Rozhodl tak Městský soud v Praze, čímž potvrdil dlouhotrvající názor Úřadu pro ochranu osobních údajů. Rozhodnutí padlo v rámci sporu o pokutu 80 tisíc korun, kterou Úřad udělil tuzemské společnosti, jež si šíření obchodních sdělení objednala u jiné společnosti z Ukrajiny. Ta ovšem neměla souhlas subjektů údajů k jejich rozesílání. Úřad tak toto zpracování označil jako nezákonné a objednavateli udělil pokutu ve zmíněné výši.
Objednavatel obchodních sdělení se proti pokutě odvolal k soudu. Zde se mu ovšem nepodařilo obhájit tvrzení, že ukrajinská společnost souhlasy měla a soud tak udělenou pokutu potvrdil. Rozsudkem se tak potvrdila skutečnost, že nezáleží na tom, kdo obchodní sdělení šíří, ale v čí prospěch tak činí. Do budoucna by tak nemělo být možné, aby se firmy vyhýbaly stíhání za nezákonně šířená obchodní sdělení přesunutím této činnosti na jiné společnosti.
Jak tedy správně zasílat obchodní sdělení?
- Obchodní sdělení rozesílejte pouze se souhlasem*. Jedinou výjimkou, kdy předem daný souhlas není třeba, je zasílání sdělení stávajícím klientům.
- Odesílaná zpráva musí být zřetelně označena jako obchodní sdělení – např. v předmětu zprávy musí být uvedeno newsletter, novinky, sleva
- Obchodní sdělení musí obsahovat identifikaci osoby (fyzické či právnické), jejíž výrobky, zboží či služby jsou propagovány. Pokud není odesílatel shodný s tím, v jehož prospěch se sdělení zasílá, pak je nezbytné jasně uvést jak odesílatele, tak objednatele.
- Obchodní sdělení musí obsahovat platnou emailovou adresu, na kterou lze zaslat zrušení zasílání těchto sdělení. Další variantou může být možnost linku v rámci sdělení, po jehož využití dojde k odhlášení zasílání obchodních sdělení automaticky.
- Výše zmíněné varianty zrušení zasílání obchodních sdělení musí být dány v každé jednotlivé zprávě. Tyto možnosti musí být dostatečně zřetelné, uskutečnitelné jednoduchým způsobem, zdarma nebo na účet podnikatele.
GDPR po 2 letech účinnosti – přes 200 pokut v celé EU
212 pravomocných pokut bylo uděleno napříč Evropskou unií s celkovou výší dosahující 145 milionů euro. Nejvyšší pokuta byla udělena ve Francii technologickému gigantovi Google, a to ve výši 51 miliónů euro, nejmenší pak v Maďarsku, kde pokuta, kterou dostala místní nemocnice, nepřesáhla ani 100 euro.
Pokud byste chtěli porušovat GDPR, nejezděte do Španělska. Čekal by Vás tam totiž jednoznačně nejaktivnější dozorový úřad v rámci EU, který udělil již 55 pokut. Na druhém místě se umístilo Rumunsko s 22 pokutami. Na chvostu peletonu bychom pak našli Belgii a Řecko, kde dozorové úřady udělily každý po 6 finančních sankcích. Český Úřad pro ochranu osobních údajů se s počtem 11 udělených pokut nachází někde uprostřed.
Pokutám za porušení GDPR se nevyhnuly ani fyzické osoby. Nejvyšší pokuta ve výši 11 tisíc euro byla udělena rakouskému fotbalovému trenérovi, který tajně natáčel své svěřenkyně ve sprše.
Pro úplnost je třeba zmínit, že do uvedených statistik byla započítána jen ukončená řízení. S celkovou výší udělených pokut mohou v budoucnu zamávat především dva spory z Velké Británie, které ještě probíhají a kde se výše navrhovaných sankcí dohromady vyšplhala až na závratných 315 milionů euro.
I přes tyto statistiky se objevují hlasy, že není GDPR dostatečně vynucováno. Podle nedávno vypracované analýzy webovým prohlížečem brave.com je hlavním problémem nedostatečné stíhání nezákonného zpracování osobních údajů. Tím je míněno především zpracování bez adekvátního právního titulu (čl. 6 a 9 GDPR – např. souhlas subjektu údajů, splnění smlouvy, právní povinnost, veřejný zájem atp.). Příčinou nedostatečného vynucování GDPR je dle studie zejména nedostatečná podpora EU a národních vlád, které by měly dozorovým úřadům zajistit především dostatek financí. Ty by pak úřadům pomohly zajistit odpovídající kapacity pro stíhání nezodpovědných správců osobních údajů.
Dle zkušeností naší společnosti se zmíněný nedostatek zdrojů týká především kybernetických prohřešků proti GDPR. To potvrzuje i výše zmíněná analýza, jež konstatuje, že pouze 5 dozorových úřadů z celkového počtu 28 (jeden za každý členský stát EU) vyčleňuje na kontrolu technologických společností více než 10 zaměstnanců. Takový počet je v dnešní době zcela neadekvátní.
*V případě, že objednatel rozesílky pověřuje další subjekt rozesíláním obchodních sdělení, je důležité, aby se ujistil, že jsou obchodní sdělení zasílána pouze na kontaktní údaje adresátů, kteří udělili řádný souhlas k zasílání obchodních sdělení.
Pokud si nevíte s uvedenou problematikou rady, neváhejte se obrátit na naši obchodní společnost