Kontrolní plán ÚOOÚ pro rok 2025

Úřad pro ochranu osobních údajů (ÚOOÚ) zveřejnil svůj kontrolní plán na rok 2025. Pod drobnohledem budou například věrnostní programy obchodních řetězců, využívání dat z registrů a informačních systémů veřejné správy, kamery v dopravních prostředcích či rozesílání obchodních sdělení internetovými srovnávači.

Na jaké oblasti zpracování osobních údajů se ÚOOÚ při kontrole zaměří a jak se na kontrolu připravit?

Jaké sektory má ÚOOÚ na starosti?

ÚOOÚ je ústředním správním úřadem pro takřka celou oblast ochrany osobních údajů. Má na starosti zejména kontrolu zpracování osobních údajů v souladu s obecným nařízením o ochraně osobních údajů (GDPR), zákonem č. 110/2019 Sb., o zpracování osobních údajů, a zvláštními právními předpisy (ty se týkají např. činnosti Policie ČR, Vězeňské služby ČR nebo schengenské spolupráce). Kromě několika specifických oblastí (např. zpracování osobních údajů v justici či tajných službách) ÚOOÚ vykonává dozor nad všemi sektory a druhy zpracování. Kontrolovat může stejně tak ministerstvo, jako banku, telekomunikačního operátora, výrobní podnik, nemocnice, školu, obec nebo malý e-shop.

Značnou část agendy ÚOOÚ tvoří dohled nad šířením obchodních sdělení podle zákona č. 480/2004 Sb., o některých službách informační společnosti. ÚOOÚ dále dohlíží nad poskytováním informací úřady a veřejnými subjekty dle zákona č. 106/1999 Sb., o svobodném přístupu k informacím.

Jak může dojít ke kontrole vaší organizace?

ÚOOÚ může kontrolu zahájit buď na základě svého kontrolního plánu, nebo v reakci na stížnosti a podněty, které obdrží. Průběh kontroly se řídí zákonem č. 255/2012 Sb., o kontrole (kontrolní řád), a zákonem č. 500/2004 Sb., správní řád. Pokud úřad při kontrole zjistí, že organizace porušila své povinnosti, zahájí správní řízení, v rámci kterého může organizaci uložit nápravná opatření nebo pokutu. Případně obojí.

Na co se ÚOOÚ zaměří v roce 2025?

Soukromý sektor

ÚOOÚ bude věnovat pozornost věrnostním programům vybraných obchodních řetězců. Bude kontrolovat, zda souhlasy se zpracováním osobních údajů, které řetězce pro účast ve věrnostním programu vyžadují, odpovídají požadavkům GDPR. Souhlas musí být udělen jednoznačně, svobodně (bez jakéhokoliv nátlaku), ke konkrétnímu účelu a až poté, kdy je uživatel jasně a srozumitelně informován o zpracování svých osobních údajů.

Kontrole se nevyhnou ani soukromoprávní subjekty, které využívají údaje z veřejných registrů a informačních systémů veřejné správy, jako jsou banky nebo pojišťovny. ÚOOÚ bude zjišťovat, zda tyto subjekty pracují s daty z registrů (např. registru osob nebo obyvatel) pouze v nezbytném rozsahu a výhradně pro stanovené účely, například k identifikaci klienta při uzavření smlouvy. Důraz bude kladen na to, zda a jakým způsobem jsou lidé, jejichž údaje jsou využívány, o zpracování svých osobních údajů informováni.

ÚOOÚ také dohlédne na internetové srovnávače (např. pojištění nebo půjček) a způsob, jakým zasílají obchodní sdělení svým uživatelům. Bude kontrolovat, zda mají platný souhlas, nebo zda mohou obchodní sdělení posílat i bez souhlasu na základě tzv. zákaznické výjimky. ÚOOÚ dále prověří obsah obchodních sdělení a zaměří se zejména na to, zda jsou správně označeny, zda jasně identifikují odesílatele a obsahují platný odkaz k odhlášení z jejich odběru.

Soukromý i veřejný sektor

ÚOOÚ si posvítí i na to, jak soukromí i veřejní dopravci používají kamerové systémy uvnitř dopravních prostředků.  Bude prověřovat, zda je použití kamer skutečně důvodné, zda jsou záznamy uchovávány pouze po nezbytnou dobu a jakým způsobem mohou cestující uplatnit svá práva na ochranu osobních údajů.

V této části kontrolního plánu ÚOOÚ odkazuje na metodiku k používání kamerových systémů, kterou vydal v roce 2024. Lze proto očekávat, že bude kontrolovat, zda dopravci postupují v souladu s doporučeními uvedenými v této metodice.

Veřejný sektor

ÚOOÚ bude dále kontrolovat subjekty povinné poskytovat informace podle zákona č. 106/1999 Sb., o svobodném přístupu k informacím. To se týká například úřadů, územně samosprávných celků a právnických osob vlastněných státem, pokud jde o informace o jejich činnosti. Úřad upozorňuje, že v praxi se liší rozsah poskytovaných osobních údajů i míra jejich anonymizace. Tato kontrolní akce by tedy mohla přispět ke sjednocení přístupu povinných subjektů a objasnění problematických situací, kdy si subjekty nejsou jisté, zda a v jakém rozsahu mohou osobní údaje na základě zákona č. 106/1999 Sb. zpřístupnit.

ÚOOÚ se i letos zapojí do koordinované kontroly v rámci unijního projektu Coordinated Enforcement Framework. Evropské dozorové úřady včetně českého ÚOOÚ se zaměří na to, jak povinné subjekty vyřizují žádosti o výmaz osobních údajů.

Jak se na kontrolu připravit?

ÚOOÚ může jednoho rána zazvonit i u vašich dveří.  Ujistěte se, že zpracováváte osobní údaje v souladu s GDPR a pokuste se odstranit případná pochybení, pokud všechno tak úplně v souladu není.

Pokud u vás ÚOOÚ zahájí kontrolu, spolupracujte s ním a napravte co nejdříve všechny zjištěné chyby. Vaše aktivní spolupráce může pozitivně ovlivnit výši případné pokuty, kterou vám ÚOOÚ může uložit. Výše pokuty bude záviset nejen na míře vaší spolupráce, ale třeba i na závažnosti porušení, počtu dotčených osob a na tom, zda jde o vaše první porušení pravidel na ochranu osobních údajů a zda pracujete na jeho odstranění. Pravidelná revize vašich interních procesů, nástrojů ke zpracování osobních dat i související dokumentace je tak v zájmu opravdu každé organizace.

Článek je publikován také na doméně GDPR.cz.