Source: http://tablet.epravo.cz/epm-4-17/strana-53
Timestamp: 2018-05-22 10:02:41+00:00

Document:
Strana 53 | EPM 4/17 | EPRAVO.CZ Reader
dech musel být udělen pro určitý okruh subjektů (předem známí potenciální kupci), přičemž následně by musel být aktualizován, pokud by docházelo ke změnám v osobách příjemců (resp. kupců databází s osobními údaji). Jako informovaný souhlas totiž není možné posoudit takový souhlas, který je subjektem údajů dán „generálně“ pro neurčitý okruh šiřitelů – alespoň podle stávajícího výkladů Úřadu. Do budoucna tak bude nezbytné všechny příjemce osobních údajů v souhlasu vždy identifikovat, a to zcela konkrétně tak, aby nedocházelo k poskytování „bezbřehých“ souhlasů. Nedostatečná určitost identifikace třetích stran (např. kategorickým vymezením) by totiž eliminovala možnost subjektů údajů domáhat se svých zákonných práv (např. práva na přístup, opravu či doplnění osobních údajů) přímo u nich, jakožto dalších správců osobních údajů. Úřad k tomu ve Stanovisku uvedl, že „[v]zhledem k náležitostem, které musí souhlas mít, aby na jeho základě bylo možné legálně zasílat obchodní sdělení třetích stran, považuje Úřad za nezbytné zdůraznit, že je vysoce nepravděpodobné, že bude existovat taková databáze, jejímž obsahem budou kontakty na osoby, které řádný souhlas udělily. Úřad také upozorňuje na to, že vzhledem k výše uvedenému není možné jako informovaný souhlas posoudit souhlas, který je dán „generálně“, tj. neurčitému okruhu subjektů (šiřitelů) k neurčitým nabídkám.“
Úplatné předávání osobních údajů třetím osobám
prokázat, že subjekt údajů poskytl jednak řádný souhlas se zpracováním osobních údajů podle Zákona a současně i souhlas se zasíláním obchodních sdělení podle zákona č. 480/2004 Sb., o některých službách informační společnosti, v platném znění. V opačném případě by se příjemce – další správce osobních údajů – vystavoval riziku sankcí podle obou zmíněných právních předpisů.
Závěr Ve Stanovisku Úřad upozorňuje, že v souvislosti s výše uvedeným aktuálně sankcionoval pokutou ve výši 36 000 Kč společnost Zaplo Finance s.r.o., u které na základě zakoupené databáze osobních údajů došlo k rozesílání nevyžádaných obchodních sdělení (viz § 11 zákona č. 480/2004 Sb., o některých službách informační společnosti, v platném znění). Poměrně nízkou výši pokuty (u právnické osoby lze za takový přestupek uložit pokutu až do výše 10 000 000 Kč) odůvodnil Úřad skutečností, že stížností bylo málo a míra škodlivosti tak byla nízká. Úřad však ve Stanovisku rovněž předeslal, že se bude „v rámci prováděných kontrol tímto tématem nadále intenzivně zabývat“. Protože výše uvedené povinnosti správců osobních údajů budou platit i po vstupu GDPR v účinnost, měli by se prodejci databází na náležitosti řádného souhlasu subjektů údajů zaměřit. Za porušení podmínek týkajících se souhlasu se zpracováním osobních údajů bude totiž ode dne účinnosti GDPR Úřad oprávněn uložit porušujícím subjektům pokutu až do výše 20 mil. eur (v případě podniku až do výše 4 % celosvětového ročního obratu).
Samotné předávání osobních údajů třetím osobám, za účelem nabízení obchodu nebo služeb, upravuje ustanovení § 5 Zákona. V odstavci 6 zmíněného ustanovení jsou stanoveny podmínky, podle nichž lze osobní údaje jiným (dalším) správcům předávat pouze za předpokladu, že (i) byly získány v souvislosti s činností správce (popř. na základě souhlasu subjektu údajů), (ii) budou využívány pouze za účelem nabízení obchodu a služeb, a (iii) subjekt údajů byl o tomto postupu správce předem informován. Tyto podmínky pro předávání osobních údajů je třeba splnit kumulativně, přičemž podle § 5 odst. 6 Zákona nesmí tento další správce obdržené (event. zakoupené) osobní údaje předávat dále. Pokud by subjekt údajů souhlas s poskytnutím a předáním svých osobních údajů dalším správcům (pro účely nabízení obchodu a služeb) odvolal, bude správce dle ustanovení § 5 odst. 8 Zákona o tom rovněž povinen náležitě informovat veškeré příjemce (tedy další správce), kterým tyto osobní údaje poskytl. Při výzvě Úřadu k prokázání řádného a informovaného souhlasu subjektů údajů s nabízením obchodu a služeb by souhlas se zpracováním musel prokázat příjemce – další správce osobních údajů, a nikoliv jejich prodejce, jakožto původní správce. Pokud by příjemce předmětné osobní údaje dále využíval k zasílání obchodních sdělení a přímému marketingu, bylo by v takovém případě nutné
Mgr. Matěj Grödl, advokátní koncipient Rada & Partner advokátní kancelář, s.r.o.
Použité zdroje: 1. Zákon č. 101/2000 Sb., o ochraně osobních údajů, v platném znění 2. Zákon č. 480/2004 Sb., o některých službách informační společnosti, v platném znění 3. Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES 4. Stanovisko úřadu pro ochranu osobních údajů ze dne 30.6.2017, dostupné na internetové adrese: https://www.uoou.cz/vyuzivat-databaze-k-nbsp-rozesilani-nabidek-lze-jen-omezene/d-25003
Poznámka: [1] Dostupné na https://www.uoou.cz/vyuzivat-databaze-k-nbsp-rozesilani-nabidek-lze-jen-omezene/d-25003
www.epravo.cz I EPRAVO.CZ Magazine I 4/2017 I 51

References: zákona č. 480
 § 11
 zákona č. 480
 § 5
 § 5
 § 5