GDPR pokuty se blíží k Česku (zatím jen geograficky)

Polský úřad pro ochranu osobních údajů (Urzad Ochrony Danych Osobowych) uložil minulý týden pokutu za nesplnění informační povinnosti. Předsedkyně úřadu uvedla, že uložení pokuty bylo nezbytné, jelikož správce přímo porušil povinnost, kterou mu stanoví GDPR.

V posuzovaném případě správce zpracovával osobní údaje více než šesti miliónů osob. Tyto údaje získal z veřejně dostupných zdrojů, mezi nimi např. z centrálního elektronického registru. Osobní údaje pak dále zpracovával pro obchodní účely. O zpracování údajů však informoval pouze ty subjekty osobních údajů, jejichž e-mailovou adresu měl k dispozici. Informační povinnost vůči ostatním subjektům navíc správce splnil pouze prostřednictvím webových stránek. Postup správce obhajoval tak, že u ostatních subjektů měl k dispozici jen jejich poštovní adresy a telefonní čísla a informování o zpracování by tudíž bylo velmi nákladné.

Podle GDPR je správce osobních údajů povinen informovat osobu, jejíž osobní údaje zpracovává, mj. o totožnosti a kontaktních údajích správce, o účelu zpracování a době uložení osobních údajů. Dále je povinen tuto osobu informovat o jejích jednotlivých právech, např. o právu na opravu, výmaz nebo omezení zpracování osobních údajů; o právu vznést námitku proti zpracování osobních údajů nebo podat stížnost u dozorového orgánu. Nesplnění informační povinnosti prakticky zbavuje subjekty osobních údajů možnosti uplatňovat jejich práva. Ty navíc ani neví, že jejich osobní údaje vůbec někdo zpracovává. Polský regulátor považoval porušení správce za závažné, protože ohrožovalo základní práva a svobody osob, jichž se toto jednání přímo dotýkalo. Úřad navíc uvedl, že z 90 000 osob, vůči kterým byla informační povinnost vůbec splněna, jich více než 12 000 zpracovávání svých osobních údajů jasně odmítlo.

Podle předsedkyně úřadu bylo takové splnění informační povinnosti nedostačující. Správce osobních údajů disponoval kontaktními údaji jednotlivých osob a mohl tedy svoji informační povinnost splnit jejich prostřednictvím. Z polského případu je zřejmé, že miliónové pokuty mohou padat nejen za porušení zabezpečení osobních údajů, tedy za různé úniky údajů do nepovolaných rukou, ale také za porušení informačních povinností. To platí zejména v případech jako je tento, kdy se porušení povinností podle GDPR týká značného množství subjektů údajů.