Zpracování osobních údajů musí probíhat v souladu se zásadou zákonnosti, a proto musí každá operace zpracování mít příslušný právní základ. Jedním z právních základů, který umožňuje zpracovávat osobní údaje dotčených osob, je souhlas udělený samotnou dotčenou osobou. Souhlas jako právní základ však musí splňovat i další zásady zpracování osobních údajů (např. transparentnost zpracování), aby byl považován za relevantní a použitelný. Co však v případě, že nejsou splněny základní podmínky?
Úřad pro ochranu osobních údajů Slovenské republiky jako dozorový orgán provedl u správce kontrolu zpracování osobních údajů podle příslušných ustanovení zákona č. 18/2018 Z.z. o ochraně osobních údajů a o změně a doplnění některých zákonů (dále jen „zákon č. 18/2018 Z.z.“). Na základě výsledků kontroly byla zjištěna porušení nařízení Evropského parlamentu a Rady EU 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů, kterým se zrušuje směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (dále jen „nařízení GDPR“) – konkrétně se jednalo o porušení zásady transparentnosti ze strany provozovatele.
K porušení zásady transparentnosti podle čl. 5 odst. 1 písm. a) nařízení GDPR došlo tím, že v části, kde dotčená osoba vyjadřuje „souhlas se zasíláním informací o produktech a novinkách“ a „souhlas se zpracováním osobních údajů“, byl souhlas předem zaškrtnut v políčku „ano“, aniž by byl uveden odkaz na další informace o zpracování osobních údajů, a proto pro dotčenou osobu nebylo zřejmé, k jakému účelu svůj souhlas uděluje. Takto předem zaškrtnuté políčko s souhlasem dotčené osoby nevyjadřuje projev svobodné vůle, který je pro udělení souhlasu vyžadován.
Na základě nařízení GDPR musí být souhlas se zpracováním osobních údajů svobodný, konkrétní, informovaný a jednoznačný. Konkrétní souhlas znamená, že z výkladu správce musí být dotčené osobě jasný účel, pro který poskytuje osobní údaje, a zároveň rozsah, v jakém budou tyto údaje následně zpracovávány. Další specifikací souhlasu je, že musí být informovaný. Informovanost pro správce znamená povinnost poskytnout dotčené osobě základní a stručné informace ohledně účelu a způsobu zpracování jejích osobních údajů. Do této stručné charakteristiky můžeme zařadit druh údajů, účel zpracování, informaci o tom, že dotčená osoba může svůj souhlas kdykoli odvolat, dobu uchovávání údajů, jakož i rizika, která mohou vzniknout při jejich předávání, pokud k němu dochází. Správce by měl tyto základní informace shrnout co nejsrozumitelněji. Další podmínkou je, že souhlas musí být jednoznačný. Z toho vyplývá, že ohledně daného souhlasu nesmí existovat žádné pochybnosti. Zároveň musí udělení souhlasu odrážet svobodný projev vůle. Za svobodný projev vůle se považuje pouze takový projev, při kterém má dotčená osoba možnost volby. V případě, že dotčená osoba nemá na výběr, vycházíme z toho, že takový projev vůle je neplatný.
Provozovatel se rovněž dopustil porušení čl. 12 odst. 1 písm. a) a čl. 13 odst. 1 a 2 nařízení GDPR tím, že při vyžadování „souhlasu se zasíláním informací o produktech a novinkách“ neposkytl dotčeným osobám informace, které jim mají být poskytnuty při shromažďování jejich osobních údajů. Žádný z těchto souhlasů zároveň neobsahoval odkaz na další informace týkající se ochrany osobních údajů. Pro dotčenou osobu tak nebylo jednoznačně zřejmé, k jakému účelu svůj souhlas uděluje. Pro dotčené osoby by mělo být transparentní, že jsou shromažďovány, používány, konzultovány nebo jinak zpracovávány osobní údaje, které se jich týkají, a také v jakém rozsahu jsou tyto osobní údaje zpracovávány nebo budou zpracovávány. Zásada transparentnosti vyžaduje, aby všechny informace a sdělení související se zpracováním osobních údajů byly snadno přístupné a srozumitelné. Tato zásada se týká zejména informací pro dotčené osoby o totožnosti správce a účelech zpracování, jakož i dalších informací zajišťujících spravedlivé a transparentní zpracování. Subjekty údajů by měly být informovány o rizicích, pravidlech, zárukách a právech při zpracování osobních údajů, jakož i o tom, jak při zpracování uplatňovat svá práva. Konkrétní účely, pro které jsou osobní údaje zpracovávány, by měly být výslovně uvedeny, legitimní a stanoveny v okamžiku získání osobních údajů (tj. ještě před samotným zpracováním). Správce s ohledem na dané porušení argumentoval, že v tomto konkrétním případě se jednalo o dotčené osoby, u nichž lze předpokládat rozumovou schopnost posoudit dostupné informace týkající se zpracování osobních údajů, a že tedy z jeho strany byla dodržena požadavek na snadno přístupné, srozumitelné a jasně a jednoduše formulované informace. Toto tvrzení je však v rozporu se zásadami prevence a zásadou oprávněných očekávání.
Správce ve svém vyjádření uvedl, že po zjištěních úřadu neprodleně přijal nápravná opatření, aby bylo zpracování osobních údajů zákonné, spravedlivé a transparentní. Jako polehčující okolnost úřad vyhodnotil, že nebyl zjištěn úmyslný charakter porušení. Stejně tak provozovatel během kontroly podnikl kroky k nápravě.
S ohledem na porušení zásady transparentnosti podle čl. 5 odst. 1 písm. a) nařízení GDPR jako závažnější ze zjištěných porušení, jelikož transparentnost představuje vedle zákonnosti a spravedlnosti zpracování jeden z nejdůležitějších principů ochrany osobních údajů, se Úřad pro ochranu osobních údajů rozhodl uložit správci pokutu. Provozovatel odstranil zjištěné nedostatky a v současné době je webová stránka nastavena v souladu s nařízením GDPR, konkrétně pole „souhlasím se zpracováním osobních údajů“ bylo nahrazeno textem „prohlašuji, že jsem se seznámil s obchodními podmínkami a zásadami zpracování osobních údajů“, kde je odkaz na dokument „Podmínky provozovatele“. V části „Zásady zpracování osobních údajů“ provozovatel upravil informační povinnost tak, aby obsahovala všechny povinné informace pro dotčené osoby.
