GDPR a souhlas se zpracováním osobních údajů

Obsah červnového dTestu

Aktuální číslo časopisu dTest 6/2018 Obsah červnového dTestu

Vydáno: 18.5.2018   

Asi nejčastěji omílaným pojmem v souvislosti s osobními údaji je souhlas s jejich zpracováním, což snadno vytvoří dojem, že jej správce potřebuje k jakémukoliv nakládání s údaji. Ve skutečnosti však jde pouze o jeden z důvodů, který umožňuje zpracovávat osobní údaje.

Dalším neméně důležitým důvodem je plnění smlouvy. Například u kupní smlouvy uzavřené prostřednictvím e-shopu lze zpracovávat jméno, příjmení, adresu, kontaktní a platební údaje zákazníka bez nutnosti získávat od něj souhlas. Pokud by však údaje měly být použity k dalším marketingovým účelům, získání souhlasu již nutné je. Právním důvodem ke zpracování osobních údajů je také splnění právní povinnosti, kterou správci stanovuje zákon nebo jiný právní předpis.

Při každém získávání osobních údajů od zákazníků a vlastně od jakýchkoliv fyzických osob, kterým se v oblasti ochrany osobních údajů říká subjekty údajů, je nutné jim jasně a srozumitelně poskytnout informace, které vyžaduje článek 13 nařízení Evropského parlamentu a Rady (EU) 2016/679, obecné nařízení o ochraně osobních údajů (anglicky General Data Protection Regulation, tedy GDPR). Jde především o informace o tom, kdo údaje zpracovává, tedy identifikační a kontaktní údaje správce, dále popsání účelu a právního základu pro zpracování, vymezení dalších příjemců osobních údajů (například smluvního dopravce). Rovněž je třeba definovat dobu, po kterou budou údaje uloženy, a poučit subjekt údajů o jeho právech.

Jestliže jsou údaje získávány na základě souhlasu, je nutné dodržet několik pravidel a povinností. Předně musí být správce schopný doložit, že subjekt údajů udělil souhlas se zpracováním svých osobních údajů. S tím souvisí také to, že souhlas musí být udělen jednoznačným jednáním ze strany subjektu údajů – musí tedy dojít k zaškrtnutí políčka se souhlasem či k odsouhlasení formou kliknutí na internetový odkaz v e-mailu, což musí správce být schopný zpětně po celou dobu zpracování prokázat.

Dále musí být souhlas jasně odlišitelný od ostatních skutečností, v souvislosti s nimiž je udělován. To znamená, že již není možné zahrnout souhlas do obchodních podmínek, ale musí být uveden zvlášť a subjekt údajů jej musí zvlášť odkliknout. Připojené prohlášení o souhlasu musí být srozumitelné a snadno přístupné za použití jasných jazykových prostředků. Je tedy nutné, aby každý zákazník jasně pochopil, kdo a za jakým účelem po něm údaje chce a další okolnosti. Souhlas musí být možné také kdykoliv odvolat, a to stejně snadno jako jej poskytnout, o čemž je nutné subjekt údajů informovat ještě před tím, než souhlas poskytne.

Pozor je nutné si dát také na to, aby poskytnutí služby či dodání zboží nebylo podmíněno udělením souhlasu s využitím osobních údajů k dalším účelům. Souhlas totiž musí být svobodný, a tak jeho udělením nesmí být podmíněno vlastní plnění smlouvy. Co se týče souhlasů udělených v minulosti, ty lze jako základ pro zpracování osobních údajů použít jedině tehdy, pokud splňují výše uvedené podmínky. V případě, kdy tomu tak není, nelze na jejich základě osobní údaje dále zpracovávat.

Řada e-shopů je zapojena do programu Ověřeno zákazníky, který provozuje Heureka.cz. Zde je zpracování osobních údajů založeno na dalším právním důvodu, a to na oprávněných zájmech správce. V tomto konkrétním případě je oprávněným zájmem získání zpětné vazby od zákazníků, jak byli spokojeni s nákupem. V takovém případě není souhlas potřeba, avšak je nutné o použití údajů zákazníky v obchodních podmínkách informovat a dát jim možnost zasílání dotazníků odmítnout ještě před uzavřením smlouvy v objednávkovém formuláři. Možnost odhlásit zasílání se potom musí objevit v každém zaslaném e-mailu s dotazníkem.

Na základě oprávněného zájmu lze provozovat také takzvaný přímý marketing, což znamená zasílání nabídek přímo souvisejících s dřívější objednávkou. Pokud si zákazník například objedná boty, lze mu prostřednictvím přímého marketingu nabídnout tkaničky, vložky do bot nebo s odstupem času obuv novou. V žádném případě však nelze tento důvod využít k zasílání nabídek elektroniky a podobně. O přímém marketingu, stejně jako o právu vznést proti němu námitku, jež zasílání ukončí, musí být zákazník dopředu informován.


Přihlásit