Španělský dozorový úřad (AEPD) udělil společnosti Vodafone España (dále jen jako Vodafone) pokutu
ve výši 8 150 000 euro za celkem čtyři prohřešky, přičemž tři z nich se týkaly Nařízení GDPR.
Vodafone jistě nepomohlo, že mezi lety 2018 až 2020 obdržel AEPD téměř dvě stovky stížností. Většina
z nich se týkala nevyžádaných obchodních sdělení, kterými se ostatně AEPD při své kontrole Vodafone
zabývala především. Vodafone navíc již mezi lednem 2018 a únorem 2020 obdržel od AEPD více než 50
sankcí, které očividně nevedli k nápravě, a tak AEPD přistoupilo k vyšší finanční sankci.
Co tedy bylo předmětem kontroly?
Vodafone opakovaně kontaktoval subjekty údajů s marketingovými nabídkami bez předchozího
souhlasu. Dále obtěžoval nevyžádanými obchodními sděleními i ty subjekty, kteří se předem jasně
vyjádřily, že o zasílání sdělení nemají zájem.
Vodafone pro účely zasílání marketingových sdělení užíval externí společnosti (tedy zpracovatele)
v takové míře, že během kontroly ze strany AEPD nebyl schopen doložit zákonnost takového zpracování
ve smyslu čl. 24 a 28 Nařízení GDPR (odpovědnost správce a zpracovatele a úprava jejich vzájemného
vztahu). Tento prohřešek byl ostatně AEPD vyhodnocen jako nejzávažnější a byl oceněn částkou 4
milióny euro.
Celková vysoká míra využití zpracovatelů také zapříčinila, že docházelo k velkému mezinárodnímu
přenosu dat, která Vodafone jako správce neměl plně pod kontrolou a nebyl tak schopen zajistit
dostatečná technická a bezpečnostní opatření. Za tento prohřešek proti čl. 44 Nařízení GDPR byl
Vodafone v rámci celkové výše pokuty potrestán sumou 2 miliony euro.
Velký počet zpracovatelů mj. také zapříčinil již zmíněné kontaktování osob, které marketingová sdělení
dříve odmítly, neboť správce ani zpracovatelé nevedli společnou evidenci takových osob. Kontaktování
těchto osob pak samozřejmě nebylo v souladu s Nařízením GDPR, konkrétně s článkem 21. Toto
pochybení spolu s dalším porušením místních španělských zákonů stálo Vodafone 2 milióny euro.
Zbylých 150 tisíc euro z celkové výše pokuty se týkalo pouze místního telekomunikačního zákona, nikoliv
samotného Nařízení GDPR.
Nařízení ePrivacy se pomalu blíží. Rada EU schválila svou variantu
Přes tři roky trvalo Radě Evropské unie, než se jednotliví zástupci členských států v ní shodli na
znění chystaného nařízení ePrivacy, jehož hlavním cílem by mělo být zajištění větší ochrany
soukromí na internetu. Především pak z pohledu přizpůsobení právní úpravy novým
technologiím.
Stávající směrnice je totiž účinná již od roku 2002. Nemůže tedy plně reflektovat rozmach chytrých
telefonů, sociálních sítí a jiných služeb, které byly v roce 2002 ještě v plenkách nebo dokonce
vůbec neexistovaly. Nová úprava bude navíc přijata ve formě nařízení a jako taková bude tedy na
rozdíl od stávající směrnice přímo aplikovatelná. To znamená, že například současná podoba
našeho právního řádu nevyžadující souhlas se zpracováním souborů cookies by již nebyla účinná.
Původní návrh ePrivacy pochází již z roku 2017, kdy s ním přišla Evropská komise. Po shodě
v rámci Rady EU nyní nové znění vstoupí do tzv. trialogu, kdy bude projednáváno dohromady
jednotlivými členskými státy, Evropským parlamentem a Komisí.
Mezi hlavní bod diskuze bude jistě patřit otázka, k jakému zpracování budou poskytovatelé služeb
na internetu potřebovat souhlas subjektů údajů, resp. spíše kdy ho potřebovat nebudou. ePrivacy
také bude mj. upravovat zpracování souborů cookies a jiných používaných metadat v online
prostředí nebo zasílání obchodních sdělení.
Právě v otázce zasílání obchodních sdělení by mohlo dojít ke změně. Současný návrh Rady EU
totiž počítá s nutností předem uděleného souhlasu pouze u fyzických osob, přičemž díky dalším
skutečnostem obsaženým v návrhu není zcela jasné, zda se povinnost udělení souhlasu bude také
vztahovat na činnost fyzických osob v rámci jejich účasti v právnických osobách (typicky půjde
např. o pracovní emailové schránky).
Dalším problematickým bodem může být soulad s Nařízením GDPR. ePrivacy totiž v mnoha
případech na úpravu v Nařízení GDPR odkazuje, nicméně může dojít ke střetům těchto právních
norem. Zatímco např. Nařízení GDPR pracuje s termínem subjekt údajů, ePrivacy vedle toho
používá i pojem zařízení. Bude se tedy souhlas se zpracováním souborů cookies u zařízení
používaného více subjekty vztahovat na všechny subjekty pracující s tímto zařízením, nebo jen na
některé z nich? To se samozřejmě dozvíme, až bude nařízení ePrivacy definitivně přijato