V roce 2021 se objevily závažné pochybnosti o tom, jak realitní kancelář M&M reality nakládala s
osobními údaji svých klientů. Lidé, kteří prostřednictvím této společnosti prodali své nemovitosti, začali
být oslovováni obchodníky s finančními produkty skupiny Arca Investments. Ti jim nabízeli investice
do směnek, a to právě v době, kdy Arca čelila vážným finančním problémům, když posléze dokonce
tato společnost zkrachovala.
Podle svědectví některých obchodníků spojených s Arca měla M&M reality zpřístupnit databáze s údaji
o klientech včetně detailů o jejich finančních transakcích. Zvlášť cenní byli ti, kteří nedávno prodali
nemovitost a disponovali volnou hotovostí. Sama realitní kancelář od počátku tvrdila, že žádná data
neposkytla a že uniklé informace nemusely pocházet z jejího systému. Přesto však incident musela
oznámit Úřadu pro ochranu osobních údajů (ÚOOÚ), který začal případ vyšetřovat.
Po letech správního řízení ÚOOÚ konstatoval, že M&M reality skutečně zpřístupnila osobní údaje
svých klientů subjektům napojeným na Arca Capital, aniž by pro to měla právní titul. Za tento přestupek
byla realitní kanceláři uložena pokuta ve výši 3,2 milionu korun. Úřad ve svém stanovisku zdůraznil, že
společnost nebyla schopna prokázat, na základě jakého právního titulu údaje sdílela.
Uložení správní pokuty je již pravomocné, M&M reality tedy finanční sankci uhradila. Z veřejně
dostupných informací nicméně vyplývá, že společnost s rozhodnutím ÚOOÚ nesouhlasí a bude se
proti němu bránit prostřednictvím správní žaloby.
Jedním ze základních principů zpracování osobních údajů dle GDPR je povinnosti správce být schopen
doložit soulad s tímto nařízením. V tomto konkrétním případě šlo o doložení legitimního právního
důvodu předání (zpracování) osobních údajů. Z praxe vyplývá, že správci se často mylně domnívají, že
k podobnému předání postačí pouze uzavření smlouvy mezi sebou, bez zapojení dotčených subjektů
údajů. Pokud však předávající správce nedisponuje adekvátním právním titulem pro takové předání,
pouhá smlouva mezi dvěma správci adekvátní právní titul pro takové předání nepředstavuje. Pokud
pak tato povinnost není splněna, vystavuje se správce nejen vysokým sankcím, ale i ztrátě důvěry svých
klientů.