V tomto oběžníku navazujeme na předchozí právní oběžníky č. 1/2016 a č. 8/2016. V nich jsme se věnovali především legislativnímu vymezení pojmu osobní údaj, problematice předávání osobních údajů jinému správci se souhlasem subjektu údajů a problematice předávání osobních údajů jinému správci (bez souhlasu subjektu údajů) v případech, kdy je to nezbytné pro plnění smlouvy se správcem. V tomto textu se budeme věnovat zpracování osobních údajů bez souhlasu subjektu údajů za účelem nabízení obchodu nebo služeb (za účelem marketingu) a jejich předávání jinému subjektu.
Jednou z možností, kdy je možné osobní údaje zpracovávat bez souhlasu subjektu údajů, jsou právě marketingové účely, a to za podmínek stanovených v § 5 odst. 5 zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů (dále jen „zákon o ochraně osobních údajů“). Toto ustanovení konkrétně stanoví, že „provádí-li správce nebo zpracovatel zpracování osobních údajů za účelem nabízení obchodu nebo služeb subjektu údajů, lze pro tento účel použít jméno, příjmení a adresu subjektu údajů, pokud tyto údaje byly získány z veřejného seznamu nebo v souvislosti se svojí činností jakožto správce nebo zpracovatele. Správce nebo zpracovatel však nesmí uvedené údaje dále zpracovávat, pokud s tím subjekt údajů vyslovil nesouhlas. Nesouhlas se zpracováním je nutné vyjádřit písemně. Bez souhlasu subjektu údajů nelze k uvedeným údajům přiřazovat další osobní údaje.“ Výše uvedené zpracování osobních údajů je tak limitováno především omezeným okruhem osobních údajů (jméno, příjmení a adresa subjektu údajů), účelem zpracování (nabízení obchodu nebo služeb subjektu údajů), původem osobních údajů (z veřejného seznamu nebo v souvislosti s činností správce) a neexistencí písemného nesouhlasu ze strany subjektu údajů s takovým zpracováním. Od možnosti zpracovávat osobní údaje bez souhlasu subjektů údajů za účelem nabízení obchodu nebo služeb subjektu údajů je však nutné důrazně odlišovat otázku šíření obchodních sdělení ve smyslu § 7 zákona č. 480/2004 Sb., ve znění pozdějších předpisů. To znamená, že možnost zpracovávat osobní údaje sama o sobě nezakládá oprávnění šířit nevyžádaná obchodní sdělení apod.
Osobní údaje zpracovávané správcem za účelem marketingu dle výše uvedeného ustanovení § 5 odst. 5 zákona o ochraně osobních údajů, je možné předávat dalším správcům, a to při splnění předpokladů stanovených v ustanovení § 5 odst. 6 tohoto zákona. Toto ustanovení obsahuje celkem tři podmínky pro takové předání jinému správci, a to, že a) údaje subjektu údajů byly získány v souvislosti s činností správce nebo se jedná o zveřejněné osobní údaje (obdobně jako výše), b) údaje budou dalším správcem využívány pouze za účelem nabízení obchodu a služeb (obdobně jako výše), c) subjekt údajů byl o tomto postupu správce předem informován a nevyslovil s tímto postupem nesouhlas.
To znamená, že v případě, kdy má dojít k předání osobních údajů pro marketingové účely jinému správci, je nutné subjekt údajů o tomto záměru předem informovat (což nemusí být příliš praktické). Případný nesouhlas s předáním osobních údajů pak musí subjekt údajů vyslovit písemně, přičemž platí, že správce je povinen informovat každého správce, kterému osobní údaje předal, o tom, že subjekt údajů vyslovil nesouhlas se zpracováním (§ 5 odst. 8 zákona o ochraně osobních údajů).
Jiný správce, kterému byly osobní údaje za účelem marketingu takto předány, je již nemůže předávat dalším subjektům (§ 5 odst. 7 zákona o ochraně osobních údajů).
Josef Aujezdský
Advokátní kancelář Mašek, Kočí, Aujezdský
www.e-Advokacie.cz – on-line právní poradenství
Tento text byl advokátní kanceláří Mašek, Kočí, Aujezdský původně vyhotoven ve spolupráci se spolkem Asociace pro elektronickou komerci (APEK) jako právní oběžník č. 12/2016 určený členům tohoto spolku.