Co nás GDPR naučilo o EAA

Tady už jsme byli

V roce 2018 vstoupilo v platnost GDPR a reakce většiny organizací následovala předvídatelný oblouk. Období téměř úplného ticha. Poté, jak se termín blížil, zmatek. A poté, jak vymáhání skutečně dorazilo, opravdová naléhavost a spěch dosáhnout souladu v časovém rámci, který byl mnohem kratší, než měl být.

Evropský akt o přístupnosti je na stejné trajektorii. Termín — 28. června 2025 — vypršel. Vymáhání probíhá. A organizace, které přístupnost braly jako věc typu „nějak to vyřešíme”, nyní zjišťují, že „nějak” právě nastalo.

Pokud jste prošli GDPR, mnohé z toho, co následuje, vám bude povědomé.

Co mají společného

Termín souladu, který většina organizací nedodržela

Když GDPR vstoupilo v platnost v květnu 2018, průzkumy ukázaly, že většina podniků v EU nebyla v souladu — v některých zprávách toto číslo přesahovalo 60 %. Příběh s EAA vypadá podobně. Výzkumy publikované krátce před termínem v červnu 2025 opakovaně ukazovaly, že jen malý zlomek podniků spadajících pod tento akt dosáhl smysluplného souladu.

Oba zákony sdílejí stejný základní vzorec: dlouhé přípravné období, během kterého většina organizací podnikne jen omezené kroky, následované návalem aktivity, jak se blíží termín, následované průběžným vymáháním vůči těm, kdo nejednali dostatečně rychle.

Územní působnost, kterou mnoho podniků podcenilo

GDPR se vztahuje na jakoukoli organizaci, která zpracovává data obyvatel EU, bez ohledu na to, kde organizace sídlí. EAA funguje podobně: pokud je váš digitální produkt nebo služba prodávána zákazníkům v EU a vaše organizace splňuje velikostní prahové hodnoty (více než 10 zaměstnanců a obrat vyšší než 2 miliony €), musíte být v souladu — bez ohledu na to, zda máte sídlo v Mnichově nebo San Franciscu.

Mnoho podniků mimo EU bylo dosahem GDPR překvapeno. Totéž se děje s EAA.

Rámec sankcí se skutečnými zuby

Pokuty podle GDPR — až 4 % globálního ročního obratu nebo 20 milionů €, podle toho, co je vyšší — plnily titulky. Organizace se ocitaly na příjmu mnohamilionových pokut za selhání, kterým bylo v mnoha případech možné předejít.

Sankce EAA jsou stanoveny na národní úrovni, takže se mezi členskými státy liší. Ale nejsou zanedbatelné. Itálie i Francie stanovují pokuty v řádu desítek tisíc eur za porušení. Německá implementace Barrierefreiheitsstärkungsgesetz (BFSG) zahrnuje značné sankce. A na rozdíl od GDPR, kde mnoho porušení bylo odhaleno prostřednictvím úniků dat nebo stížností, jsou selhání přístupnosti viditelná pro každého, kdo navštíví váš web se čtečkou obrazovky — což zahrnuje i advokační organizace osob se zdravotním postižením, které podávají stížnosti na přístupnost.

Porušení přístupnosti jsou viditelná zvenčí

Porušení GDPR často vyžadovala vnitřní stížnost nebo oznámení o úniku, aby vyšla najevo. Selhání přístupnosti jsou veřejně zjistitelná. Kdokoli může otevřít váš web, spustit automatizovaný sken nebo jej otestovat se čtečkou obrazovky a zdokumentovat, co najde. Advokační skupiny osob se zdravotním postižením přesně toto systematicky dělají.

To znamená, že okruh potenciálních stěžovatelů je mnohem větší a bariéra pro podání stížnosti je mnohem nižší. Nepotřebujete přístup k interním systémům ani uniklé dokumenty. Stačí vám prohlížeč.

Technický standard je již specifikován

GDPR vyžadovalo, aby organizace zavedly „vhodná technická a organizační opatření” na ochranu dat — standard, který byl záměrně vágní, aby umožnil technologické změny. EAA specifikuje konkrétní technický standard: EN 301 549, který odkazuje na Pokyny pro přístupnost webového obsahu (WCAG 2.1/2.2) na úrovni AA.

Tato jasnost je dvousečná zbraň. Na jedné straně organizace přesně vědí, čeho musí dosáhnout. Na druhé straně to usnadňuje prokázání nesouladu — automatizované nástroje dokážou během několika sekund vygenerovat podrobnou zprávu o porušeních.

Rané vymáhání již probíhá

GDPR mělo poměrně tichý první rok vymáhání, než přišly velké pokuty. Vymáhání EAA postupuje rychleji. Francouzské úřady začaly vydávat výzvy velkým maloobchodníkům krátce po termínu. Pařížský soud rozhodl v případu přístupnosti školní platformy, který zahrnoval potenciální pokuty ve výši 25 000 € ročně. Advokační organizace napříč členskými státy EU aktivně podávají stížnosti.

„Do souladu se dostaneme dřív, než k nám dorazí vymáhání” není strategie

Mnoho organizací tuto úvahu udělalo u GDPR a zjistilo, že vymáhání bylo rychlejší a cílenější, než očekávaly. Stížnosti na přístupnost se podávají už teď. Organizace, které to dokážou předběhnout, jsou ty, které začnou s auditem a nápravou dříve, než obdrží formální výzvu.

Dokumentace záleží stejně jako technická oprava

GDPR vyžadovalo, aby organizace vedly záznamy o činnostech zpracování, posouzení vlivu na ochranu osobních údajů a doklady o souhlasu. EAA vyžaduje přístupné platformy a v mnoha národních implementacích prohlášení o přístupnosti, která dokumentují aktuální úrovně souladu, známé výjimky a kontaktní mechanismy pro uživatele k nahlašování bariér.

Mít prohlášení o přístupnosti, které přesně odráží váš aktuální stav — a být schopen prokázat průběžné zlepšování — je smysluplným důkazem souladu v dobré víře.

Soulad je proces, nikoli projekt

Myšlenkovou pastí GDPR bylo pojímat soulad jako políčko k zaškrtnutí: najmout právní tým, aktualizovat zásady ochrany soukromí, přidat cookie lišty, hotovo. Mnoho organizací se pak zastavilo — jen aby zjistily, že musí soulad znovu řešit, když uvádějí nové produkty nebo aktualizují stávající.

Přístupnost funguje stejně. Každá nová funkce, každá komponenta třetí strany, každá aktualizace designu může zavést nové bariéry. Udržitelný soulad vyžaduje začlenění přístupnosti do vašich vývojových a obsahových postupů, nikoli pojímat ji jako jednorázovou nápravu. Náš průvodce přístupností v životním cyklu vývoje softwaru popisuje, jak to vypadá v praxi.

Začněte základní analýzou

Než budete moci naplánovat nápravu, musíte pochopit, jak na tom aktuálně jste. To znamená provést audit — automatizovaný i manuální — k zdokumentování selhání, jejich seřazení podle dopadu a četnosti a vytvoření realistického plánu nápravy.

Pokud jste to ještě neudělali, nejrychlejším výchozím bodem je bezplatný automatizovaný sken, který vám okamžitě ukáže automaticky zjistitelná porušení. Pro úplný obraz — včetně zhruba 60–70 % bariér, které automatizované nástroje nedokážou odhalit — je nezbytné manuální testování lidmi, kteří používají asistivní technologie.

Organizace, které GDPR zvládly dobře, nečekaly na vymáhání. Zhodnotily svou pozici, sestavily plán a provedly jej se stejnou naléhavostí, jakou by uplatnily na jakékoli jiné významné podnikatelské riziko. EAA si zaslouží stejné zacházení.