7 praktických tipů z výroční zprávy ÚOOÚ za rok 2024

Úřad pro ochranu osobních údajů, dozorový orgán v oblasti GDPR, zveřejnil svoji výroční zprávu za rok 2024. Jaké jsou klíčové poznatky pro praxi správců a osobních údajů v České republice? 

Zde je mých 7 tipů, na co se ve výroční zprávě zaměřit.

Počet stížností neklesá

ÚOOÚ v roce 2024 obdržel celkem 2.288 podnětů a stížností týkajících se možného porušení pravidel pro zpracování osobních údajů. Jedná se o prakticky stejné číslo jako v předchozích letech. I přes dobu, která již uplynula od účinnosti GDPR, kontroly, vydané metodiky a uložené pokuty stále existují správci osobních údajů, kteří svojí činností, nebo někdy naopak nečinností, dokážou ročně vyburcovat více než dva tisíce lidí k tomu, aby si na ně stěžovali.

Na co jsme si v roce 2024 stěžovali nejčastěji? 

Zpracování osobních údajů pro marketingové účely, nedostatečné plnění informační povinnosti, kamery a neoprávněné zveřejnění osobních údajů. 

Spam je pořád problém

Kromě zpracování osobních údajů vykonává ÚOOÚ dozor v oblasti elektronického marketingu, přesněji řečeno elektronicky zasílaných obchodních sdělení. Tuto kompetenci má úřad již od roku 2004, kdy vznikl zákon č. 480/2004 Sb., o některých službách informační společnosti.

V praxi se řeší především nevyžádaná obchodní sdělení, tedy spam, zasílaný e-maily či prostřednictvím SMS. Stejná úprava ale dopadá i na další elektronické kanály, jimiž lze zaslat do osobní sféry adresáta (schránka v aplikaci, vlastní profil, telefon atd.) adresné marketingové oslovení. 

Typickým prohřeškem je zasílání obchodních sdělení bez právního důvodu, jímž může být buď souhlas adresáta nebo zaslání vlastní nabídky stávajícímu klientovi. Chybuje se ovšem i v (ne)uvádění povinných náležitostí obchodního sdělení (identifikace odesílatele, označení zprávy jako obchodní sdělení) a možnosti se snadno z dalšího zasílání odhlásit. Za porušení pravidel pro obchodní sdělení hrozí pokuta až 10 milionů Kč. ÚOOÚ se už k této horní hranici několikrát velmi přiblížil. 

Stížnost automaticky nespouští kontrolu

Počet kontrol, které ÚOOÚ realizuje během jednoho roku, je víceméně stabilní. Pohybuje se v řádu desítek. Z nich zhruba polovina je zahájena na základě stížností, polovina podle ročního plánu kontrol.

Úřad také pokračuje v praxi tzv. výzev správci k uvedení do souladu. Oč se jedná? V případě jednotlivých stížností směřujících na možné porušení dílčích ustanovení právních předpisů úřad místo zahájení systémové kontroly upozorní správce na možné porušení pravidel, vyzve jej k prověření skutkového stavu a nápravě případných nedostatků. Tímto způsobem úřad přispívá k rychlejšímu a efektivnějšímu zajištění souladu s požadavky regulace.

Z pohledu organizace, která takovýto „varovný dopis“ dostane, je důležité celou situaci nepodcenit. Nesnažit se jen o právnickou diskusi s dozorovým úřadem nebo hledání alibi, ale vzít tento podnět jako impuls ke vnitřní kontrole. Ověření, zda skutečně nedošlo k selhání nastavených procesů, byť třeba lidskou chybou, nebo zda se stěžovatel netrefil do nepokryté oblasti. A přijmout nápravná opatření, aby se tato chyba neopakovala. 

Z uvedených čísel plyne, že v roce 2024 se počet „varovných dopisů“ výrazně snížil. Stížností a podnětů je ale pořád stejně. Znamená to snad, že ÚOOÚ bude častěji rovnou zahajovat kontrolu nebo řízení o uložení pokuty? 

Klíčové oblasti: Biometrika, řízení dodavatelů, zabezpečení dat a cookies

Dozorový úřad ve výroční zprávě informoval o závěrech některých kontrol a šetření provedených v roce 2024. Nejedná se sice o úplný výčet, ale z toho, že ÚOOÚ tato témata do výroční zprávy zahrnul, lze usoudit, že je považuje za důležitá. A že se jim bude věnovat i v dalších letech.

Kterými klíčovými činnostmi zpracování se ÚOOÚ v roce 2024 zabýval? Jednalo se zejména o: 

• Zabezpečení klientských dat online platformami

• Docházkové systémy využívající biometrické údaje

• Smlouvy mezi správci a zpracovateli osobních údajů

• Právo na přístup k osobním údajům podle čl. 15 GDPR

• Zpracování osobních údajů v rámci souborů cookies a modelů Pay or OK

Judikatura a metodika

GDPR je obecným předpisem. Dopadá na velkou většinu zpracování osobních údajů, ať už ho provádí ministerstvo, banka, telekomunikační operátor, poskytovatel zdravotnických služeb, velký online hráč nebo naopak malá obec, škola či střední výrobní podnik. Pro výklad GDPR jsou proto v praxi důležitá rovněž rozhodnutí unijních a českých soudů a metodické dokumenty.

ÚOOÚ ve své výroční zprávě komentuje jak pokyny a stanoviska Evropského sboru pro ochranu osobních údajů vydaná v roce 2024 (působnosti ePrivacy směrnice, facial recognition, Pay or OK princip, určení hlavní provozovny správce atd.), tak důležitou judikaturu. Soudy řešily například otázky možného zveřejňování trestněprávních rozsudků, ohlašovací povinností v případě porušení zabezpečení osobních údajů (data breach) či náhradou nemajetkové újmy způsobené protiprávním zpracováním nebo nedostatečným zabezpečením osobních údajů.

Úřad se připravuje na nové digitální agendy

DMA, DSA, Akt o datech, AI Act… Evropská unie v posledních letech skutečně nešetřila s novými předpisy, které mají upravit nějaký aspekt využití dat nebo moderních technologií. Tyto předpisy často mají přesah do oblasti ochrany osobních údajů. V některých případech dokonce ÚOOÚ ukládají nové úkoly a kompetence.

Typickým případem je nařízení o digitálních službách (DSA), v jehož rámci bude ÚOOÚ vykonávat dozor nad některými povinnostmi ve zveřejňování online reklam, řešit zákaz profilování pro personalizaci marketingových nabídek a spolupracovat s dalšími dozorovými úřady. Proto není divu, že ÚOOÚ se nové digitální regulaci ve výroční zprávě věnuje a mapuje její dopady do pravidel pro ochranu osobních údajů.

Personální kapacity

I v souvislosti s novými kompetencemi Úřad pro ochranu osobních údajů konstatuje, že nedisponuje dostatečnou personální kapacitou. K 31. prosinci 2024 byl celkový počet systemizovaných míst na ÚOOÚ 116. Podle názoru úřadu je však nezbytné, aby v roce 2025 došlo k personálnímu posílení o dalších 14 systematizovaných míst. 

Osobně pochybuji, že k takto velkému personálnímu posílení ÚOOÚ ve volebním roce 2025 dojde. To ovšem neznamená, že úřad je či bude bezzubý. Jak ostatně vyplývá i z výše uvedených čísel, dozor v oblasti zpracování osobních údajů i nevyžádaných obchodních sdělení ÚOOÚ vykonává již řadu let, své postupy se snaží automatizovat a činit stále více efektivními. Rozhodně se nevyplatí ho podcenit.

Článek je publikován také na doméně GDPR.cz