Společnost s ručením omezeným (UOOU-04888/20)

Kontrola byla zahájena na základě stížnosti několika stěžovatelů, které společnost kontaktovala s nabídkou odkoupení pohledávek vůči jiné společnosti.  

Cílem šetření bylo zjistit, odkud společnost získala osobní údaje některých stěžovatelů, odkud měla informace o předmětných pohledávkách, zda jsou v souvislosti s tímto zpracováním dodržována práva subjektu údajů a zda jsou osobní údaje zpracovávány v souladu s obecným nařízením.

Ačkoli společnost argumentovala oprávněným zájmem na tomto zpracování, kontrolující stav vyhodnotili tak, že se se nejednalo o zpracování osobních údajů vlastních klientů společnosti. Ti totiž nebyli ve smluvním vztahu s kontrolovanou společností a ani této společnosti k tomuto účelu neudělili souhlas se zpracováním osobních údajů.

Z tohoto důvodu Úřad vyhodnotil zaslání nabídky odkupu pohledávek jako obchodní sdělení. Kontrolu tedy od té chvíle zaměřil na dodržování povinností stanovených obecným nařízením při zpracování osobních údajů v souvislosti se zasíláním obchodních sdělení. Provedeno bylo rovněž místní šetření spojené s ústním jednáním, kde se šetření zaměřilo na dodržování zásad zpracování osobních údajů, dodržování podmínek vyjádření souhlasu a plnění informační povinnosti. Prošetřeny byly zpracovatelské vztahy, záznamy o činnostech zpracování a technicko-organizační zabezpečení zpracování.

Kontrola prokázala, že společnost zpracovávala osobní údaje subjektů údajů bez řádného právního titulu, že neposkytovala subjektům údajů informace o zpracování jejich osobních údajů, zvláště pak od koho získala jejich osobní údaje, a to v letech 2019 až 2020 nejméně po dobu jednoho roku. Naopak nastavení plnění práv subjektů údajů Úřad vyhodnotil jako v souladu s obecným nařízením, stejně jako nastavení zabezpečení zpracování po technické a organizační stránce.    

V současnosti je se společností vedeno správní řízení.