Kontrola byla zahájena na základě stížnosti několika stěžovatelů, které společnost kontaktovala s nabídkou odkoupení pohledávek vůči jiné společnosti.
Cílem šetření bylo zjistit, odkud společnost získala osobní údaje některých stěžovatelů, odkud měla informace o předmětných pohledávkách, zda jsou v souvislosti s tímto zpracováním dodržována práva subjektu údajů a zda jsou osobní údaje zpracovávány v souladu s obecným nařízením.
Ačkoli společnost argumentovala oprávněným zájmem na tomto zpracování, kontrolující stav vyhodnotili tak, že se se nejednalo o zpracování osobních údajů vlastních klientů společnosti. Ti totiž nebyli ve smluvním vztahu s kontrolovanou společností a ani této společnosti k tomuto účelu neudělili souhlas se zpracováním osobních údajů.
Z tohoto důvodu Úřad vyhodnotil zaslání nabídky odkupu pohledávek jako obchodní sdělení. Kontrolu tedy od té chvíle zaměřil na dodržování povinností stanovených obecným nařízením při zpracování osobních údajů v souvislosti se zasíláním obchodních sdělení. Provedeno bylo rovněž místní šetření spojené s ústním jednáním, kde se šetření zaměřilo na dodržování zásad zpracování osobních údajů, dodržování podmínek vyjádření souhlasu a plnění informační povinnosti. Prošetřeny byly zpracovatelské vztahy, záznamy o činnostech zpracování a technicko-organizační zabezpečení zpracování.
Kontrola prokázala, že společnost zpracovávala osobní údaje subjektů údajů bez řádného právního titulu, že neposkytovala subjektům údajů informace o zpracování jejich osobních údajů, zvláště pak od koho získala jejich osobní údaje, a to v letech 2019 až 2020 nejméně po dobu jednoho roku. Naopak nastavení plnění práv subjektů údajů Úřad vyhodnotil jako v souladu s obecným nařízením, stejně jako nastavení zabezpečení zpracování po technické a organizační stránce.
V současnosti je se společností vedeno správní řízení.
