Kontrole GDPR w praktyce

Czym jest czeski Urząd Ochrony Danych Osobowych (ÚOOÚ) i jakie ma uprawnienia przy kontrolach GDPR

Zgodnie z art. 58 GDPR czeski Urząd Ochrony Danych Osobowych (Úřad pro ochranu osobních údajů, ÚOOÚ) ma prawo nakazać administratorowi i podmiotowi przetwarzającemu dostarczenie wszelkich informacji potrzebnych do wykonywania swoich zadań, prowadzić postępowania w formie audytów ochrony danych, uzyskać dostęp do wszystkich danych osobowych oraz wejść do wszystkich pomieszczeń, w których działa administrator lub podmiot przetwarzający. W 2024 roku ÚOOÚ nałożył rekordową karę w wysokości 351 milionów CZK (ok. 14,4 mln EUR) na spółkę Avast Software za bezprawne przetwarzanie danych osobowych około 100 milionów użytkowników.

Prawnicy ARROWS codziennie zajmują się sprawami związanymi ze zgodnością z GDPR i reprezentują klientów podczas kontroli ÚOOÚ. Aby niezwłocznie rozwiązać Państwa sytuację, prosimy o kontakt pod adresem konsultacja@arws.cz. 

W jaki sposób ÚOOÚ wszczyna kontrolę

ÚOOÚ może wszcząć kontrolę na kilka sposobów. Najczęściej doręcza zawiadomienie o wszczęciu kontroli wraz z upoważnieniem do kontroli za pośrednictwem czeskiej skrzynki danych (datová schránka) lub pocztą. Alternatywnie kontrola może zostać wszczęta przez okazanie upoważnienia bezpośrednio na miejscu przy rozpoczęciu czynności kontrolnej.

Zawiadomienie o wszczęciu kontroli zawiera określenie przedmiotu kontroli, skład zespołu kontrolnego oraz zazwyczaj pierwszy zestaw pytań i żądań. Termin rozprawy ustnej i oględzin na miejscu ogłasza się z reguły co najmniej 14 dni wcześniej, aby osoba kontrolowana miała wystarczająco dużo czasu na przygotowanie.

ÚOOÚ może wszcząć kontrolę na podstawie:

• Skarg i zawiadomień od osób, których dane dotyczą (w 2024 roku ÚOOÚ otrzymał łącznie 2 288 skarg)
• Własnych ustaleń z monitoringu przestrzeni publicznej
• Rocznego planu kontroli, który jest publicznie dostępny
• Skoordynowanych działań europejskich (tzw. Coordinated Enforcement Framework)

Uwaga: Skarga osoby, której dane dotyczą, nie oznacza automatycznie wszczęcia kontroli. ÚOOÚ często najpierw wysyła administratorowi tzw. „list ostrzegawczy” z wezwaniem do usunięcia nieprawidłowości.

Przebieg kontroli krok po kroku

Sama kontrola podlega czeskiej ustawie nr 255/2012 Sb. o kontroli (kontrolní řád, dalej „ustawa o kontroli”) w związku z odpowiednimi przepisami GDPR. Kontrolę przeprowadzają pracownicy ÚOOÚ na podstawie pisemnego upoważnienia, które muszą okazać osobie kontrolowanej.

Etap gromadzenia materiałów

Po wszczęciu kontroli ÚOOÚ zazwyczaj żąda pisemnego stanowiska i przedłożenia dokumentów. Kontrolujący są uprawnieni do żądania danych, dokumentów i rzeczy związanych z przedmiotem kontroli lub działalnością osoby kontrolowanej. Ustawa zapewnia im dostęp do wszystkich informacji niezbędnych do wykonania konkretnego zadania, w tym objętych tajemnicą.

Typowe problemy z terminami obejmują nieusprawiedliwione niedotrzymanie terminu lub całkowity brak komunikacji. Rozwiązaniem jest aktywna komunikacja z ÚOOÚ – jeżeli termin Państwu nie odpowiada, należy poinformować o tym kontrolujących.

Rozprawa ustna i oględziny na miejscu

Rozprawa ustna służy łatwiejszej komunikacji i kontaktowi z osobami przetwarzającymi dane osobowe. Oględziny na miejscu umożliwiają z kolei weryfikację informacji, kontrolę przechowywania danych i przyjętych środków lub dostęp do systemów informatycznych.

Podczas oględzin na miejscu obecnych jest zwykle 2–4 kontrolujących, a czynności trwają kilka godzin. Osoba kontrolowana powinna zapewnić obecność osoby upoważnionej oraz wystarczającej liczby kompetentnych pracowników.

Kancelaria adwokacka ARROWS ma bogate doświadczenie w przygotowywaniu klientów do rozpraw ustnych i oględzin na miejscu. Dzięki naszemu portfelowi obejmującemu ponad 150 spółek akcyjnych i 250 s.r.o. (czeskich spółek z ograniczoną odpowiedzialnością) dokładnie wiemy, jakich dokumentów i odpowiedzi wymaga ÚOOÚ. Prosimy o kontakt pod adresem konsultacja@arws.cz – przygotujemy rozwiązanie prawne dopasowane do Państwa potrzeb.

Zagadnienie to wiąże się z naszą usługą, o której więcej przeczytają Państwo TUTAJ.

Jakie prawa i obowiązki mają Państwo jako osoba kontrolowana

Prawa i obowiązki osoby kontrolowanej określa ustawa o kontroli; są one ściśle powiązane z prawami i obowiązkami kontrolujących.

Podstawowe obowiązki

Osoba kontrolowana jest zobowiązana zapewnić kontrolującym niezbędne współdziałanie, stworzyć warunki do przeprowadzenia kontroli i umożliwić kontrolującym wykonywanie ich uprawnień. Do konkretnych obowiązków należy:

• Umożliwienie wstępu do pomieszczeń i dostępu do dokumentów
• Złożenie prawdziwych i pełnych wyjaśnień
• Przedłożenie żądanych dokumentów w wyznaczonym terminie
• Zapewnienie warunków do przeprowadzenia kontroli (odpowiednie pomieszczenie, środki techniczne)

Za niewykonanie obowiązku współdziałania można nałożyć grzywnę do 500 000 CZK. Co istotne, zapłata grzywny nie powoduje wygaśnięcia obowiązku współdziałania.

Podstawowe prawa

Osoba kontrolowana ma prawo zgłosić zarzut stronniczości kontrolującego, żądać okazania upoważnienia do kontroli, zapoznać się z treścią protokołu kontroli oraz wnosić zastrzeżenia do ustaleń kontroli.

Protokół kontroli i możliwość wniesienia zastrzeżeń

Wynikiem kontroli jest zawsze protokół kontroli, który musi zostać sporządzony w ciągu 30 dni od ostatniej czynności kontrolnej, a w sprawach złożonych w ciągu 60 dni. Protokół zawiera ustalenia kontroli i jest przesyłany osobie kontrolowanej.

Do ustaleń kontroli zawartych w protokole osoba kontrolowana może wnieść pisemne zastrzeżenia w terminie 15 dni od doręczenia protokołu. Zastrzeżenia muszą jasno wskazywać, którego ustalenia kontroli dotyczą, oraz zawierać uzasadnienie sprzeciwu.

Zastrzeżenia rozpatruje przełożony kontrolującego, przy czym w sprawach złożonych termin ich rozpatrzenia może zostać przedłużony o 30 dni. Z chwilą rozpatrzenia zastrzeżeń lub bezskutecznego upływu terminu do ich wniesienia kontrola się kończy.

Przygotowanie zastrzeżeń wymaga dogłębnej znajomości zasad proceduralnych i merytorycznych zagadnień GDPR. Prawnicy ARROWS są gotowi Państwu pomóc – prosimy pisać na adres konsultacja@arws.cz. 

Co następuje po zakończeniu kontroli

Jeżeli kontrola nie wykaże żadnych naruszeń, osoba kontrolowana otrzymuje protokół bez negatywnych ustaleń. W przypadku stwierdzenia naruszeń ÚOOÚ może:

1. Wezwać do usunięcia nieprawidłowości – administrator otrzymuje możliwość samodzielnego usunięcia stwierdzonych uchybień
2. Wszcząć postępowanie administracyjne w sprawie nałożenia środków naprawczych – ÚOOÚ może nakazać administratorowi dostosowanie przetwarzania do GDPR w wyznaczonym terminie
3. Wszcząć postępowanie w sprawie wykroczenia administracyjnego – z możliwością nałożenia kary pieniężnej

Do uprawnień naprawczych ÚOOÚ należy m.in. udzielenie upomnienia, nakazanie spełnienia żądań osób, których dane dotyczą, wprowadzenie czasowego lub stałego ograniczenia przetwarzania, w tym jego zakazu, czy nakazanie usunięcia danych osobowych.

Wysokość kar za naruszenie GDPR

Za naruszenie GDPR ÚOOÚ może nakładać kary w dwóch kategoriach:

• Do 10 000 000 EUR lub 2% całkowitego rocznego obrotu – za mniej poważne naruszenia
• Do 20 000 000 EUR lub 4% całkowitego rocznego obrotu – za poważne naruszenia

Zgodnie z czeską ustawą o przetwarzaniu danych osobowych (ustawa nr 110/2019 Sb.) za niektóre wykroczenia można nałożyć kary do 10 000 000 CZK (ok. 411 500 EUR), względnie do 5 000 000 CZK (ok. 205 800 EUR) w przypadku kwalifikowanych znamion czynu.

Ustalając wysokość kary, ÚOOÚ uwzględnia kryteria określone w art. 83 GDPR, w tym charakter, wagę i czas trwania naruszenia, liczbę poszkodowanych osób, których dane dotyczą, rozmiar szkody czy działania podjęte w celu złagodzenia skutków.

Na czym ÚOOÚ koncentruje się w 2025 roku

ÚOOÚ co roku publikuje plan kontroli, który wskazuje priorytety działalności nadzorczej. W 2025 roku ÚOOÚ skoncentruje się w szczególności na:

Programach lojalnościowych sieci handlowych – kontrola, czy zgody na przetwarzanie danych osobowych uzyskiwane w ramach programów lojalnościowych spełniają wymogi GDPR, w szczególności czy są rzeczywiście dobrowolne.

Wykorzystywaniu danych z rejestrów publicznych – banki, zakłady ubezpieczeń i inni użytkownicy prywatnoprawni będą kontrolowani pod kątem niezbędności i celowości przetwarzania danych z czeskiego podstawowego rejestru ludności (základní registr obyvatel).

Systemach kamerowych w środkach transportu – ocena niezbędności systemu kamerowego, okresu przechowywania nagrań i realizacji praw osób, których dane dotyczą.

Rozsyłaniu informacji handlowych przez internetowe porównywarki – weryfikacja podstaw prawnych przesyłania komunikatów marketingowych.

Prawie do usunięcia danych (prawie do bycia zapomnianym) – w ramach skoordynowanego działania europejskiego ÚOOÚ skoncentruje się na wdrażaniu tego prawa przez administratorów.

Jak przygotować się do kontroli ÚOOÚ

Przygotowanie do kontroli ÚOOÚ powinno mieć charakter ciągły, a nie reaktywny. Kluczowe obszary, które każdy administrator powinien regularnie sprawdzać, obejmują:

• Rejestry czynności przetwarzania – aktualny przegląd wszystkich operacji przetwarzania danych osobowych zgodnie z art. 30 GDPR
• Podstawy prawne przetwarzania – dla każdej kategorii przetwarzania musi istnieć prawnie uzasadniona podstawa
• Obowiązek informacyjny – czy osoby, których dane dotyczą, są należycie informowane zgodnie z art. 13 i 14 GDPR
• Umowy powierzenia przetwarzania – pisemne umowy ze wszystkimi podmiotami przetwarzającymi dane osobowe
• Środki bezpieczeństwa – środki techniczne i organizacyjne służące ochronie danych osobowych
• Proces obsługi żądań osób, których dane dotyczą – procedury dotyczące prawa dostępu, usunięcia, sprostowania itp.

Kancelaria adwokacka ARROWS przeprowadza kompleksowe audyty GDPR i przygotowuje klientów do potencjalnych kontroli. Ponieważ zajmujemy się tą tematyką na co dzień, potrafimy znacznie skrócić klientom czas przygotowania i zminimalizować ryzyko błędów. Ponadto ARROWS posiada ubezpieczenie od szkód do kwoty 500 000 000 CZK (ok. 20,6 mln EUR), co oznacza dla klienta maksymalne bezpieczeństwo. Zapraszamy do kontaktu z naszą kancelarią – konsultacja@arws.cz. 

Międzynarodowy aspekt kontroli i współpraca organów nadzorczych

W przypadku transgranicznego przetwarzania danych osobowych ÚOOÚ współpracuje z organami nadzorczymi pozostałych państw członkowskich UE za pośrednictwem mechanizmów przewidzianych w GDPR. Kancelaria adwokacka ARROWS świadczy usługi prawne również w kontekście międzynarodowym dzięki budowanej od dziesięciu lat sieci ARROWS International i praktycznie codziennie zajmujemy się sprawami z elementem międzynarodowym.

Dla spółek międzynarodowych kluczowe jest zrozumienie, który organ nadzorczy jest w ich przypadku „wiodącym organem nadzorczym” oraz jak koordynować compliance w poszczególnych jurysdykcjach. Prawnicy ARROWS pomogą Państwu zorientować się w tych złożonych kwestiach. Prosimy o kontakt pod adresem konsultacja@arws.cz. 

Dlaczego warto powierzyć przygotowanie do kontroli ÚOOÚ specjalistom

Problematyka kontroli GDPR jest w praktyce znacznie bardziej złożona, niż wydaje się na pierwszy rzut oka. Poszczególne kroki, które wyglądają na proste, kryją wyjątki, szczegóły proceduralne, powiązania z innymi przepisami oraz ryzyka, których laik często nie dostrzega. Na przykład:

• Formułowanie odpowiedzi na pytania ÚOOÚ wymaga precyzyjnej argumentacji prawnej
• Przygotowanie zastrzeżeń do ustaleń kontroli musi uwzględniać wymogi formalne i merytoryczne
• Ocena, czy konkretne przetwarzanie wymaga oceny skutków dla ochrony danych (DPIA), jest wymagająca merytorycznie
• Prawidłowe ustalenie podstaw prawnych przetwarzania wymaga dogłębnej znajomości orzecznictwa

Kancelaria adwokacka ARROWS zajmuje się tą tematyką codziennie i jest również partnerem prawników firmowych w sprawach specjalistycznych. W naszym portfelu jest ponad 150 spółek akcyjnych, 250 s.r.o. oraz 50 gmin i krajów (regionów). Stawiamy na szybkość i wysoką jakość.

Jeżeli nie chcą Państwo ryzykować błędów, szkód lub kar sięgających milionów koron, mogą Państwo bezpiecznie powierzyć całą sprawę ARROWS. Wystarczy skontaktować się z naszą kancelarią pod adresem konsultacja@arws.cz. 

Nie chcą Państwo rozwiązywać tego problemu samodzielnie? Kancelarii adwokackiej ARROWS zaufało ponad 2000 klientów, a my zostaliśmy wyróżnieni tytułem Kancelaria Prawna Roku 2024. Zapraszamy do zapoznania się TUTAJ z naszymi referencjami – z przyjemnością pomożemy Państwu rozwiązać Państwa problem. Zapytanie jest bezpłatne.