Realitní makléřka (UOOU-01487/22)

Zpracování údajů v souvislosti s poskytováním realitních služeb

Úřad se zabýval porušením povinností při zpracování osobních údajů v souvislosti s poskytováním služeb v oblasti realit. Konkrétně kontrolovaná osoba zajišťovala zprostředkování koupě nebo pronájmu nemovitostí, nabízela rovněž službu depozita rezervačního poplatku a vytvoření nájemní smlouvy.

Kontrolou bylo zjištěno porušení zásady minimalizace podle čl. 5 odst. 1 písm. c) GDPR. Konkrétně se porušení týkalo údajů, které měly být využity pro účely sestavení nájemní smlouvy. Kontrolovaná osoba sbírala od zájemců o pronájem, kteří absolvovali prohlídku poptávané nemovitosti a nadále jevili o pronájem zájem, soubor osobních údajů, jež zahrnoval číslo bankovního účtu a adresu trvalého bydliště. V posuzovaných případech však kontrolovaná osoba nájemní smlouvu pro majitele nemovitostí neuzavírala, tudíž byly výše uvedené údaje zpracovávány jako nadbytečné, s výjimkou jednoho případu, kdy objednatel služby kontrolované osoby požadoval zajištění údajů pro sepsání nájemní smlouvy.

Dále došlo k nadbytečnému zpracování údaje o místě narození v rámci rezervace nemovitosti pro přípravu ověřovací doložky při ověření pravosti podpisu advokátem. K tomu kontrolující sdělili, že kontrolovaná osoba nemá oprávnění ověření pravosti podpisu (legalizaci) provádět. Místo narození klienta zpracovávala kontrolovaná osoba také pro identifikaci osoby dle zákona č. 253/2008 Sb., o některých opatřeních proti legalizaci výnosů z trestné činnosti a financování terorismu, při prodeji nemovitosti, nicméně kontrolující zjistili, že tento údaj požadovala nadbytečně také v jednom případě pronájmu. Zde kontrolovaná osoba nesestavovala nájemní smlouvu a ani zde nebyly ze strany pronajímatele požadovány informace pro sepsání nájemní smlouvy (údaj by však byl nadbytečným i v případě účelu sepsání nájemní smlouvy).

Nezbytné nebylo ze strany kontrolované osoby ani zpracování údaje o rodinném stavu pro vyvarování se komplikacím při ukončení nájmu. Kontrolovaná osoba opírala zpracování o čl. 6 odst. 1 písm. f) GDPR, nicméně kontrolujícím nepředložila žádné posouzení použitelnosti tohoto právního titulu (tzv. balanční test). Tento údaj kontrolovaná osoba využívala i za účelem přípravy a uzavření nájemní smlouvy v případě zprostředkování nájmu v režimu plnění smlouvy dle čl. 6 odst. 1 písm. b) GDPR. Nicméně v posuzovaných případech kontrolovaná osoba nesestavovala nájemní smlouvu a ani po ní pronajímatelé nepožadovali informace potřebné k sepsání nájemní smlouvy (s výjimkou jednoho pronajímatele). Ani v těchto případech nebylo zpracování nezbytné.

Za nezbytné nepovažovali kontrolující ani zpracování kopie občanského průkazu, kterou měla kontrolovaná osoba předávat majiteli nemovitosti. Kontrolovaná osoba tvrdila, že účelem zpracování je ověření totožnosti v situaci, kdy při prohlídce nemovitosti nemá zájemce doklad totožnosti u sebe. Toto zpracování opírala kontrolovaná osoba o souhlas dle čl. 6 odst. 1 písm. a) GDPR. Z podkladů, které byly kontrolujícím předloženy, však nevyplývalo, že by kontrolovaná osoba souhlas sbírala, což namítal i stěžovatel. V posuzovaném případě kontrolovaná osoba nebyla schopná ani souhlas doložit, navíc majitel nemovitosti vyžadování kopie občanského průkazu nepotvrdil.

Kontrolou bylo dále zjištěno, že správce předně nezajistil soulad poskytovaných informací s informační povinností plynoucí z čl. 13 GDPR.

Kontrolovaná osoba výše uvedená porušení rozporovala námitkami, ty však byly zamítnuty.

Doplňující informace: Pro praxi Úřad doporučuje důkladně zvážit nezbytnost zpracování jednotlivých osobních údajů a být připraven jejich zpracování odůvodnit. Dále je třeba důkladně zpracovávat informační dokumenty a zavést jejich systematické revize, aby odpovídaly skutečnosti a požadavkům dle GDPR.