Poskytnutá informace dne 23. července 2024
Na základě zákona č. 106/1999 Sb., o svobodném přístupu k informacím, ve znění pozdějších předpisů, poskytl Úřad pro ochranu osobních údajů dne 23. července 2024 požadované informace v tomto znění:
K prvnímu dotazu uvádíme, že proti odesílatelům obchodních sdělení postupuje Úřad v rámci dozorových kompetencí, a to na základě stížností, příp. i dle plánu kontrol. Úřad provádí kontroly nad šířením obchodních sdělení dle zákona č. 255/2012 Sb., kontrolní řád, ve znění pozdějších předpisů u jednotlivých subjektů (zjištěných na základě podaných stížností či plánu kontrol), dále vede správního řízení dle zákona č. 500/2004 Sb., správní řád, ve znění pozdějších předpisů, buď návazně na kontrolu nebo na podkladě podané stížností, pokud je již ve stížnosti skutek jednoznačně doložen. V případě vícero stížností na jeden subjekt – zasílá Úřad upozorňující dopisy, ve kterých šiřitele obchodních sdělení poučí o povinnosti plnit řádně povinnosti ve vztahu k zasílání obchodních sdělení a požaduje nápravu (tedy okamžité smazání daného elektronického kontaktu a další nekontaktování osoby po smazání daného kontaktu). Úřad postupuje i v rámci mezinárodní spolupráce, a to v případech kdy má odesílatel či osoba v čí prospěch jsou obchodní sdělení šířena sídlo v jiném členském státě EU (a v ČR nemá žádné zastoupení) – tyto stížnosti (případy) jsou pak předávány příslušnému dozorovému orgánu členského státu, ve kterém má odesílatel či osoba v čí prospěch jsou obchodní sdělení sídlo. V některých případech Úřad spolupracuje i s registrátorem domén, a to v souvislosti s nahlašováním odesílajících domén, které jsou používány např. k hromadnému šíření obchodních sdělení nebo s poskytovateli freemailových služeb, kdy tyto služby nesmí být využity pro šíření obchodních sdělení. Freemailové účty, které jsou takto použity, Úřad hlásí těmto příslušným poskytovatelům k provedení nápravy (např. smazání účtu).
S ohledem na úspěšnost těchto kroků lze uvést, že oproti předchozím 10 letům došlo k výraznému snížení počtu stížností.
Ohledně druhého dotazu Úřad považuje za vhodné tento dotaz rozdělit na dvě samostatné části.
Úvodem poskytuje Úřad informaci k zákonu č. 480/2004 Sb., o některých službách informační společnosti a o změně některých zákonů (zákon o některých službách informační společnosti), ve znění pozdějších předpisů (dále jen „zákon č. 480/2004 Sb.“), kde postupuje obdobně jako v předchozím odstavci i v případě SMS zpráv – pokud dohledá odesílatele či toho v čí prospěch je obchodní sdělení zasláno (to zjišťuje například i v součinnosti s operátory). Případný phising, spoofing a podobné praktiky jsou často nedohledatelné, resp. nelze dohledat konkrétního odesílatele. Pokud Úřad zjistí tuto praktiku, většinou na to upozorní příslušnou banku či instituci, která však již o této aktivitě ve většině případů ví nebo ji následně prověří a informuje o těchto skutečnostech například na svých webových stránkách.
Úřad se však zabývá i stížnostmi, v nichž je namítáno zpracování osobních údajů v rámci telemarketingových hovorů, a to z hlediska své působnosti, tj. v případech, kdy lze dovozovat případné porušení nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) - např. zákonnost zpracování, nejasný zdroj údajů, reakce správce na výkon práv subjektu údajů. Pokud však z obsahu přijaté stížnosti vyplývá podezření na nekalou obchodní praktiku, informuje Úřad podatele stížnosti o působnosti České obchodní inspekce nebo v případě podezření na nekalé jednání ze strany subjektů ve finančním sektoru (investice, půjčky, pojišťovnictví) na působnost České národní banky. V odůvodněných případech jsou takové stížnosti těmto orgánům ze strany Úřadu postoupeny.
Vzhledem k formulaci druhého dotazu lze však dovodit, že tento dotaz směřuje spíše k možnému podvodnému jednání v rámci telemarketingových hovorů, event. odesílatelů e-mailových zpráv/SMS zpráv s falešnou identitou, event. falešným pověřením bankou, státní či soukromou institucí. Úřad eviduje i stížnosti z nichž vyplývá podezření na tzv. „phishing“, tj. druh elektronického podvodu, jehož cílem je přimět adresáta, aby neoprávněné osobě poskytl své důvěrné informace. Obsah e-mailů tohoto typu má vyvolat přesvědčivý dojem, že odesílatelem je důvěryhodná instituce. Prověření podezření na podvodné jednání však není v působnosti Úřadu, ale orgánů činných v trestním řízení (Policie ČR nebo státní zastupitelství), a v tomto smyslu podatele stížností informujeme. Konkrétně Úřad eviduje například několik podání z let 2022-23, v nichž jistá obchodní společnost zasílala obchodním společnostem a fyzickým osobám podnikajícím e-mailem dotazník o implementaci pravidel ochrany osobních údajů v rámci jejich podnikání. Úvodní telefonický kontakt byl koncipován tak, aby zanechal dojem, že společnost koná svou činnost z pověření Úřadu. Úřad informoval tyto podatele stížností, že nepověřuje žádné soukromé společnosti, aby jej zastupovali při jednání se správci osobních údajů a že vždy komunikuje se správci osobních údajů oficiální cestou pod svým jménem a v rámci platných právních norem.
K poslednímu dotazu Úřad sděluje, že informace, jejichž poskytnutí požadujete v této žádosti zejména k prvnímu dotazu jsou dostupné na oficiálních webových stránkách Úřadu. K obchodním sdělení je na webových stránkách celá rubrika https://uoou.gov.cz/cinnost/obchodni-sdeleni, kde jsou uvedené, jak obecné informace k zákonu č. 480/2004 Sb., často kladené otázky, jsou zde uvedeny zprávy z kontrol za jednotlivá období a také je zde přístupný formulář k podání stížností. Informace ke konkrétním případům, které Úřad prověřoval v rozsahu celého dotazu lze nalézt např. v příslušných kapitolách výročních zpráv.