Mediální společnost (UOOU-00869/20)

Kontrola týkající se zpracování osobních údajů skrze soubory cookies

Úřad provedl kontrolu dodržování povinností správce osobních údajů při zpracování osobních údajů subjektů údajů v souvislosti s používáním cookies v rámci provozování webových stránek. Zejména se kontrolující zaměřili na plnění povinností podle čl. 5 až 7 a 11 až 19 GDPR.

Kontrolujícími bylo konstatováno hned několik porušení GDPR. Jedním z nich bylo porušení čl. 6 odst. 1 GDPR, neboť ve vztahu k některým cookies nebyl řádně stanoven právní základ pro zpracování. Zároveň bylo konstatováno porušení čl. 5 odst. 1 písm. a) GDPR, tedy zásady zákonnosti, korektnosti a transparentnosti.

Další nesoulad s GDPR Úřad spatřoval v plnění informační povinnosti, neboť správce neposkytoval subjektům údajů informace o zpracování osobních údajů skrze cookies stručným, transparentním, srozumitelným a snadno přístupným způsobem, čímž se dopustil porušení čl. 13, 14 a v této souvislosti i čl. 12 GDPR.

Kontrolující dále konstatovali porušení čl. 5 odst. 1 písm. e) GDPR, tedy zásady omezení uložení, a to tím, že kontrolovaná osoba nebyla schopna dostatečně vysvětlit délky uchovávání údajů, tedy bylo konstatováno, že údaje jsou uchovávány po dobu delší, než je nezbytně nutné.

V tomto konkrétním případě pak byla v předmětném období porušena i povinnost jmenovat pověřence pro ochranu osobních údajů, tedy konkrétně ustanovení čl. 37 odst. 1 písm. b) GDPR.

Proti kontrolním zjištěním uvedeným v kontrolním protokolu podala kontrolovaná osoba ve stanovené lhůtě námitky, přičemž některým bylo vyhověno a na základě toho bylo Úřadem provedeno došetření některých záležitostí. V dodatku k protokolu o kontrole pak byla konstatována i další porušení, neboť během kontroly několikrát došlo ke změně relevantních dokumentů správcem osobních údajů. Kontrolovaná osoba využila možnosti podání námitek i v případě kontrolních zjištění uvedených v dodatku k protokolu o kontrole. Většina námitek byla zamítnuta, jedné bylo částečně vyhověno.