HORNBACH BAUMARKT CS spol. s r.o.

Kontrola zpracování osobních údajů osob zadržených při krádeži a provoz kamerového systému

Předmětem kontroly, zahájené na základě podnětu doručeného Úřadu, bylo dodržování povinností správce osobních údajů stanovených v hlavě II zákona č. 101/2000 Sb. v souvislosti se zpracováním osobních údajů zákazníků, zejména zákazníků podezřelých z krádeže či poškození zboží v prodejnách hobby marketu, a to prostřednictvím specializovaného softwaru, a dále zpracování osobních údajů zákazníků prostřednictvím kamerového systému v prodejně.
Co se týče provozu softwaru určeného k evidování zboží, které se pokusily odcizit zadržené osoby, a k evidování osobních údajů těchto osob, bylo kontrolou zjištěno, že společnost, která pro kontrolovanou osobu zajišťuje ostrahu prodejny, je na základě smluvních ujednání povinna využívat pro evidenci své činnosti software kontrolované osoby, tedy včetně softwaru určeného k zaevidování osobních údajů zadržených osob (a to v rozsahu jméno, příjmení, adresa, pohlaví, rodinný stav, rodné příjmení, datum narození a dále podrobnosti o zboží, které se zadržené osoby pokusily odcizit, popř. poškodily). Kontrolou bylo nicméně zjištěno, že popsaný – smluvně zakotvený – postup není dodržován, a že v praxi je software využíván pouze k evidenci druhu a ceny zboží, jehož odcizení bylo zabráněno, společně s uvedením identity zaměstnance ostrahy, který zadržení osoby provedl. Kontrolovaná osoba by v případě, kdy by zpracovávala osobní údaje zadržených osob v rozsahu a způsobem, který předpokládá popsaný software, nemohla naplnit žádné z ustanovení § 5 odst. 2 písm. a) až g) zákona č. 101/2000 Sb., tj. nedisponovala by nezbytným právním titulem. Avšak s ohledem na fakt, že software nebyl ve skutečnosti využíván předpokládaným způsobem (zjištěny byly osobní údaje pouze jedné zadržené osoby), nebylo zpracování osobních údajů hodnoceno jako porušení § 5 odst. 2 zákona č. 101/2000 Sb., ale jako porušení povinnosti stanovené v § 13 odst. 1 tohoto zákona č. 101/2000 Sb., neboť kontrolovaná osoba nepřijala jasně definovaná opatření směřující k tomu, aby nemohlo dojít k neoprávněnému či nahodilému zpracování osobních údajů. S kontrolovanou osobou bude dále vedeno správní řízení o uložení opatření k nápravě a následně i o uložení sankce.
Ve vztahu ke kamerovému systému bylo kontrolou zjištěno, že kontrolovaná osoba provozuje v prodejně, která byla zvolena pro účely kontroly, kamerový systém, na který lze aplikovat právní titul pro zpracování osobních údajů dle § 5 odst. 2 písm. e) zákona č. 101/2000 Sb. (ochrana práv a právem chráněných zájmů). Současně bylo shledáno, že kontrolovaná osoba postupuje v souladu s požadavky zákona č. 101/2000 Sb. i při plnění ostatních povinností souvisejících s provozem tohoto kamerového systému.

Kontrolu řídila inspektorka JUDr. Jiřina Rippelová.