Spracúvanie osobných údajov formou „zákazníckych kariet“

V posledných rokoch sa v mnohých oblastiach bežného života rozšírilo vydávanie elektronických (čipových) kariet, ktoré napríklad umožňujú uplatňovať zľavy či využívanie rôznych služieb. Každá zákaznícka karta má iný systém – raz sa zbierajú body, inokedy sa iba uplatňujú niekoľkopercentné zľavy alebo oboje naraz. Jedným zo subjektov, ktoré ponúkajú zákaznícke karty, sú aj lekárne. Lekárne tu vystupujú ako prevádzkovatelia informačného systému (ďalej len „IS“), ktorý môžeme nazvať „IS Vernostný systém“.

Prevádzkovateľom je orgán štátnej správy, orgán územnej samosprávy, iný orgán verejnej moci alebo iná právnická alebo fyzická osoba, ktorá sama alebo spoločne s inými určuje

účel a prostriedky spracúvania osobných údajov. Ak účel, prípadne aj prostriedky spracúvania osobných údajov ustanovuje osobitný zákon – napríklad zákon č. 576/2004 Z. z. o zdravotnej starostlivosti, službách súvisiacich s poskytovaním zdravotnej starostlivosti a o zmene a doplnení niektorých zákonov (ďalej len „zákon o zdravotnej starostlivosti“), prevádzkovateľom je ten, koho na plnenie účelu spracúvania ustanoví tento osobitný zákon, alebo kto splní zákonom ustanovené podmienky. To platí aj vtedy, ak tak ustanovuje právny akt Európskych spoločenstiev a Európskej únie [§ 4 ods. 2 zákona č. 428/2002 Z. z. o ochrane osobných údajov v znení neskorších predpisov (ďalej len „zákon o ochrane osobných údajov“)].

Právny podklad spracúvania osobných údajov a zoznam osobných údajov

Právnym podkladom na získavanie a spracúvanie osobných údajov na účel prevádzkovania informačného systému IS Vernostný systém je § 7 ods. 4 písm. b) zákona o ochrane osobných údajov, nakoľko tietoupravujú vzťahy, t. j. zmluvné vzťahymedzi lekárňou/prevádzkovateľom a jej klientmi, ktorí vstupujú do vernostného systému a nakupujú voľne dostupné výživové doplnky a kozmetiku. Z uvedeného teda vyplýva, žeprevádzkovateľ/lekáreň na spracúvanie osobných údajov v IS Vernostný systém súhlas dotknutej osoby nepotrebuje.

Existuje možnosť, že by IS Vernostný systém neobsahoval osobné údaje. Bolo by to v prípade, ak by napríklad vernostná karta nebola personifikovaná. Všetky obraty vrátane zliav by bolo možné vykonávať len s kartou. V takomto prípade kľúčovým údajom v IS Vernostný systém by bol kód karty, a teda z pohľadu zákona o ochrane osobných údajov by nešlo o spracúvanie osobných údajov. Prevádzkovateľ by teda nespracúval žiadne osobné údaje, ani meno a priezvisko.

Avšak vzhľadom na to, že prevádzkovateľ/lekáreň vernostné karty v niektorých prípadoch zasiela aj poštou, na základe napríklad elektronicky zaslanej prihlášky, prevádzkovateľ je „nútený“ spracúvať osobné údaje za účelom doručovania. Vzhľadom k uvedenému na splnenie účelu spracúvania osobných údajov v IS Vernostný systém, je potrebné spracúvať meno, priezvisko a adresu dotknutej osoby (ulica, číslo, PSČ, obec).

Podľa ustanovenia § 6 ods. 1 písm. d) zákona o ochrane osobných údajov prevádzkovateľ má povinnosť zabezpečiť, aby sa spracúvali len také osobné údaje, ktoré svojím rozsahom a obsahom zodpovedajú účelu ich spracúvania a sú nevyhnutné na jeho dosiahnutie. Vo väčšine prípadov prevádzkovateľ/lekáreň získavana formulári „Žiadosť o vydanie vernostnej karty“ osobné údaje na účel vydania vernostnej karty, na základe ktorej dotknuté osoby získajú zľavy v lekárni a ich osobné údaje sú spracúvané v IS Vernostný systém. Úradom na ochranu osobných údajov SR (ďalej len „Úrad“) pri výkone kontrol bolo zistené, že prevádzkovateľ zároveň často získava osobné údaje aj na účel priameho marketingu, napríklad v rámci „Žiadosti o zaradenie do databázy zákazníkov lekárne XY“, na základe ktorého dotknutá osoba získava adresné informácieo nových tovaroch.

V praxi Úradu sa zistilo, že prevádzkovateľ vo väčšine prípadov získavaosobné údaje na oba účely spolu (IS Vernostné karty a IS Marketing), a to tak, že napríklad žiadateľ o vernostnú kartu je povinný zaškrtnúť obe žiadosti a podpisom uvedeného formulára vyjadriť svoj súhlas so získavaním osobných údajov zárove