Zpracování osobních údajů klienta pojišťovnou

Úřad obdržel v květnu e-mailem stížnost, ve které Stěžovatel uvedl, že žádá o prošetření neoprávněného nakládání se svými osobními údaji a zasílání nevyžádaných komerčních sdělení ze strany komerční pojišťovny (dále jen „Kontrolovaný“), a to přesto, že již v únoru 2012 zaslal výpověď pojistné smlouvy a odvolal také souhlas se zpracováním osobních údajů. Výpověď byla Kontrolovanému prokazatelně doručena a pojistná smlouva zanikla v březnu 2012. Od tohoto data neměl Kontrolovaný právo nakládat s osobními údaji. Stěžovatel se v této době odstěhoval a současný nájemník na bývalé adrese doručil Stěžovateli na novou adresu dopis od Kontrolovaného z května 2012, který obsahoval nevyžádanou smlouvu na Rizikové životní pojištění s číslem pojistné smlouvy a složenku k uhrazení částky 313,- Kč s doprovodným textem, že se jedná o mimořádnou a časově omezenou nabídku.

Kontrolou bylo prokázáno, že Stěžovatel vypověděl pojistnou smlouvu a písemně vyslovil nesouhlas se zpracováním osobních údajů za účelem nabízení obchodu nebo služeb ke dni zániku pojistné smlouvy výpovědí. Kontrolovaný má přijatu odpovídající vnitřní úpravu v případě nesouhlasu klienta se zpracováním osobních údajů pro nabízení obchodu a služeb. Potřebné úkony (realizace nesouhlasu klienta) však byly v případě Stěžovatele provedeny až  poslední den v květnu 2012.

Podle § 5 odst. 5 zákona č. 101/2000 Sb. provádí-li správce nebo zpracovatel zpracování osobních údajů za účelem nabízení obchodu a služeb subjektu údajů, lze pro tento účel použít jméno, příjmení a adresu subjektu údajů, pokud tyto údaje byly získány z veřejného seznamu nebo v souvislosti se svojí činností jakožto správce nebo zpracovatele osobních údajů. Správce nebo zpracovatel však nesmí uvedené údaje zpracovávat, pokud s tím subjekt údajů vysloví nesouhlas. Nesouhlas se zpracováním je nutné vyjádřit písemně. Bez souhlasu subjektu údajů nelze k uvedeným údajům přiřazovat další osobní údaje.

Kontrolovaný zpracovával osobní údaje Stěžovatele v souladu s citovaným zákonným ustanovením do března 2012, kdy nabyl účinnosti písemný nesouhlas klienta se zpracováním osobních údajů za účelem nabízení obchodu nebo služeb. Přesto po uvedeném datu byla klientovi doručena nabídka služeb a zpracování osobních údajů klienta za účelem nabídky obchodu a služeb bylo ukončeno až ke dni 31. 5. 2012. V době od 25. 3. do 31. 5. 2012 Kontrolovaný zpracovával osobní údaje Stěžovatele za účelem nabízení obchodu a služeb i po vyslovení nesouhlasu subjektu údajů, tedy v uvedené době bez souhlasu subjektu údajů. Tím porušil ustanovení § 5 odst. 2 věta první a § 5 odst. 5 věta druhá zákona č. 101/2000 Sb. a ve správním řízení mu byla uložena pokuta.