Poskytnutá informace dne 3. května 2023

Na základě zákona č. 106/1999 Sb., o svobodném přístupu k informacím, ve znění pozdějších předpisů, poskytl Úřad pro ochranu osobních údajů dne 3. května 2023 požadované informace v tomto znění:

V období od počátku roku 2020 do dne 18. dubna 2023 vedlo pouze v jednom případě přihlédnutí ke compliance programu k užití § 21 odst. 1 zákona č. 250/2016 Sb. o odpovědnosti za přestupky a řízení o nich, ve znění pozdějších předpisů, tj. ke zproštění odpovědnosti právnické osoby za přestupek. Tuto informaci je však nutné doplnit o upřesnění, že v průběhu kontrol a řízení o přestupcích jsou v zásadě vždy vyžadovány relevantní interní předpisy upravující zpracování osobních údajů a je posuzován jejich soulad s požadavky nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (dále jen „GDPR“) či relevantních předpisů. Ohledně obsahových požadavků uvádíme, že platí obecné pravidlo, že tyto interní předpisy musí být souladné s GDPR či relevantními právními předpisy v oblasti ochrany osobních údajů a že obsahové požadavky na compliance programu se posuzují vždy s ohledem na konkrétní případ a Úřad v tomto ohledu nemá zpracovanou žádnou metodiku, kterou by mohl poskytnou. Ohledně vlivu závazku kontrolované osoby přijmou odpovídající compliance program do budoucna, Úřad sděluje, že při svých rozhodnutí v období od počátku roku 2020 do dne 18. dubna 2023 tuto skutečnost neposuzoval, tudíž ji nemohl ani zohlednit při udělování sankce. 

Odpověď na následující část dotazu rozdělil Úřad na dvě části v souladu s obsahem žádosti.

První část – Cookies

Od počátku roku 2020 do dne 18. dubna 2023 byly dokončeny 2 kontroly, jež se dotýkaly i oblasti cookies:

Předmět kontroly č. 1

Předmětem kontroly bylo zpracování osobních údajů v oblasti internetu, předávání osobních údajů, získávání souhlasu se zpracováním osobních údajů a rovněž naplňování práv subjektů údajů a práva na informace o zpracování osobních údajů v souvislosti s provozem webových stránek obchodní společnosti.

Předmět kontroly č. 2

Předmětem kontroly bylo zpracování osobních údajů při provozování internetového portálu zaměřeného na rezervaci termínů očkování proti onemocnění COVID-19, zejména podle čl. 5-7, čl. 12-22, čl. 28-29, čl. 32-34 a čl. 44-49 GDPR, a to jak v rozsahu podání, tak v oblasti dodržování GDPR s ohledem na databázi klientů kontrolované osoby.

Od počátku roku 2020 do dne 18. dubna 2023 byly uloženy tři nepravomocné pokuty:

Předmět řízení č. 1

Řízení vedeno pro porušení čl. 5 odst. 1 písm. a) a čl. 13 odst. 1 písm. c) GDPR v souvislosti se zpracováním osobních údajů návštěvníků webových stránek prostřednictvím souborů cookies.

Předmět řízení č. 2

Řízení vedeno pro porušení čl. 5 odst. 1 písm. a) a čl. 13 odst. 1 písm. c) a odst. 2 písm. a) GDPR v souvislosti se zpracováním osobních údajů návštěvníků webových stránek prostřednictvím souborů cookies.

Předmět řízení č. 3

Řízení vedeno pro porušení čl. 5 odst. 1 písm. a) GDPR v souvislosti se zpracováním osobních údajů návštěvníků webových stránek prostřednictvím souborů cookies.

Nad rámec této informace je však nutné doplnit, že Úřad provedl množství (Úřad na tomto místě odkázal na Výroční zpráva Úřadu za rok 2022, které je zveřejněna zde: File.ashx (uoou.cz)) šetření, jež formálně nelze klasifikovat jako kontrola ve smyslu zákona č. 255/2012 Sb. o kontrole (kontrolní řád), ve znění pozdějších předpisů

CCTV:

Od počátku roku 2020 do dne 18. dubna 2023 byly ukončeny 2 kontroly CCTV, žádné řízení o přestupku vedeno v tomto období nebylo.

Předmět kontroly č. 1:

Předmětem kontroly bylo dodržování povinností stanovených GDPR a zákonem č. 110/2019 Sb., o zpracování osobních údajů, v souvislosti se zpracováním osobních údajů při využívání kamerového systému v prostorách zdravotnických zařízení.

Předmět kontroly č. 2:

Předmětem kontroly bylo dodržování povinností stanovených GDPR a zákonem č. 110/2019 Sb., o zpracování osobních údajů, v souvislosti se zpracováním osobních údajů při plnění úkolů městské policie v oblasti prevence kriminality, a pořizování a využívání videozáznamů o průběhu zákroku nebo úkonu strážníky městské policie.

K otázce, jaké podklady si Úřad vyžádal stran uvedených kontrol a řízení o přestupku, lze obecně uvést, že Úřad si vždy vyžaduje relevantní podklady nutné k posouzení, zdali určitý druh zpracování osobních údajů je v souladu s právními předpisy.