Kamery v MHD i věrnostní karty v hledáčku ÚOOÚ

Úřad pro ochranu osobních údajů odhalil, na co se zaměří při svých kontrolách v roce 2025. Připravit by se měly zejména banky, pojišťovny, obchodní řetězce, internetové srovnávače a dopravci! Co konkrétně byste si měli ohlídat?

Úřad pro ochranu osobních údajů (ÚOOÚ) zveřejnil kontrolní plán pro rok 2025. Kdo se letos dostane pod jeho drobnohled? ÚOOÚ se zaměří například na využívání dat z registrů veřejné správy, kamerové systémy v dopravních prostředcích či na rozesílání obchodních sdělení internetovými srovnávači.

ÚOOÚ je klíčovou institucí pro dohled nad dodržováním pravidel ochrany osobních údajů v České republice, včetně monitorování a vymáhání uplatňování nařízení o ochraně osobních údajů (GDPR). Kromě tzv. incidenční kontroly, která spočívá v řešení stížností subjektů údajů a dalších podnětů, provádí ÚOOÚ také plánované kontroly, a to na základě kontrolního plánu, který každoročně zveřejňuje.

Kontrolní plán ÚOOÚ pro rok 2025 je rozdělen do tří částí. Pojďme se tedy podívat, jak budou tyto plánované kontroly v roce 2025 vypadat dle jednotlivých částí kontrolního plánu.

JAKÉ OBLASTI BUDE ÚOOÚ V ROCE 2025 KONTROLOVAT?

1. Využívání dat z registrů a informačních systémů veřejné správy

2. Podmiňování slev souhlasem se zpracováním osobních údajů

3. Zpracování osobních údajů při poskytování informací podle zákona o svobodném přístupu k informacím

4. Kamerové systémy v dopravních prostředcích

5. Rozesílání obchodních sdělení internetovými srovnávači

Kontrolní akce

První část se týká obecných kontrolních akcí, přičemž se ÚOOÚ zaměří na poměrně širokou škálu oblastí. V rámci využívání dat z registrů a informačních systémů veřejné správy se ÚOOÚ zaměří na tzv. soukromo- právní uživatele údajů, tedy na podnikající fyzické nebo právnické osoby, které jsou na základě právního předpisu oprávněny využívat údaje ze základního registru nebo z agendového informačního systému. Půjde tak například o banky či pojišťovny. ÚOOÚ, konkrétně oddělení kontroly soukromého sektoru, se zaměří především na to, zda je využívání těchto údajů skutečně nezbytné ve vztahu k účelům a zda odpovídá principům „privacy by design“ a „privacy by default“.

Stále více obchodních řetězců podmiňuje slevy účastí ve věrnostních či obdobných programech. To s sebou přináší otázku, zda udělený souhlas se zpracováním osobních údajů v rámci věrnostních programů, který je nejčastěji tvrzeným právním titulem, opravdu splňuje požadavky GDPR. ÚOOÚ se tak zaměří na naplnění podmínek pro souhlas dle čl. 4 odst. 11 GDPR. Tuto oblast má na starosti oddělení kontroly soukromého sektoru.

ÚOOÚ se dále zaměří na zpracování osobních údajů při poskytování informací podle zákona o svobodném přístupu k informacím, a především na to, jak povinné subjekty dle zákona o svobodném přístupu k informacím (například orgány územních samosprávných celků) anonymizují osobní údaje a jak vyhodnocují, zda je jejich poskytnutí nezbytné. Cílem bude zjistit, zda postupy, metodiky, vnitřní předpisy a praxe povinných subjektů při poskytování informací odpovídají pravidlům GDPR. Tuto oblast má na starosti oddělení kontroly veřejných subjektů.

ÚOOÚ také plánuje kontrolovat vybrané dopravce, kteří využívají kamerové systémy v rámci hromadných dopravních prostředků. Při kontrolách bude posuzována především nezbytnost kamer, doba uchovávání záznamů a naplňování práv subjektů údajů. Tato oblast je v gesci oddělení kontroly soukromého sektoru a veřejných subjektů.

V kontrolním plánu ÚOOÚ na rok 2025 nechybí ani problematika rozesílání obchodních sdělení, a to konkrétně ze strany internetových srovnávačů. Poskytovatelé internetových srovnávačů (například pojištění či půjček) budou kontrolováni kvůli rozesílání obchodních sdělení osobám, jež využily jejich služeb. Tyto srovnávače přitom doposud kontrole ze strany ÚOOÚ nepodléhaly. Kontroly se zaměří na dodržování podmínek dle § 7 zákona o některých službách informační společnosti, včetně právního titulu k rozesílání obchodních sdělení. Kontrolu provede v tomto případě oddělení obchodních sdělení.

ÚOOÚ se zaměří na udílení souhlasů v rámci věrnostních programů pro zákazníky

Oblast víz, cel a schengenského prostoru

Druhá část kontrolního plánu se týká zpracování osobních údajů v rámci vízových a celních systémů, a to v oblasti zpracování osobních údajů zastupitelskými úřady při vízovém procesu a zpracování osobních údajů v Schengenském informačním systému.

ÚOOÚ bude kontrolovat vybrané zastupitelské úřady, které podléhají řízení ze strany Ministerstva zahraničních věcí, a to v souvislosti se zpracováním osobních údajů při vízovém procesu, respektive při vyřizování žádostí o schengenská víza. Při výběru konkrétního zastupitelského úřadu bude ÚOOÚ brát v úvahu počet vyřizovaných žádostí o schengenská víza, případné zapojení externího poskytovatele služeb (například provozovatele vízového centra) a rovněž aktuální zdravotní, bezpečnostní a mezinárodně- politickou situaci. Kontrolu bude provádět oddělení bezpečnostních agend.

Kontrole v oblasti Schengenského informačního systému budou podléhat vybrané obecní úřady provádějící registraci motorových vozidel. Za tímto účelem jsou obecní úřady oprávněny přistupovat k údajům vloženým do Schengenského informačního systému (SIS), aby ověřily, zda vozidla a jejich doklady nejsou kradené, ztracené, falešné nebo hledané v souvislosti s trestním řízením. Pracovníci úřadů s právem přístupu do SIS jsou v této souvislosti povinni absolvovat pravidelnou odbornou přípravu. ÚOOÚ se tak zaměří především na systém zajištění takové odborné přípravy. Kontrolu bude opět provádět oddělení bezpečnostních agend.

Evropské kontrolní akce

Třetí část kontrolního plánu tvoří evropské kontrolní akce, v rámci nichž se ÚOOÚ spolu s dalšími evropskými dozorovými úřady zapojí do celoevropské koordinované kontrolní akce zaměřené na implementaci práva na výmaz (právo být zapomenut) ze strany správců. Rozsah a podoba této kontrolní akce budou určeny v rámci evropské skupiny CEF v průběhu prvního čtvrtletí roku 2025. Tato oblast je v gesci oddělení kontroly veřejných subjektů.

Připomínáme, že loňská společná dozorová akce byla zaměřena na implementaci práva subjektů údajů na přístup k osobním údajům a informacím o jejich zpracování. O závěrech kontrolní akce jsme blíže psali v článku dostupném zde. Je tedy možné, že ÚOOÚ bude v rámci budoucích kontrol ověřovat, zda správci uvedli nedostatky ve svých procesech do souladu s GDPR. Připravit se na případnou kontrolu vám pomůže praktický checklist s doporučeními pro správce k plnění práva na přístup plynoucí z CEF 2024, který si můžete stáhnout zde.

Článek byl publikován v Elektronickém zpravodaji pro pověřence