Nepřístupný dokument, nutné přihlášení
Input:

Vyžadování souhlasu a GDPR

11.6.2018, Zdroj: ÚOOÚDoba čtení: 7 minut

Úřad pro ochranu osobních údajů k vyžadování souhlasu v souvislosti s obecným nařízením o ochraně osobních údajů.

Může poskytovatel služby opakovaně žádat o souhlas se zpracováním osobních údajů, pokud subjekt údajů svůj nesouhlas již dříve sdělil?

Může poskytovatel služby opakovaně žádat o souhlas se zpracováním osobních údajů, pokud subjekt údajů svůj nesouhlas již dříve sdělil? Umožňuje nové GDPR skutečně takto obtěžovat se souhlasem, mnohem více, než tomu bylo doposud? Lze se tomu nějak bránit?

Lavina žádostí o souhlas se zpracováním osobních údajů, s nimiž se v současné době obrací na občany řada firem a dokonce i veřejných institucí, je výrazem nepochopení principů ochrany osobních údajů správci osobních údajů i mnohými poradenskými a advokátními kancelářemi. Souhlas se zpracováním osobních údajů není potřebný v řadě životních situací, nemůže být právním důvodem pro zpracování údajů ve všech následujících případech: smluvní vztah se subjektem údajů (typicky prodej zboží, poskytování služeb), plnění právní povinnosti správce nebo realizace jeho oprávněného zájmu, plnění úkolu prováděného ve veřejném zájmu. V těchto případech je zpracování osobních údajů prováděno bez souhlasu subjektu údajů a souhlas nesmí být vyžadován.

Pokud lze zpracování založit na souhlasu, musí být souhlas udělen pro každý jeden konkrétní účel. Souhlas tedy musí být konkrétním, svobodným, informovaným a jednoznačným projevem vůle, při jehož vyžadování musí správce počítat s tím, že souhlas může být kdykoliv odvolán. Jedním z cílů podrobné úpravy udělování souhlasu podle obecného nařízení je zamezit předchozí nesprávné praxi, např. situacím, kdy při uzavření smlouvy byl vynucován souhlas k jiným účelům. Tomu nyní výslovně brání článek 7 obecného nařízení.

Uvedené zpřesnění podmínek vyjádření souhlasu bohužel mnoho správců osobních údajů do své praxe nepromítlo. Stále je tak rozšířen naprosto mylný názor, že získáním souhlasu subjektu údajů jsou všechny problémy zpracování osobních údajů vyřešeny.

Jestliže jsou lidé opakovaně žádáni o souhlas se zpracováním osobních údajů, aniž by byl konkrétně uveden účel, pro který je souhlas žádán nebo je souhlas vyžadován pro účel, pro který je jiný právní důvod (adresát výzvy má se správcem platnou smlouvu, správce má právní povinnost nebo oprávněný zájem osobní údaje zpracovávat), mohou správce upozornit, že taková žádost je v rozporu s obecným nařízením o ochraně osobních údajů a lze na ni podat Úřadu stížnost. Uvedený postup správce je porušením zásady transparentnosti a povinností stanovených v článcích 5 a 12 obecného nařízení.

Nesprávné a nedůvodné vyžadování souhlasu bez odpovídající informace pak může být ve svém důsledku posouzeno jako porušení základních zásad pro zpracování, včetně podmínek týkajících se souhlasu a práv subjektů údajů, ve smyslu článku 83 odst. 5 písm. a) a písm. b) GDPR.

Vyžadování souhlasu se zasíláním reklamních sdělení od osob, které nejsou zákazníky, je sankcionovatelné podle zákona č. 480/2004 Sb. jako nedovolené obchodní sdělení.

Správcům osobních údajů je proto třeba důrazně doporučit, aby přehodnotili každý jednotlivý případ (účel) zpracování údajů založený na souhlasu a upustili od vyžadování souhlasu ve všech nepotřebných případech, zejména při realizaci smluvních vztahů se zákazníky, dále ve všech případech plnění zákonných povinností a v neposlední řadě také při výkonu oprávněných zájmů (např. správa pohledávek, zasílání obchodních sdělení vlastním zákazníkům v mezích zákona č.  480/2004 Sb.).

Musí dát zaměstnanec souhlas zaměstnavateli ke zpracování svých osobních údajů?

Předně je třeba konstatovat, že souhlas zaměstnance jako právní titul pro zpracování osobních údajů zaměstnavatelem nebude příliš častý. Souhlas musí být svobodným právním úkonem, což vzhledem k nerovnováze stran v pracovněprávním vztahu nebude zpravidla dodrženo.

Zaměstnavatel zpracovává osobní údaje zaměstnanců ke sjednání a naplňování pracovněprávního vztahu a pro účely plnění zákonem stanovených povinností, tedy v souladu s článkem 6 odst. 1 písm. b) a c) GDPR. V této souvislosti je nutné poznamenat, že zaměstnavatel jako správce osobních údajů je povinen osobní údaje shromažďovat a dále zpracovávat pouze v rozsahu odpovídajícím účelu. Viz povinnosti stanovené v článku 5 odst. 1 písm. b), c) a d) GDPR.

Udělit souhlas se zpracováním osobních údajů je možnost, nikoli povinnost

Úřad pro ochranu osobních údajů upozorňuje v souvislosti s právním rámcem ochrany osobních údajů (GDPR), že udělit souhlas se zpracováním osobních údajů je možnost, nikoli povinnost.
Časté dotazy, které jsou adresovány Úřadu ohledně změn