Irský dozorový úřad (DPC) tento týden oznámil, že populární komunikační aplikace WhatsApp,
vlastněná Facebookem, obdržela vysokou pokutu ve výši 225 miliónů euro (cca 5,7 miliardy korun),
za porušení Nařízení GDPR.
DPC již v minulosti obdržel velmi mnoho konkrétních stížností na zpracování osobních údajů
WhatsAppem, přesto se rozhodl zahájit vyšetřování na základě vlastního rozhodnutí. DPC si tak mohl
sám určit, v jakém rozsahu bude celou kontrolu provádět. Nakonec se zaměřil na jeden ze základních
principů celého Nařízení GDPR – transparentnost zpracování.
Zásada transparentnosti požaduje, aby správce osobních údajů jasným, srozumitelným a snadno
dostupným způsobem informoval subjekty o zpracování jejich osobních údajů jako celku. V případě
WhatsAppu může na přetřes v tomto ohledu přijít především kontroverzní předávání osobních údajů
svých uživatelů mateřské společnosti Facebook.
V konečném důsledku pak navíc může často docházet k situaci, kdy WhatsApp zpracovává osobní
údaje i jiných subjektů než svých uživatelů. Jednou z funkcí WhatsAppu je totiž i propojení všech
Vašich kontaktů v paměti mobilu, kartě SIM apod. se seznamem kontaktů v této aplikaci. WhatsApp
tak má přístup i k osobním údajům lidí, které máte ve svém kontaktním seznamu, ale kteří zároveň
nejsou uživateli zmíněné komunikační aplikace. Takové subjekty pak lze jen těžko informovat.
Ostatně na tuto skutečnost DPC ve svém vyšetřování upozornil, když uvedl, že WhatsApp se dopustil
porušení hned čtyř článků Nařízení GDPR. Vedle uvedené finanční pokuty pak DPC WhatsAppu
nařídilo provést několik organizačních opatření za účelem nápravy současného nevyhovujícího
zpracování osobních údajů. Nicméně zda skutečně WhatsApp zaplatí pokutu a přijme nová opatření
je nejisté – zástupci aplikace už totiž sdělili, že se proti výsledku celého vyšetřování hodlají odvolat.
I přes to, že DPC udělil doposud druhou nejvyšší pokutu za porušení Nařízení GDPR v rámci celé
Evropy, je stále terčem kritiky ochránců údajů. Podle nich irský dozorový úřad dostatečně rychle a
razantně nestíhá veškeré prohřešky velkých nadnárodních technických společností. Velký počet z nich
má totiž sídlo pro své evropské aktivity právě na území Irska.
Nová právní úprava ochrany oznamovatelů – proč je lepší, aby Váš vnitřní oznamovací systém spravoval externí subjekt?
Hlavním cílem chystané právní úpravy whistleblowingu je poskytnutí dostatečných záruk oznamovateli, které zajistí, že za podání oznámení nebude nijak potrestán ze strany příslušného povinného subjektu.
Z tohoto důvodu se pak může jevit jako paradoxní, pokud by jednu z možností, jak oznámení podat, měl spravovat právě povinný subjekt. A to jak z pohledu oznamovatele, tak samotného povinného subjektu.
Oznamovatel spíše zvolí jinou cestu, pokud si nebude jistý, že daný vnitřní oznamovací systém je nastavený tak, že skutečně zajistí řádné projednání oznámení, ale především, že zajistí jeho anonymitu.
Pro povinný subjekt je velmi důležité, aby si pro podání oznámení případný oznamovatel zvolil právě vnitřní oznamovací systém. Jen tak má totiž povinný subjekt možnost vyřešit možný protiprávní stav sám a vyhnout se tak možnému zapojení orgánů veřejné moci, které by mohlo v krajních případech vyústit v udělení možných pokut nebo jiných forem sankcí.
Externí zajištění vedení vnitřního oznamovací systému je schopné transparentněji zajistit veškeré nezbytné nástroje, včetně zachování anonymity oznamovatele a dalších důležitých aspektů, které ve výsledku spíše motivují oznamovatele zvolit právě tuto variantu, protože mu nehrozí možná odvetná opatření.
Nesmíme pominout ani samotné vyhodnocení oznámení a navrhnutí následných opatření. Oznámení se totiž může týkat prakticky čehokoliv, a tak velmi často nebude v silách povinného subjektu zajistit dostatečné právní zhodnocení celé věci, což by mohlo vést k možným sankcím způsobených nesprávným vyřízením oznámení.
Pokud by se vaše společnost o chystané nové úpravě whistleblowingu chtěla dozvědět více, neváhejte nás kontaktovat