazuje, že uplatňovanie GDPR v Európe vstúpilo do fázy zrelosti, pričom viac ako Od roku 2018 bolo zaznamenaných 3 000 sankcií a celková suma presahuje 6 miliárd eur.

Vnútroštátne orgány sa teraz zameriavajú nielen na digitálnych gigantov, ale aj na každodenné prevádzkové problémy: transparentnosť, kybernetickú bezpečnosť, súbory cookie, monitorovanie zamestnancov a riadenie subdodávateľov.

Najčastejšími porušeniami zostávajú nedostatok jasného právneho základu, nedodržiavanie všeobecných zásad GDPR a narušenia bezpečnosti.

Pod drobnohľadom sú sektory digitálnych platforiem, online reklamy a služieb založených na umelej inteligencii.

V správe sa tiež zdôrazňuje, že sťažnosti používateľov a úniky údajov sa stali hlavnými spúšťačmi vyšetrovaní.

Napokon, napriek rastúcej európskej koordinácii sa sankčné postupy medzi krajinami stále veľmi líšia.

Belgický úrad na ochranu údajov (APD) udelil technologickej spoločnosti pokutu vo výške 176 946,61 eur za nezákonné udržiavanie aktívneho e-mailového účtu poskytovateľa služieb po tom, čo zo spoločnosti odišiel, a za porušenie povinností týkajúcich sa transparentnosti.

Úrad tiež nariadil spoločnosti, aby vyhovela žiadosti poskytovateľa služieb o prístup k prístupovým záznamom, následne vymazala osobné údaje a podnikla kroky na zabezpečenie súladu s predpismi v budúcnosti.

APD tiež 16. mája v denníku Le Soir oznámila, že v určitých konkrétnych prípadoch závažného porušenia GDPR podnikne právne kroky.

Úrad dostal v roku 2025 1 394 sťažností, čo predstavuje nárast o 67 sťažností v porovnaní s rokom 2024.

Trestnoprávna cesta sa opiera o vnútroštátne ustanovenia prijaté podľa článku 84 GDPR, ktorý oprávňuje členské štáty stanoviť sankcie vrátane trestnoprávnych sankcií za porušenia, na ktoré sa nevzťahujú správne pokuty podľa článku 83.

Explicitným cieľom je obísť zdĺhavé odvolania na Obchodný súd, ktorý „niekedy znižuje vysoké pokuty na 1 euro“, a na Súdny dvor EÚ, ktoré využívajú veľké digitálne platformy.

Holandská agentúra DPA uložila Spoločnosť MLU BV dostala pokutu 100 miliónov eur za prenos osobných údajov do Ruska.

MLU je holandská spoločnosť, ktorá stojí za európskou verziou taxislužby Yango.

V Nórsku a Fínsku si používatelia objednávajú taxíky s pridruženými vodičmi cez Yango. Yango potom prenáša osobné údaje vodičov a zákazníkov spoločnostiam so sídlom v Rusku bez toho, aby zaručila primeranú ochranu týchto údajov.

Spoločnosť Microsoft údajne poskytla Snemovni reprezentantov USA mená holandských úradníkov pracujúcich pre holandský úrad pre spotrebiteľov a trhy a holandský úrad pre ochranu údajov.Títo agenti by sa podieľali na implementácii DSA.

Podľa informácií zverejnených denníkom NL Times spoločnosť Microsoft údajne zdieľala e-maily, správy a pozvánky bez anonymizácie mien zúčastnených úradníkov, ako to vyžaduje americký zákon o cloudových službách.

Holandský štátny tajomník vnútra vyjadril znepokojenie nad situáciou a zároveň naznačil, že chce objasniť presné okolnosti prenosu.

Španielsky úrad na ochranu údajov (APD) usúdil, že poskytovanie cloudových vzdelávacích služieb verejným školám Ministerstvom školstva a športu, pričom ako subdodávateľa využívalo spoločnosť Microsoft, predstavuje porušenie ustanovení GDPR.

Medzinárodne

V Spojenom kráľovstve sú poslanci znepokojení rozhodnutím Národnej zdravotnej služby (NHS) udeliť spoločnosti Palantir prístup k identifikovateľným údajom o pacientoch. ako súčasť svojho projektu na využitie umelej inteligencie „na zlepšenie systému zdravotnej starostlivosti“.

Spoločnosť by získala prístup k údajom o pacientoch ešte predtým, ako by boli pseudonymizované, a to aj napriek obavám z „rizika straty dôvery verejnosti“.

Parlamentný výbor požiadal začiatkom júna vládu o ukončenie zmluvy so spoločnosťou.

Tieto obavy zdieľa občianska spoločnosť, ako aj analytici NHS, ktorí zverejnili otvorený list, v ktorom zdôrazňujú riziká projektu.

Okrem problémov s ochranou údajov je systém umelej inteligencie spoločnosti Palantir obviňovaný z toho, že je desaťkrát pomalší ako existujúci systém.

V Kanade vydáva Úrad komisára pre informácie a súkromie Ontária Nové pokyny pre asistentov prepisu založených na umelej inteligencii na ochranu súkromia pacientov.

„Nové smernice CPI sú v súlade so Zásadami zodpovedného používania umelej inteligencie, ktoré nedávno zverejnili a spoločne vypracovali Komisár pre informácie a súkromie Ontária a Komisia pre ľudské práva Ontária.“

Tieto zásady zdôrazňujú, že systémy umelej inteligencie, ako napríklad AI scribes, musia byť platné a spoľahlivé, bezpečné, rešpektujúce súkromie, v súlade s ľudskými právami, transparentné a zodpovedné.

Republikánski členovia Snemovne reprezentantov Spojených štátov predložili návrhy zákonov „SECURE Data Act“ a „GUARD Financial Data Act“. s cieľom vytvoriť federálny rámec ochrany údajov.

Cieľom týchto návrhov zákonov je harmonizovať platné pravidlá nahradením určitých štátnych zákonov, obmedziť zhromažďovanie údajov a posilniť práva spotrebiteľov na prístup k údajom.

Kalifornský generálny prokurátor 8. mája 2026 oznámil rekordnú dohodu so spoločnosťou General Motors (GM) vo výške 12,75 milióna dolárov s cieľom ukončiť obvinenia, že spoločnosť GM nelegálne predávala údaje o polohe a správaní občanov Kalifornie za volantom bez riadneho oznámenia alebo súhlasu, čím porušovala okrem iného zásady minimalizácie údajov a obmedzenia účelu podľa kalifornského zákona o ochrane súkromia spotrebiteľov (CCPA).

Spoločnosť Anthropic 22. mája oznámila svoj projekt Glasswing a uviedla, že jej model umelej inteligencie špecializovaný na kybernetickú bezpečnosť s názvom Mythos identifikoval viac ako 10 000 zraniteľností v široko používanom softvéri a projektoch s otvoreným zdrojovým kódom.

Podľa spoločnosti umelá inteligencia výrazne zlepšuje rýchlosť a efektivitu výskumu zraniteľností, pričom miera detekcie sa považuje za vysokú.

Táto schopnosť však vytvára novú výzvu pre softvérový ekosystém: správcovia a bezpečnostné tímy sa musia zaoberať rastúcim objemom hlásení a rýchlejšie opravovať zraniteľnosti.

Okrem technického úspechu téma zdôrazňuje vývoj kybernetickej bezpečnosti smerom k zvýšenej automatizácii detekcie zraniteľností, pričom ich rýchla oprava zostáva hlavným faktorom znižovania rizika.