Uber Czech Republic Technology s.r.o.

Zpracování osobních údajů v souvislosti s provozováním tzv. alternativní taxislužby

Na základě kontrolního plánu Úřadu provedl Úřad kontrolu zpracováních osobních údajů v souvislosti s provozováním tzv. alternativní taxislužby Uber.

Úřad zjistil, že vlastníkem kontrolované osoby je společnost Uber International B.V., se sídlem v Nizozemsku (dále jen „Uber B.V.“). Předmětem činnosti Uber B.V., kterou v České republice realizuje prostřednictvím kontrolované osoby, je zprostředkování přepravy osob. Jiné služby nejsou v České republice v současné době poskytovány, přičemž přeprava osob je poskytována pouze v Praze.

Kontrolovaná osoba je ve vztahu ke zpracování osobních údajů uživatelů služeb Uber v postavení zpracovatele osobních údajů ve smyslu § 4 písm. k) zákona č. 101/2000 Sb. Správcem osobních údajů je v tomto případě Uber B. V., který určil účel i prostředky tohoto zpracování osobních údajů a primárně za něj odpovídá. Smlouva o zpracování osobních údajů splňuje veškeré požadavky dle § 6 zákona č. 101/2000 Sb. (smlouva o zpracování).

Osobní údaje, které jsou v souvislosti s poskytováním služeb Uber shromažďovány, lze rozdělit do několika kategorií: 1. údaje, které poskytují uživatelé služeb Uber sami, 2. údaje, které vznikají při využívání aplikace Uber, a 3. informace z jiných zdrojů. K základním identifikačním a kontaktním údajům tedy Uber B.V. přiřazuje rozsáhlý soubor dalších informací vypovídajících o využívání služeb Uber, respektive o činnosti uživatelů Uber obecně. Zpracování osobních údajů uživatelů služeb Uber je realizováno na základě více právních titulů, které se případně i částečně překrývají, konkrétně se jedná o souhlas subjektu údajů, plnění smlouvy, jejíž smluvní stranou je subjekt údajů, a o ochranu práv a právem chráněných zájmů správce, zpracovatele a subjektů údajů [dle návětí § 5 odst. 2 zákona č. 101/2000 Sb. a písm. b) a e) tohoto ustanovení].

Úřad se dále zabýval rozsahem a způsobem poskytování informací o zpracování osobních údajů, přičemž dospěl k závěru, že uživatelé služeb Uber disponují v souhrnu všemi informacemi, které jim mají být dle § 11 zákona č. 101/2000 Sb. (informační povinnost) sděleny. Při posouzení opatření přijatých k zajištění bezpečnosti zpracovávaných osobních údajů bylo nutno vyjít ze zjištění, že kontrolovaná osoba se nepodílí na definování a do značné míry ani na provedení opatření k zajištění bezpečnosti osobních údajů zpracovávaných pro Uber B.V. v datovém centru, které se nachází v sídle společnosti Uber Technologies, Inc. v USA.

Úřad v souvislosti s předmětným zpracováním osobních údajů nezjistil porušení zákona č. 101/2000 Sb.

Kontrolu řídila inspektorka JUDr. Jiřina Rippelová.