Informování členů sdružení o zpracování osobních údajů

Také v roce 2008 obdržel Úřad důvodné stížnosti na postup právnických osob vzniklých a rozvíjejících činnost podle zákona č. 83/1990 Sb., o sdružování občanů, ve znění pozdějších předpisů, při zpracování osobních údajů svých členů. Pravomocně byly ukončeny čtyři kontroly; všechny byly zahájeny na základě stížnosti podané dotčeným subjektem údajů. Stížnosti směřovaly proti dvěma samosprávným sdružením sportovních klubů a oddílů, které jsou shodně sdruženy dále v Českém svazu tělesné výchovy a dvěma subjektům sdruženým v zájmovém svazu, činném v oboru upraveným zvláštním zákonem.

Jeden stěžovatel je rozhodčím sportovního svazu a jeho osobní údaje byly bez souhlasu subjektu údajů zveřejněny v otevřeném internetu na oficiální webové vývěsce svazu; seznam rozhodčích bylo možné číst i tisknout. Podle tvrzení dalšího stěžovatele nebylo přes jeho opakované písemné stížnosti na zpracování osobních údajů nakládání s jeho osobními údaji uspokojivě vysvětleno. Další stěžovatel napadl používání rodných čísel bez souhlasu subjektu údajů; z podání vyplynulo podezření na porušení dalších povinností.

Kontrolou bylo u jednoho sdružení zjištěno porušení povinnosti získat souhlas subjektu údajů podle § 5 odst. 2 zákona o ochraně osobních údajů, u tří pak porušení povinnosti získat tento souhlas jako informovaný a prokazatelný podle ustanovení § 5 odst. 4. U tří kontrolovaných svazů bylo shledáno porušení povinnosti podle ustanovení § 11 odst. 1 a 2; povinnost byla použita s ohledem na skutečnost, že jedním ze zpracovávaných osobních údajů je rodné číslo, které může být ve všech případech shodně sdružením zpracováno v rozsahu a pro účely popsané v kontrolním protokolu pouze se souhlasem nositele - dotčeného subjektu údajů. Kontrolou nebylo ani v jednom případě zjištěno, že by informace podle ustanovení § 11 odst. 1 věty druhé byly součástí některého z vnitřních předpisů sdružení nebo dokumentu určeného nebo dostupného členům sdružení a zájemcům o členství. Rovněž dokument prokazující poskytování informací o právech podle ustanovení § 21 zákona o ochraně osobních údajů a poučení o dobrovolnosti/obligatornosti poskytnutí osobních údajů nebyl zjištěn.

U jednoho z kontrolovaných bylo konstatováno porušení povinnosti podle § 21 odst. 1 a 2 zákona o ochraně osobních údajů, spočívající v tom, že na dotaz stěžovatele, který je třeba považovat za žádost podle ustanovení § 21 odst. 1 písm. a) zákona o ochraně osobních údajů, poskytl jako subjekt odpovědný za zpracování rodných čísel členů svazu subjektu údajů vysvětlení, které je v rozporu s věcně příslušnými předpisy, jež stanoví povinnost zpracovávat rodná čísla pouze se souhlasem nositele rodného čísla nebo jeho zákonného zástupce. U téhož sdružení bylo zjištěno rovněž porušení povinnosti podle § 10 zákona o ochraně osobních údajů.