Na základě stížnosti provedl Úřad kontrolu, jejímž předmětem bylo zpracování osobních údajů v souvislosti s pořizováním kopií občanských průkazů a fotografií obličeje zákazníků a vyřizováním žádostí o uplatnění práv subjektů údajů při poskytování produktu „Třetinka“ společností Alza.cz a.s.
Stěžovatel uvedl, že kontrolovaná osoba nereagovala na odvolání souhlasu se zpracováním kopie jeho občanského průkazu a fotografie obličeje při vyzvednutí zboží v produktu „Třetinka“. Tento produkt spočívá v tom, že zákazníci za objednané zboží zaplatí 1/3 kupní ceny před převzetím zboží s tím, že zbylé 2/3 kupní ceny doplatí do 3 měsíců.
Kontrolující zjistili, že v případě stěžovatele kontrolovaná osoba zpracovávala osobní údaje (kopii občanského průkazu a fotografii) na základě jeho souhlasu, který však stěžovatel odvolal. Kontrolovaná osoba nicméně tuto žádost nevyřídila, a to z důvodu pochybení zaměstnance. Kontrolovaná osoba tak zpracovávala kopii občanského průkazu a fotografii obličeje stěžovatele neoprávněně, čímž porušila čl. 6 odst. 1 nařízení (EU) 2016/679 (právní titul). Zároveň tím porušila čl. 7 odst. 3 nařízení (EU) 2016/679 (odvolání souhlasu), neboť odvolat souhlas musí být stejně jednoduché, jako jej poskytnout.
Kontrolující dále dospěli k závěru, že tím, že kontrolovaná osoba nijak nereagovala na žádost o uplatnění práv subjektu údajů, konkrétně odvolání souhlasu se zpracováním osobních údajů, porušila čl. 12 odst. 3 nařízení (EU) 2016/679.
Úřad zjistil, že kontrolovaná osoba výše uvedeným jednáním porušila povinnosti stanovené čl. 6 odst. 1, čl. 7, čl. 12 a čl. 29 (zpracování na pokyn správce) nařízení (EU) 2019/679.
Vzhledem k tomu, že kontrolovaná osoba závadný stav neprodleně napravila, Úřad neuložil opatření k odstranění zjištěných nedostatků. Za toto jednání Úřad uložil kontrolované osobě pokutu ve výši 15 000 Kč.
Kontrolu řídil inspektor Mgr. Daniel Rovan.
Doporučení:
Žádost subjektu údajů, včetně odvolání souhlasu nebo vznesení námitky, je správce zásadně povinen vyřídit bez zbytečného odkladu, nejpozději do jednoho měsíce. Nevyřídí-li správce žádost včas nebo není-li s vyřízením subjekt údajů spokojen, může se obrátit na Úřad. Úřadu je nutno doložit žádost a případnou reakci správce na ni.
