Společnost Alza.cz a.s.

Kontrola zpracování osobních údajů po odvolání souhlasu

Na základě stížnosti provedl Úřad kontrolu, jejímž předmětem bylo zpracování osobních údajů v souvislosti s pořizováním kopií občanských průkazů a fotografií obličeje zákazníků a vyřizováním žádostí o uplatnění práv subjektů údajů při poskytování produktu „Třetinka“ společností Alza.cz a.s.

Stěžovatel uvedl, že kontrolovaná osoba nereagovala na odvolání souhlasu se zpracováním kopie jeho občanského průkazu a fotografie obličeje při vyzvednutí zboží v produktu „Třetinka“. Tento produkt spočívá v tom, že zákazníci za objednané zboží zaplatí 1/3 kupní ceny před převzetím zboží s tím, že zbylé 2/3 kupní ceny doplatí do 3 měsíců.

Kontrolující zjistili, že v případě stěžovatele kontrolovaná osoba zpracovávala osobní údaje (kopii občanského průkazu a fotografii) na základě jeho souhlasu, který však stěžovatel odvolal. Kontrolovaná osoba nicméně tuto žádost nevyřídila, a to z důvodu pochybení zaměstnance. Kontrolovaná osoba tak zpracovávala kopii občanského průkazu a fotografii obličeje stěžovatele neoprávněně, čímž porušila čl. 6 odst. 1 nařízení (EU) 2016/679 (právní titul). Zároveň tím porušila čl. 7 odst. 3 nařízení (EU) 2016/679 (odvolání souhlasu), neboť odvolat souhlas musí být stejně jednoduché, jako jej poskytnout.

Kontrolující dále dospěli k závěru, že tím, že kontrolovaná osoba nijak nereagovala na žádost o uplatnění práv subjektu údajů, konkrétně odvolání souhlasu se zpracováním osobních údajů, porušila čl. 12 odst. 3 nařízení (EU) 2016/679.
Úřad zjistil, že kontrolovaná osoba výše uvedeným jednáním porušila povinnosti stanovené čl. 6 odst. 1, čl. 7, čl. 12 a čl. 29 (zpracování na pokyn správce) nařízení (EU) 2019/679.

Vzhledem k tomu, že kontrolovaná osoba závadný stav neprodleně napravila, Úřad neuložil opatření k odstranění zjištěných nedostatků.  Za toto jednání Úřad uložil kontrolované osobě pokutu ve výši 15 000 Kč.

Kontrolu řídil inspektor Mgr. Daniel Rovan.

Doporučení

Žádost subjektu údajů, včetně odvolání souhlasu nebo vznesení námitky, je správce zásadně povinen vyřídit bez zbytečného odkladu, nejpozději do jednoho měsíce. Nevyřídí-li správce žádost včas nebo není-li s vyřízením subjekt údajů spokojen, může se obrátit na Úřad. Úřadu je nutno doložit žádost a případnou reakci správce na ni.