Popis spracúvania:
Prevádzkovateľ prevádzkuje internetovú stránku indexpodnikatela.sk, prostredníctvom
ktorej poskytuje svojim používateľom informácie ktoré sa týkajú podnikateľov
(obchodných spoločností aj fyzických osôb) získané a spracované automatizovaným
spôsobom z verejne dostupných zdrojov najmä z verejných registrov, zoznamov dlžníkov
verejnoprávnych a iných inštitúcií, Obchodného vestníka, podobných zdrojov v Českej
republike (ďalej ako „Open Data zdroje“). Zoznam Open Data zdojov, z ktorých sú dáta
čerpané a frekvenciu ich aktualizácie je možné nájsť na
https://www.indexpodnikatela.sk/gdpr/zdroje-dat.
Informácie, reporty a analýzy spracúvané prevádzkovateľom sa týkajú podnikateľov,
môžu však obsahovať osobné údaje fyzických osôb.
Spracúvanie osobných údajov týchto dotknutých osôb podlieha povinnostiam na základe
GDPR. Spracúvanie sa vykonáva na právnom základe oprávneného záujmu, podľa bodu B.
V zmysle čl. 14 GDPR má prevádzkovateľ informačnú povinnosť voči dotknutým osobám,
ktorých údaje spracúva. Prevádzkovateľ plní informačnú povinnosť formou zverejnenia
oznámenia na svojej internetovej stránke
https://www.indexpodnikatela.sk/gdpr/dotknute-osoby.
Tento dokument objasňuje a vysvetľuje, prečo prevádzkovateľ tieto informácie dotknutým
osobám poskytuje formou zverejnenia, spoliehajúc sa na výnimku podľa čl. 14 ods. 5 písm.
b) GDPR.
A) ÚČEL A PRÁVNY ZÁKLAD SPRACOVANIA OSOBNÝCH ÚDAJOV A DOTKNUTÉ OSOBY
Spoločnosť IndexPodnikateľa s.r.o prevádzkuje portál www.indexpodnikatela.sk. Prostredníctvom
tohto portálu prevádzkovateľ sprístupňuje pre svojich registrovaných používateľov reporty
a informácie o konkrétnych podnikateľoch, fyzických a právnických osobách, v ktorých
prehľadným a čitateľným spôsobom na jednom mieste v elektronickej podobe sumarizuje údaje,
získané z verejne dostupných zdrojov, najmä verejných registrov, publikovaných rozhodnutí
súdov, Obchodného vestníka a ďalších publikácií a registrov dlžníkov zdravotných poisťovní
a Sociálnej poisťovne, a to tak v Slovenskej republike, ako aj v Českej republike („ďalej
ako „Open Data zdroje“). V portáli je možné vyhľadať informácie dostupné z rôznych
verejných zdrojov o jednom podnikateľovi – právnickej alebo fyzickej osobe, pričom
výsledok vyhľadávania poskytne používateľovi v ucelenej forme (reporte, prípadne
grafe/grafoch) informácie, ktoré sú o tejto osobe dostupné vo verejných zdrojoch,
týkajúcich sa podnikateľov. Zoznam Open Data zdojov, z ktorých sú dáta čerpané a
frekvenciu ich aktualizácie je možné nájsť na
https://www.indexpodnikatela.sk/gdpr/zdroje-dat.
Spoločnosť IndexPodnikateľa s.r.o. svoje služby spoplatňuje.
Správy a informácie, poskytované prevádzkovateľom o podnikateľoch pri prevádzkovaní
stránky www.indexpodnikatela.sk, obsahujú osobné
údaje pre tieto dotknuté osoby:
- podnikateľ – fyzická osoba,
- spoločník, akcionár alebo člen právnickej osoby;
- spoločník, akcionár alebo člen právnickej osoby;
- člen štatutárneho alebo kontrolného orgánu podnikateľa alebo jeho prokurista, vedúci
- organizačnej zložky alebo podniku,
- člen štatutárneho orgánu inej právnickej osoby,
- osoba zapísaná v Registri partnerov verejného sektora, jeho konečný užívateľ výhod,
- oprávnená osoba zapísaná v tomto registri,
- veriteľ podnikateľa, záložca, záložný veriteľ alebo záložný dlžník,
- likvidátor alebo správca konkurznej podstaty podnikateľa,
- pracovník súdu či sudca, ktorý vydal zverejnené rozhodnutie, notár alebo exekútor,
- iná osoba, ktorej osobné údaje sú zverejnené v niektorom z Open Data zdrojov, ktoré používame.
Právnym základom spracúvania osobných údajov sú oprávnené záujmy prevádzkovateľa a používateľa portálu:
- záujem prevádzkovateľa poskytovať platené informačné služby používateľom
spracovaním zverejnených informácií a tým dosahovať zisk.
- oprávnený záujem tretej osoby (používateľa) na získaní informácií z
Open Data zdrojov v prehľadnej podobe a sústredené na jednom mieste,
čím uplatní svoje právo na informácie, najmä na účely: (i) overenia
kredibility a finančného stavu zmluvného partnera, potenciálneho zmluvného
partnera, dlžníka alebo inej osoby; (ii) predchádzania podvodom a ochrane majetku
používateľa, (iii) získania dostupných informácií v prehľadnej a čitateľnej
podobe na účely zvyšovania transparentnosti podnikateľského prostredia a (iv)
získanie informácií vo forme umožňujúcej automatizované vypĺňanie elektronických
tlačív a dokumentov.
V Teste oprávneného záujmu zo dňa 14.6.2018 prevádzkovateľ analyzoval a vyhodnotil
oprávnenosť záujmu, nevyhnutnosť spracovania osobných údajov ako aj vyváženosť medzi
oprávnenými záujmami prevádzkovateľa a používateľa a právami a slobodami dotknutej osoby
a vyhodnotil vyššie uvedené záujmy ako oprávnené.
B) VÝNIMKA PODĽA ČL. 14 ODS. 5 PÍSM. B) GDPR
Prevádzkovateľ je povinný poskytnúť dotknutej osobe informácie podľa čl. 14 GDPR,
vzhľadom na to, že o nej spracúva osobné údaje, napriek tomu, že ide o informácie
získané z verejných zdrojov. Prevádzkovateľ však uplatňuje výnimku podľa ods. 5 tohto
čl. 14 GDPR, podľa ktorého sa odseky 1 až 4 neuplatňujú v rozsahu, v akom:
- sa poskytovanie takýchto informácií ukáže ako nemožné alebo by si vyžadovalo
neprimerané úsilie, najmä v prípade spracúvania na účely archivácie vo verejnom
záujme, na účely vedeckého alebo historického výskumu či na štatistické účely,
na ktoré sa vzťahujú podmienky a záruky podľa článku 89 ods. 1, alebo pokiaľ je
pravdepodobné, že povinnosť uvedená v odseku 1 tohto článku znemožní alebo závažným
spôsobom sťaží dosiahnutie cieľov takéhoto spracúvania. V takých prípadoch prijme
prevádzkovateľ vhodné opatrenia na ochranu práv a slobôd a oprávnených záujmov dotknutej
osoby vrátane sprístupnenia daných informácií verejnosti.
C) ODÔVODNENIE VÝNIMKY PODĽA ČL. 14 ODS. 5 PÍSM. B) GDPR.
V súlade s Usmernením č. 260 Pracovnej skupiny podľa čl. 29 „Usmernenie o
transparentnosti podľa Nariadenia 2016/679“ (Ďalej ako „Usmernenie“), pre poskytovanie
informácií podľa čl. 14 dotknutej osobe platí:
- Podľa čl. 13 a čl. 14 má prevádzkovateľ „poskytnúť dotknutej osobe informácie“.
Kľúčové slovo je „poskytnúť“. Znamená to, že prevádzkovateľ musí urobiť aktívne
kroky k podaniu danej informácie dotknutej osobe. Dotknutá osoba nemusí urobiť
aktívne kroky k vyžiadaniu si informácie alebo k jej vyhľadaniu...“
- V prípade, keď prevádzkovateľ chce využiť výnimku v článku 14 ods. 5 písm. b)
s odôvodnením, že by poskytnutie informácií predstavovalo neprimerané úsilie,
mal by vykonať test rovnováhy, či úsilie vynaložené na informovanie dotknutej
osoby vyvažuje dopady, ktoré môže mať neposkytnutie informácií na dotknuté osoby
a toto posúdenie by mal zdokumentovať.
- Článok 14 ods. 5 písm. b) GDPR pre taký prípad špecifikuje, že prevádzkovateľ
musí prijať vhodné opatrenia na ochranu práv, slobôd a oprávnených záujmov
dotknutej osoby, vrátane sprístupnenia daných informácií verejnosti.
- Môže tiež nastať situácia, keď prevádzkovateľ spracúva osobné údaje, ktoré
nebudú vyžadovať identifikáciu dotknutej osoby (napríklad pseudonymizované údaje).
V takýchto prípadoch môže byť relevantný aj článok 11 ods. 1, pretože správca nemá
povinnosť uchovávať, získavať alebo spracovávať dodatočné informácie s cieľom
identifikovať subjekt údajov výlučne na účely dosiahnutia súladu s GDPR.
V súlade s Usmernením preto prevádzkovateľ vyhotovil toto zdôvodnenie uplatnenie
výnimky podľa čl. 14 ods. 5 písm. b) vo vzťahu k dotknutým osobám podľa bodu B.
- V prípadoch dotknutých osôb, o ktorých sa spracúvajú iba základné osobné údaje
(meno, priezvisko, prípadne funkcia) ide o osoby, ktoré môžu byť identifikovateľné,
ale nie sú identifikované. Pre tieto dotknuté osoby sa nespracúva ani adresa bydliska,
ani elektronickej pošty, ani iný kontaktný údaj, ktorý by umožnil prevádzkovateľovi
týmto osobám zaslať adresné oznámenie o spracúvaní ich osobných údajov. Podľa čl. 11
ods. 1 GDPR nie je prevádzkovateľ povinný získavať dodatočné informácie výlučne s
cieľom, aby tieto osoby adresne informoval o tom, že ich údaje boli sprístupnené
prostredníctvom portálu prevádzkovateľa. Pre tieto osoby je možné konštatovať, že
adresné informovanie týchto osôb je objektívne nemožné. Pre taký prípad
prevádzkovateľ zverejňuje informácie podľa čl. 14 GDPR na svojej web stránke na
adrese https://www.indexpodnikatela.sk/gdpr/dotknute-osoby.
- V prípadoch dotknutých osôb, o ktorých sa spracúva aj adresa pobytu (napríklad
štatutári právnických osôb alebo fyzické osoby – podnikatelia), prevádzkovateľ
spracúva (sprístupňuje prostredníctvom portálu) aj ich adresu. Ide však výlučne o
adresu poštovú. Osobné údaje dotknutých osôb z verejných registrov neobsahujú adresy
elektronickej pošty. Poskytnutie informácie podľa čl. 14 GDPR každej takejto dotknutej
osobe prevádzkovateľom by preto bolo možné výlučne prostredníctvom listovej zásielky,
zaslanej na jej adresu. Vzhľadom na priemerný ročný počet vyhľadávaní na portáli
indexpodnikateľa.sk približne 600 000, za predpokladu, že každé vyhľadávanie obsahuje
osobný údaj najmenej jednej osoby a najnižšiu cenu bežnej listovej zásielky v
Slovenskej republike, ktorá je 0,50 EUR by náklady na doručovanie adresných listových
zásielok každej dotknutej osobe znamenali náklady vo výške 300 000 EUR. Takéto
náklady by znamenali praktické ukončenie činnosti prevádzkovateľa, pretože za
takýchto okolností by prevádzkovateľ nebol schopný dosahovať zisk. Prevádzkovateľ
má za to, že vynakladanie takýchto nákladov a ďalších nákladov na zamestnancov,
materiál a prácu, spojenú s tlačením adresných oznámení pre dotknuté osoby možno
považovať za neprimerané úsilie v zmysle čl. 14 ods. 5 písm. b) GDPR, ako sa vykladá
podľa Usmernenia.
- V niektorých prípadoch je možné k osobným údajom priradiť, alebo k nim je
priradená, aj adresa elektronickej pošty, pokiaľ je zverejnená vo verejných
zdrojoch (napríklad účtovnej závierke), alebo ju podnikateľ zverejnil na svojej
web stránke alebo na kontaktných webových stránkach, ktoré sú uvedená ako súčasť
Open Data zdrojov. V takom prípade ide o údaje zverejnené spravidla podľa ustanovenia
§ 78 ods. 8 Zákona 18/2018 Z.z. o ochrane osobných údajov, ktorý upravuje niektoré
špecifiká ochrany osobných údajov v Slovenskej republike na základe splnomocňovacích
ustanovení GDPR nasledovne: Prevádzkovateľ, ktorý je zamestnávateľom dotknutej osoby,
je oprávnený poskytovať jej osobné údaje alebo zverejniť jej osobné údaje v rozsahu
titul, meno, priezvisko, pracovné zaradenie, služobné zaradenie, funkčné zaradenie,
osobné číslo zamestnanca alebo zamestnanecké číslo zamestnanca, odborný útvar, miesto
výkonu práce, telefónne číslo, faxové číslo, adresa elektronickej pošty na pracovisko
a identifikačné údaje zamestnávateľa, ak je to potrebné v súvislosti s plnením
pracovných povinností, služobných povinností alebo funkčných povinností dotknutej
osoby. V takomto prípade nie je informovanie dotknutých osôb objektívne nemožné,
avšak stále možno povinnosť informovať tieto dotknuté osoby o tom, že boli ich
osobné údaje súčasťou vyhľadávania na portáli indexpodnikatela.sk neprimeraným
úsilím v zmysle čl. 14 ods. 5 písm. b) GDPR, a to najmä z týchto dôvodov:
- Prevádzkovateľ neuplatňuje pri poskytovaní osobných údajov rozlišovacie
algoritmy, ktorými by oddelil také informácie, pri ktorých je sprístupnená
(a teda spracovávaná) emailová adresa konkrétnej osoby a pri ktorých sa
takáto adresa neuvádza, prípadne adresa nie je adresou konkrétnej osoby
(napríklad ide o adresu typu: info@spolocnost.domena).
- Prevádzkovateľ nemá automatizovaný mechanizmus na to, aby posúdil,
či kontaktná adresa, ktorá je súčasťou záznamu o podnikateľovi je alebo
nie je adresou tej istej dotknutej osoby, o ktorej sú v zázname uvedené
osobné údaje. Na to, aby takto posúdil adresy, by bol nútený preskúmať
neautomatizovane všetky záznamy, ktoré sa zobrazia jeho používateľom za
dané obdobie, čiže by musel záznamy preskúmať jeho zamestnanec, čo pri
rozsahu 50 000 záznamov za mesiac za predpokladu, že zamestnanec sa bude
venovať 1 prípadu 1 minútu predstavuje prácu v rozsahu cca 833 hodín;
- Ak by prevádzkovateľ nerozlišoval kontaktné údaje podľa bodov a) a b)
vyššie a posielal by adresné oznámenia na všetky emailové adresy, ktoré sú
dostupné v záznamoch, ktoré môže uchovávať a/alebo sprístupňovať,
presahoval by mesačný počet oznámení 100.000 emailov. Pokiaľ by
prevádzkovateľ rozosielal takéto množstvo automatizovane vytvorených
oznámení, väčšina webových poskytovateľov emailových služieb by jeho
stránku vyhodnotila ako rozosielanie spamu a ďalšie prijímanie správ od
jeho stránky by zablokovala. Tým by prevádzkovateľ znemožnil, aby mohol
posielať zo svoje stránky naozaj relevantné a adresné oznámenia, predovšetkým
svojim klientom. Nemožno ani zanedbať náklady na takéto rozosielanie.
- V neposlednom rade je potrebné znova poukázať na to, že oznámenie,
ktoré podľa čl. 14 GDPR prevádzkovateľ poskytuje na svojej webovej
adrese je pre dotknuté osoby vždy dostupné, rovnako ako je dostupná
možnosť uplatnenia ich práv. Adresná informácia zaslaná emailom podľa
prevádzkovateľa nepredstavuje žiadnu pridanú informačnú hodnotu pre
dotknuté osoby, ktoré sú alebo si majú byť vedomé toho, že ich osobné
údaje sú súčasťou Open Data zdrojov a teda sú dostupné verejnosti na
prehliadanie a spracúvanie, ktoré je v súlade s pôvodným účelom zverejnenia.
Naopak zasielanie takýchto adresných oznámení považuje prevádzkovateľ práve
za nezmyselné obťažovanie dotknutých osôb.
Pri tomto posúdení je potrebné dať do teda tiež pomeru nevyhnutné náklady prevádzkovateľa
a skutočnosť, že vo všetkých prípadoch ide o osobné údaje zverejnené vo verejných
registroch a iných Open Data zdrojoch. Tieto registre pritom neinformujú dotknuté
osoby žiadnym spôsobom o tom, že sa ich osobné údaje zobrazili konkrétnej vyhľadávajúcej
osobe. Za podobných okolností ale funguje aj portál prevádzkovateľa, ktorý tieto údaje
zobrazí vždy iba na žiadosť používateľa. Pridaná hodnota portálu prevádzkovateľa je v tom,
že dáta z rôznych registrov sú priradené k tomu istému podnikateľovi na jednom mieste,
ale ide o rovnaké dáta, aké sú alebo boli dostupné vo verejných registroch. Dotknuté
osoby vo všetkých prípadoch vedia o tom, že údaje z verejného registra alebo iného
Open Data zdroja sú o nich sprístupnené pre neobmedzený počet tretích osôb – pre
verejnosť. Ich súkromie teda nie je spracovaním zo strany prevádzkovateľa nijako
dotknuté. Pokiaľ by mali tieto osoby dostávať listové alebo emailové zásielky od
všetkých verejných registrov vždy, keď ich údaje niekto vyhľadá, znemožnilo by to
fungovanie verejných registrov a spôsobilo nezmyselné zaťažovanie dotknutých osôb
zásielkami alebo adresnými emailovými oznámeniami. Prevádzkovateľ je presvedčený o
tom, že nie je proporcionálne ani primerané, aby vynakladal vyššie uvedené náklady
a úsilie na informovanie dotknutej osoby o tom, že jej dáta z verejného registra niekto
vyhľadal prostredníctvom jeho portálu.
Prevádzkovateľ je preto oprávnený spoľahnúť sa, že na spracúvanie osobných údajov z
verejných registrov spôsobom, ako to robí on, sa vzťahuje výnimka podľa čl. 14
ods. 5 písm. b) GDPR.
V takom prípade sa na neho, samozrejme, vzťahuje povinnosť informácie poskytnúť verejnosti.
