W skrócie
Sklep internetowy jako administrator danych osobowych musi przetwarzać je zgodnie z RODO.
- Każde przetwarzanie wymaga podstawy prawnej, np. realizacji umowy, obowiązku prawnego, zgody lub uzasadnionego interesu.
- Klienci muszą otrzymać jasną informację o przetwarzaniu danych, zwykle w polityce prywatności.
- Firmy przetwarzające dane w imieniu sklepu, np. hosting czy system mailingowy, powinny mieć zawarte umowy powierzenia.
Artykuł ma charakter informacyjny i nie stanowi porady prawnej.
Dane klientów są niezbędne do realizacji zamówień, ale ich przetwarzanie wiąże się z obowiązkami. Najczęstsze problemy sklepów to nie brak polityki prywatności, ale jej niezgodność z rzeczywistością – np. pominięte narzędzia marketingowe czy nieaktualna lista odbiorców danych.
Podstawy przetwarzania danych
- realizacja umowy – dane potrzebne do zamówienia, dostawy i płatności,
- obowiązek prawny – np. przechowywanie dokumentów księgowych,
- zgoda – np. na newsletter, jeśli jest wymagana,
- prawnie uzasadniony interes – np. dochodzenie roszczeń, niektóre analizy.
Obowiązek informacyjny i polityka prywatności
Klient musi wiedzieć, kto jest administratorem danych, w jakim celu i na jakiej podstawie są przetwarzane, komu są przekazywane, jak długo będą przechowywane i jakie ma prawa. Polityka prywatności powinna odpowiadać rzeczywistości – uwzględniać wszystkie narzędzia, z których korzysta sklep.
Zgody marketingowe i cookies
Zgody muszą być dobrowolne, konkretne i udzielane aktywnie – bez zaznaczonych z góry pól. Na pliki cookies niebędące niezbędnymi do działania strony, np. analityczne i reklamowe, potrzebna jest zgoda użytkownika, zbierana zwykle przez baner zgód.
Umowy powierzenia
Dostawcy usług, którzy przetwarzają dane klientów w imieniu sklepu – hosting, system mailingowy, biuro rachunkowe, niektóre integracje – powinni mieć zawartą umowę powierzenia przetwarzania danych.
Prawa klientów
Klienci mogą żądać m.in. dostępu do danych, ich sprostowania, usunięcia lub ograniczenia przetwarzania oraz sprzeciwić się marketingowi. Sklep powinien mieć prostą procedurę obsługi takich żądań.
Naruszenia ochrony danych
W razie naruszenia, np. wycieku danych, administrator co do zasady powinien zgłosić je do Prezesa UODO w ciągu 72 godzin od jego stwierdzenia, a w niektórych przypadkach poinformować także osoby, których dane dotyczą. Dlatego ważne są zabezpieczenia opisane w artykule bezpieczeństwo sklepu internetowego.
Najczęstsze pytania
Czy sklep internetowy musi mieć politykę prywatności?
Sklep musi spełnić obowiązek informacyjny wobec klientów, a polityka prywatności jest najczęstszą formą jego realizacji. Powinna opisywać rzeczywiste procesy i narzędzia sklepu.
Czy na newsletter potrzebna jest zgoda?
Na wysyłkę informacji handlowych drogą elektroniczną co do zasady potrzebna jest zgoda odbiorcy, udzielona aktywnie i dobrowolnie.
W jakim terminie zgłosić wyciek danych?
Co do zasady w ciągu 72 godzin od stwierdzenia naruszenia, do Prezesa Urzędu Ochrony Danych Osobowych.
Zobacz także
- Bezpieczeństwo sklepu internetowego – jak chronić dane klientów.
- E-mail marketing w sklepie internetowym – zgody i dobre praktyki.
- Google Analytics 4 w e-commerce – zgody a analityka.
Chcesz uporządkować sklep pod kątem danych i zgód? Zobacz wdrożenia sklepów internetowych lub skontaktuj się ze mną.