Stručná odpověď
K přesnosti osobních údajů se přímo vztahuje rozhodnutí UOOU-06442/15-13, které potvrdilo pokutu zdravotní pojišťovně za vedení osoby jako pojištěnce bez jejího vědomí. Rozhodnutí UOOU-11173/16-33 rovněž popisuje obvinění ze zpracování nepřesných údajů na podpisových arších, ale původní rozhodnutí zrušilo a věc vrátilo k novému projednání kvůli vadám dokazování. Nelze je proto citovat jako konečné potvrzení viny.
K omezení uložení je zvlášť významné UOOU-00313/19-23. Zprostředkovatel půjček měl údaje žadatelů odstranit bezodkladně po jejich předání skutečným poskytovatelům; nesplnění pravomocných nápravných opatření vedlo k pokutě 100 000 Kč, kterou předsedkyně ÚOOÚ potvrdila. Ke zpřístupnění a třetím stranám se vztahují UOOU-00078/17-47 o nelegálně získaných databázích a webovém úložišti a UOOU-08277/18-40 o souhlasu s obchodními sděleními, nabídkách třetích stran a transparentnosti.
Rozhodnutí pocházejí z různých právních období. Část aplikuje zákon č. 101/2000 Sb., část už GDPR. Je proto nutné číst nejen téma, ale také datum skutku, právní základ a výrok o rozkladu.
Jak byla rozhodnutí vyhledána
Produkční zdroj CZ_UOOU_DECISIONS obsahuje 88 zveřejněných rozhodnutí předsedy Úřadu pro ochranu osobních údajů. Vyhledávání bylo omezeno na tento zdroj a používalo české formulace „nepřesné osobní údaje“, „uchovávání osobních údajů“ a „zpřístupnění třetím osobám“. U vybraných výsledků byl otevřen přesný plný text a ověřen výrok i jeho procesní význam.
Nepřesné údaje: neoprávněná registrace pojištěnce
Rozhodnutí UOOU-06442/15-13 se týkalo Revírní bratrské pokladny. Osoba byla vedena jako její pojištěnec bez svého vědomí na základě přihlášky, která prošla přes externí náborový řetězec. Pojišťovna namítala, že kontrolovala úplnost údajů a jednou měsíčně je porovnávala s centrálním registrem pojištěnců. Předsedkyně ÚOOÚ však rozklad zamítla a prvostupňové rozhodnutí potvrdila.
„účastník řízení vedl jako svého pojištěnce Ing. P., a to bez jeho vědomí“
—
Pokuta činila 5 000 Kč. Při její výši se zohlednila doba zpracování delší než šest měsíců a zátěž pro dotčenou osobu. Případ je důležitý i pro řízení dodavatelů: správce nemůže odpovědnost za správnost jednoduše přenést na zprostředkovatele, který data získal. Musí nastavit kontroly přiměřené riziku a reagovat na nesrovnalosti.
Nepřesnost tvrzená, ale vina procesně nepotvrzena
V případu UOOU-11173/16-33 první stupeň původně uznal fyzickou osobu vinnou mimo jiné ze zpracování nepřesných jmen, adres, dat narození, rodného čísla a podpisů na arších pro registraci náboženské společnosti. Dotčené osoby podle obvinění nebyly skutečnými příznivci společnosti a nebyly dostatečně informovány o účelu.
Předseda ÚOOÚ však v roce 2021 původní rozhodnutí zrušil a věc vrátil. Městský soud předtím konstatoval, že klíčové osoby nebyly řádně vyslechnuty jako svědkyně a obviněný neměl možnost klást jim otázky.
„Rozhodnutí […] se zrušuje a věc se vrací správnímu orgánu prvního stupně k novému projednání.“
—
Tento dokument téma nepřesných údajů nepochybně diskutuje, ale jeho konečný procesní výsledek není potvrzení porušení. Je názorným varováním před články sestavenými pouze z textové shody: popis původního obvinění není totéž jako výrok odvolacího orgánu.
Uchování po skončení účelu: údaje žadatelů o půjčku
Rozhodnutí UOOU-00313/19-23 je nejbližší úvěrovému kontextu. Kontrola zjistila, že zprostředkovatel zpracovával osobní údaje žadatelů déle, než bylo nezbytné pro jednorázové zprostředkování. Účel byl podle ÚOOÚ naplněn předáním údajů skutečným poskytovatelům finančních služeb.
Pravomocný příkaz k nápravě proto požadoval bezodkladný výmaz po předání, doplnění informací, bezpečnostní opatření a postupy pro právo na výmaz. Protože správce uložené povinnosti nesplnil ani v náhradní lhůtě, dostal pokutu 100 000 Kč. Rozklad byl zamítnut a sankční rozhodnutí potvrzeno.
„osobní údaje žadatelů o půjčky byly odstraněny bezodkladně po jejich předání poskytovatelům finančních služeb“
—
Rozhodnutí současně odděluje přesnost od právního titulu a účelu. Správce namítal, že údaje aktualizuje při budoucích nabídkách. Odvolací orgán vysvětlil, že přesnost se hodnotí ve vztahu k účelu, ale samotná aktuálnost nevytváří oprávnění údaje nadále uchovávat. Nově zvolený obchodní účel také nemůže bez dalšího neutralizovat pravomocný příkaz k výmazu.
Nelegální databáze a webové zpřístupnění
Rozhodnutí UOOU-00078/17-47 řešilo osobní údaje zákazníků a podnikajících fyzických osob v databázích pořízených vedoucím zaměstnancem. Společnost tvrdila, že šlo o exces zaměstnance, data nepoužila a databáze nebyly nalezeny na jejích úložištích. Odvolací orgán zdůraznil souvislost nákupu s marketingovým výzkumem společnosti, postavení zaměstnance a použití prostředků společnosti.
V policejním šetření bylo navíc prokázáno zpřístupnění údajů prostřednictvím webového úložiště. Tato okolnost sloužila jako důkaz, že společnost daty po určitou dobu disponovala. Rozklad byl zamítnut a pokuta 400 000 Kč potvrzena.
„došlo ke zpřístupnění předmětných osobních údajů prostřednictvím webového úložiště“
—
Přesné vymezení je podstatné: výrok sankcionoval zpracování bez souhlasu nebo jiné zákonné výjimky. Zpřístupnění přes úložiště je významná skutková okolnost, nikoli nutně samostatný výrok o porušení povinnosti zabezpečení.
Třetí strany v marketingovém souhlasu
Rozhodnutí UOOU-08277/18-40 potvrdilo pokutu 90 000 Kč za obchodní sdělení šířená bez souhlasu adresátů. V rozkladu se řešilo, zda obecný souhlas pro „obchodní účely“ pokrývá nabídky třetích stran, zda musí být různé účely odděleny a zda mají být třetí strany identifikovány. Společnost namítala, že osobní údaje třetím stranám nepředává.
Odvolací orgán zdůraznil transparentnost a oddělení souhlasů pro různé účely po začátku použitelnosti GDPR. Současně rozlišoval mezi vlastní nabídkou společnosti, podporou jejího slevového programu a skutečnou nabídkou třetí strany. Ne každá zmínka cizího zboží automaticky znamená předání osobních údajů nebo sdělení třetí strany; rozhoduje skutečný obsah, odesílatel a účel.
Co z rozhodnutí plyne pro správce
Přesnost, omezení uložení a zpřístupnění nejsou izolované kolonky. Správce musí vědět, odkud data získal, zda odpovídají realitě, k jakému účelu je ještě potřebuje, kdo k nim získal přístup a zda jsou marketingové účely i příjemci popsáni srozumitelně. U externího sběru dat je třeba kontrolovat nejen formální úplnost, ale také pravost, původ a reakci na námitku subjektu údajů.
Retenční pravidlo by mělo být navázáno na konkrétní účel a spouštěcí událost. V úvěrovém zprostředkování to může být předání poskytovateli, zamítnutí žádosti nebo ukončení smluvního vztahu, s oddělenou dobou pro právní obranu, pokud má vlastní právní základ. Budoucí marketing nemá být skrytým prodloužením původního účelu.
Datové omezení v produkčním MCP
Všech 88 záznamů zdroje CZ_UOOU_DECISIONS je nyní vedeno s hodnotou OTHER v polích bezprostředního i konečného výsledku. To platí i pro dokumenty, jejichž výrok jasně zamítá rozklad a potvrzuje pokutu nebo naopak rozhodnutí ruší a věc vrací. Chybí také strukturované částky potvrzených pokut. Vada byla nahlášena jako problém normalizace celé kolekce.
Do opravy nelze rozhodnutí spolehlivě vybírat filtrem výsledku. Tento článek proto vychází z ručně ověřených výroků přesně otevřených zdrojových dokumentů, nikoli ze štítku OTHER.
Závěr
Rozhodnutí UOOU-06442/15-13, UOOU-00313/19-23, UOOU-00078/17-47 a UOOU-08277/18-40 poskytují potvrzené příklady k nepřesným údajům, nadměrnému uchování, nelegálním databázím a marketingu třetích stran. UOOU-11173/16-33 je stejně důležité jako procesní protiváha: o nepřesnosti pojednává, ale původní rozhodnutí ruší kvůli vadám dokazování.
Pro praxi z nich plyne nutnost kontrolovat původ a správnost dat, určit konec každého účelu, prokázat výmaz, omezit přístup a formulovat souhlasy konkrétně. Pro právní výzkum plyne ještě jedno pravidlo: textová shoda musí vždy vést k přečtení výroku.
Zdroje
This article provides general legal information, not advice for a specific matter. Laws, facts and procedural deadlines may change the result. Follow the linked primary sources and obtain local advice before acting.