Kolik lidí ročně omylem zaplaví Úřad pro ochranu osobních údajů podněty, které tam vůbec nepatří? Přesná čísla úřad nezveřejňuje, ale z jeho výročních zpráv vyplývá, že značná část podání se týká sporů, jež spadají do kompetence úplně jiných institucí. E-shop, který nedodal zboží nebo odmítá vrátit peníze za reklamaci, sice může frustrovat, ale s ochranou osobních údajů to nemá nic společného. Úřad se v takovém případě omezí na stručné vyjádření, že věc nespadá do jeho působnosti, a odkáže stěžovatele na Českou obchodní inspekci nebo na soud.
Co vlastně Úřad pro ochranu osobních údajů řeší
Kompetence úřadu se váže výhradně na nakládání s osobními údaji podle GDPR a navazujícího zákona o zpracování osobních údajů. To znamená situace, kdy e-shop shromažďuje jméno, adresu, telefonní číslo, e-mail nebo platební údaje způsobem, který odporuje zákonu. Typickým důvodem stížnosti bývá zasílání marketingových e-mailů bez souhlasu, prodej nebo předání kontaktů třetí straně bez informování zákazníka, odmítnutí vymazat účet a data na žádost uživatele, nebo naopak neschopnost e-shopu doložit, jak dlouho a proč údaje uchovává.
Další oblastí jsou úniky dat – pokud e-shop nezabezpečí databázi zákazníků a dojde k jejímu zveřejnění či zneužití, jde o přímé porušení povinností správce osobních údajů. Stejně tak spadá pod dohled úřadu situace, kdy obchod nereaguje na žádost o přístup k osobním údajům podle článku 15 GDPR, ačkoliv na to má zákonnou lhůtu jednoho měsíce.
Co úřad neřeší
Reklamace zboží, vrácení peněz, nedodání objednávky, rozpor s obchodními podmínkami nebo spor o cenu – to všechno patří jinam. Pro tyto případy existuje Česká obchodní inspekce, případně mimosoudní řešení spotřebitelských sporů, a v krajním případě civilní soud. Smíchání těchto dvou rovin je nejčastější chybou, kterou stěžovatelé dělají, a právě proto se první část každého podání k ÚOOÚ musí soustředit na jasné vymezení, že jde skutečně o osobní údaje.
V praxi se často stává, že zákazník si všimne podivné souvislosti až zpětně. Objedná si zboží v jednom e-shopu a během několika dní mu začnou chodit reklamní nabídky od úplně jiné firmy, se kterou nikdy nekomunikoval. To je typický signál, že došlo k neoprávněnému předání kontaktních údajů třetí straně bez souhlasu, a přesně tady má smysl obrátit se na úřad.
Jak stížnost formálně podat
Podnět lze podat několika způsoby – písemně poštou na adresu úřadu v Praze, datovou schránkou, elektronicky přes formulář na webu uoou.gov.cz, nebo osobně na podatelně. Datová schránka úřadu má identifikátor qkbaa2n a pro fyzické osoby s vlastní datovou schránkou jde o nejrychlejší a zároveň doložitelnou cestu. Podání by mělo obsahovat identifikaci stěžovatele, přesný název a IČO provozovatele e-shopu, popis skutku a datum, kdy k porušení došlo, a pokud možno i důkazy – screenshoty e-mailů, kopie komunikace, výpis z registru, kde je vidět, jaký subjekt e-shop skutečně provozuje.
Anonymní podání úřad přijme, ale možnosti jeho prošetření jsou omezenější, protože chybí zpětná vazba a doplňující informace nelze od stěžovatele vyžádat. Odborníci proto radí uvádět alespoň kontaktní e-mail, i když jméno zůstane utajeno vůči kontrolovanému subjektu.
Než se stížnost podá, vhodné je nejprve kontaktovat samotný e-shop
Zákon dává správci osobních údajů lhůtu jednoho měsíce na vyřízení žádosti o výmaz, opravu nebo informaci o zpracování dat. Teprve pokud e-shop na tuto žádost nereaguje, nebo reaguje nedostatečně, dává smysl obrátit se na úřad. Tento krok navíc slouží jako důkaz – přiložená e-mailová komunikace ukazuje, že stěžovatel se pokusil věc vyřešit přímo, a teprve marný pokus jej dovedl k dozorovému orgánu.
Doba vyřízení podnětu se liší případ od případu. Úřad sám uvádí, že jednodušší podněty vyřizuje v řádu týdnů, složitější kontroly se zabezpečením dat nebo přeshraničním přenosem osobních údajů se mohou protáhnout na měsíce. Zde se zdroje rozcházejí – některé právní poradny uvádějí průměrnou dobu kolem šedesáti dnů, jiné analytické texty pracují s delšími lhůtami blížícími se půl roku u komplikovanějších případů týkajících se velkých obchodních řetězců.
Co následuje po podání
Úřad podnět nejprve posoudí formálně – zjišťuje, zda spadá do jeho kompetence a zda obsahuje dostatek informací k zahájení šetření. Pokud ano, může zahájit kontrolu u provozovatele e-shopu, vyžádat si vysvětlení, dokumentaci o zpracování údajů, záznamy o souhlasech zákazníků. Zjistí-li porušení, může uložit pokutu, nařídit nápravu, nebo obojí. Výše sankcí se u menších e-shopů pohybuje v řádu desítek tisíc korun, u opakovaných či závažných porušení mohou pokuty dosáhnout statisícových částek, v extrémních případech se u velkých firem blíží milionům.
Stěžovatel sám dostane vyrozumění o výsledku šetření, ale detailní obsah kontrolního protokolu obvykle nezná – úřad sděluje pouze závěr, nikoliv veškeré interní podklady. To bývá zdrojem frustrace, protože z pohledu laika působí odpověď úřadu často stroze a bez vysvětlení, proč byla nebo nebyla uložena sankce.
Kdo očekává, že podáním stížnosti automaticky získá zpět peníze za zboží nebo odškodnění, se mýlí. Úřad nemá pravomoc nařizovat náhradu škody vůči spotřebiteli – jeho role je čistě dozorová a sankční vůči správci dat. Odškodnění, pokud na něj vznikne nárok, musí stěžovatel vymáhat samostatně, typicky žalobou u civilního soudu, případně v rámci řízení o náhradě nemajetkové újmy podle občanského zákoníku.
Kdy má smysl kombinovat více cest najednou
V situacích, kdy e-shop porušuje jak spotřebitelská práva, tak zachází nezákonně s osobními údaji, dává smysl podat souběžně podnět na Českou obchodní inspekci i na Úřad pro ochranu osobních údajů. Obě instituce si mohou v rámci správního řízení vyžádat vzájemné stanovisko, ale formálně jde o dvě oddělená řízení s odlišným výsledkem – jedno může vést k pokutě za nekalé obchodní praktiky, druhé k sankci za porušení GDPR.
Otázka, zda malé e-shopy skutečně dodržují všechny povinnosti vyplývající z GDPR, zůstává otevřená. Řada menších provozovatelů nemá jmenovaného pověřence pro ochranu osobních údajů, protože zákon to u malých subjektů nevyžaduje, a spoléhá na obecné poučky převzaté z internetových šablon obchodních podmínek. Právě tato oblast bývá při kontrolách úřadu nejčastějším zdrojem zjištěných nedostatků.