Ochrana osobních údajů bývá často vnímána hlavně jako otázka správně napsaných zásad zpracování, souhlasů, informačních memorand nebo cookies lišt. Tento případ ale ukazuje ještě jednu, v praxi velmi důležitou rovinu GDPR: nestačí mít procesy nastavené správně „na papíře“. Firma musí být schopna i po několika letech prokázat, že podle nich skutečně postupovala.
Městský soud v Praze se v nedávném rozsudku zabýval případem našeho klienta, v němž Úřad pro ochranu osobních údajů uložil několika společnostem významné sankce za údajné neoprávněné zpracování osobních údajů klientů. Spor se týkal předávání klientských dat mezi obchodními partnery, existence souhlasů se zpracováním osobních údajů, splnění informačních povinností podle GDPR a také toho, jakými důkazy může správní orgán v řízení o přestupku prokazovat porušení právních povinností. Soud neřešil pouze samotnou otázku ochrany osobních údajů, ale především kvalitu dokazování a procesní postup ÚOOÚ. Zabýval se například tím, zda lze uložit sankci na základě elektronické komunikace získané od třetí osoby, jaké požadavky jsou kladeny na ověřování autenticity důkazů nebo jak podrobně musí správní orgán vysvětlit rozdílný postup vůči jednotlivým účastníkům řízení.
Soud nakonec rozhodnutí ÚOOÚ v podstatné části zrušil a věc vrátil správnímu orgánu k novému projednání. Pro našeho klienta jde o významný procesní úspěch. Zároveň jde o rozhodnutí, které přináší důležité poučení pro firmy: v oblasti GDPR hraje zásadní roli nejen samotné nastavení dokumentace, ale také schopnost prokázat, co se skutečně stalo, kdo s daty pracoval a na základě jakého právního titulu.
O jaký případ šlo
Případ se týkal spolupráce mezi společností působící v realitním sektoru a subjekty poskytujícími finanční a investiční služby. V rámci této spolupráce měly být osobní údaje klientů využity pro nabídku finančních produktů. ÚOOÚ dospěl k závěru, že příslušní správci osobních údajů nebyli schopni prokázat existenci právního základu pro takové zpracování, konkrétně souhlasu klientů, ani splnění informačních povinností podle GDPR. Následně uložil pokuty v řádu statisíců až milionů korun. Případ se poté dostal před Městský soud v Praze. Ten se musel vypořádat s několika právně i prakticky velmi důležitými otázkami: zda byly souhlasy klientů dostatečně doloženy, jak dlouho musí být správce schopen souhlas prokázat, kdo skutečně s klientskými daty pracoval, zda lze použít e-maily získané od třetí osoby a zda ÚOOÚ dostatečně vysvětlil rozdílný postup vůči jednotlivým účastníkům řízení.
Existovaly souhlasy klientů se zpracováním osobních údajů?
ÚOOÚ zastával názor, že správce musí být schopen doložit existenci souhlasu u každého jednotlivého subjektu údajů. Protože se jednalo o několik tisíc klientů, úřad zvolil kontrolní vzorek 250 osob a požadoval doložení souhlasů právě u nich. Když správce souhlasy k některým osobám z tohoto vzorku nepředložil, vyhodnotil to jako porušení GDPR. Úřad současně tvrdil, že obecné dokumenty, vzory souhlasů, smlouvy o spolupráci nebo interní e-mailová komunikace nemohou nahradit konkrétní souhlas konkrétní osoby. Kontrolovaná společnost naopak namítala, že doložila více než 400 individuálních prohlášení klientů potvrzujících existenci souhlasu, předložila vzory používaných souhlasů, smluvní dokumentaci upravující předávání dat i interní komunikaci potvrzující, že klienti souhlasy podepisovali.
Podle společnosti nebylo možné po několika letech požadovat předložení souhlasů právě u osob vybraných úřadem, když byly doloženy stovky jiných souhlasů. Tvrdila také, že GDPR nepředepisuje jediný možný způsob dokazování existence souhlasu. V této otázce soud v zásadě přisvědčil ÚOOÚ. Potvrdil, že povinnost prokázat souhlas se vztahuje ke každému subjektu údajů individuálně a že předložení souhlasů jiných osob samo o sobě neprokazuje existenci souhlasu u osob vybraných do kontrolního vzorku.
Pokud je zpracování osobních údajů založeno na souhlasu, nestačí mít obecný vzor dokumentu nebo tvrzení, že „souhlasy se standardně sbíraly“. V případě kontroly může být nutné doložit konkrétní souhlas konkrétní osoby.
Jak dlouho musí správce uchovávat důkazy o souhlasu?
Další klíčovou otázkou bylo, jak dlouho musí správce uchovávat důkazy o tom, že souhlas skutečně získal. Kontrolované subjekty tvrdily, že původní souhlasy byly po určité době skartovány v souladu s interními pravidly. Podle jejich názoru nelze po správcích požadovat uchovávání souhlasů prakticky neomezeně dlouhou dobu, zvlášť když GDPR žádnou konkrétní archivační dobu výslovně nestanoví. Poukazovaly také na princip přiměřenosti a minimalizace údajů. ÚOOÚ naopak zastával názor, že správce musí být schopen prokázat zákonnost zpracování minimálně po dobu, po kterou lze očekávat výkon dozorové činnosti. Pokud je právním základem souhlas, musí být správce schopen doložit jeho existenci i několik let po skončení zpracování.
Soud se v této části přiklonil k názoru ÚOOÚ a zdůraznil, že správce musí být schopen doložit existenci souhlasu po celou dobu relevantního zpracování. Praktický závěr je proto jasný: firmy by měly mít nastaveny skartační a archivační lhůty tak, aby nebyly v rozporu s jejich povinností prokázat zákonnost zpracování.
Kdo skutečně pracoval s klientskými daty?
Jednou z nejdůležitějších otázek bylo, komu bylo možné případné porušení GDPR vlastně přičíst. ÚOOÚ tvrdil, že z provedených důkazů vyplývá, že osobní údaje byly zpřístupněny a využívány více propojenými subjekty působícími pod společnou obchodní značkou. Podle úřadu tvořily interní e-mailová komunikace, svědecké výpovědi a obchodní propojení jednotlivých subjektů ucelený řetězec nepřímých důkazů, z něhož bylo možné dovodit, kdo s daty pracoval. Žalobce naopak namítal, že nebylo prokázáno, kdo konkrétně data používal. Nebylo podle něj zřejmé, zda s nimi pracovala jedna společnost, druhá společnost nebo obě, žádný klient nepotvrdil, že by byl kontaktován právě žalobcem, a některé důkazy měly naopak ukazovat na jiný subjekt. Tvrdil proto, že existují důvodné pochybnosti o tom, komu lze případné porušení GDPR vůbec přičíst.
Lze použít e-maily získané od třetí osoby?
Právě tato otázka se stala rozhodující pro výsledek sporu. Žalobce tvrdil, že e-mailová komunikace nebyla získána od účastníků řízení, ale pocházela od třetí osoby, mohla být získána v důsledku dřívějšího bezpečnostního incidentu, nebyla předložena v originální podobě, nebylo možné ověřit její autenticitu a nebylo vyloučeno, že s jejím obsahem bylo manipulováno. Současně poukazoval na princip označovaný jako „ovoce otráveného stromu“, tedy na problematiku použitelnosti nezákonně získaných důkazů. ÚOOÚ namítal, že nikdo konkrétně neprokázal manipulaci s e-maily, účastníci neuvedli konkrétní důvody jejich neautentičnosti, ochrana identity oznamovatele je zákonným požadavkem a e-maily byly podporovány dalšími důkazy ve spise.
Právě zde soud shledal zásadní pochybení. Podle soudu správní orgány dostatečně nevysvětlily, zda byly e-maily získány zákonně, zda jsou autentické a zda mohou být použity jako důkaz. Protože právě na těchto e-mailech stály klíčové skutkové závěry, označil soud rozhodnutí za nepřezkoumatelné.
Správní orgán nemůže založit rozhodnutí o sankci na důkazu, jehož původ, autenticita nebo použitelnost jsou vážně zpochybněny, aniž by se s těmito námitkami řádně vypořádal. Ochrana oznamovatele nebo třetí osoby neznamená, že lze rezignovat na požadavky řádného dokazování.
Proč byla jedna společnost potrestána a druhá nikoli?
Další významnou otázkou bylo rozdílné zacházení s jednotlivými účastníky řízení. Žalobci upozorňovali, že jeden z účastníků měl být podle skutkových zjištění zapojen obdobně, přesto bylo vůči němu řízení zastaveno, zatímco ostatní byli sankcionováni. Podle žalobců šlo o porušení zásady rovnosti a legitimního očekávání. ÚOOÚ uváděl, že u této společnosti nebyla vedena předchozí kontrola, řízení bylo zahájeno těsně před uplynutím promlčecí doby a její procesní situace proto byla odlišná. Soud však označil odůvodnění rozdílného postupu za nedostatečné. Právě nevysvětlené rozdílné zacházení s jednotlivými účastníky bylo jedním z hlavních důvodů, proč bylo rozhodnutí ÚOOÚ zrušeno.
Pokud úřad v obdobné skutkové situaci postupuje vůči jednotlivým účastníkům rozdílně, musí přesvědčivě vysvětlit proč. Jinak je jeho rozhodnutí vystaveno riziku zrušení pro nepřezkoumatelnost.
Tento případ ukazuje, že v oblasti GDPR nestačí pouze správně nastavit procesy. Stejně důležité je být schopen po letech prokázat, že byly skutečně dodrženy. Firmy by měly mít jasně nastaveno, na jakém právním základě zpracovávají osobní údaje, kdo je správcem a kdo zpracovatelem, kdo odpovídá za informační povinnost, jak se archivují souhlasy a jak se dokumentuje předávání dat obchodním partnerům.
Současně rozsudek potvrzuje, že i v řízeních vedených ÚOOÚ musí správní orgány respektovat základní pravidla dokazování. Pokud je rozhodnutí založeno na sporném nebo nedostatečně prověřeném důkazu, může být zrušeno bez ohledu na to, zda k porušení GDPR ve skutečnosti došlo.
