Na základě 49 podnětů provedl Úřad kontrolu dle zákona č. 101/2000 Sb., jejímž předmětem bylo zpracování osobních údajů zákazníků a dalších osob v souvislosti s obchodní a marketingovou činností kontrolované osoby. Předmětem kontroly bylo také dodržování povinností vyplývajících ze zákona č. 480/2004 Sb. při rozesílání obchodních sdělení.
Kontrolovaná osoba zprostředkovává úvěry pro zájemce o úvěr. Za tímto účelem předává osobní údaje zájemců o úvěr finančním poskytovatelům.
Úřad zjistil, že kontrolovaná osoba porušila povinnosti stanovené § 5 odst. 1 písm. c) (zpracování pouze přesných údajů), e) (uchovávání pouze po nezbytnou dobu), § 6 (smlouva o zpracování), § 11 odst. 1 (informační povinnost), § 13 odst. 1 až 3 (zabezpečení osobních údajů) a § 20 (likvidace údajů). Kontrolující zjistili také porušení povinností vyplývajících z § 7 odst. 3 zákona č. 480/2004 Sb., neboť adresát obchodního sdělení neměl možnost zdarma (případně na účet kontrolované osoby) odmítnout souhlas s dalším zasíláním obchodních sdělení. Kontrolovaná osoba dále porušila § 7 odst. 4 písm. a) a b) zákona č. 480/2004 Sb., neboť šířená obchodní sdělení nebyla zřetelně a jasně jako obchodní sdělení označena a neobsahovala identifikaci odesílatele.
Předsedkyně Úřadu částečně vyhověla námitkám, které proti kontrolním zjištěním kontrolovaná osoba podala, když zamítla osm námitek a jedné námitce vyhověla. Kontrolovaná osoba totiž dodatečně předložila zpracovatelskou smlouvu. Kontrolující tedy dospěli k závěru, že nedošlo k porušení § 6 zákona č. 101/2000 Sb.
Úřad uložil kontrolované osobě nápravná opatření spočívající v povinnosti přijmout taková opatření, která zajistí výmaz osobních údajů bezodkladně po dosažení účelu jejich zpracování, tedy osobních údajů žadatelů o zprostředkování půjček, které byly předány finančním poskytovatelům, a současně provést výmaz osobních údajů, u nichž byl účel jejich zpracování již naplněn. Kontrolovaná osoba je taktéž povinna splnit informační povinnost vůči subjektům údajů, přijmout vhodná technicko-organizační opatření k zajištění bezpečnosti zpracování osobních údajů a doložit Úřadu postupy po splnění podmínek pro vznik práva na výmaz osobních údajů dle čl. 17 nařízení (EU) 2016/679.
Úřad ve věci zahájí řízení o přestupku.
Kontrolu řídil inspektor Ing. Josef Vacula.
