Obchodní společnost (UOOU-02631/20)

Zpracování osobních údajů z veřejně dostupných rejstříků a návrh na zápis do katalogu s názvem Rejstřík obchodu a živnosti

Úřad obdržel stížnost na nereflektování vznesené námitky proti zpracování osobních údajů ve smyslu čl. 21 obecného nařízení. Stěžovatel ve své stížnosti uvedl, že se několikrát pokusil o telefonický a e-mailový kontakt se společností, vždy bezvýsledně.

Z obdržených podkladů Úřad seznal, že společnost odeslala stěžovateli dopis s uvedeným identifikačním číslem, kdy v záhlaví dopisu byl nápis: „Rejstřík obchodu a živnosti“. V dopise společnost stěžovateli nabídla za poplatek zápis do tohoto rejstříku a uvedla, že daný rejstřík bude obsahovat data o podnikatelských subjektech České republiky a bude přístupný pouze podnikatelům a firmám, zapsaným v tomto rejstříku.

Úřad zahájil kontrolu, neboť vyplynulo podezření na porušení čl. 5 a čl. 6 obecného nařízení spočívající v tom, že osobní údaje byly zpracovávány nekorektním, nezákonným a netransparentním způsobem, a to k zaslání nevyžádané, adresné nabídky služeb. Předmětem kontroly bylo dodržování povinností při zpracování osobních údajů stanovených obecným nařízením a zákonem č. 110/2019 Sb., o zpracování osobních údajů, v souvislosti se zpracováním osobních údajů, zejména v rozsahu povinností dle čl. 5, čl. 6, čl. 7, čl. 12, čl. 14 až 22 a čl. 30 obecného nařízení, a to jak v rozsahu podané stížnosti, tak v oblasti obecného postupu při předávání osobních údajů.

V rámci kontroly Úřad mj. prověřoval, zda a jaké osobní údaje jsou kontrolovanou společností zpracovávány na jí deklarovaných webových stránkách, které uvedla ve svém dopise stěžovateli a zjistil, že na webových stránkách nebyly přístupné žádné osobní údaje.

I přesto Úřad v protokolu uzavřel, že společnost porušila čl. 6 bod 1 obecného nařízení (EU), protože osobní údaje nezpracovávala na základě řádného zákonného titulu, pokud oslovovala osoby zapsané ve veřejném rejstříku s tímto charakterem nabídky služeb.

Přestože stěžovatel uvedl, že se několikrát pokoušel kontaktovat společnost za účelem námitky proti předmětnému zpracování osobních údajů, nicméně vzhledem k tomu, že na výzvu Úřadu tento fakt neprokázal, nebylo možné posoudit, zda společnost v tomto případě splnila povinnosti vyplývající pro ni z čl. 12 a násl. obecného nařízení.

Společnost podala proti kontrolním zjištěním uvedeným v protokolu o kontrole námitky, které však byly předsedou Úřadu zamítnuty.