Nařízení Evropského parlamentu a Rady 2016/679 označované jako GDPR (dále jen „nařízení“) upravuje ve svém čl. 17 právo subjektu údajů na výmaz jeho osobních údajů (tzv. právo být zapomenut). Vzhledem k tomu, že v praxi se setkáváme s řadou dotazů obchodníků ohledně tohoto oprávnění, rozhodli jsme se mu stručně věnovat v tomto právním oběžníku. Navazujeme tak tímto na právní oběžník č. 10/2017, v rámci kterého jsme se zabývali problematikou obecných ustanovení souvisejících s uplatňováním práv subjekty údajů.
Za prvé je nutné zmínit, že právo na výmaz může subjekt údajů (kupříkladu zaměstnanec či zákazník) uplatnit pouze ve vymezených případech stanovených v nařízení. Obchodník bude povinen osobní údaje skutečně vymazat zejména v těch případech, kdy ke zpracování osobních údajů dochází na základě souhlasu subjektu údajů, přičemž neexistuje jiný právní základ pro zpracování těchto osobních údajů. Nejčastějším případem v praxi bude zřejmě požadavek na odstranění z databáze kontaktů pro zasílání obchodních sdělení. Toto však není z materiálního pohledu pro obchodníky změnou, neboť i podle zákona o některých službách informační společnosti má mít zákazník „jasnou a zřetelnou možnost jednoduchým způsobem, zdarma …odmítnout souhlas s takovýmto využitím svého elektronického kontaktu i při zasílání každé jednotlivé zprávy, pokud původně toto využití neodmítl.“
Nicméně, jak již bylo z naší strany opakovaně uváděno, souhlas zákazníka nebude nejčastějším právním základem zpracování osobních údajů při provozu běžného internetového obchodu. Daleko významnějším bude v praxi zpracování osobních údajů, jehož právním základem bude plnění smlouvy ze strany obchodníka (či jednání o uzavření takové smlouvy) nebo plnění právních povinností obchodníka vyplývajících z veřejnoprávních předpisů. V případě takového zpracování nebude internetový obchodník schopen a povinen požadavku na výmaz osobních údajů vyhovět, avšak pochopitelně pouze za předpokladu, že osobní údaje jsou stále potřebné pro účely, pro které byly shromážděny nebo jinak zpracovány. V této souvislosti je nutné také pamatovat, že vždy platí obecná zásada tzv. omezeného uložení obsažená v ustanovení čl. 5 odst. 1 písm. e) nařízení.
Pro lepší ilustraci zmíníme praktický příklad. Obchodníkovi přijde zpráva od zákazníka, že požaduje výmaz všech jeho osobních údajů zpracovaných takovým obchodníkem. V takovém případě by měl obchodník provést výmaz osobních údajů zpracovávaných na základě souhlasu zákazníka, pokud je však nezpracovává také na jiném právním základě (kupříkladu adresa zákazníka může být v konkrétním případě zpracovávána nejen za účelem přímého marketingu, ale i za účelem plnění smlouvy). Obchodník by měl provést také výmaz všech těch osobních údajů žadatele, které již nejsou potřebné pro účely, pro které byly shromážděny nebo jinak zpracovány. Některé osobní údaje však vymazat nebude možné, a to zejména s ohledem na skutečnost, že účel jejich zpracování prozatím nezanikl (kupříkladu práva ze smlouvy uzavřené se zákazníkem stále trvají) nebo z důvodů, že takové osobní údaje jsou nezbytné „pro určení, výkon nebo obhajobu právních nároků“ obchodníka. V tomto duchu by měl obchodník zákazníka také informovat.
Složitější pochopitelně mohou být některé technické aspekty související s právem na výmaz osobních údajů, a to i ve vztahu k zálohování prováděnému obchodníkem. Jak bylo zmiňováno v říjnovém oběžníku, lhůta pro výmaz osobních údajů je koncipována jako „bez zbytečného odkladu a v každém případě do jednoho měsíce od obdržení žádosti. Tuto lhůtu je možné v případě potřeby a s ohledem na složitost a počet žádostí prodloužit o další dva měsíce.“ Tyto lhůty by zřejmě měly dávat dostatečný prostor pro to, aby byl obchodník schopen požadavku na výmaz osobních údajů vyhovět.
Josef Aujezdský, advokát
Advokátní kancelář Mašek, Kočí, Aujezdský
www.e-Advokacie.cz – on-line právní poradenství
Tento text byl advokátní kanceláří Mašek, Kočí, Aujezdský původně vyhotoven ve spolupráci se spolkem Asociace pro elektronickou komerci (APEK) jako právní oběžník č. 02/2018 určený členům tohoto spolku.