1. Súhlas na využívanie vernostných zliav
„Chcete naďalej využívať zľavy a výhody z členstva v našom vernostnom programe? Musíte podpísať súhlas so spracúvaním vašich osobných údajov. Vyplýva to z nového Nariadenia Európskeho parlamentu o ochrane osobných údajov, takzvaného GDPR.“ Aj v takomto duchu sa niesli listy niektorých obchodných reťazcov, ktoré posielali svojim klientom využívajúcim vernostný program.
Firmy, ktoré žiadajú svojich zákazníkov o obnovenie súhlasu so spracúvaním osobných údajov, pričom ním podmieňujú čerpanie výhod a bonusov vyplývajúcich z využívania služieb a nákupov v predchádzajúcom období, sa však dostávajú až za hranicu zákona. Ak obchodný reťazec pri neobnovení súhlasu odoprie zákazníkovi nárok na využitie získaných bonusov za nákupy a zruší členstvo, postupuje totiž protizákonne.
„Ak zákazník neukončí zmluvu o členstve vo vernostnom programe a neporuší žiadne podmienky dohodnuté v nej, preto ani druhá zmluvná strana nemá dôvod na ukončenie zmluvy, predchádzajúci súhlas so spracúvaním osobných údajov platí, stačí zákazníka informovať o zmene, respektívne doplnení pravidiel ochrany osobných údajov,“ konštatuje Katarína Matejčíková, odborníčka na GDPR.
Dokonca stačí, aby informácie o nových pravidlách ochrany osobných údajov vložil reťazec do letákov, ktoré distribuuje do schránok zákazníkov, alebo informoval zákazníkov krátkym mailom s odkazom na webovú stránku, kde uvedie plné znenie pravidiel ochrany osobných údajov .
2. Zmluvy, kde sa osobné údaje musia spracúvať
S absurdnými žiadosťami o súhlas so spracúvaním osobných údajov sa audítori nestretávajú ojedinele. Nezmyselné žiadosti sa často vyskytujú v súvislosti s plnením zmlúv. Ak napríklad mobilný operátor, hotel, dodávateľ energií alebo iný poskytovateľ služieb tvrdia, že potrebujú od klientov udelenie súhlasu so spracúvaním osobných údajov na účely poskytovania služieb, mýlia sa.
„V takýchto prípadoch totiž firma či prevádzkovateľ musí spracúvať osobné údaje, ktoré sú potrebné na uzatvorenie a plnenie zmluvy alebo objednávky. Preto je súhlas v tomto prípade neprípustný, nakoľko je kedykoľvek odvolateľný,“ hovorí Katarína Matejčíková.
3. Súhlasy založené na predchádzajúcich súhlasoch
Len o trochu prívetivejší, aj keď nie práve najšťastnejší postup je telefonicky oslovovať zákazníkov a nahrávať ich súhlasy – opäť na spracúvanie, ktoré je založené na predchádzajúcich súhlasoch, a teda ktoré naďalej platia. Hoci v tomto prípade to nie je protizákonné, iba zbytočné, stačilo by vhodným spôsobom zverejniť nové pravidlá ochrany osobných údajov.
4. Strach, že zamestnanec odvolá súhlas
Žiadosti o súhlas nevyžadujú firmy iba od svojich zákazníkov, ale aj od zamestnancov. „Príkladom extrémneho nepochopenia nariadenia, respektíve zákona o ochrane osobných údajov, s ktorým sme sa stretli, je žiadosť o neodvolateľný súhlas zamestnanca so zverejnením fotografií vo firemnom časopise,“ uvádza Matejčíková. „Pre prípad, že firma dá vytlačiť časopis s fotografiami z firemnej akcie a v obave, aby niekto zo zamestnancov neprišiel s odvolaním súhlasu so zverejnením fotografie až po jeho vydaní, vymysleli takýto zábavný, ale absolútne neprijateľný spôsob ako sa vysporiadať s rizikom odvolania súhlasu".
Pritom riešenie je úplne jednoduché jasne a jednoznačne uvedené v samotnom Nariadení (GDPR). Stačí do súhlasu uviesť doslovne čl. 7 ods. 3 GDPR, ktorý znie: „Dotknutá osoba má právo kedykoľvek odvolať svoj súhlas. Odvolanie súhlasu nemá vplyv na zákonnosť spracúvania vychádzajúceho zo súhlasu pred jeho odvolaním.“ To znamená, že ak už raz fotka v časopise vyšla a zamestnanec s jej publikovaním súhlasil, nemôže ani bez „nedvolateľného súhlasu“ svoj súhlas odvolať.
5. Upozorňovanie zákazníkov na komplikácie spojené s administratívou vyplývajúcou z nariadenia
Jedným z príkladov nepochopenia nariadenia je aj to, keď sú zákazníci vyslovene upozorňovaní ako ich EÚ „nemá rada“ a preto ich zaťažuje administratívnymi úkonmi. V tomto prípade dávajú zákazníkovi podpísať súhlas so spracúvaním osobných údajov, ktoré je nevyhnutné na plnenie zmluvy, ktorej zmluvnou stranou je dotknutá osoba. Opäť je to jedno z nepochopení Nariadenia a zvolený zbytočný, aj keď nie protizákonný, úkon. Súlad v tomto prípade stačí zabezpečiť aktualizáciou pravidiel ochrany osobných údajov napríklad na stránke prevádzkovateľa.