Rozsudek (AN – SAN 3154/2026) připomíná, že soulad s GDPR nespočívá pouze v tom, že organizace zveřejní zásady ochrany osobních údajů na svých webových stránkách. Správci musí poskytovat jasné, konkrétní a srozumitelné informace o zpracování osobních údajů a současně průběžně vyhodnocovat, zda jejich činnost nezakládá povinnost jmenovat pověřence pro ochranu osobních údajů (DPO) podle čl. 37 GDPR.
Obecné informace o zpracování osobních údajů nestačí
Řízení bylo zahájeno na základě stížnosti subjektu údajů, který namítal, že webové stránky společnosti KFC neposkytují dostatečně transparentní informace o zpracování osobních údajů.
Společnost argumentovala tím, že všechny požadované informace jsou dostupné prostřednictvím několika vzájemně propojených dokumentů. Soud se však ztotožnil se závěrem španělského dozorového úřadu, že takový přístup nesplňuje požadavky článku 13 GDPR.
Soud poukázal zejména na to, že:
informace byly rozděleny do několika dokumentů a pro uživatele nebyly snadno dohledatelné,
účely zpracování byly popsány vágními formulacemi typu „můžeme použít vaše údaje…“ namísto jednoznačného vysvětlení skutečně prováděných operací,
příjemci osobních údajů i informace o mezinárodních předáních byly formulovány příliš obecně,
doba uchovávání osobních údajů nebyla dostatečně konkrétní,
některé podstatné informace o správci a samotném zpracování nebyly uživatelům poskytovány přehledným a srozumitelným způsobem.
Za zvláštní pozornost stojí kritika používání podmíněných formulací. Transparentnost podle GDPR vyžaduje, aby správce popsal co skutečně dělá, nikoli aby předložil dlouhý seznam hypotetických možností budoucího zpracování.
Tento přístup odpovídá Pokynům EDPB k transparentnosti, podle nichž musí být informace poskytované subjektům údajů stručné, srozumitelné, konkrétní a umožňovat jednotlivcům reálně pochopit, jak jsou jejich osobní údaje zpracovávány.
Dodatečná náprava porušení neodstraňuje odpovědnost
V průběhu správního řízení společnost uznala některé nedostatky v nastavení svých webových stránek a dobrovolně je odstranila.
Namítala proto, že tato nápravná opatření by měla mít vliv na posouzení celé věci.
Soud tento argument odmítl.
Dobrovolná náprava je sice žádoucí a v některých případech může ovlivnit výši sankce, nemění však skutečnost, že k porušení GDPR již došlo. Pokud byly subjektům údajů poskytovány nedostatečné informace, byla povinnost transparentnosti porušena bez ohledu na následnou opravu.
Rozhodnutí tak připomíná význam pravidelných interních auditů ochrany osobních údajů ještě před tím, než nedostatky odhalí dozorový úřad.
Kdy musí restaurační řetězec jmenovat DPO?
Nejzajímavější část rozsudku se týká výkladu článku 37 odst. 1 písm. b) GDPR, tedy povinnosti jmenovat pověřence pro ochranu osobních údajů.
KFC tvrdilo, že jeho hlavní činností je provoz restaurací, nikoliv zpracování osobních údajů, a proto povinnost jmenovat DPO nevzniká.
Soud tento argument nepřijal.
Zdůraznil, že moderní restaurační řetězce jsou založeny na rozsáhlém digitálním ekosystému, jehož součástí jsou zejména:
online objednávky,
zákaznické účty,
věrnostní programy,
marketingová komunikace,
správa vztahů se zákazníky,
cookies a analytické nástroje,
geolokační služby,
personalizace služeb na základě chování zákazníků.
Podle soudu jsou tyto činnosti neoddělitelnou součástí hlavní podnikatelské činnosti společnosti. Digitální správa zákazníků již nepředstavuje pouze podpůrnou administrativní činnost, ale jeden z klíčových prvků obchodního modelu.
Pravidelné a systematické monitorování ve velkém rozsahu
Soud dále dospěl k závěru, že společnost prováděla pravidelné a systematické monitorování subjektů údajů ve velkém rozsahu.
Při svém hodnocení vycházel zejména z toho, že společnost průběžně shromažďovala:
preference zákazníků,
historii jejich pohybu na webových stránkách,
IP adresy,
údaje získané prostřednictvím cookies,
geolokační údaje,
platební informace,
a že tyto údaje zpracovávala průběžně, na celostátní úrovni a ve vztahu k velkému počtu zákazníků.
Významné je, že soud převzal výklad bývalé Pracovní skupiny podle článku 29 (dnes Evropský sbor pro ochranu osobních údajů – EDPB), podle něhož pravidelné a systematické monitorování neznamená pouze profilování uživatelů.
I pokud organizace nevytváří komplexní profily jednotlivců, může dlouhodobé sledování jejich chování prostřednictvím digitálních služeb naplnit podmínky článku 37 GDPR.
Praktické dopady pro správce
Rozhodnutí přináší několik důležitých doporučení:
Transparentnost musí být skutečná, nikoli pouze formální. Informace poskytované subjektům údajů musí přesně odpovídat skutečným operacím zpracování.
Vyhýbejte se vágním formulacím. Výrazy typu „můžeme použít“, „můžeme sdílet“ nebo „můžeme předat“ by měly být používány pouze výjimečně a nesmí zakrývat skutečný rozsah zpracování.
Pravidelně revidujte zásady ochrany osobních údajů. I zdánlivě drobné nedostatky mohou být dozorovým úřadem hodnoceny jako porušení povinnosti transparentnosti.
Průběžně přehodnocujte povinnost jmenovat DPO. Organizace využívající rozsáhlé zákaznické databáze, věrnostní programy, behaviorální analytiku nebo sofistikovaný digitální marketing by měly pravidelně posuzovat, zda jejich činnost nesplňuje podmínky článku 37 GDPR.
Digitalizace mění pohled na hlavní činnost organizace. Soudy stále častěji posuzují skutečný význam zpracování osobních údajů pro obchodní model společnosti, nikoliv pouze formální předmět jejího podnikání.
Shrnutí
Rozsudek španělského Národního soudu potvrzuje, že soulad s GDPR neznamená pouze zveřejnění zásad ochrany osobních údajů nebo existenci interní dokumentace. Správci musí zajistit, aby informace poskytované subjektům údajů byly jasné, konkrétní a skutečně srozumitelné, a umožňovaly jednotlivcům pochopit, jak a proč jsou jejich osobní údaje zpracovávány.
Rozhodnutí současně zdůrazňuje, že povinnost jmenovat pověřence pro ochranu osobních údajů (DPO) závisí na reálné povaze zpracování, nikoliv pouze na odvětví, ve kterém organizace působí. Společnosti využívající digitální platformy, zákaznickou analytiku, věrnostní programy nebo behaviorální marketing by proto měly pravidelně vyhodnocovat, zda jejich činnost nepředstavuje pravidelné a systematické monitorování ve velkém rozsahu ve smyslu článku 37 GDPR.
Pro správce osobních údajů je hlavní poučení jednoznačné: zásady ochrany osobních údajů by měly být pravidelně revidovány tak, aby odpovídaly skutečným operacím zpracování, a posouzení povinnosti jmenovat DPO by mělo být průběžnou součástí compliance programu. Dodatečné odstranění zjištěných nedostatků je sice správným krokem, samo o sobě však neodstraňuje odpovědnost za již vzniklé porušení GDPR.
