Zpracování osobních údajů pro nabízení obchodu a služeb
V roce 2007 obdržel Úřad větší počet stížností směřujících proti marketingovým firmám. Standardním obsahem těchto stížností je poukazování na činnost marketingových firem, které zasílají občanům nevyžádané listovní zásilky s reklamními tiskovinami a nabídkou obchodu a služeb. Občané si většinou stěžovali na to, že obdrželi zásilku přesto, že vůči firmě uplatnili nesouhlas se zasíláním nabídek. Při kontrolách těchto firem se v rámci zákonem stanovené součinnosti prověřovaly i zdroje jejich osobních údajů, tedy firmy spolupracující s firmou kontrolovanou. V rámci každé kontroly je tak prověřena činnost více firem.
Na základě kontrol se zjistilo, že problematika takto opakovaně zasílaných nabídek se projevuje ve dvou rovinách.
Prvním a zásadním problémem je skutečnost, že občan (jak bylo v naprosté většině případů zjištěno) udělil souhlas se zasíláním nabídek. Je téměř pravidlem, že takový souhlas udělil jiné firmě nežli té, od níž zásilku obdržel a na jejíž postup si stěžuje. To však nemusí být nezákonným postupem. V takových případech se vždy zkoumá kvalita uděleného souhlasu, zejména to, zda udělený souhlas obsahuje ustanovení o právu předávání osobních údajů občana i dalším firmám. Toto podezření bývá v rámci kontroly většinou potvrzeno, když udělený souhlas obvykle obsahuje klauzuli typu „zákazník svým podpisem uděluje souhlas s předáváním poskytnutých osobních údajů všem obchodním a marketingovým partnerům naší firmy“. Poté se prověřuje, zda mezi firmami je skutečně obchodní či marketingový vztah, což vždy doposud potvrzeno bylo. Skutkový stav je tak zjištěn a právní posouzení problému je již velmi jednoduché a v neprospěch stěžovatele. Vzhledem k tomu, že správce osobních údajů má zákonem stanoveno právo předávat osobní údaje (v rozsahu jméno, příjmení a adresa) dalšímu správci za účelem nabízení obchodu a služeb, pokud subjekt údajů (tedy občan) byl o tomto postupu správce předem informován a nevyslovil s tímto postupem nesouhlas, je třeba v takových případech posoudit jednání správce, tedy zasilatelské firmy, jako oprávněné a porušení zákona konstatovat nelze.
Takové případy budiž varováním pro občany, kteří dobrovolně (a obvykle s vidinou nějaké drobné výhody či slevy či možného zařazení do nějakého výherního slosování) podepíší v podstatě „bezbřehý“ souhlas s předáváním svých osobních údajů a pak jsou překvapeni, jaké množství firem je obesílá svými nabídkami.
Druhou problémovou rovinou je zasílání nabídek i přes nesouhlas občana s dalším zpracováním jeho osobních údajů za účelem nabízení obchodu nebo služeb. Podle zákona nesmí správce osobní údaje občana (které mohou být pouze v rozsahu jméno, příjmení a adresa) dále zpracovávat, pokud s tím občan vysloví nesouhlas. Takový nesouhlas musí být vysloven písemnou formou.
Jak bylo opakovaně zjištěno, stěžovatelé po obdržení zásilky uplatnili svůj nesouhlas se zasíláním dalších nabídek a požadovali vymazání svých osobních údajů z registru zasilatelské firmy. Po obdržení další zásilky pak žádali Úřad o nápravu. V rámci kontrolních šetření se prověřovalo, jakou formou byl nesouhlas uplatněn a po jaké době od vyslovení nesouhlasu obdrželi stěžovatelé další zásilky.
Velmi problematické bylo dodržení ustanovení zákona o nezbytnosti písemného vyjádření nesouhlasu. Stěžovatelé většinou nebyli schopni doložit, kdy a jakým způsobem vyjádřili svůj nesouhlas. Buď se odvolávali na telefonát, který vedli s nějakým pracovníkem zasilatelské firmy, nebo uváděli, že nesouhlas byl zaslán běžnou poštovní zásilkou nebo e-mailovou poštou. Pokud potom při místním kontrolním šetření v zasilatelské firmě nebylo možno zjistit, zda firma skutečně takový nesouhlas obdržela a stěžovatel rovněž není schopen doklad dohledat, nelze v takovém případě konstatovat, že činnost zasilatelské firmy je v rozporu se zákonem. Ovšem stěžovatelé jsou v takových případech vždy informováni o tom, že svůj nesouhlas mají písemně vyjádřit znovu a doklad o jeho podání si uschovat. V případě, že by firma pokračovala v zasílání nabídek, mají možnost znovu podat stížnost Úřadu. Je třeba však konstatovat, že žádnou takovou opakovanou stížnost již inspektor ke kontrole neobdržel.
Prověřováno bylo rovněž několik podnětů, kdy stěžovatel řádně vyslovil nesouhlas se zpracováním osobních údajů, podání bylo stěžovatelem doloženo a zasilatelská firma přesto pokračovala v zasílání nabídek. Ve všech těchto případech bylo zjištěno, že další zásilky obdrželi stěžovatelé vždy přibližně do tří týdnů ode dne vyslovení nesouhlasu, přičemž tyto další zásilky byly již zásilkami posledními, které stěžovatelé obdrželi. V těchto případech inspektor nekonstatoval rozpor se zákonem. Důvodem pro takový právní názor je skutečnost, že pro marketingové firmy je z organizačních a technologických důvodů již obvykle nemožné okamžitě reagovat na každý nesouhlas zákazníka se zpracováním jeho osobních údajů tak, aby mu již připravovaná další zásilka nebyla doručena. Osobní údaje zákazníka již objektivně nelze vyřadit ze zpracování, když jsou již v běhu automatizované technologicko-organizační procesy, zejména tisk, expedice a distribuce zásilek, navíc částečně zajišťované i dodavatelsky. Proto je inspektorem tolerována uvedená doba přibližně tří týdnů jako lhůta, po kterou ještě může zákazník následnou zásilku obdržet, i přes vyslovený nesouhlas.
K problematice činnosti marketingových firem je třeba dodat, že provedené kontroly se týkaly zejména nejvýznamnějších a nejčastěji prezentovaných firem na marketingovém trhu v ČR. V rámci kontrol těchto firem nebylo ani v jednom případě zjištěno, že by byly zasílány nabídky i přes nesouhlas zákazníka. Standardně mají tyto firmy nastavenou organizaci práce tak, aby k takovému zasílání naopak nemohlo dojít. Vyplývá to i z logiky věci, kdy pro marketingovou firmu je zjevně nežádoucí zbytečně vynakládat finanční prostředky na zasílání nabídek nesouhlasícímu zákazníkovi a ještě k tomu riskovat právní problémy.