Kontrola byla zahájena na základě několika obdržených stížností. Úřad provedl kontrolu, jejímž předmětem bylo zpracování osobních údajů formou jejich zveřejnění na internetových stránkách provozovaných kontrolovanou osobu. Osobní údaje byly zveřejňovány z různých veřejných rejstříků. Předmětem kontroly bylo i uplatňování práva na výmaz subjekty údajů a rovněž práva na informace o zpracování osobních údajů.
Stěžovatelé uvedli, že na výše uvedeném webovém portálu jsou zpracovávány jejich osobní údaje bez jejich vědomí a souhlasu a dále, že na jejich námitky proti zpracování osobních údajů jim provozovatel neodpověděl.
Kontrolovaná osoba získávala osobní údaje subjektů údajů z různých veřejných rejstříků.
V rámci „překlápění“ insolvenčního rejstříku kontrolovaná osoba nedoložila právní titul, na jehož základě by byla oprávněna takové zpracování osobních údajů provádět, a proto v otázce zveřejňování osobních údajů z insolvenčního rejstříku na internetu (tj. překlápění) je takové zpracování nezákonné, neboť není založeno na právním titulu, jak vyžaduje čl. 6 nařízení (EU) 2016/679.
V případě informací o veřejných zakázkách dospěli kontrolující k názoru, že kontrolované osobě svědčí právní titul dle čl. 6 odst. 1 písm. f) nařízení (EU) 2016/679.
V případě překlápění živnostenského rejstříku nedoložila kontrolovaná osoba právní titul, na jehož základě by byla oprávněna takové zpracování osobních údajů provádět, a proto v otázce zveřejňování osobních údajů z živnostenského rejstříku na internetu (tj. překlápění) bylo takové zpracování vyhodnoceno jako nezákonné, neboť není založeno na právním titulu, jak vyžaduje čl. 6 nařízení (EU) 2016/679, s výjimkou údajů, které jsou uvedené v informačním systému ARES, jehož obsah patří mezi tzv. open data, a pro takové zpracování svědčí kontrolované osobě právní titul dle čl. 6 odst. 1 písm. f) nařízení (EU) 2016/679.
V případě překlápění obchodního rejstříku kontrolovaná osoba nedoložila právní titul, na jehož základě by byla oprávněna takové zpracování osobních údajů provádět, a proto v otázce zveřejňování osobních údajů z obchodního rejstříku na internetu (tj. překlápění) bylo takové zpracování vyhodnoceno jako nezákonné, neboť nebylo založeno na právním titulu, jak vyžaduje čl. 6 nařízení (EU) 2016/679.
V případě „volných pracovních míst“ bude kontrolované osobě svědčit právní titul dle čl. 6 odst. 1 písm. f) nařízení (EU) 2016/679 ve vztahu k záznamům z ISoSS a překlápět data z centrální evidence volných pracovních míst bude možné až v okamžiku, kdy bude tato datová sada „otevřena“.
V případě informací překlápěných z rejstříků ve smyslu zákona č. 529/1991 Sb., o ochraně topologií polovodičových výrobků, zákona č. 527/1990 Sb., o vynálezech, průmyslových vzorech a zlepšovacích návrzích a zákona č. 441/2003 Sb., o ochranných známkách, kontrolovaná osoba nedoložila právní titul, na jehož základě by byla oprávněna takové zpracování osobních údajů provádět, a proto v otázce zveřejňování osobních údajů z rejstříků dle zákonů č. 529/1991 Sb., 527/1990 Sb. a 441/2003 Sb. na internetu (tj. překlápění), bylo takové zpracování vyhodnoceno jako nezákonné, neboť nebylo založeno na právním titulu, jak vyžaduje čl. 6 nařízení (EU) 2016/679.
V případě stížnosti, která směřovala k žádosti o informace o zpracování osobních údajů, nepostupovala kontrolovaná osoba v souladu s čl. 15 ve spojení s čl. 12 odst. 3 nařízení (EU) 2016/679, neboť nepodala řádně a včas odpověď na otázku, zda zpracovává, a v jakém rozsahu zpracovává, osobní údaje.
Kontrolovaná osoba porušila čl. 17 nařízení (EU) 2016/679, neboť nevyhověla žádostem subjektů údajů a to i přesto, že subjekty údajů uplatnily námitku zpracování ve smyslu čl. 21 nařízení (EU) 2016/679.
Úřad za shledaná porušení uložil pokutu ve výši 10 000 Kč.
Doplňující informace:
Tvorba databází z údajů zveřejňovaných na internetu podle zvláštních zákonů, formou překlopení veřejných rejstříků obsahujících osobní údaje, k podnikatelským účelům, není přípustným zpracováním osobních údajů, neboť takové soukromoprávní jednání nelze odůvodnit veřejným zájmem a zpravidla postrádá právní titul pro zpracování údajů podle čl. 6 nařízení (EU) 2016/679.
