Společnost O2 Czech Republic a.s.

Kontrola zpracování osobních údajů

Na základě 28 podnětů provedl Úřad kontrolu dle nařízení (EU) 2016/679, jejímž předmětem bylo dodržování povinností stanovených kontrolované osobě v souvislosti se zpracováním osobních údajů, zejména způsob získávání souhlasu se zpracováním osobních údajů pro obchodní účely, se zaměřením na prostředí elektronické aplikace „Moje O2“. V rámci kontroly Úřad prověřil také zpracování osobních údajů zákazníků v souvislosti se službou TelcoScore. Kontrola se zaměřila zejména na plnění povinností stanovených v čl. 5 (zásady zpracování osobních údajů), čl. 6 (zákonnost zpracování), čl. 7 (náležitosti souhlasu) a čl. 28 (povinnosti při zapojení zpracovatelů) nařízení (EU) 2016/679.

Úřad zjistil, že kontrolovaná osoba připravila a svým klientům předložila nový souhlas pro období od účinnosti nařízení (EU) 2016/679. Souhlasy podle tohoto nařízení kontrolovaná osoba získávala již od února 2018. Vznikla tedy situace, kdy někteří klienti udělili dva souhlasy, což pro ně bylo matoucí. Když se klienti rozhodli souhlas odvolat, kontrolovaná osoba je informovala, že souhlas dle nařízení (EU) 2016/679 lze odvolat až s jeho účinností, tedy po 25. květnu 2018. Úřad tento výklad vyhodnotil jako chybný s tím, že souhlas má subjekt údajů právo odvolat kdykoli.

Při kontrole zpracování osobních údajů v rámci služby TelcoScore bylo zjištěno, že scoring je prováděn ze strany kontrolované osoby ve dvojím právním režimu, a to na základě souhlasu  subjektu údajů pro účely služby TelcoScore, která je poskytována prostřednictvím jiné společnosti dle smluvních ujednání zúčastněných stran, a dále na základě oprávněného zájmu kontrolované osoby spočívajícího ve vyhodnocování chování zákazníka při využívání služeb (telcoscoring), včetně platební morálky zákazníka, a to pro potřeby kontrolované osoby při rozhodování o nabídkách svým zákazníkům. Výsledky druhého zmíněného hodnocení přitom kontrolovaná osoba nepředává třetím stranám.

Kontrolu řídil inspektor Mgr. Daniel Rovan.