K povinnosti správce doložit právní titul
Dovolujeme si Vás informovat o nedávném rozhodnutí Nejvyššího správního soudu, týkajícím se odpovědnosti správce osobních údajů za zpracování osobních údajů na základě řádného právního titulu.
Jádro sporu tkvělo v otázce, zda společnost odpovídá jako správce za zpracování osobních údajů získaných prostřednictvím vázané zástupkyně této společnosti, tedy na společnosti nezávislého podnikatelského subjektu. Vázaná zástupkyně v daném případě oslovila potencionálního klienta na základě dat, k jejichž získání nebyla společnost dle Úřadu pro ochranu osobních údajů schopna doložit řádný právní titul ve smyslu čl. 6 GDPR, přičemž vázaná zástupkyně se v telefonním rozhovoru se subjektem údajů představila jménem společnosti.
Společnost podala proti rozhodnutí ÚOOÚ nejdříve správní žalobu k Městskému soudu Praze, ve které se bránila argumentem, že za nesprávně zpracovávané osobní údaje odpovídají její spolupracovníci jako vázaní zástupci, kteří jsou samostatnými podnikatelskými subjekty, a nikoliv společnost. Městský soud v Praze ovšem žalobu zamítl. Společnost proto podala kasační stížnost k Nejvyššímu správnímu soudu, který rozhodnutí Městského soudu v Praze potvrdil a stížnost taktéž zamítl, a to s odůvodněním, že podle GDPR je nositelem odpovědnosti za zákonné zpracování osobních údajů správce osobních údajů, tj. v daném případě společnost.
