V druhém pololetí roku 2018 bylo ze strany Úřadu pro ochranu osobních údajů provedeno celkem 44 kontrol. Tyto kontroly se týkaly hlavně porušování zákona č. 101/2000 Sb. o ochraně osobních údajů, dále Nařízení o ochraně osobních údajů GDPR a zákona č. 480/2004 Sb. o některých službách informační společnosti.
Zde nabízíme stručný přehled provedených kontrol:
Z celkového počtu 44 kontrol se 33 kontrol týkalo zákona o ochraně osobních údajů a Nařízení GDPR, z toho 22 kontrol proběhlo na podnět veřejnosti. Dále bylo provedeno 11 kontrol se zaměřením na oblast nevyžádaných obchodních sdělení. Úřad shledal porušení výše uvedených právních předpisů ve 28 případech. Nejvyšší pokuta, která činila 117.000,- Kč, byla udělena za zasílání nevyžádaných obchodních sdělení.
Nejčastější zjištěné nedostatky při zpracování osobních údajů (dodržování zákona o ochraně osobních údajů a Nařízení):
- zpracovávání osobních údajů bylo bez právního titulu či s chybně určeným právním titulem;
- vůči subjektům údajů nebyla dostatečně plněna informační povinnost;
- nebyla dodržena zásada minimalizace – zpracovávání osobních údajů probíhalo nad rámec stanoveného účelu
- nedodržení zabezpečení:
- z hlediska IT – pochybení v operaci logování a evidenci přístupů
- fyzické zabezpečení – zejména se jednalo o nedostatečné zabezpečení listinných dokumentů;
- osobní údaje byly uchovávány po dobu delší než nezbytně nutnou;
- absence zpracovatelských smluv.
Kromě výše uvedených nedostatků dále Úřad zjistil, že hned v několika případech se porušení týkalo zaměstnanců, kteří chybně nakládali s osobními údaji, ať už v důsledku pochybení či s úmyslem tak činit. U správců/zaměstnavatelů, kteří přijali ochranná opatření a seznámili zaměstnance se správnými zásadami při zpracování osobních údajů, jejichž dodržování následně kontrolovali, se Úřad rozhodl nenudělovat sankce. Jako řešení zde navrhl interní kárné či disciplinární řízení v rámci pracovněprávních vztahů.
Nejčastější nedostatky v oblasti nevyžádaných obchodních sdělení:
- kontaktování za účelem šíření obchodních sdělení elektronickými prostředky se týkalo i subjektů údajů, kteří k takovémuto jednání neudělili souhlas;
- šířená obchodní sdělení nebyla jasně označena jako obchodní sdělení a neobsahovala identifikaci odesílatele;
- obchodní sdělení neobsahovala adresy, na které by bylo možné proti nevyžádaným obchodním sdělením protestovat.
Pokud si nevíte s problematikou GDPR rady, neváhejte se obrátit na naši obchodní společnost.