Nadbytečný souhlas se zpracováním osobních údajů pak podle odborníků z poradenské skupiny Moore Czech Republic vyžaduje 60 % organizací, nejčastěji se s to týká veřejnoprávních institucí jako jsou školy, školky i obce. I za toto počítání přitom hrozí sankce.
Přestože nařízení GDPR nabylo účinnosti již v roce 2018, do dnešního dne nemá tuto problematiku správě zpracovanou mnoho subjektů. Podle poradenské skupiny Moore Czech Republic dochází nejčastěji k pochybení ve vyžadování souhlasu se zpracováním osobních údajů. Organizace vyžadují souhlas i tam, kde to není potřeba, a to až u 60 % subjektů.
Mezi nejčastějšími případy z praxe patří vyžadování souhlasu zaměstnance s využitím jeho osobních údajů pro mzdové a personální účely, které je podle manažera Moore Advisory Petra Štětky zcela zbytečné. K častým chybám pak dochází rovněž ve školách. „Ty často neví, které souhlasy škola musí zpracovávat ze zákona a neuvědomují si, které zpracovávají nesmyslně. Stává se to například s fotografováním, protože ne každá fotografie člověka je osobním údajem,“ vysvětluje Štětka a dodává, že školy také často pochybovaly v souvislosti se zpracováváním osobních údajů s testováním na covid.
Přemíra souhlasů je častěji vyžadována ve státní sféře
Mezi problematické řadí Petr Štětka rovněž souhlasy s provozem kamerových systémů a souhlasy se zpracováním osobních údajů s nákupy na e-shopech. „Obecně lze ale říci, že nejčastěji se s nadužíváním souhlasu se zpracováním údajů setkáváme u veřejnoprávních institucí. Ve většině případů jde o pochybení z neznalosti,“ komentuje Štětka.
Přestože se na Úřad pro ochranu osobních údajů (ÚOOÚ) obrací lidé spíše v případech, kdy se jejich osobní údaje zpracovávají bez jejich souhlasu, i za toto počínání může úřad udělit sankce až do výše 10 milionů korun. „Výše sankce pak záleží na velké řadě okolností, od rozsahu poškozených až po skutečnost, zdali byl subjekt již v minulosti sankcionován. Historicky zatím došlo k pokutě v řádech milionů korun pouze v případech nevyžádané pošty,” uzavírá Petr Štětka.