S uplatněním práva na výmaz úzce souvisí povinnost správce uložená článkem 12 odst. 3 nařízení GDPR poskytnout dotčené osobě informace o opatřeních, která byla přijata na základě její žádosti, a to bez zbytečného odkladu a v každém případě do jednoho měsíce od doručení žádosti. Jaký to má dopad na marketingové aktivity společností? Co se stane, pokud nebude lhůta dodržena a/nebo nebudou údaje vymazány?
Každý z nás každý den ve své e-mailové schránce najde spoustu e-mailů obsahujících newsletter. Newsletter je v pravidelných intervalech, zpravidla jednou týdně, zasílán odběratelům, kteří s jeho zasíláním vyjádřili souhlas. Hlavním účelem newsletteru, který využívají především e-shopy, je udržovat pravidelný kontakt se zákazníky, informovat je o slevách, sezónních výprodejích, propagovat nové produkty a především přilákat zákazníky na webové stránky e-shopu. Kromě e-mailové komunikace zasílají internetové stránky v rámci své marketingové strategie krátké novinky také prostřednictvím SMS zpráv na telefonní čísla zadaná zákazníky především při objednávkách zboží.
Soukromé telefonní číslo i e-mailová adresa lze považovat za osobní údaje, pomocí nichž lze identifikovat fyzickou osobu. Webové stránky zpravidla evidují e-mailové adresy a telefonní čísla ve svých databázích tak, že jméno a příjmení konkrétního zákazníka je přiřazeno ke kontaktním údajům používaným pro účely zasílání newsletterů.
E-maily či SMS zprávy obsahující newsletter však po určité době zpravidla začnou odběratele zahlcovat, a proto se rozhodnou odběr zrušit. Ve smyslu článku 17 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů, kterým se zrušuje směrnice 95/46/ES (tzv. nařízení GDPR) mají dotčené osoby právo na zapomenutí, které spočívá v právu dosáhnout u správce bez zbytečného odkladu výmazu osobních údajů, které se dotčené osoby týkají, přičemž správce je povinen tyto osobní údaje bez zbytečného odkladu vymazat v případě, že dotčená osoba odvolá souhlas, na jehož základě se zpracování provádí, a pokud neexistuje jiný právní základ pro zpracování.
S uplatněním práva na výmaz úzce souvisí povinnost správce uložená článkem 12 odst. 3 nařízení GDPR poskytnout dotčené osobě informace o opatřeních, která byla přijata na základě její žádosti, a to bez zbytečného odkladu a v každém případě do jednoho měsíce od doručení žádosti. Lhůtu jednoho měsíce lze však v případě potřeby prodloužit.
Nedodržení práva na výmaz představuje závažný zásah do práva na ochranu osobních údajů a zároveň častý důvod pro ukládání pokut ze strany Úřadu pro ochranu osobních údajů (dále jen „Úřad“). Ve svém nedávném rozhodnutí Úřad uložil provozovateli – obchodu se sportovními potřebami – pokutu ve výši 400 EUR za porušení čl. 12 odst. 3 nařízení GDPR.
Porušení ochrany osobních údajů spočívalo v tom, že provozovatel i přes uplatněné právo na výmaz nadále zasílal navrhovatelce nevyžádané SMS zprávy. Provozovatel se bránil tím, že e-mailová zpráva navrhovatelky, ve které uplatnila své právo na výmaz, se z technických důvodů omylem dostala do složky nevyžádané pošty, tj. do spamu, v důsledku čehož provozovatel neměl vědomost o právu na výmaz osobních údajů uplatněném navrhovatelkou. V opačném případě by bylo telefonní číslo navrhovatelky z databáze provozovatele okamžitě vymazáno. Vzhledem k tomu, že správce vyřídil žádost navrhovatelky až pět měsíců po uplatnění práva na výmaz, Úřad dospěl k závěru, že došlo k porušení čl. 12 odst. 3 nařízení GDPR.
Z popsaného rozhodnutí Úřadu lze pro praxi vyvodit několik důležitých závěrů, a to konkrétně:
- Skutečnost, že odhlášení z odběru skončí ve složce „Spam“, nezbavuje provozovatele povinnosti respektovat právo dotčené osoby na výmaz.
- Při uplatnění práva na výmaz je třeba mít na paměti povinnost informovat dotčenou osobu o přijatých opatřeních ve smyslu čl. 12 odst. 3 nařízení GDPR.
- Odběratelé mají právo kdykoli odhlásit odběr a v případě, že provozovatel nedodrží právo na výmaz, mohou se obrátit na Úřad pro ochranu osobních údajů, který je oprávněn uložit provozovateli pokutu.
