Levnější jízdenky výměnou za osobní údaje?

Pozor, levnější služby nemůžete nabízet výměnou za osobní údaje. Subjekt údajů musí mít vždy svobodnou volbu. Za tuto praktiku skončil před soudem německý železniční dopravce. Děje se něco podobného i v Praze?

V dnešní digitální době jsme si zvykli, že služby se stále častěji přesouvají do online prostředí. S tím ale často přicházejí i požadavky, které s podstatou služby nemají mnoho společného – typicky sdílení osobních údajů. Ostatně i v České republice byla nejmenovanému dopravci udělena rekordní pokuta ve výši 7,7 milionu korun v oblasti nezákonného zasílání obchodních sdělení v souvislosti s online prodejem jízdenek. Na o něco hůře zvládnutý „marketing“ teď narazila společnost Deutsche Bahn, a to v souvislosti s mechanismem nabídky levnějšího jízdného.

Od podzimu 2023 totiž německý národní železniční dopravce zavedl pravidlo, že pro nákup nejvýhodnějších jízdenek je nutné poskytnout e-mailovou adresu nebo telefonní číslo. Bez toho nebylo možné lístek zakoupit, a to ani při osobní návštěvě přepážky. Zákazníci tak stáli před volbou: buď levná jízdenka za cenu osobních údajů, nebo dražší varianta bez jejich poskytování.

Spotřebitelská organizace tuto praxi označila za nepřiměřenou a v rozporu s GDPR a obrátila na soud. Případ nakonec skončil u německého soudu (Oberlandesgericht Frankfurt am Main), který 10. 7. 2025 rozhodl, že železniční dopravce Deutsche Bahn zpracovával osobní údaje v rozporu s GDPR.

Cestující neměli možnost zakoupit levnější jízdenky bez uvedení svých osobních údajů

Pozadí případu

Od října 2023 do prosince 2024 nabízela německá národní železniční společnost, která byla v pozici správce osobních údajů, některé levnější jízdenky výhradně v digitální podobě. Při nákupu těchto vstupenek – prostřednictvím aplikace, telefonu nebo u přepážky – byli cestující požádáni o poskytnutí e-mailové adresy nebo čísla mobilního telefonu. Následně obdrželi digitální jízdenku nebo číslo objednávky. Kdo si chtěl lístek koupit anonymně přes automat na jízdenky, měl smůlu. Zakoupit tyto levnější jízdenky skrze automat totiž nebylo možné.

Právě tato povinná podmínka k poskytnutí osobních údajů se stala předmětem žaloby k německému soudu podané spotřebitelskou organizací. Argumentace této organizace byla jednoduchá: poskytování kontaktních údajů není pro samotnou přepravu nezbytné, a tudíž nemá oporu v žádném z právních základů dle čl. 6 GDPR. Organizace v žalobě požadovala vydání příkazu, aby se dopravce takového jednání zdržel.

Argumentace soudu

Německý soud se s argumentací spotřebitelské organizace ztotožnil a dal žalobci plně za pravdu. V rozsudku konstatoval, že praxe Deutsche Bahn byla v rozporu hned s několika zásadními principy GDPR, a to konkrétně:

• souhlas cestujících se zpracováním osobních údajů nebyl svobodný dle čl. 6 odst. 1 písm. a) ve spojení s čl. 7 GDPR;

• údaje nebyly nezbytné pro plnění smlouvy dle čl. 6 odst. 1 písm. b) GDPR;

• zpracování nebylo prováděno na základě oprávněného zájmu správce dle čl. 6 odst. 1 písm. f) GDPR;

• došlo k porušení zásady minimalizace údajů dle čl. 5 odst. 1 písm. c) GDPR.

Německý soud došel k závěru, že souhlas cestujících se zpracováním osobních údajů nebyl svobodný, jelikož dopravce cestujícím nenabídl rovnocennou alternativu pro nákup jízdenky bez poskytnutí osobních údajů. Subjekty údajů proto nemohly učinit skutečnou a svobodnou volbu, a proto soud nepovažoval souhlas za platný.

Soud též konstatoval, že situaci zhoršuje i dominantní postavení dopravce Deutsche Bahn na trhu železniční dálkové dopravy v Německu. Tato tržní síla tak jen posílila nedostatek dobrovolnosti údajného souhlasu, jelikož cestující neměli žádnou rozumnou alternativu k využití služeb tohoto dopravce.

Povinné uvedení e-mailu nebo mobilního telefonu nebylo podle německého soudu objektivně nezbytné pro plnění přepravní smlouvy. Tyto údaje naopak slouží pro interní účely dopravce, například za účelem marketingu nebo sledování zákaznického chování.

Německý soud dále konstatoval, že zpracování nemohlo být prováděno ani na základě oprávněného zájmu správce. Takový zájem správce by totiž musel v souladu s čl. 6 odst. písm. f) GDPR převyšovat nad zájmy nebo základními právy a svobodami cestujících. Oprávněný zájem spočívající v pouhé pohodlnější obsluze a jednodušší distribuci jízdenek však dle soudu tuto podmínku nesplňoval.

Porušení zásady minimalizace údajů shledal soud v tom, že ačkoliv bylo možné zakoupit klasické nezlevněné jízdenky bez poskytování osobních údajů, nebyla k dispozici stejná možnost i pro zlevněné jízdenky. Dle soudu bylo možné od dopravce očekávat, že zpřístupní stávající offiine kanály pro prodej jízdenek (například pokladní přepážky), aniž by bylo nutné sdělovat osobní údaje. Správce tedy rozhodně neshromažďoval pouze údaje nezbytné k danému účelu, jak to vyžaduje GDPR.

Dopravce Deutsche Bahn se bránil i tím, že jeho přepravní podmínky schválilo příslušné ministerstvo. K tomu však německý soud uvedl, že schválení ministerstvem nezahrnovalo posouzení souladu s právními předpisy o ochraně osobních údajů, a nemohlo tak ospravedlnit nezákonné zpracování. Toto schválení tak dle soudu nemohlo mít žádný závazný vliv na zákonnost zpracování údajů v souladu s GDPR.

Může podobný problém představovat i levnější jízdné v rámci pražské aplikace Lítačka?

Rozhodnutí soudu a reakce dopravce

Německý soud na základě uvedených argumentů rozhodl, že železniční dopravce v roli správce zpracovával osobní údaje bez platného právního zkladu, čímž porušil svou povinnost dle čl. 5 odst. 1 písm. a) GDPR. Na základě těchto závěrů zakázal dopravci pokračovat v praxi povinného sběru kontaktních údajů při prodeji levných jízdenek.

Dopravce Deutsche Bahn s reakcí dlouho neotálel, dle svého tvrzení totiž změnil proces nákupu levných jízdenek již před vynesením rozhodnutí, a to na základě stížností zákazníků. Zákazníci si tak mohou u pokladní přepážky zakoupit levnou jízdenku i bez uvedení svých osobních údajů. Náprava ze strany dopravce však nemění nic na tom, že jeho bývalá praxe při podeji levnějších jízdenek porušovala GDPR.

Digitalizace služeb vs. GDPR

Případ německého železničního dopravce jasně ukázal, že snaha o digitalizaci služeb nemůže probíhat na úkor práv cestujících. Cestující by měl mít vždy možnost svobodné volby, a to bez nátlaku na sdílení údajů, které k samotné cestě po kolejích nejsou potřeba. Dopravce Deutsche Bahn si tak na vlastní kůži ověřil, že jeho pohodlí nesmí převážit nad základními právy cestujících.

I cestující by měli myslet na to, že právo na ochranu osobních údajů je stejně důležité jako samotná služba, již využívají, a při každém nákupu jízdenek by si měli dát pozor na to, zda po nich není požadováno více údajů, než je nutné.

V souvislosti s předmětným případem lze upozornit, že Praha opět po čtyřech letech schválila zdražení jednorázových jízdenek – ale ne pro všechny stejně. Například 90minutová jízdenka zdraží z 40 Kč na 50 Kč, avšak cestující, kteří využívají aplikaci Lítačka, zaplatí pouze 46 Kč. I když je onboarding uživatelů do této aplikace odlišný od případu z dnešního článku, jistou paralelu zde nalézt můžeme. Třeba někdy k této věci doplní svůj názor i ÚOOÚ.

Článek byl publikován v Elektronickém zpravodaji pro pověřence