Dodavatel energií (UOOU-03110/21)

Kontrola týkající se informování subjektů údajů

Úřad provedl kontrolu u společnosti zabývající se nabídkou dodávek elektřiny, plynu a fotovoltaiky, zaměřenou na plnění zásad zpracování podle čl. 5 GDPR, zejména pak zákonnost, korektnost a transparentnost, účelové omezení, omezení uložení, integritu a důvěrnost. Dále byla kontrola zaměřena na problematiku zákonného základu zpracování podle čl. 6 GDPR, ověření technického a organizačního zabezpečení dat podle čl. 32 GDPR a ověření případných zpracovatelských vztahů k jiným správcům podle čl. 28 GDPR. Předmětem kontroly dále bylo ověření databáze oslovovaných potenciálních klientů z hlediska souladu s čl. 12-22 GDPR, zejména v souvislosti s informováním subjektů údajů, přístupem k osobním údajů a právem na výmaz.

Kontrolou bylo zjištěno porušení čl. 12 odst. 1 GDPR, kterého se správce osobních údajů dopustil tím, že informace podle čl. 13 odst. 1 písm. c) GDPR neposkytl srozumitelným způsobem, neboť u jednotlivých účelů zpracování neuvedl užití konkrétního právního základu. Zároveň bylo konstatováno porušení výše zmíněného čl. 13 odst. 1 písm. c) GDPR, neboť správce neplnil informační povinnost v případě zpracování osobních údajů podle čl. 6 odst. 1 písm. f) GDPR, u zpracování nezbytného pro účely oprávněných zájmů příslušného správce.

V tomto případě kontrolovaná osoba nevyužila možnosti podat proti kontrolním zjištěním ve stanovené lhůtě námitky.