GDPR slaví první rok

Nárůst stížností a sedm pokut to vyplynulo z informací ÚOOÚ k prvnímu výročí účinnosti Nařízení GDPR. Nejčastěji se stížnosti týkaly souhlasu se zpracováním osobních údajů a nevyžádaných obchodních sdělení, kde hrál prim telemarketing. A stížností by patrně bylo ještě víc, Úřad se ovšem setkával s řadou omylů ze strany veřejnosti. Tím hlavním byl fakt, že veškeré zpracování osobních údajů musí být na základě souhlasu se zpracováním. Právě tím se nejčastěji zastřešovaly stížnosti, kterým Úřad nemohl vyhovět. Se souhlasy pak souvisel i nejčastější omyl soukromých subjektů spravujících osobních údajů, které vyžadovaly nadbytečně souhlasy se zpracováním osobních údajů. Velmi silný zásah mělo GDPR i směrem ven z Evropské unie. I přes hojnou kritiku Nařízení v mediích a mezi širokou veřejností se ve světě GDPR inspirují. Vedle Velké Británie, Japonska, Brazílie a Indie chystají podobnou legislativu například v USA. Reagují mj. i na fakt, že GDPR se dotýká i těch subjektů mimo EU, kteří zpracovávají osobní údaje občanů Evropské unie. Vedle toho podporují myšlenku obdoby evropského Nařízení po celém světě i zástupci velkých korporací v čele s Microsoftem nebo Applem. I díky tomu je Nařízení GDPR jednou z nejvýznamnějších evropských technologických inovací poslední doby s celosvětovým dopadem.

V minulých vydáních našeho newsletteru jsme Vám představili, co předchází kontrole ÚOOÚ a jak samotná kontrola probíhá. Dnes Vám představíme možnost, kdy v oznámení o zahájení kontroly není přesně stanovené datum kontroly a shrneme celkové informace o kontrolách. Pokud v oznámení o kontrole není uveden termín ústního jednání, pak se jedná pouze o žádost o součinnost – tedy vyžádání si informací a dokumentů, které má kontrolovaná osoba v rámci kontroly Úřadu poskytnout. Zpravidla je tak nutné učinit ve lhůtě 14 dní, která je stanovena v oznámení. Jedná-li se o věc složitou, může být termín delší. Kontrolovaná osoba může být v rámci kontroly opakovaně vyzvána k součinnosti, resp. doplnění podkladů. Pokud je kontrola zahájena a vedena zatím bez ústního jednání a šetření na místě, neznamená to, že takovýto postup Úřad nevyužije. Ústní jednání spolu s místním šetřením totiž může být kdykoliv během kontroly stanoveno, ovšem nejméně se 14denním předstihem.

dosud největší pokutou udělenou Úřadem pro ochranu osobních údajů během fungování GDPR bylo 250.000 Kč?

Kontrolovaná osoba po oznámení kontroly dostává velkou šanci k nápravě protiprávního jednání, a to ještě dříve, než dojde k samotnému místnímu šetření. Úřad v průběhu kontroly zohledňuje, zda tak kontrolovaná osoba učiní či nikoliv. To má samozřejmě vliv i na případnou výši pokuty. Zároveň se posuzuje rozsah zásahu do práv subjektu údajů, případně zda se dotýká osobních údajů zvláštní kategorie. Pokud k nápravě nedojde, Úřad zahájí řízení o uložení opatření k nápravě, které může vést k udělení pokuty až do výše 10 milionů Kč pro všechny subjekty mimo samosprávné celky a úřady státní správy.