Rozsah osobních údajů účastníků soutěže
V únoru 2008 byla na základě podnětu stěžovatele provedena kontrola ve společnosti s ručením omezeným zaměřená na dodržování povinností společnosti při zpracování osobních údajů žáků a studentů škol, účastníků školní soutěže.
Školní soutěž společnosti s r. o. proběhla na přelomu roku 2007 a 2008. Z obsahu podnětu vyplývalo, že uvedená společnost při shromažďování (zpracování) osobních údajů požaduje uvedení rodného čísla účastníka soutěže, jako součást registračního formuláře prezentovaného na internetových stránkách společnosti. Šetřením a ústním jednáním kontrolující zjistili, že samotná spotřebitelská soutěž organizovaná společností byla realizována na základě zapojení společnosti do programu dotací Ministerstva školství, mládeže a tělovýchovy nazvaném „Školní mléko“. Společnost za účelem realizace spotřebitelské soutěže uzavřela Smlouvu o zpracování osobních údajů (dále jen „Smlouva“) se společností X. Rozsah vyžadovaných osobních údajů účastníků soutěže byl stanoven odpovědným organizátorem soutěže za správce údajů po konzultacích s právníkem smluvního partnera s tím, že podobné soutěže již pořádali a že pro vyloučení „dvojí účasti“ v soutěži umožní uvedení rodného čísla odstranit možnou duplicitu soutěžících. V průběhu soutěže správce i zpracovatel osobních údajů postupovali podle ustanovení vzájemných ujednání ve Smlouvě. Před ukončením soutěže si zástupce společnosti uvědomil nadbytečnost zpracování rodného čísla a neprůkaznost souhlasu s jeho zpracováním v průběhu zákaznické soutěže a ihned po zaslání zpracované databáze účastníků, tento seznam přihlášených, přes příslušná přístupová hesla, otevřel a odstranil sloupec s rodnými čísly.
Při zpracování osobních údajů vyplývá pro správce údajů povinnost z ust. § 5 odst. 1 písm. d) zákona o ochraně osobních údajů shromažďovat osobní údaje odpovídající pouze stanovenému účelu a v rozsahu nezbytném pro naplnění stanoveného účelu. Správcem stanovený účel, který byl součástí Smlouvy se zpracovatelem, byl kontakt na výherce soutěže a doručení soutěžní ceny. Za tímto účelem byl správcem stanovený rozsah údajů, uvedený v „Registračním formuláři pro žáky“, který obsahoval jméno, příjmení, e-mail, rodné číslo, ulici, číslo popisné, město, PSČ a uvedení školy, kterou žák navštěvuje.
Takto stanovený a následně zpracovávaný rozsah údajů účastníků soutěže nebyl nezbytný pro naplnění stanoveného účelu a tím došlo k porušení povinnosti správce podle ust. § 5 odst. 1 písm. d) zákona o ochraně osobních údajů.
V případě zpracování rodného čísla bylo nezbytné konstatovat, že na jeho zpracování (na užívání, nakládání s rodným číslem) se vztahuje ustanovení zvláštního právního předpisu, a to zákona č. 133/2000 Sb., o evidenci obyvatel a rodných číslech a o změně některých zákonů (zákon o evidenci obyvatel). Z ustanovení § 13 odst. 7 zákona o evidenci obyvatel vyplývá, že rodné číslo je oprávněna užívat nebo rozhodovat o jeho využívání v mezích stanovených zákonem (dále jen "nakládat s rodným číslem") výlučně fyzická osoba, které bylo rodné číslo přiděleno (dále jen "nositel rodného čísla"), nebo její zákonný zástupce; jinak lze rodné číslo využívat jen v případech stanovených v § 13c tohoto zákona. Podle § 13c odst. 1 písm. c) zákona o evidenci obyvatel lze rodná čísla využívat jen
- jde-li o činnost ministerstev, jiných správních úřadů, orgánů pověřených výkonem státní správy, soudů, vyplývající z jejich zákonem stanovené působnosti, nebo notářů pro potřebu vedení Centrální evidence závětí,
- stanoví-li tak zvláštní zákon, nebo
- se souhlasem nositele rodného čísla nebo jeho zákonného zástupce.
Z důvodů vyloučení více zaslaných přihlášek jedním účastníkem při zvolené formě soutěže, prostřednictvím webové stránky bylo zpracováno rodné číslo, podle sdělení zástupce kontrolovaného správce údajů při ústním jednání a místním šetření, které bylo nezbytné k registraci do soutěže.
Předmětnou kontrolou bylo zjištěno, že správce osobních údajů, při zpracování rodného čísla, nerespektoval skutečnost, že zpracování rodného čísla, jako osobního údaje upravuje i jiný - zvláštní právní předpis (zákon o evidenci obyvatel).
Při zpracování rodného čísla účastníků soutěže správce údajů nesplnil povinnost uloženou zvláštním právním předpisem, a to tím, že neprokázal kontrolujícím právní titul k tomuto zpracování, tj.: souhlas nositele rodného čísla nebo jeho zákonného zástupce, podle ust. § 13c odst. 1 písm. c) zákona o evidenci obyvatel, s jeho využitím (zpracováním).
Na základě posouzení zjištěných skutečností bylo kontrolujícími konstatováno, že kontrolované povinnosti správce byly (v průběhu školní soutěže) shledány v rozporu s plněním povinností správce podle ust. § 5 odst. 1 písm. d) zákona o ochraně osobních údajů a ust. § 13c odst. 1 písm. c) zákona o evidenci obyvatel.
Na základě výše uvedeného se správce dopustil jiného správního deliktu, za což mu byla udělena pokuta ve správním řízení.