Předávání osobních údajů obchodními společnostmi za účelem nabízení obchodu nebo služeb

Inspektorům byly předány četné stížnosti na obchodní společnosti, které rozesílají nabídky nejrůznějšího zboží nebo služeb (od dětských zásypů a plenkových kalhotek až po automobily). Své nabídky tyto společnosti obvykle doprovázejí i nabídkami nejrůznějších výher v případě objednání dalšího zboží. Lidé si vesměs stěžují, že s těmito obchodními společnostmi nemají nic společného, že s nimi nikdy nejednali ani písemně nekomunikovali a že nikdy nedali žádný souhlas k tomu, aby byli oslovováni jakýmikoliv nabídkami, případně že jejich jméno a adresa nejsou a nikdy nebyly zveřejněny v žádném veřejném seznamu.

Na základě těchto stížností bylo provedeno pět kontrol a v rámci těchto kontrol prošetřena činnost nejen kontrolovaných společností, ale i společností s nimi spolupracujících.

Bylo zjištěno, že oslovování potenciálních klientů probíhá nejrůznějšími způsoby. Klient je oslovován prvotně obvykle reklamní zásilkou, která je doručena buď na běžně dostupnou adresu (např. z telefonního seznamu), nebo i bez adresy, např. roznáškou neadresovaných reklamních nabídek do poštovních schránek. Součástí tohoto prvotního oslovení je kromě nabídky zboží či služeb obvykle „kupón“, kde klient vypíše svoji dodací adresu, tedy své osobní údaje (obvykle jméno, příjmení a adresu) a podepíše souhlas se zpracováním těchto osobních údajů. Tento souhlas bývá obvykle velmi obecný, např. „Souhlasím s využitím obsažených osobních údajů společností XY a jejích marketingových partnerů pro další nabízení obchodu a služeb do odvolání tohoto souhlasu“. Poté klient odešle objednávku zpět a očekává, že na uvedenou adresu obdrží objednané zboží, což bývá dodrženo.

K prvotnímu oslovení klienta však dochází i jinými způsoby. Bylo šetřeno např. předávání malých dárkových balíčků rodičkám ještě v porodnici, kde žena získává zdarma dětský zásyp a současně podepíše souhlas se zpracováním svých osobních údajů pro marketingové účely.

Dalším způsobem je telefonická objednávka zboží ze strany klienta na základě inzerátu, kdy klient v rámci této telefonické objednávky nadiktuje své kontaktní údaje (dodací adresu), je telefonistkou informován o tom, že údaje budou předávány pro marketingové účely a tato informace je pak i součástí dodaného zboží.

Co se však stane s osobními údaji klienta, který podepsal v podstatě „bezbřehý“ souhlas s nakládáním s jeho jménem a adresou, nebo byl alespoň informován o tom, že jeho osobní údaje budou předávány za účelem nabízení obchodu a služeb? Obchodní společnosti tyto údaje téměř vždy předávají dalším společnostem, které označují jako své marketingové partnery. To jsou specializované marketingové společnosti, které pro obchodní společnosti (obvykle nejen pro jednu) za úplatu zabezpečují marketing. Tato marketingová společnost pak oslovuje onoho výše uvedeného klienta nejrůznějšími reklamními nabídkami na jeho adresu a s jeho souhlasem, a klient je udiven, kde tato marketingová společnost vzala jeho jméno a adresu. Navíc dochází i k tomu, že marketingová společnost má své subdodavatele služeb, a člověka oslovuje až tento subdodavatel, tedy vlastně již třetí společnost v pořadí.

A co na to říká zákon o ochraně osobních údajů?

§ 5 odst. 4:

Subjekt údajů musí být při udělení souhlasu informován o tom, pro jaký účel zpracování a k jakým osobním údajům je souhlas dáván, jakému správci a na jaké období. Souhlas subjektu údajů se zpracováním osobních údajů musí být správce schopen prokázat po celou dobu zpracování.

§ 5 odst. 5:

Provádí-li správce nebo zpracovatel zpracování osobních údajů za účelem nabízení obchodu nebo služeb subjektu údajů, lze pro tento účel použít jméno, příjmení a adresu subjektu údajů, pokud tyto údaje byly získány z veřejného seznamu nebo v souvislosti se svojí činností jakožto správce nebo zpracovatele. Správce nebo zpracovatel však nesmí uvedené údaje dále zpracovávat, pokud s tím subjekt údajů vyslovil nesouhlas. Nesouhlas se zpracováním je nutné vyjádřit písemně. Bez souhlasu subjektu údajů nelze k uvedeným údajům přiřazovat další osobní údaje.

§ 5 odst. 6:

Správce, který zpracovává osobní údaje podle odstavce 5, může tyto údaje předat jinému správci pouze za splnění těchto podmínek:

1. údaje subjektu údajů byly získány v souvislosti s činností správce nebo se jedná o zveřejněné osobní údaje,
2. údaje budou využívány pouze za účelem nabízení obchodu a služeb,
3. subjekt údajů byl o tomto postupu správce předem informován a nevyslovil s tímto postupem nesouhlas.

§ 5 odst. 7:

Jiný správce, kterému byly předány údaje podle odstavce 6, nesmí tyto údaje předávat jiné osobě.

§ 5 odst. 8:

Nesouhlas se zpracováním podle odstavce 6 písm. c) musí subjekt údajů učinit písemně. Správce je povinen informovat každého správce, kterému předal jméno, příjmení a adresu subjektu údajů, o tom, že subjekt údajů vyslovil nesouhlas se zpracováním.

Jak vyplývá z uvedených ustanovení zákona o ochraně osobních údajů, je chování obchodníků i marketingových společností v souladu se zákonem. V případě, že mají platný souhlas klienta podle § 5 odst. 4, nebo je-li klient řádně informován podle § 5 odst. 6 písm. c) a nevyjádřil nesouhlas, mohou být jeho údaje v rozsahu jméno příjmení a adresa předány jinému správci – marketingové společnosti. Tato marketingová společnost pak může pověřit i další společnost (tzv. zpracovatele) určitými dílčími činnostmi, např. rozesíláním obálek se zásilkami. Klient pak tedy obdrží obálku od společnosti XY3 s nabídkou společnosti XY2 a souhlas přitom udělil obchodní společnosti XY.

Pokud si tedy klient nepřeje, aby byl dále obtěžován nevyžádanými zásilkami, je třeba v souladu s ustanovením § 5 odst. 5 vyslovit nesouhlas a vyjádřit ho písemně, což znamená zaslat příslušné obchodní společnosti vyjádření, že nesouhlasí s dalším zpracováním osobních údajů pro účely nabízení obchodu a služeb a že nesouhlasí s předáváním osobních údajů jiným správcům. Na základě takového vyjádření je dle § 5 odst. 8 obchodní společnost povinna informovat každého správce, kterému předala jméno, příjmení a adresu klienta, tedy v našem případě své marketingové partnery, o tom, že klient vyslovil nesouhlas se zpracováním.

Z toho vyplývá poučení, které Úřad zasílá jako odpověď na stížnosti, a to vždy pečlivě zvažovat, zda odpovědi na inzeráty, popř. posílání souhlasu se zpracováním, a následné obdržení „malého dárku“ je dostatečnou kompenzací toho, že budou dále obtěžováni spoustou dalších již nevyžádaných nabídek.

Kontroly byly zaměřeny i na stížnosti, kdy klient vyslovil nesouhlas se zpracováním a přesto ještě obdržel další zásilku. Bylo zjištěno, že vždy se jednalo o časovou prodlevu maximálně tří týdnů ode dne odeslání nesouhlasu. Důvodem byla vždy praktická nemožnost zastavení procesů výroby, balení, kompletování, distribuce atd. a softwarové podpory těchto procesů na základě již zadaných údajů klienta, zvláště když všechny uvedené podpůrné procesy jsou zajišťovány obchodním společnostem dodavatelsky. V takových případech Úřad toleroval i uvedenou poněkud delší dobu na ukončení zpracování osobních údajů klienta, vždy však bylo důrazně doporučeno tuto dobu zkrátit.