GDPR: Zaškrtl prodejce souhlas se zpracováním osobních údajů za vás? Nepřípustné, rozhodl Soudní dvůr Evropské unie

Výklad Obecného nařízení o ochraně osobních údajů („GDPR“) je opět o něco jasnější – Soudní dvůr Evropské unie se totiž znovu vyjádřil k podmínkám vyjádření souhlasu se zpracováním osobních údajů. Rozhodnutí je důležité zejména z toho důvodu, že právě souhlas subjektu údajů (člověka, ke kterému se osobní údaje vztahují) je velmi často, a mnohdy nevhodně, důvodem, o který správci osobních údajů opírají zákonnost takového zpracování.

Rozhodnutí Soudního dvora Evropské unie ve věci C‑61/19 ze dne 11. 11,. 2020 předcházelo vnitrostátní správní řízení, ve kterém rumunský úřad odpovědný za ochranu osobních údajů udělil pokutu tamní pobočce jednoho z mobilních operátorů. Tato pobočka dle úřadu uchovávala kopie dokladů totožnosti svých zákazníků, aniž by prokázala, že tito zákazníci dali svůj platný souhlas. Rumunský operátor toto rozhodnutí napadl u tamního soudu.

V následném řízení bylo zjištěno, že políčko, jehož zaškrtnutím zákazník vstupující do smluvního vztahu souhlasí se zpracováním kopií svých dokladů, bylo v některých případech zaškrtnuto prodejci operátora před tím, než byla smlouva dána zákazníkovi k podpisu. Rovněž bylo zjištěno, že v případě, kdy zákazník nesouhlasil se zaškrtnutím takového políčka, byl nucen svůj nesouhlas před uzavřením smlouvy vyjádřit podpisem zvláštního formuláře. Konečně pak smlouvy neobsahovaly informaci o tom, že je bylo možné uzavřít bez ohledu na to, zda zákazník vyjádřil či nevyjádřil souhlas se zpracováním svých osobních údajů.

Soudní dvůr s odkazem na svou předchozí rozhodovací praxi (zejména stěžejní rozhodnutí ve věci C-673/17 Planet49, které se týkalo podmínek souhlasu s ukládáním souborů cookies v kontextu elektronických komunikací) uvedl, že souhlas se zpracováním osobních údajů musí plynout z aktivního jednání subjektu údajů. Dle unijního soudu však podepsání smlouvy obsahující již zaškrtnuté políčko samo o sobě neumožňuje prokázat takový souhlas, pokud zároveň z okolností nevyplývá, že takové ujednání bylo skutečně přečteno a pochopeno.

Soud se rovněž ztotožnil s názorem generálního advokáta Szpunara a Evropské komise, že spojit odmítnutí poskytnutí souhlasu s požadavkem vyhotovení zvláštního písemného prohlášení může nežádoucím způsobem ovlivnit svobodnou volbu odmítnout toto shromažďování a uchovávání. Dle Szupnara zákazníci nesmějí mít pocit, že jejich odmítnutí souhlasu s okopírováním a uchováváním dokladů totožnosti není v souladu s běžnými postupy.

K ostatním otázkám (možná nedostatečnost odlišení ujednání o zpracování osobních údajů od ostatních smluvních ujednání, možné nesplnění informační povinnosti vůči zákazníkovi, možné uvedení zákazníka v omyl ohledně možnosti uzavřít smlouvu i přes jeho nesouhlas) se soudci postavili velmi vyhýbavě. Na jednu stranu je třeba se Soudním dvorem souhlasit v tom, že tyto otázky by měly být předmětem dokazování nalézacího vnitrostátního soudu. Na stranu druhou však Soudní dvůr Evropské unie možná promarnil velmi dobrou šanci pomocí výkladu stanovit další závazná pravidla pro udělování souhlasu dle GDPR, jež by mohla vést k širší ochraně spotřebitelů, jakož i posílení právní jistoty správců a zpracovatelů osobních údajů.

Rozsudek však v každém případě potvrzuje dlouhodobý postoj Soudního dvora Evropské unie, dle kterého musí být unijní pravidla pro udělení souhlasu vykládána přísně. Budete-li tudíž podepisovat smlouvu, v rámci níž dáváte souhlas se zpracováním svých osobních údajů, vězte, že souhlas je platně dán tehdy, pokud:

• jste předem o tomto zpracování získali srozumitelné a jasné informace;
• jste byli předem informováni o důsledcích udělení či neudělení takového souhlasu, a to zejména s ohledem na možnost uzavření smlouvy i přes neudělení souhlasu;
• dáváte-li souhlas zaškrtnutím políčka, takové políčko již nebylo zaškrtnuto „protistranou“;
• nejste žádným způsobem demotivováni směrem k neudělení souhlasu, například dodatečnou povinností vyplnit zvláštní formulář.

Pro úplnost je třeba dodat, že původní vnitrostátní řízení proběhlo před 25. květnem 2018, a předmětem výkladu byla tudíž zejména Směrnice 95/46, která byla nařízením GDPR následně zrušena. Soudní dvůr však dal jasně najevo, že jeho závěry jsou aplikovatelné na oba předpisy.

Filip Vlček, externí právní analytik PwC Legal; MJur Candidate, University of Oxford