Kontrola byla provedena na základě oznámení kontrolované osoby o porušení zabezpečení osobních údajů ve smyslu čl. 36 nařízení (EU) 2016/679. V oznámení kontrolovaná osoba uvedla, že na parkovišti před supermarketem došlo k odcizení aktovky z odstaveného motorového vozidla, přičemž tato aktovka obsahovala kromě jiného i několik listin s osobními údaji 12 osob v rozsahu jméno, příjmení, datum narození, RČ, adresa trvalého pobytu, telefon, e-mail, číslo občanského průkazu, datum platnosti občanského průkazu, úřad vydávající občanský průkaz, přehled příjmů a výdajů a dále osobní údaje 13 zaměstnanců jedné právnické osoby, a to v rozsahu jméno, příjmení, rodné číslo, limit pojistného plnění, výše spoluúčasti. Předmětem kontroly bylo dodržování povinností kontrolovanou osobou jako správcem/zpracovatelem osobních údajů, stanovených nařízením (EU) 2016/679, se zaměřením na zabezpečení osobních údajů podle čl. 32 nařízení (EU) 2016/679.
Kontrolou bylo zjištěno, že po odcizení aktovky provedla kontrolovaná osoba individuální proškolení zprostředkovatele v oblasti zpracování a ochrany osobních údajů, který za ztrátu dokumentů odpovídá, což kontrolovaná osoba doložila výpisem z prezenční listiny účastníků setkání.
Na základě kontrolních zjištění kontrolující konstatovali, že dotčený zprostředkovatel jako zpracovatel osobních údajů, ačkoliv byl řádně proškolen a poučen kontrolovanou osobou o zabezpečení a ochraně osobních údajů, nedbal pokynů, které obdržel od správce ve smyslu čl. 28 odst. 3 písm. a) nařízení (EU) 2016/679 a nesplnil povinnosti vyplývající pro zpracovatele z uvedeného článku, přičemž dokumenty s osobními údaji nezabezpečil tak, aby nedošlo k jejich odcizení z automobilu, který v den odcizení provozoval. Po posouzení celé záležitosti a s ohledem na shromážděné důkazy kontrolující konstatovali, že kontrolovaná osoba neporušila v souvislosti se ztrátou dokumentů s osobními údaji povinnosti správce týkající se zabezpečení jim zpracovávaných osobních údajů.
