Finanční služby a pojišťovnictví

Kontrolovaná osoba: VZP + OZP (1. na základě kontrolního plánu, 2. stížnosti)

O co šlo: VZP a OZP na svých internetových stránkách zveřejnila seznam plátců, jejichž dluh přesáhl určitou výši

Výsledek kontroly: Nebylo zjištěno pochybení, neboť VZP i OZP od jednání upustily.

Názor ÚOOÚ: Obdobné zveřejnění osobních údajů dlužníků je nátlakové jednání, kterým jsou porušována jejich základní práva svobody. Bylo by možné pouze za předpokladu, že by k němu subjekt údajů udělil souhlas, které by splňoval veškeré náležitosti dle Nařízení GDPR.

Kontrolovaná osoba: Broker Consulting s.r.o. (ohlášení společností + poškozenými)

O co šlo: Předmětem kontroly byla ztráta zásilek, odeslaných prostřednictvím České pošty, které obsahovaly citlivé obchodní údaje jiných společností, pro které společnost Broker Consulting s.r.o. vykonávala poradenské služby. Zásilky byly nakonec po šesti týdnech nalezeny.

Výsledek kontroly: Nebylo možné s určitostí zjistit, u jaké ze tří stran (odesílatel – Česká pošta – příjemce) došlo k pochybení. Případ dále řeší Policie ČR na základě trestního oznámení, které podala Česká pošta.

Doporučení ÚOOÚ: V návaznosti na vnitřní podmínky je třeba přijmout dostatečná technická a bezpečnostní opatření. Při zjištění jejich narušení zabezpečení je třeba tento případ řádně zdokumentovat a případně věc oznámit Úřadu nebo dotčeným subjektům údajů. Dále je třeba také promyslet, zdali není vhodné věc oznámit i Policii ČR.

Personalistika, zaměstnavatelé

Kontrolovaná osoba: Randstad s.r.o. (stížnost)

O co šlo: Kontrolovaná osoba si údajně i po ukončení pracovního poměru se zaměstnancem nezrušila jeho emailovou schránku. Navíc si k dotyčnému mailu měla ponechat i přístupové údaje.

Výsledek kontroly: Nebylo zjištěno pochybení na straně kontrolované osoby. Ta měla přístup k pracovní emailové schránce zajištěn vnitřními předpisy + provedla dostatečná technická a bezpečnostní opatření v souladu s Nařízením. V emailu byla dále nastavena automatická odpověď informující o zrušení emailové adresy a případném novém kontaktu.

Doporučení ÚOOÚ: Přístup zaměstnavatele do e-mailové schránky bývalých zaměstnanců bez jejich souhlasu není zpravidla oprávněným přístupem. U odcházejících zaměstnanců nastavit automatickou informativní odpověď, respektive žádost o zaslání zprávy na jinou e-mailovou adresu.

Kontrolovaná osoba: 42 Financial Services a.s. (stížnost)

O co šlo: Podle podatele kontrolovaná osoba (bývalý zaměstnavatel podavatele) plně nevyhověla jeho žádosti o přístup k osobním údajům.

Výsledek kontroly: Ze strany Úřadu bylo zjištěno, že kontrolovaná osoba plně nevyhověla žádosti o právo na přístup k informacím, neboť nesdělila kompletní seznam příjemců osobních údajů, včetně zpracovatelů.

Doporučení ÚOOÚ: Na žádost o přístup k osobním údajům vždy poskytněte informaci o konkrétních příjemcích, nikoli pouze kategorie příjemců. Pouhou kategorii příjemců lze poskytnout jen tehdy, není-li identita příjemců správci (prozatím) známa, například proto, že osobní údaje jim mají (nebo mohou) být předány až v budoucnu.

Marketing

Kontrolovaná osoba: STEN/MARK a.s. (podnět předsedkyně)

O co šlo: Na základě podnětu bylo zjištěno, že kontrolovaná osoba pracuje s nelegální databází osobních údajů, kterou nedávno zakoupila a na jejímž základě oslovuje dotčené subjekty údajů. Obsahem databáze ovšem byly osobní údaje, které byly odcizeny telefonnímu operátorovi.

Výsledek kontroly: Úřad udělil kontrolované osobě pokutu ve výši 400 tisíc korun za koupi této nelegální databáze a její následné využití.

Doporučení ÚOOÚ: Prodej a koupě databází s osobními údaji z neznámých zdrojů je nelegální. Osloví-li Vás někdo s nabídkou databáze, odmítněte jej a věc ohlaste Policii České republiky, příp. Úřadu.

Kontrolovaná osoba: STUDENT AGENCY k.s. (kontrolní plán)

O co šlo: Kontrolovaná osoba zpracovávala osobní údaje za účelem přímého marketingu, a to na základě právního titulu souhlasu subjektů údajů se zpracováním osobních údajů, resp. oprávněného zájmu správce. Dále docházelo i k využívání právního titulu v zákoně č. 480/2004 Sb. – na základě zákaznického vztahu.

Výsledek kontroly: Na základě kontroly bylo zjištěno, že společní správci spolu neuzavřeli ujednání o odpovědnosti za plnění povinnosti stanovených v Nařízení, čímž porušili čl. 26 Nařízení. V návaznosti na toto (ne)jednání pak kontrolovaná osoba dále porušila čl. 13 Nařízení, neboť dostatečným způsobem neinformovali subjekty údajů o identitě správců. Dále bylo zjištěno porušení zmíněného právního titulu v zákoně č. 480/2004 Sb., neboť došlo ze strany kontrolované osoby ke kontaktování osob, které zákazníkem nebyly nebo zasílání podobných informačních emailů dříve odmítly. Za druhý zmíněný prohřešek byla kontrolované osobě udělena pokuta ve výši 7 tisíc korun.

Doporučení ÚOOÚ: Společní správci jsou mezi sebou povinni uzavřít dohodu, ve které vymezí své podíly na odpovědnosti a zejména na vyřizování žádostí subjektů údajů. O této dohodě správce musí subjekty údajů informovat. Bez ohledu na obsah takové dohody se však subjekt údajů může se svou žádostí obracet na kteréhokoli ze společných správců.

Prodej zboží a služeb

Kontrolovaná osoba: Alza.cz a.s. (stížnosti)

O co šlo: Podle stěžovatele kontrolovaná osoba nereagovala na jeho odvolání souhlasu se zpracováním kopie občanského průkazu a fotografie v rámci nabízené služby ,,Třetinka‘‘.

Výsledek kontroly: Kontrolou bylo zjištěno, že skutečně došlo k tomuto pochybení ze strany kontrolované osoby. V návaznosti na toto pochybení pak došlo k řetězci na sebe navazujících pochybení – neoprávněné zpracování osobních údajů (po odvolání souhlasu zmizel i tento právní titul), odvolání souhlasu musí být stejně jednoduché jako jeho poskytnutí a dále byl porušen čl. 29. Dohromady tedy šlo o čtyři provinění vůči Nařízení GDPR, za což Úřad udělil pokutu ve výši 15 tisíc korun.

Doporučení ÚOOÚ: Žádost subjektu údajů, včetně odvolání souhlasu nebo vznesení námitky, je správce zásadně povinen vyřídit bez zbytečného odkladu, nejpozději do jednoho měsíce. Nevyřídí-li správce žádost včas nebo není-li s vyřízením subjekt údajů spokojen, může se obrátit na Úřad. Úřadu je nutno doložit žádost a případnou reakci správce na ni.

Biometrické údaje

Kontrolovaná osoba: Metrostav a.s. (kontrolní plán)

O co šlo: Správce (kontrolovaná osoba) využíval na stavbách systém FaceID jakožto kontrolu docházky zaměstnanců a dále jako kontrolu o povědomí osob, které se nacházejí v prostorách stavby. Tento systém byl pak dodán a spravován externí společností (zpracovatel)

Výsledek kontroly: Úřad neshledal žádná provinění. Zpracování osobních údajů se jeví jako přiměřené, neboť účelu nelze dosáhnout jinými, méně invazivními, prostředky. Kontrolovaná osoba dále neporušila ani další, přidružené povinnosti, vyplývající jí z Nařízení (zpracovatelská smlouva, minimalizace, omezení uložení, informační povinnost, záznamy o činnosti zpracování).

Doporučení ÚOOÚ: Úřad poukazuje na skutečnost, že v dané věci se jednalo o zcela specifický případ, kdy kontrolovaná osoba byla schopná prokázat, že zpracování biometrických údajů je nezbytné pro účely plnění specifických povinností správce ve smyslu čl. 9 odst. 2 písm. b) nařízení (EU) 2016/679 (zejména bezpečnosti na rozsáhlém staveništi). Kontrolovaná osoba přitom nebyla tohoto souladu schopná dosáhnout jinými, méně invazivními prostředky, resp. dříve použité méně invazivní prostředky se ukázaly jako neúčinné. V této souvislosti je proto nezbytné upozornit na skutečnost, že za běžných okolností se zaměstnavatelé při zpracování biometrických údajů nemohou tohoto právního titulu dovolávat.

Kontrolovaná osoba: Česká spořitelna, a.s. (kontrolní plán)

O co šlo: Kontrolovaná osoba jako správce osobních údajů zpracovává biometrické osobní údaje (hlasovou biometrii) za účelem ověření identity klienta při telefonátu do klientského centra správce.

Výsledek kontroly: Úřad nezjistil žádné porušení. Zpracování probíhá na základě souhlasu subjektů údajů. Souhlas s poskytnutím hlasové biometrie je dobrovolný a subjekt údajů ho může na každém obchodním místě nebo na bezplatné telefonní lince kdykoliv odvolat. Kontrolovaná osoba plní informační povinnost a přijala technická a organizační opatření pro zabezpečení osobních údajů.

Doporučení ÚOOÚ: Biometrické technologie nejsou plnou náhradou jiných bezpečnostních řešení a samy o sobě větší bezpečnost nezajišťují. Správci pořizující si tyto systémy mají nejen povinnost posoudit přiměřenost konkrétního řešení a rizika s ním spojená, ale také musí vhodně kombinovat biometrický systém s dalšími bezpečnostními opatřeními. Správci musí předem zkoumat, zda existují vážné hrozby, které instalaci takových systémů odůvodňují, a průběžně posuzovat účinnost biometrických systémů. Použití biometrického systému za účelem ověření identity zákazníka je přitom obecně možné pouze na základě výslovného souhlasu tohoto zákazníka.

IT technologie

Kontrolovaná osoba: Společenství vlastníků Plzeňská 381/64 (stížnosti)

O co šlo: Do bytového domu byl instalován kamerový systém na základě oprávněného zájmu správce (ochrana majetku a zdraví osob). Kamery byly umístěny uvnitř objektu, kde snímaly především vchod do budovy a společný prostor uvnitř. Jedna z kamer ovšem zabírala i vchodové dveře do jednoho z bytů.

Výsledek kontroly: Po posouzení všech okolností (účel, právní titul, doba zpracování, počet kamer, informační povinnost a zabezpečení pořízených záznamů) došel Úřad k závěru, že zde nedošlo k pochybení ze strany kontrolované osoby, jejíž zájem převyšoval zájem dotčených subjektů údajů. To se ovšem netýkalo oné kamery, která mj. snímala i vstup do jednoho z bytů, čímž došlo k porušení zásady minimalizace. Jelikož ale došlo k včasnému zásahu kontrolované osoby (změna záběru kamery), nebyla udělena žádná pokuta.

Doporučení ÚOOÚ: Kamerový systém nesmí nadměrně zasahovat do soukromí osob. Monitorování vstupního prostoru do jednoho z bytů této zásadě neodpovídalo a jako takové není ospravedlnitelné žádným právním titulem, kromě souhlasu dotčených osob.

Kontrolovaná osoba: Secure Home s.r.o. (stížnosti)

O co šlo: Na základě oznámení došlo k podezření, že kontrolovaná osoba nedostatečně zabezpečila své úložiště kamerových záznamů, které unikly na Facebook.

Výsledek kontroly: Na základě informací získaných v rámci kontroly nebylo možné relevantně zjistit, zda a v jaké míře kontrolovaná osoba zpracovává osobní údaje ve formě videozáznamů a fotografií. I kvůli tomu tak nebylo možné zjistit, zda zanedbává své povinnosti, které jí vyplývají z Nařízení.

Doporučení ÚOOÚ: Pořizování a následné ukládání videozáznamů a fotografií podléhá povinnostem, které vyplývají z Nařízení. V případě žádosti o odstranění těchto záběrů ze sociální sítě lze kontaktovat jak správce osobních údajů, tak samotnou sociální síť.

Kontrolovaná osoba: fyzická osoba podnikající (ohlášení kontrolovanou osobou)

O co šlo: Fyzická osoba podnikající (OSVČ) byla provozovatelem online hry. Ta se ovšem stala terčem DDoS útoků. Autor útoků nabídl OSVČ ukončení útoků a zajištění lepšího zabezpečení. Následně ji ovšem podvedl a zcizil osobní údaje klientů OSVČ v podobě 4,5 tisíce účtů. FOO následně informovala Úřad.

Výsledek kontroly: FOO nedostatečně zabezpečila osobní údaje (čl. 32 Nařízení). V návaznosti na to pochybila i vůči čl. 5 odst. 1 písm. f, resp. odst. 2 (integrita a důvěrnost + odpovědnost). Během kontroly bylo dále zjištěno, že OSVČ neuzavřela se svými zpracovateli zpracovatelské smlouvy, čímž porušila čl. 28 odst. 3 Nařízení.

Doporučení ÚOOÚ: V případě, že se Váš počítačový systém nebo program stane předmětem útoku, oznamte věc Policii České republiky a v případě, že jsou dotčeny osobní údaje, vyhodnoťte, zda máte povinnost řídit se články 33 a 34 nařízení (EU) 2016/679 (povinnosti při porušení zabezpečení osobních údajů). V žádném případě však útočníkovi nebo jinému neznámému původci neumožňujte se podílet na zvyšování bezpečnosti Vašeho systému tím, že využijete program nebo soubor, který vám dodá.

Kontrolovaný osoba: Avast Software s.r.o. (stížnost)

O co šlo: Na základě stížnosti bylo zkoumáno, zda kontrolovaná osoba neoprávněné nezpracovává osobní údaje svých klientů (platících i neplatících).

Výsledek: Na základě kontroly bylo zjištěno, že kontrolovaná osoba zpracovává o svých klientech několik specifických indikátorů, včetně IP adresy a jedinečného značení zařízení uživatele. Během kontroly bylo určeno (i s pomocí CJEU judikatury), že se skutečně jedná o osobní údaje. Byť kontrolovaná osoba plně spolupracovala, odmítá, že by v tomto případě osobní údaje zpracovávala, neboť se podle ní o osobní údaje nejedná. Tím pádem nebyla schopna doložit soulad zpracování s Nařízením GDPR (zejména s čl. 5) a Úřad tak tuto situaci nemohl zhodnotit. Pokud kontrolovaná osoba tento protiprávní stav sama neopraví, zahájí Úřad řízení o uložení opatření k odstranění zjištěných nedostatků.

Doporučení ÚOOÚ: Také údaje o používání určitého zařízení, je-li toto zařízení jednoznačně identifikováno a jsou-li tyto údaje spojeny s jednoznačným identifikátorem, mohou ve svém souhrnu vést k identifikaci konkrétní fyzické osoby. Takové údaje jsou poté osobními údaji, a to i pokud identifikace subjektů údajů není prováděna a ani není záměrem správce.

Ostatní

Kontrolovaná osoba: Česká televize

O co šlo: Stěžovatel byl předmětem reportáže z roku 2009, kde byl označen jako hledaný pro spáchání trestného činu. Po zahlazení jeho výkonu trestu se dožadoval odstranění této reportáže. Česká televize ze svého archivu smazala videozáznam reportáže, ponechala ovšem titulek (ve kterém bylo jméno stěžovatele a město, ve kterém spáchal trestný čin) a to na základě provedeného balančního testu. Stěžovatel tak znovu zažádal o využití svého práva na výmaz, Česká televize ovšem žádost zamítla, přičemž primárně argumentovala svobodou projevu a právem veřejnosti na informace.

Výsledek kontroly: Úřadu se jeví jako proporcionální smazání videa a zároveň ponechání předmětného titulku. Česká televize pak postupovala dle platné legislativy, když v této situaci provedla balanční test zpracování osobních údajů.