Pre dotknuté osoby


Popis spracúvania: Prevádzkovateľ prevádzkuje internetovú stránku indexpodnikatela.sk, prostredníctvom ktorej poskytuje svojim používateľom informácie ktoré sa týkajú podnikateľov (obchodných spoločností aj fyzických osôb) získané a spracované automatizovaným spôsobom z verejne dostupných zdrojov najmä z verejných registrov, zoznamov dlžníkov verejnoprávnych a iných inštitúcií, Obchodného vestníka, podobných zdrojov v Českej republike (ďalej ako „Open Data zdroje“). Zoznam Open Data zdojov, z ktorých sú dáta čerpané a frekvenciu ich aktualizácie je možné nájsť na https://www.indexpodnikatela.sk/gdpr/zdroje-dat.

Informácie, reporty a analýzy spracúvané prevádzkovateľom sa týkajú podnikateľov, môžu však obsahovať osobné údaje fyzických osôb.

Spracúvanie osobných údajov týchto dotknutých osôb podlieha povinnostiam na základe GDPR. Spracúvanie sa vykonáva na právnom základe oprávneného záujmu, podľa bodu B.

V zmysle čl. 14 GDPR má prevádzkovateľ informačnú povinnosť voči dotknutým osobám, ktorých údaje spracúva. Prevádzkovateľ plní informačnú povinnosť formou zverejnenia oznámenia na svojej internetovej stránke https://www.indexpodnikatela.sk/gdpr/dotknute-osoby. Tento dokument objasňuje a vysvetľuje, prečo prevádzkovateľ tieto informácie dotknutým osobám poskytuje formou zverejnenia, spoliehajúc sa na výnimku podľa čl. 14 ods. 5 písm. b) GDPR.

A) ÚČEL A PRÁVNY ZÁKLAD SPRACOVANIA OSOBNÝCH ÚDAJOV A DOTKNUTÉ OSOBY

Spoločnosť DataSpot s.r.o prevádzkuje portál www.indexpodnikatela.sk. Prostredníctvom tohto portálu prevádzkovateľ sprístupňuje pre svojich registrovaných používateľov reporty a informácie o konkrétnych podnikateľoch, fyzických a právnických osobách, v ktorých prehľadným a čitateľným spôsobom na jednom mieste v elektronickej podobe sumarizuje údaje, získané z verejne dostupných zdrojov, najmä verejných registrov, publikovaných rozhodnutí súdov, Obchodného vestníka a ďalších publikácií a registrov dlžníkov zdravotných poisťovní a Sociálnej poisťovne, a to tak v Slovenskej republike, ako aj v Českej republike („ďalej ako „Open Data zdroje“). V portáli je možné vyhľadať informácie dostupné z rôznych verejných zdrojov o jednom podnikateľovi – právnickej alebo fyzickej osobe, pričom výsledok vyhľadávania poskytne používateľovi v ucelenej forme (reporte, prípadne grafe/grafoch) informácie, ktoré sú o tejto osobe dostupné vo verejných zdrojoch, týkajúcich sa podnikateľov. Zoznam Open Data zdojov, z ktorých sú dáta čerpané a  frekvenciu ich aktualizácie je možné nájsť na https://www.indexpodnikatela.sk/gdpr/zdroje-dat. Spoločnosť DataSpot s.r.o. svoje služby spoplatňuje.

Správy a informácie, poskytované prevádzkovateľom o podnikateľoch pri prevádzkovaní stránky www.indexpodnikatela.sk, obsahujú osobné údaje pre tieto dotknuté osoby:

  • podnikateľ – fyzická osoba,
  • spoločník, akcionár alebo člen právnickej osoby;
  • spoločník, akcionár alebo člen právnickej osoby;
  • člen štatutárneho alebo kontrolného orgánu podnikateľa alebo jeho prokurista, vedúci
  • organizačnej zložky alebo podniku,
  • člen štatutárneho orgánu inej právnickej osoby,
  • osoba zapísaná v Registri partnerov verejného sektora, jeho konečný užívateľ výhod,
  • oprávnená osoba zapísaná v tomto registri,
  • veriteľ podnikateľa, záložca, záložný veriteľ alebo záložný dlžník,
  • likvidátor alebo správca konkurznej podstaty podnikateľa,
  • pracovník súdu či sudca, ktorý vydal zverejnené rozhodnutie, notár alebo exekútor,
  • iná osoba, ktorej osobné údaje sú zverejnené v niektorom z Open Data zdrojov, ktoré používame.

Právnym základom spracúvania osobných údajov sú oprávnené záujmy prevádzkovateľa a používateľa portálu:

  • záujem prevádzkovateľa poskytovať platené informačné služby používateľom spracovaním zverejnených informácií a tým dosahovať zisk.
  • oprávnený záujem tretej osoby (používateľa) na získaní informácií z  Open Data zdrojov v prehľadnej podobe a sústredené na jednom mieste, čím uplatní svoje právo na informácie, najmä na účely: (i) overenia kredibility a finančného stavu zmluvného partnera, potenciálneho zmluvného partnera, dlžníka alebo inej osoby; (ii) predchádzania podvodom a ochrane majetku používateľa, (iii) získania dostupných informácií v prehľadnej a čitateľnej podobe na účely zvyšovania transparentnosti podnikateľského prostredia a (iv) získanie informácií vo forme umožňujúcej automatizované vypĺňanie elektronických tlačív a dokumentov.

V Teste oprávneného záujmu zo dňa 14.6.2018 prevádzkovateľ analyzoval a vyhodnotil oprávnenosť záujmu, nevyhnutnosť spracovania osobných údajov ako aj vyváženosť medzi oprávnenými záujmami prevádzkovateľa a používateľa a právami a slobodami dotknutej osoby a vyhodnotil vyššie uvedené záujmy ako oprávnené.

B) VÝNIMKA PODĽA ČL. 14 ODS. 5 PÍSM. B) GDPR

Prevádzkovateľ je povinný poskytnúť dotknutej osobe informácie podľa čl. 14 GDPR, vzhľadom na to, že o nej spracúva osobné údaje, napriek tomu, že ide o informácie získané z verejných zdrojov. Prevádzkovateľ však uplatňuje výnimku podľa ods. 5 tohto čl. 14 GDPR, podľa ktorého sa odseky 1 až 4 neuplatňujú v rozsahu, v akom:

  • sa poskytovanie takýchto informácií ukáže ako nemožné alebo by si vyžadovalo neprimerané úsilie, najmä v prípade spracúvania na účely archivácie vo verejnom záujme, na účely vedeckého alebo historického výskumu či na štatistické účely, na ktoré sa vzťahujú podmienky a záruky podľa článku 89 ods. 1, alebo pokiaľ je pravdepodobné, že povinnosť uvedená v odseku 1 tohto článku znemožní alebo závažným spôsobom sťaží dosiahnutie cieľov takéhoto spracúvania. V takých prípadoch prijme prevádzkovateľ vhodné opatrenia na ochranu práv a slobôd a oprávnených záujmov dotknutej osoby vrátane sprístupnenia daných informácií verejnosti.

C) ODÔVODNENIE VÝNIMKY PODĽA ČL. 14 ODS. 5 PÍSM. B) GDPR.

V súlade s Usmernením č. 260 Pracovnej skupiny podľa čl. 29 „Usmernenie o  transparentnosti podľa Nariadenia 2016/679“ (Ďalej ako „Usmernenie“), pre poskytovanie informácií podľa čl. 14 dotknutej osobe platí:

  • Podľa čl. 13 a čl. 14 má prevádzkovateľ „poskytnúť dotknutej osobe informácie“. Kľúčové slovo je „poskytnúť“. Znamená to, že prevádzkovateľ musí urobiť aktívne kroky k podaniu danej informácie dotknutej osobe. Dotknutá osoba nemusí urobiť aktívne kroky k vyžiadaniu si informácie alebo k jej vyhľadaniu...“
  • V prípade, keď prevádzkovateľ chce využiť výnimku v článku 14 ods. 5 písm. b) s odôvodnením, že by poskytnutie informácií predstavovalo neprimerané úsilie, mal by vykonať test rovnováhy, či úsilie vynaložené na informovanie dotknutej osoby vyvažuje dopady, ktoré môže mať neposkytnutie informácií na dotknuté osoby a toto posúdenie by mal zdokumentovať.
  • Článok 14 ods. 5 písm. b) GDPR pre taký prípad špecifikuje, že prevádzkovateľ musí prijať vhodné opatrenia na ochranu práv, slobôd a oprávnených záujmov dotknutej osoby, vrátane sprístupnenia daných informácií verejnosti.
  • Môže tiež nastať situácia, keď prevádzkovateľ spracúva osobné údaje, ktoré nebudú vyžadovať identifikáciu dotknutej osoby (napríklad pseudonymizované údaje). V takýchto prípadoch môže byť relevantný aj článok 11 ods. 1, pretože správca nemá povinnosť uchovávať, získavať alebo spracovávať dodatočné informácie s cieľom identifikovať subjekt údajov výlučne na účely dosiahnutia súladu s GDPR.

V súlade s Usmernením preto prevádzkovateľ vyhotovil toto zdôvodnenie uplatnenie výnimky podľa čl. 14 ods. 5 písm. b) vo vzťahu k dotknutým osobám podľa bodu B.

  1. V prípadoch dotknutých osôb, o ktorých sa spracúvajú iba základné osobné údaje (meno, priezvisko, prípadne funkcia) ide o osoby, ktoré môžu byť identifikovateľné, ale nie sú identifikované. Pre tieto dotknuté osoby sa nespracúva ani adresa bydliska, ani elektronickej pošty, ani iný kontaktný údaj, ktorý by umožnil prevádzkovateľovi týmto osobám zaslať adresné oznámenie o spracúvaní ich osobných údajov. Podľa čl. 11 ods. 1 GDPR nie je prevádzkovateľ povinný získavať dodatočné informácie výlučne s  cieľom, aby tieto osoby adresne informoval o tom, že ich údaje boli sprístupnené prostredníctvom portálu prevádzkovateľa. Pre tieto osoby je možné konštatovať, že adresné informovanie týchto osôb je objektívne nemožné. Pre taký prípad prevádzkovateľ zverejňuje informácie podľa čl. 14 GDPR na svojej web stránke na adrese https://www.indexpodnikatela.sk/gdpr/dotknute-osoby.
  2. V prípadoch dotknutých osôb, o ktorých sa spracúva aj adresa pobytu (napríklad štatutári právnických osôb alebo fyzické osoby – podnikatelia), prevádzkovateľ spracúva (sprístupňuje prostredníctvom portálu) aj ich adresu. Ide však výlučne o  adresu poštovú. Osobné údaje dotknutých osôb z verejných registrov neobsahujú adresy elektronickej pošty. Poskytnutie informácie podľa čl. 14 GDPR každej takejto dotknutej osobe prevádzkovateľom by preto bolo možné výlučne prostredníctvom listovej zásielky, zaslanej na jej adresu. Vzhľadom na priemerný ročný počet vyhľadávaní na portáli indexpodnikateľa.sk približne 600 000, za predpokladu, že každé vyhľadávanie obsahuje osobný údaj najmenej jednej osoby a najnižšiu cenu bežnej listovej zásielky v  Slovenskej republike, ktorá je 0,50 EUR by náklady na doručovanie adresných listových zásielok každej dotknutej osobe znamenali náklady vo výške 300 000 EUR. Takéto náklady by znamenali praktické ukončenie činnosti prevádzkovateľa, pretože za takýchto okolností by prevádzkovateľ nebol schopný dosahovať zisk. Prevádzkovateľ má za to, že vynakladanie takýchto nákladov a ďalších nákladov na zamestnancov, materiál a prácu, spojenú s tlačením adresných oznámení pre dotknuté osoby možno považovať za neprimerané úsilie v zmysle čl. 14 ods. 5 písm. b) GDPR, ako sa vykladá podľa Usmernenia.
  3. V niektorých prípadoch je možné k osobným údajom priradiť, alebo k nim je priradená, aj adresa elektronickej pošty, pokiaľ je zverejnená vo verejných zdrojoch (napríklad účtovnej závierke), alebo ju podnikateľ zverejnil na svojej web stránke alebo na kontaktných webových stránkach, ktoré sú uvedená ako súčasť Open Data zdrojov. V takom prípade ide o údaje zverejnené spravidla podľa ustanovenia § 78 ods. 8 Zákona 18/2018 Z.z. o ochrane osobných údajov, ktorý upravuje niektoré špecifiká ochrany osobných údajov v Slovenskej republike na základe splnomocňovacích ustanovení GDPR nasledovne: Prevádzkovateľ, ktorý je zamestnávateľom dotknutej osoby, je oprávnený poskytovať jej osobné údaje alebo zverejniť jej osobné údaje v rozsahu titul, meno, priezvisko, pracovné zaradenie, služobné zaradenie, funkčné zaradenie, osobné číslo zamestnanca alebo zamestnanecké číslo zamestnanca, odborný útvar, miesto výkonu práce, telefónne číslo, faxové číslo, adresa elektronickej pošty na pracovisko a identifikačné údaje zamestnávateľa, ak je to potrebné v súvislosti s plnením pracovných povinností, služobných povinností alebo funkčných povinností dotknutej osoby. V takomto prípade nie je informovanie dotknutých osôb objektívne nemožné, avšak stále možno povinnosť informovať tieto dotknuté osoby o tom, že boli ich osobné údaje súčasťou vyhľadávania na portáli indexpodnikatela.sk neprimeraným úsilím v zmysle čl. 14 ods. 5 písm. b) GDPR, a to najmä z týchto dôvodov:
    1. Prevádzkovateľ neuplatňuje pri poskytovaní osobných údajov rozlišovacie algoritmy, ktorými by oddelil také informácie, pri ktorých je sprístupnená (a teda spracovávaná) emailová adresa konkrétnej osoby a pri ktorých sa takáto adresa neuvádza, prípadne adresa nie je adresou konkrétnej osoby (napríklad ide o adresu typu: info@spolocnost.domena).
    2. Prevádzkovateľ nemá automatizovaný mechanizmus na to, aby posúdil, či kontaktná adresa, ktorá je súčasťou záznamu o podnikateľovi je alebo nie je adresou tej istej dotknutej osoby, o ktorej sú v zázname uvedené osobné údaje. Na to, aby takto posúdil adresy, by bol nútený preskúmať neautomatizovane všetky záznamy, ktoré sa zobrazia jeho používateľom za dané obdobie, čiže by musel záznamy preskúmať jeho zamestnanec, čo pri rozsahu 50 000 záznamov za mesiac za predpokladu, že zamestnanec sa bude venovať 1 prípadu 1 minútu predstavuje prácu v rozsahu cca 833 hodín;
    3. Ak by prevádzkovateľ nerozlišoval kontaktné údaje podľa bodov a) a b) vyššie a posielal by adresné oznámenia na všetky emailové adresy, ktoré sú dostupné v záznamoch, ktoré môže uchovávať a/alebo sprístupňovať, presahoval by mesačný počet oznámení 100.000 emailov. Pokiaľ by prevádzkovateľ rozosielal takéto množstvo automatizovane vytvorených oznámení, väčšina webových poskytovateľov emailových služieb by jeho stránku vyhodnotila ako rozosielanie spamu a ďalšie prijímanie správ od jeho stránky by zablokovala. Tým by prevádzkovateľ znemožnil, aby mohol posielať zo svoje stránky naozaj relevantné a adresné oznámenia, predovšetkým svojim klientom. Nemožno ani zanedbať náklady na takéto rozosielanie.
    4. V neposlednom rade je potrebné znova poukázať na to, že oznámenie, ktoré podľa čl. 14 GDPR prevádzkovateľ poskytuje na svojej webovej adrese je pre dotknuté osoby vždy dostupné, rovnako ako je dostupná možnosť uplatnenia ich práv. Adresná informácia zaslaná emailom podľa prevádzkovateľa nepredstavuje žiadnu pridanú informačnú hodnotu pre dotknuté osoby, ktoré sú alebo si majú byť vedomé toho, že ich osobné údaje sú súčasťou Open Data zdrojov a teda sú dostupné verejnosti na prehliadanie a spracúvanie, ktoré je v súlade s pôvodným účelom zverejnenia. Naopak zasielanie takýchto adresných oznámení považuje prevádzkovateľ práve za nezmyselné obťažovanie dotknutých osôb.

Pri tomto posúdení je potrebné dať do teda tiež pomeru nevyhnutné náklady prevádzkovateľa a skutočnosť, že vo všetkých prípadoch ide o osobné údaje zverejnené vo verejných registroch a iných Open Data zdrojoch. Tieto registre pritom neinformujú dotknuté osoby žiadnym spôsobom o tom, že sa ich osobné údaje zobrazili konkrétnej vyhľadávajúcej osobe. Za podobných okolností ale funguje aj portál prevádzkovateľa, ktorý tieto údaje zobrazí vždy iba na žiadosť používateľa. Pridaná hodnota portálu prevádzkovateľa je v tom, že dáta z rôznych registrov sú priradené k tomu istému podnikateľovi na jednom mieste, ale ide o rovnaké dáta, aké sú alebo boli dostupné vo verejných registroch. Dotknuté osoby vo všetkých prípadoch vedia o tom, že údaje z verejného registra alebo iného Open Data zdroja sú o nich sprístupnené pre neobmedzený počet tretích osôb – pre verejnosť. Ich súkromie teda nie je spracovaním zo strany prevádzkovateľa nijako dotknuté. Pokiaľ by mali tieto osoby dostávať listové alebo emailové zásielky od všetkých verejných registrov vždy, keď ich údaje niekto vyhľadá, znemožnilo by to fungovanie verejných registrov a spôsobilo nezmyselné zaťažovanie dotknutých osôb zásielkami alebo adresnými emailovými oznámeniami. Prevádzkovateľ je presvedčený o  tom, že nie je proporcionálne ani primerané, aby vynakladal vyššie uvedené náklady a úsilie na informovanie dotknutej osoby o tom, že jej dáta z verejného registra niekto vyhľadal prostredníctvom jeho portálu.

Prevádzkovateľ je preto oprávnený spoľahnúť sa, že na spracúvanie osobných údajov z  verejných registrov spôsobom, ako to robí on, sa vzťahuje výnimka podľa čl. 14 ods. 5 písm. b) GDPR.

V takom prípade sa na neho, samozrejme, vzťahuje povinnosť informácie poskytnúť verejnosti.

VÝSLEDOK POSÚDENIA

Prevádzkovateľ sa spolieha na to, že sa na spracúvanie osobných údajov dotknutých osôb, uvedených v reportoch pri poskytovaní služieb pri prevádzkovaní internetovej stránky indexpodnikatela.sk, vzťahuje výnimka podľa čl. 14 ods. 5 písm. b) GDPR. Tieto dotknuté osoby informuje verejným oznámením na svojom webe na https://www.indexpodnikatela.sk/gdpr/dotknute-osoby

.