Na základě doručených podnětů byla provedena kontrola společnosti obchodující s databázemi zaměřená na dodržování povinností stanovených zákonem č. 101/2000 Sb. v souvislosti se zpracováním osobních údajů v databázích a jejich nabízení třetím osobám a dodržování povinností vyplývajících ze zákona č. 480/2004 Sb. v souvislosti s rozesíláním obchodních sdělení pomocí elektronických prostředků.
Bylo prověřeno zejména plnění povinností vyplývající z § 5 odst. 1 písm. a) (stanovení účelu zpracování) a b) (stanovení prostředků a účelu zpracování), § 5 odst. 2 (právní tituly pro zpracování), 5 a 7 (zpracování za účelem nabízení obchodu a služeb) a § 12 (přístup subjektu údajů k informacím) zákona č. 101/2000 Sb. Z kontrolních zjištění vyplynulo, že kontrolovaná osoba koupila databázi subjektů údajů od jiného správce, přičemž u těchto kontaktů byly ve smlouvě deklarovány souhlasy se zpracováním osobních údajů. Vzhledem k tomu, že souhlasy subjektů údajů vedených v databázi jednoho správce a poskytnuté druhému správci nelze považovat za automatické souhlasy se zpracováním osobních údajů u druhého správce, došlo k porušení § 5 odst. 2 zákona č. 101/2000 Sb. Jelikož kontrolovaná osoba tyto osobní údaje využívala k oslovování a zasílání obchodních sdělení a navíc je poskytla dalším správcům bez souhlasu subjektů údajů, porušila dále § 5 odst. 5 a 7 zákona č. 101/2000 Sb. Ani na opakovanou žádost subjektu údajů (stěžovatele) kontrolovaná osoba nepodala úplnou informaci o rozsahu zpracování a o zdroji osobních údajů, čímž nesplnila svoji povinnost vyplývající z § 12 odst. 2 písm. b) zákona č. 101/2000 Sb.
Námitky podané kontrolovanou osobou proti kontrolním zjištěním předsedkyně Úřadu zamítla.
Kontrolu řídil inspektor Mgr. Daniel Rovan.
