Obchodní společnost (UOOU-09654/18)

Kontrola využití biometriky u klientů

Kontrola byla zahájena na základě kontrolního plánu s návrhem provést kontrolu zpracování osobních údajů klientů kontrolované společnosti v souvislosti s používáním dynamického biometrického podpisu se zaměřením na zákonnost tohoto zpracování, poskytování informací o tomto zpracování a zabezpečení zpracování osobních údajů.

Kontrolou bylo konstatováno, že kontrolovaná společnost v rámci zpracování osobních a biometrických údajů dodržuje povinnosti správce osobních údajů při poskytování informací dle čl. 12 a čl. 13 obecného nařízení a při zabezpečení osobních údajů dle čl. 24 a čl. 32 obecného nařízení.

Dále bylo konstatováno, že pro účely uzavření a uchování smluvní dokumentace není nezbytné využívat dynamický biometrický podpis, neboť v případě podpisu dokumentů v listinné podobě není také vyžadován a jako dostatečný je pro stanovené účely prostý obraz podpisu klienta na dematerializované smluvní dokumentaci, který je srovnatelný s podpisem smluvní dokumentaci v listinné podobě.

Bylo konstatováno, že kontrolovaná společnost nedodržela zásadu minimalizace údajů stanovenou v čl. 5 odst. 1 písm. c) obecného nařízení, když shromažďovala a následně uchovávala dynamické biometrické podpisy svých klientů. Námitka kontrolované společnosti proti tomuto zjištění byla předsedkyní Úřadu zamítnuta, tedy předsedkyně shodně s kontrolujícími potvrdila, že dynamický biometrický podpis klientů není pro účely uzavření a uchování smluvní dokumentace, či zjednodušení tohoto procesu nezbytný, neboť v případě uzavírání smluv v listinné podobě není kontrolovaným vyžadován. Dle ustanovení § 561 odst. 1) zákona č. 89/2012 Sb., občanský zákoník, … „K platnosti právního jednání učiněného v písemné formě se vyžaduje podpis jednajícího. Podpis může být nahrazen mechanickými prostředky tam, kde je to obvyklé. Jiný právní předpis stanoví, jak lze při právním jednání učiněném elektronickými prostředky písemnost elektronicky podepsat.“ Tímto jiným právním předpisem byl zákon č. 227/2000 Sb., o elektronickém podpisu, který byl k 19. září 2016 zrušen, ale výslovnou právní úpravu dynamického biometrického podpisu a jeho užití neobsahoval. Byl nahrazen tzv. adaptačním zákonem k nařízení Evropského parlamentu a Rady (EU) č. 910/2014 ze dne 23. července 2014 o elektronické identifikaci a službách vytvářejících důvěru pro elektronické transakce na vnitřním trhu a o zrušení směrnice 1999/93/ES (nařízení eIDAS), tedy zákonem č. 297/2016 Sb., o službách vytvářejících důvěru pro elektronické transakce, který rovněž právní úpravu dynamického biometrického podpisu a jeho užití neobsahuje. Občanský zákoník ani zvláštní právní úprava tedy vysloveně nevyžadují pro platnost právního jednání v písemné formě dynamický biometrický podpis. Dostatečný pro výše uvedené účely je tak prostý obraz podpisu klienta na dematerializované smluvní dokumentaci, který je srovnatelný s podpisem na smluvní dokumentaci v listinné podobě.

S kontrolovanou společností bude zahájeno správní řízení o uložení opatření k nápravě zjištěného stavu a posouzeno následně přestupkové řízení.