Kontrola byla zahájena na základě podnětu předsedkyně Úřadu, jehož obsahem bylo provozování identifikačních systémů využívajících biometrické údaje jednotlivců za účelem zabezpečení vstupu do budov školských zařízení. Kontrolovaná osoba používá pro identifikaci osob vstupujících do budovy školy systém umožňující vstup do budovy školy na základě identifikace pomocí otisku prstu. Alternativně lze vstup zajistit elektronickým zvonkem. U osob, které poskytly otisk prstu, zpracovává kontrolovaná osoba osobní údaje v rozsahu jméno, příjmení, identifikaci dítěte, které je osoba oprávněna vyzvedávat, a otisk prstu převedený do číselné podoby (tzv. hash). K těmto údajům jsou při vstupu těchto osob do budovy školy dále přiřazovány informace o datu, čase a označení vchodu. Dochází tedy ke zpracování osobních i citlivých (biometrických) údajů. Kontrolou bylo zjištěno, že do budovy školy mohou vstupovat i osoby, které se samy otiskem prstu neidentifikují a ani jim není vstup umožněn zaměstnanci kontrolovaného pomocí elektronického zvonku. Ke vstupu do budovy školy postačí, že pomocí otisku prstu či zvonku je umožněn vstup do budovy jedné z právě přítomných osob, ostatní mohou vstoupit současně, bez identifikace. Kontrolovaná osoba přitom ponechává zcela na rozhodnutí vstupujících osob, zda dalším přítomným vstup do budovy školy umožní či nikoli.
Skutečným účelem zpracování citlivých údajů tak dle závěrů kontroly nebylo zabezpečení vstupu do budovy školy, ale usnadnění vstupu osobám, které zvolí tuto metodu a poskytnou otisk prstu. Pro naplnění tohoto účelu je však zpracování citlivých údajů ve formě otisku prstu (převedeného do číselné podoby) nadbytečné, resp. k němu nemůže za popsaných okolností sloužit a v praxi ani neslouží. Ohledně právního titulu pro zpracování citlivých údajů bylo kontrolou shledáno, že kontrolovaná osoba nedisponuje právním titulem dle § 9 zákona č. 101/2000 Sb., neboť souhlas, který subjekty údajů kontrolované osobě poskytovaly, byl vázán na účel zpracování spočívající mj. v zajištění bezpečnosti budovy školy. Vzhledem k tomu, že kontrolou byl shledán jiný účel zpracování, nesplňuje předmětný souhlas požadavky zákona č. 101/2000 Sb. (subjekt údajů je při jeho udělení informován o jiném účelu zpracování, než který je ve skutečnosti pomocí shromážděných citlivých údajů sledován a naplňován). Kontrolou bylo tedy zjištěno, že kontrolovaná osoba porušila povinnosti stanovené v § 5 odst. 1 písm. d) (shromažďování v odpovídajícím a nezbytném rozsahu) a § 9 zákona č. 101/2000 Sb. Současně bylo zjištěno porušení povinnosti dle § 16 zákona č. 101/2000 Sb. (oznamovací povinnost). Opatření k nápravě kontrolované osobě nebyla uložena, neboť je sama splnila. Od uložení sankce bylo s ohledem na veškeré okolnosti případu upuštěno.
Kontrolu řídila inspektorka Mgr. et Mgr. Božena Čajková.
