Na co se v roce 2025 zaměří evropské úřady pro ochranu údajů?
Evropský sbor pro ochranu osobních údajů (EDPB) vybral téma koordinované kontrolní akce pro rok 2025. Právo na výmaz osobních údajů. Národní dozorové úřady, včetně českého Úřadu pro ochranu osobních údajů (ÚOOÚ), se zaměří na praktické uplatnění práva subjektů údajů na výmaz jejich dat podle čl. 17 obecného nařízení o ochraně osobních údajů (GDPR).
Co vám hrozí, pokud ÚOOÚ zkontroluje váš proces pro uplatnění práva na výmaz a vyhodnotí jej jako nedostatečný? Úřad vám může uložit, abyste proces vylepšili, přijali patřičnou dokumentaci, proškolili zaměstnance nebo vymazali konkrétní data ze všech systémů a úložišť. Kromě toho také hrozí pokuta za porušení GDPR. Nesprávné vyřizování žádostí subjektů údajů o uplatnění jejich práv je deliktem v přísněji trestané kategorii, za kterou hrozí, při skutečně systematických problémech či ignorování práv subjektu údajů, pokuta až 20 milionů EUR nebo 4 % z ročního obratu podniku či skupiny podniků.
Právo na výmaz, stížnosti a pokuty
ÚOOÚ opakovaně upozorňuje, že významná část doručených stížností se týká právě nesprávné reakce správců na uplatnění práv subjektu údajů. Typicky práva na informace o zpracování nebo práva na výmaz dat. ÚOOÚ v takovém případě obvykle daného správce osloví, vyžádá si od něj informace o vyřízení konkrétních podnětů i celkovém nastavení systému a upozorní na důsledky toho, pokud by správce v praxi nerespektoval požadavky GDPR. A pokud zjistí systémová pochybení, zahájí kontrolu nebo rovnou řízení o uložení pokuty.
Z počtu stížností a podnětů, které ÚOOÚ ročně obdrží, je vidět rostoucí trend.
2020 | 2021 | 2022 | 2023 | |
stížnosti a podněty | 1.855 | 2.430 | 2.192 | 2.322 |
Výrazně roste rovněž počet upozornění na možné porušení GDPR, které úřad zasílá jednotlivým správcům a zpracovatelům.
2020 | 2021 | 2022 | 2023 | |
výzva správci | 452 | 491 | 785 | 936 |
Pokud organizace svůj postup při uplatnění práva na výmaz nedokáže obhájit, ÚOOÚ se nezdráhá udělovat pokuty. Například v roce 2022 dostala pokutu 2.000.000 Kč společnost, která na svých webových stránkách zpracovávala a kombinovala osobní údaje z veřejných zdrojů. Jednalo se například o obchodní rejstřík, insolvenční rejstřík, patentový rejstřík atd. ÚOOÚ provedl kontrolu, zpracování vyhodnotil jako v rozporu s GDPR a nařídil výmaz údajů. Protože společnost ve stanovené lhůtě údaje nevymazala, ÚOOÚ jí uložil dvoumilionovou pokutu.
Jste připraveni na kontrolu?
Jste si jistí, že vaše interní procesy, postupy a dokumentace by při kontrole ÚOOÚ obstály? Tak to se nemáte čeho bát.
Pokud si svůj proces přeci jenom pro jistotu chcete projít, zaměřte se na tyto 3 klíčové prvky.
Komunikační kanály
Definujte, jak se na vás subjekt údajů se žádostí o výmaz může obrátit. Písemně, telefonem, osobně, datovou schránkou, e-mailem? Důležité je to transparentně komunikovat navenek, ale informovat i dovnitř organizace ty, kdo jsou za obsluhu daných komunikačních nástrojů odpovědni. Aby některá žádost nezapadla…
Dejte si také pozor na příliš omezující výčet těchto komunikačních prostředků. Subjekt údajů by měl mít možnost pro uplatnění svých práv využít všechny běžně používané a dostupné kanály. Pokud žádost o výmaz dorazí poštou, i když jste s tím příliš nepočítali a v informačním memorandu o této variantě nepíšete, jste povinni ji standardně vyřídit.
Proces pro vyřizování žádostí
Nastavte alespoň základní proces pro vyřizování žádostí o výmaz, resp. obecně uplatnění práv subjektu údajů. Proces nemusí být extra složitý, měl by odpovídat struktuře, velikosti a dalším postupům zavedeným ve vaší organizaci. Podstatné je, aby zaměstnanci věděli, nebo v případě potřeby mohli snadno zjistit, jak při vyřizování žádosti o výmaz postupovat. Jestli ji musí od klienta či zaměstnance přijmout na místě, její přijetí potvrdit, komu ji interně předat k vyřízení, jak zajistit výmaz údajů ve svých systémech a databázích, jaké GDPR stanoví pro vyřízení podnětu lhůty atd.
Dokumentace a evidence
Celý proces, včetně povinností jednotlivých zaměstnanců, dokumentujte. Nejlépe formou interního předpisu či metodiky, se kterou budou zaměstnanci seznámeni a ke které budou mít trvalý přístup.
Stejně tak je nutné evidovat přijaté žádosti o výmaz a způsob jejich vyřízení. Jen tak budete při kontrole ÚOOÚ, návštěvě auditora, zástupce mateřské společnosti nebo zřizovatele schopni doložit, že váš proces není zaveden jen na papíře, ale doopravdy funguje.
