GDPR: Zaškrtl prodejce souhlas se zpracováním osobních údajů za vás? Nepřípustné, rozhodl Soudní dvůr Evropské unie
Výklad Obecného nařízení o ochraně osobních údajů („GDPR“) je opět o něco jasnější – Soudní dvůr Evropské unie se totiž znovu vyjádřil k podmínkám vyjádření souhlasu se zpracováním osobních údajů. Rozhodnutí je důležité zejména z toho důvodu, že právě souhlas subjektu údajů (člověka, ke kterému se osobní údaje vztahují) je velmi často, a mnohdy nevhodně, důvodem, o který správci osobních údajů opírají zákonnost takového zpracování.
Rozhodnutí Soudního dvora Evropské unie ve věci C‑61/19 ze dne 11. 11,. 2020 předcházelo vnitrostátní správní řízení, ve kterém rumunský úřad odpovědný za ochranu osobních údajů udělil pokutu tamní pobočce jednoho z mobilních operátorů. Tato pobočka dle úřadu uchovávala kopie dokladů totožnosti svých zákazníků, aniž by prokázala, že tito zákazníci dali svůj platný souhlas. Rumunský operátor toto rozhodnutí napadl u tamního soudu.
V následném řízení bylo zjištěno, že políčko, jehož zaškrtnutím zákazník vstupující do smluvního vztahu souhlasí se zpracováním kopií svých dokladů, bylo v některých případech zaškrtnuto prodejci operátora před tím, než byla smlouva dána zákazníkovi k podpisu. Rovněž bylo zjištěno, že v případě, kdy zákazník nesouhlasil se zaškrtnutím takového políčka, byl nucen svůj nesouhlas před uzavřením smlouvy vyjádřit podpisem zvláštního formuláře. Konečně pak smlouvy neobsahovaly informaci o tom, že je bylo možné uzavřít bez ohledu na to, zda zákazník vyjádřil či nevyjádřil souhlas se zpracováním svých osobních údajů.
Soudní dvůr s odkazem na svou předchozí rozhodovací praxi (zejména stěžejní rozhodnutí ve věci C-673/17 Planet49, které se týkalo podmínek souhlasu s ukládáním souborů cookies v kontextu elektronických komunikací) uvedl, že souhlas se zpracováním osobních údajů musí plynout z aktivního jednání subjektu údajů. Dle unijního soudu však podepsání smlouvy obsahující již zaškrtnuté políčko samo o sobě neumožňuje prokázat takový souhlas, pokud zároveň z okolností nevyplývá, že takové ujednání bylo skutečně přečteno a pochopeno.
Soud se rovněž ztotožnil s názorem generálního advokáta Szpunara a Evropské komise, že spojit odmítnutí poskytnutí souhlasu s požadavkem vyhotovení zvláštního písemného prohlášení může nežádoucím způsobem ovlivnit svobodnou volbu odmítnout toto shromažďování a uchovávání. Dle Szupnara zákazníci nesmějí mít pocit, že jejich odmítnutí souhlasu s okopírováním a uchováváním dokladů totožnosti není v souladu s běžnými postupy.
K ostatním otázkám (možná nedostatečnost odlišení ujednání o zpracování osobních údajů od ostatních smluvních ujednání, možné nesplnění informační povinnosti vůči zákazníkovi, možné uvedení zákazníka v omyl ohledně možnosti uzavřít smlouvu i přes jeho nesouhlas) se soudci postavili velmi vyhýbavě. Na jednu stranu je třeba se Soudním dvorem souhlasit v tom, že tyto otázky by měly být předmětem dokazování nalézacího vnitrostátního soudu. Na stranu druhou však Soudní dvůr Evropské unie možná promarnil velmi dobrou šanci pomocí výkladu stanovit další závazná pravidla pro udělování souhlasu dle GDPR, jež by mohla vést k širší ochraně spotřebitelů, jakož i posílení právní jistoty správců a zpracovatelů osobních údajů.
Rozsudek však v každém případě potvrzuje dlouhodobý postoj Soudního dvora Evropské unie, dle kterého musí být unijní pravidla pro udělení souhlasu vykládána přísně. Budete-li tudíž podepisovat smlouvu, v rámci níž dáváte souhlas se zpracováním svých osobních údajů, vězte, že souhlas je platně dán tehdy, pokud:
- jste předem o tomto zpracování získali srozumitelné a jasné informace;
- jste byli předem informováni o důsledcích udělení či neudělení takového souhlasu, a to zejména s ohledem na možnost uzavření smlouvy i přes neudělení souhlasu;
- dáváte-li souhlas zaškrtnutím políčka, takové políčko již nebylo zaškrtnuto „protistranou“;
- nejste žádným způsobem demotivováni směrem k neudělení souhlasu, například dodatečnou povinností vyplnit zvláštní formulář.
Pro úplnost je třeba dodat, že původní vnitrostátní řízení proběhlo před 25. květnem 2018, a předmětem výkladu byla tudíž zejména Směrnice 95/46, která byla nařízením GDPR následně zrušena. Soudní dvůr však dal jasně najevo, že jeho závěry jsou aplikovatelné na oba předpisy.
Filip Vlček, externí právní analytik PwC Legal; MJur Candidate, University of Oxford
PwC Legal
je mezinárodní a multidisciplinární advokátní kancelář s bohatými zkušenostmi např. v oblasti obchodního a korporátního práva, fúzí a akvizic, pracovního práva, práva ICT, IP, ochrany dat a informací (včetně ochrany osobních údajů a práva kybernetické bezpečnosti), daňových a dalších litigací, veřejných zakázek nebo třeba komplexních nemovitostních projektů a jejich financování. Díky úzké spolupráci s ostatními společnostmi ze skupiny PwC je přidaná hodnota kanceláře mimo jiné tam, kde je zapotřebí analyzovat daňové, finanční či technické aspekty problematiky. Advokátní kancelář PwC Legal v České republice disponuje týmem více než 20 zkušených právníků v Praze, Brně a Ostravě a 3600 právníků ve více jak 100 zemích celého světa.
Více informací na: www.pwclegal.cz
Poslední zprávy z rubriky Zákony a právo:
Přečtěte si také:
Prezentace
23.04.2024 Podle čeho vybírat plechový zahradní domek?
18.04.2024 Daňové přiznání lidem provětralo peněženky....
Okénko investora
Ali Daylami, BITmarkets
Michal Brothánek, AVANT IS
Olívia Lacenová, Wonderinterest Trading Ltd.
Evropský průmysl zelené energie má problém: Společnosti se stěhují do USA
Mgr. Timur Barotov, BHS
Trhy střízliví a vedou ruku amerického Fedu ke zpřísnění politiky
Petr Lajsek, Purple Trading
Miroslav Novák, AKCENTA
Spotřebitelská inflace v eurozóně odeznívá, pro služby to však úplně neplatí
Jiří Cimpel, Cimpel & Partneři
Jakub Petruška, Zlaťáky.cz
?
Okénko pro podnikatele
Jitka Weiss, SNAIL TRAVEL INTERNATIONAL a.s.