Francouzský úřad CNIL udělil společnosti Extia pokutu 300 000 eur za ignorování žádostí o výmaz údajů

Důvodem bylo systematické porušování práv fyzických osob, zejména pak ignorování tzv. práva na zapomnění neboli práva na výmaz dat.

Co přesně se stalo?

Případ se točí kolem selhání společnosti při zpracovávání žádostí podle Obecného nařízení o ochraně osobních údajů (GDPR). Inspekce a následné šetření CNIL ukázaly, že společnost Extia selhala v plnění povinností vyplývajících z článku 12 GDPR (transparentnost a pravidla pro uplatňování práv) a článku 17 GDPR (právo na výmaz).

Statistiky z roku 2024, které úřad během řízení analyzoval, jsou poměrně alarmující:

• Společnost obdržela celkem 265 žádostí o výmaz osobních údajů. Tyto žádosti přitom pocházely převážně od neúspěšných uchazečů o zaměstnání (kandidátů) a částečně i od bývalých zaměstnanců.
• Více než tři čtvrtiny těchto žádostí (tzn. přes 75 %) buď vůbec nebyly zpracovány, nebo nebyly vyřízeny uspokojivým způsobem.

Lidé, kteří chtěli, aby firma v souladu se zákonem smazala jejich životopisy, kontaktní údaje či další osobní záznamy, tak naráželi na zeď mlčení nebo nedostatečnou reakci.

Proč byla pokuta tak vysoká?

Při stanovování výše pokuty přihlížel CNIL  hned k několika přitěžujícím okolnostem:

1. Závažnost porušení: Porušení se týkalo základních a pilířových principů GDPR, na nichž ochrana soukromí v Evropské unii stojí.
2. Rozsah problému: Obrovské množství ignorovaných žádostí ukázalo na systémové selhání v interních procesech firmy.
3. Recidiva: Společnost Extia již v minulosti obdržela od úřadu varování, respektive formální upozornění na dodržování předpisů, což úřad při vyměřování sankce zohlednil jako přitěžující faktor.

Polehčující okolnosti a náprava

Na druhou stranu CNIL vzala v potaz, že společnost během probíhajícího správního řízení začala situaci aktivně řešit. Extia podnikla nápravná opatření – sporná data smazala a dodatečně informovala dotčené osoby o tom, jak byly jejich žádosti vyřízeny. U malého zbytku zbývajících žádostí navíc firma dokázala předložit pádné a legitimní důvody, proč data nebylo možné vymazat (například proto, že nebylo možné jednoznačně identifikovat osobu, která o výmaz žádala).

Varování pro firemní sféru

Tento případ vysílá signál všem firmám, bez ohledu na jejich zaměření či velikost. Úřady na ochranu osobních údajů v čele s francouzskou CNIL dlouhodobě zaměřují svou pozornost nejen na zabezpečení dat před hackery, ale i na každodenní administrativní rutinu a komunikaci se zákazníky, kandidáty či zaměstnanci.

Ignorovat žádosti o výmaz dat, které lidé posílají v dobré víře, že jejich soukromí bude respektováno, se firmám jednoduše nevyplácí. Kromě poškození reputace značky hrozí drastické finanční postihy, které mohou jít do stovek tisíc až milionů eur. Pro personalistický a korporátní sektor je to jasná připomínka: interní systémy pro správu lidských zdrojů a náborových dat (ATS) musí mít nastavené spolehlivé procesy, které dokážou práva žadatelů včas a transparentně odbavit.