Řecký dozorový úřad pro ochranu údajů udělil poradenské společnosti PwC pokutu ve výši 150 000 euro. Člen Velké čtyřky se podle dozorového úřadu dopustil hned několika prohřešků proti Nařízení GDPR. PwC své zaměstnance bezdůvodně nutilo podepsat souhlas se zpracováním osobních údajů, čímž se na ně snažilo přenést odpovědnost za samotné zpracování. Zároveň se tím dopustilo vynucování nadbytečných souhlasů se zpracováním – to bylo totiž založeno na základu plnění pracovní smlouvy a dodržování zákonných povinností. Dále se člen poradenské Velké čtyřky provinil proti principu transparentnosti, když své zaměstnance nedostatečně informoval o tom, na základě jakého právního titulu jejich osobní údaje ve skutečnosti zpracovává. Podle řeckých úřadů je výše pokuty přiměřená i proto, že PwC z tohoto provinění nijak finančně neprofitovalo, a navíc nedošlo ani k újmě na straně zaměstnanců společnosti.
Jaké si z toho vzít poučení
I tuzemský Úřad pro ochranu osobních údajů se již několikrát zabýval nadbytečným vyžadováním souhlasu se zpracováním osobních údajů. Často totiž správci vyžadují souhlasy se zpracováním zbytečně, neboť osobní údaje zpracovávají již na základě jiného právního titulu. To je ovšem v rozporu s Nařízením GDPR a Úřad za takovéto jednání může udělit i pokutu. Vždy se tak před vyžadováním souhlasu se zpracováním zamyslete, zdali dotyčné osobní údaje již nezpracováváte na jiném právním základu.
Zákazník se u soudu domohl odškodného za uniklé osobní údaj
Již před rokem jsme Vás informovali o vysoké pokutě 1,5 miliónu korun, kterou společnost Mall.cz dostala od Úřadu pro ochranu osobních údajů za únik dat více než sedmi set tisíc jejich zákazníků. Jeden z nich teď navíc na společnosti vysoudil odškodné ve výši 10 tisíc korun. V odůvodnění rozsudku bylo mj. uvedeno, že bylo narušeno právo na informační sebeurčení, v rámci něhož je na každém, jaké osobní údaje o sobě na internetu zveřejní. Toto právo pak dle soudu bylo narušeno i přes to, že některé z odcizených dat o sobě poškozený sdílel již před únikem.
Jedná se o historický rozsudek v rámci České republiky od účinnosti Nařízení GDPR – dosud se nikomu nepovedlo získat odškodné za nesprávné zpracování osobních údajů v případě, kdy již byla udělena pokuta Úřadem pro ochranu osobních údajů. Společnost Mall.cz se rozhodla neodvolat, rozsudek je tak pravomocný. Jakkoli se výše odškodného nemusí jevit jako vysoká, jistě si dovedete představit, jak fatální by pro společnost Mall.cz byla situace, kdy by byla žalována ze strany každého zákazníka.
Věděli jste, že..
…VIN kód bez dalších informací není osobním údajem?
Rodná čísla zmizí z občanských průkazů až v roce 2022
Původně se počítalo již s příštím rokem, vláda ale nyní navrhla tříletý odklad, který byl ve sněmovním výboru následně zkrácen na dva. Podle vlády na vyjmutí rodného čísla z občanských průkazů nejsou úřady připraveny. Třetí čtení návhu zákona proběhlo ve sněmovně dne 8. 11. 2019, návrh zákona byl schválen. Se změnou původně navrženého roku 2020 ovšem nesouhlasí opozice, ani Úřad pro ochranu osobních údajů. Opoziční představitelé argumentují zejména tím, že rok 2020 byl schválen již před 10 lety a úřady tak měly dost času na to se připravit. Podle Úřadu pak jako identifikátor slouží již řadu let i číslo občanského průkazu. Uvádění rodného čísla je tak podle ÚOOÚ zbytečné.
Pokud si nevíte s problematikou GDPR rady, neváhejte se obrátit na naši obchodní společnost.