RODO, czyli przepisy dotyczące ochrony danych osobowych, może obowiązywać firmę niezależnie od tego, gdzie ma ona swoją siedzibę. Liczy się przede wszystkim to, czy i w jaki sposób firma przetwarza dane osób znajdujących się w Unii Europejskiej.
Oznacza to, że również firma spoza UE może podlegać RODO, jeśli sprzedaje towary lub świadczy usługi osobom w UE albo monitoruje ich zachowanie na terenie UE. Dotyczy to różnych modeli biznesowych - B2C, B2B, a także dropshippingu.
W przypadku sklepu internetowego przestrzeganie RODO to coś więcej niż polityka prywatności, checkbox ze zgodą czy formularz kontaktowy. Trzeba zadbać o dane osobowe na każdym etapie: wiedzieć, jakie dane są zbierane, w jakim celu, na jakiej podstawie prawnej, komu są przekazywane i jak są chronione. Sklep powinien też mieć odpowiednie procedury na wypadek, gdy klient chce skorzystać ze swoich praw lub dojdzie do naruszenia bezpieczeństwa danych.
W tym artykule przedstawiamy najważniejsze wymagania RODO dla sklepów internetowych. Skupiamy się przede wszystkim na praktycznych i technicznych rozwiązaniach, które pomagają zadbać o zgodność z przepisami.
Warto jednak pamiętać, że konkretne obowiązki mogą się różnić w zależności od modelu biznesowego sklepu, sposobu wykorzystywania danych oraz przepisów obowiązujących w danym kraju. Dlatego w bardziej złożonych lub niejasnych przypadkach warto skonsultować się z prawnikiem albo specjalistą ds. ochrony danych osobowych.
Jakie dane zbiera sklep internetowy i na jakiej podstawie?
Sklep internetowy przetwarza nie tylko dane, które klient podaje podczas składania zamówienia. W zależności od używanych funkcji i narzędzi mogą to być m.in. imię i nazwisko, adres dostawy i dane do faktury, adres e-mail, numer telefonu, historia zamówień, dane konta, adres IP, informacje o urządzeniu czy dane zbierane przez narzędzia analityczne i marketingowe.
Każde wykorzystanie danych osobowych musi mieć odpowiednią podstawę prawną. RODO wskazuje sześć takich podstaw, ale w eCommerce najczęściej spotykamy cztery:
- Wykonanie umowy – gdy dane są potrzebne do realizacji zamówienia lub świadczenia usługi, o którą poprosił klient.
- Obowiązek prawny – gdy sklep musi przetwarzać dane, ponieważ wymagają tego przepisy, np. podatkowe lub księgowe.
- Prawnie uzasadniony interes – gdy przetwarzanie jest potrzebne do realizacji uzasadnionego celu sklepu lub innego podmiotu, a jednocześnie nie narusza w nadmierny sposób praw i wolności klienta.
- Zgoda – gdy przepisy jej wymagają lub gdy sklep decyduje się oprzeć przetwarzanie na dobrowolnej i świadomej zgodzie użytkownika.
Najważniejsze jest to, aby dopasować podstawę prawną do konkretnego celu przetwarzania danych. Nie warto prosić klienta o zgodę „na wszelki wypadek”. Jeśli jego dane są potrzebne np. do realizacji zamówienia albo wypełnienia obowiązków wynikających z prawa, zgoda nie jest właściwą podstawą.
Podobnie jest z prawnie uzasadnionym interesem – nie można traktować go jako prostego zamiennika zgody. Dobrym przykładem jest marketing elektroniczny. Wysyłanie wiadomości e-mail, SMS-ów czy korzystanie z niektórych technologii marketingowych może podlegać dodatkowym przepisom, w tym regulacjom ePrivacy i prawu obowiązującemu w danym kraju.
Dlatego zawsze trzeba spojrzeć na dwie kwestie: czy sklep ma odpowiednią podstawę do przetwarzania danych zgodnie z RODO oraz czy sposób kontaktu lub wykorzystywana technologia spełnia dodatkowe wymagania prawne.
Minimalizacja danych i ograniczenie celu przetwarzania
Sklep internetowy powinien zbierać wyłącznie te dane osobowe, które są mu faktycznie potrzebne do określonego celu. Proszenie klientów o dodatkowe informacje tylko dlatego, że mogą się kiedyś przydać, może być sprzeczne z zasadą minimalizacji danych z RODO. Ta sama zasada dotyczy sposobu wykorzystania danych: informacje zebrane w jednym celu nie powinny być automatycznie wykorzystywane w innym, niepowiązanym celu bez odpowiedniej podstawy prawnej oraz, jeśli jest to wymagane, dodatkowej informacji lub zgody.
Ma to szczególne znaczenie przy wdrażaniu nowych narzędzi marketingowych, analitycznych czy personalizacyjnych. Zanim sklep zacznie zbierać dodatkowe informacje o kliencie, powinien umieć wyjaśnić, po co są one potrzebne i jak zostaną wykorzystane.
Zgoda: jak zbierać ją poprawnie
Jeśli sklep opiera się na zgodzie jako podstawie prawnej danej czynności przetwarzania, musi ona spełniać wymogi RODO. Musi być dobrowolna, konkretna, świadoma i jednoznaczna, a klient musi mieć możliwość jej wycofania.
Różnych celów nie należy łączyć w jedną, ogólnikową zgodę. Newsletter, spersonalizowany marketing i niektóre formy profilowania mogą wiązać się z różnymi celami przetwarzania, a więc wymagać osobnych wyborów.
Zgoda co do zasady nie może być też warunkiem zakupu produktu, jeśli dane przetwarzanie nie jest niezbędne do wykonania umowy. Podobnie wycofanie zgody powinno być tak samo łatwe jak jej wyrażenie.
Praktycznym przykładem jest checkbox newslettera przy finalizacji zamówienia. Klient powinien móc dokończyć zakup bez zapisywania się na newsletter, a sklep powinien być w stanie wykazać, na co dokładnie i kiedy klient wyraził zgodę.
W przypadku plików cookie i podobnych technologii mogą mieć zastosowanie dodatkowe wymogi wynikające z przepisów ePrivacy. Zbędne pliki cookie oraz technologie śledzące co do zasady nie mogą zostać aktywowane, zanim uzyskana zostanie wymagana zgoda.
Jak powinna działać polityka prywatności
Polityka prywatności to dokument odrębny od regulaminu sklepu internetowego i powinna opisywać to, co sklep faktycznie robi z danymi osobowymi. Ogólny szablon może szybko okazać się nieprecyzyjny, jeśli wymienia usługi, z których sklep nie korzysta, albo pomija narzędzia i czynności przetwarzania, które faktycznie stosuje.
Realizując obowiązki informacyjne wobec klientów, sklep powinien wyjaśnić między innymi, jakie dane są przetwarzane, w jakim celu, jaka podstawa prawna ma zastosowanie, jak długo dane są przechowywane, kto je otrzymuje oraz jakie prawa przysługują osobom, których dane dotyczą.
Dokument musi też pozostawać spójny z technologiami faktycznie wykorzystywanymi w sklepie. Dodanie nowej platformy analitycznej, narzędzia marketingowego, dostawcy płatności czy systemu obsługi klienta może zmienić czynności przetwarzania w sklepie i wymagać aktualizacji informacji o prywatności.
Pliki cookie i technologie śledzące
Pliki cookie i inne technologie śledzące wymagają osobnego podejścia. Oprócz RODO mogą mieć do nich zastosowanie również przepisy ePrivacy, które wprowadzają dodatkowe wymagania.
Technologie, które nie są niezbędne do działania sklepu – w tym wiele narzędzi analitycznych i marketingowych – zwykle wymagają zgody użytkownika przed ich uruchomieniem.
Dlatego sam baner cookie nie wystarczy. Wybór użytkownika musi mieć rzeczywisty wpływ na działanie strony. Jeśli użytkownik nie wyrazi zgody na dodatkowe pliki cookie lub inne technologie śledzące, nie powinny one zostać uruchomione.
Warto też sprawdzić, czy mechanizm zgód faktycznie działa. Można otworzyć sklep w trybie prywatnym lub incognito, odrzucić dodatkowe pliki cookie, a następnie sprawdzić, jakie skrypty i połączenia są uruchamiane przez stronę. To, co dzieje się technicznie w sklepie, powinno odpowiadać wyborowi użytkownika.
Bezpieczeństwo danych: środki techniczne i organizacyjne
RODO wymaga od organizacji wdrożenia odpowiednich środków technicznych i organizacyjnych, które chronią dane osobowe. Środki te powinny być proporcjonalne do ryzyka związanego z przetwarzaniem.
W przypadku sklepu internetowego może to obejmować:
- utrzymywanie platformy, modułów i zależności w aktualnych, wspieranych wersjach
- ograniczanie dostępu do danych osobowych zgodnie z rolami i obowiązkami pracowników
- zabezpieczanie kont administracyjnych odpowiednim uwierzytelnianiem i kontrolą dostępu
- szyfrowanie danych tam, gdzie jest potrzebne, szczególnie podczas ich przesyłania i przechowywania
- dbanie o to, żeby hasła nigdy nie były przechowywane w postaci jawnej, tylko zabezpieczone odpowiednim mechanizmem haszowania
- utrzymywanie aktualnych i sprawdzonych kopii zapasowych oraz testowanie, czy faktycznie można z nich odtworzyć dane
- rejestrowanie istotnych działań administracyjnych tam, gdzie jest to zasadne
- posiadanie procesu wykrywania, oceny i reagowania na incydenty bezpieczeństwa
Te środki to nie tylko techniczna checklista. RODO stosuje podejście oparte na ryzyku, więc to, co jest odpowiednie, zależy od charakteru, zakresu, kontekstu i ryzyka związanego z danym przetwarzaniem.
Bezpieczny sklep potrzebuje więc zarówno kontroli technicznych, jak i procesów organizacyjnych. Sama deklaracja wysokiego poziomu ochrony nie wystarczy, jeśli nie znajduje ona odzwierciedlenia w rzeczywistej konfiguracji platformy.
Prawa klienta wynikające z RODO
Klientom przysługuje szereg praw związanych z ich danymi osobowymi, a sklep powinien mieć jasno określony sposób obsługi takich żądań.
Należą do nich:
- Prawo dostępu - prawo do uzyskania informacji o przetwarzaniu danych osobowych oraz, w określonych sytuacjach, kopii tych danych.
- Prawo do sprostowania - prawo do poprawienia nieprawidłowych danych osobowych.
- Prawo do usunięcia danych (określane też jako „prawo do bycia zapomnianym”) - prawo do żądania usunięcia danych osobowych w określonych sytuacjach. Nie jest to prawo bezwzględne i nie znosi obowiązków prawnych dotyczących przechowywania informacji.
- Prawo do ograniczenia przetwarzania - prawo do żądania ograniczenia przetwarzania danych w określonych sytuacjach.
- Prawo do przenoszenia danych - w odpowiednich przypadkach prawo do otrzymania danych osobowych w ustrukturyzowanym, powszechnie używanym i nadającym się do odczytu maszynowego formacie oraz przesłania ich innemu administratorowi.
- Prawo do sprzeciwu - prawo do wniesienia sprzeciwu wobec określonych rodzajów przetwarzania. Jest ono szczególnie silne w przypadku marketingu bezpośredniego.
- Prawa związane ze zautomatyzowanym podejmowaniem decyzji i profilowaniem - dodatkowa ochrona może mieć zastosowanie, gdy decyzje opierają się wyłącznie na zautomatyzowanym przetwarzaniu i wywołują skutki prawne lub w podobny sposób istotnie wpływają na daną osobę.
- Prawo do wycofania zgody - jeśli przetwarzanie opiera się na zgodzie, co do zasady można ją wycofać w dowolnym momencie. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.
Sklep powinien mieć określony proces przyjmowania, weryfikowania i obsługi takich żądań w wymaganych terminach.
Co do zasady, administrator powinien odpowiedzieć bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. W razie potrzeby, ze względu na złożoność lub liczbę żądań, termin ten można wydłużyć o kolejne maksymalnie dwa miesiące, ale osobę składającą żądanie trzeba poinformować o przedłużeniu w ciągu pierwszego miesiąca.
Umowy powierzenia przetwarzania z podmiotami zewnętrznymi
Sklepy internetowe rzadko przetwarzają dane osobowe całkowicie samodzielnie. Dostawcy hostingu, platform e-mailowych, systemów obsługi klienta, narzędzi analitycznych i innych usług mogą przetwarzać dane w imieniu sklepu.
Jeśli dany dostawca usługi działa jako podmiot przetwarzający w rozumieniu art. 28 RODO, taka współpraca musi spełniać wymogi tego artykułu, w tym obejmować odpowiednią umowę powierzenia przetwarzania danych lub inne prawnie wiążące porozumienie.
Nie każda zewnętrzna firma, która otrzymuje dane klientów albo ma do nich dostęp, jest automatycznie podmiotem przetwarzającym. To, jaką pełni rolę, zależy od tego, jak strony ustalają cele i sposoby przetwarzania.
To rozróżnienie ma szczególne znaczenie w przypadku takich usług jak dostawcy płatności, firmy logistyczne czy partnerzy realizujący zamówienia. W zależności od okoliczności mogą oni pełnić rolę podmiotu przetwarzającego, niezależnego administratora danych albo mieć jeszcze inny status. Sklep powinien więc oceniać każdą relację indywidualnie, zamiast zakładać, że każdy dostawca wymaga tego samego rodzaju umowy.
Sklep powinien też prowadzić aktualny przegląd zewnętrznych usług zaangażowanych w przetwarzanie danych osobowych i wiedzieć, jakie dane trafiają do każdej z nich.
Transfery danych poza EOG
Sklepy internetowe coraz częściej korzystają z dostawców chmury, narzędzi analitycznych, marketingowych i usług SaaS, co może wiązać się z transferem danych osobowych poza Europejski Obszar Gospodarczy.
Takie przekazywanie danych osobowych podlega przepisom rozdziału V RODO i wymaga zastosowania odpowiedniego mechanizmu transferu. W zależności od okoliczności może to obejmować:
- decyzję Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony
- standardowe klauzule umowne (SCC)
- wiążące reguły korporacyjne
- albo, w ograniczonych przypadkach, jedno z odstępstw przewidzianych w art. 49 RODO.
W zależności od okoliczności, przy korzystaniu z niektórych mechanizmów transferu, mogą być też potrzebne dodatkowe środki techniczne, umowne lub organizacyjne.
Wybór właściwego mechanizmu transferu należy oceniać w odniesieniu do konkretnej usługi i faktycznego przepływu danych. Nie wystarczy patrzeć wyłącznie na to, gdzie znajduje się sam sklep - znaczenie może mieć też infrastruktura dostawcy, jego poddostawcy oraz sposób, w jaki przetwarza dane.
Z tego powodu transfery międzynarodowe powinny być elementem regularnego przeglądu dostawców i przepływów danych sklepu, a nie czymś, co wystarczy skonfigurować raz i później o tym zapomnieć.
Dokumentacja wewnętrzna i rozliczalność
RODO wymaga, żeby organizacje potrafiły wykazać zgodność z przepisami, co oznacza, że ważne czynności przetwarzania i decyzje powinny być odpowiednio udokumentowane.
Jednym z kluczowych dokumentów jest rejestr czynności przetwarzania danych wymagany na mocy art. 30 RODO. Ogólny obowiązek dotyczy zarówno administratorów, jak i podmiotów przetwarzających, choć art. 30 ust. 5 przewiduje ograniczone zwolnienie dla organizacji zatrudniających mniej niż 250 osób, o ile spełnione są ustawowe warunki. Zwolnienie nie obowiązuje tylko dlatego, że sklep jest mały - przetwarzanie musi też spełniać pozostałe warunki określone w art. 30 ust. 5, w tym dotyczące tego, czy przetwarzanie ma charakter okazjonalny, czy obejmuje szczególne kategorie danych albo dane o wyrokach skazujących, oraz czy może powodować ryzyko dla praw i wolności osób fizycznych.
Poza rejestrem czynności przetwarzania sklepy powinny prowadzić odpowiednie procesy i dokumentację w takich obszarach jak:
- obsługa żądań osób, których dane dotyczą
- reagowanie na naruszenia ochrony danych osobowych
- zarządzanie okresami przechowywania i usuwaniem danych
- analiza ryzyka związanego z ochroną danych
- przeprowadzanie oceny skutków dla ochrony danych (DPIA), gdy przetwarzanie może powodować wysokie ryzyko dla praw i wolności osób fizycznych
- kontrola dostępu do danych osobowych
- zarządzanie podmiotami przetwarzającymi i innymi dostawcami
- szkolenie i instruowanie pracowników w zakresie ochrony danych osobowych.
Dokładny zakres wymaganej dokumentacji zależy od organizacji i jej czynności przetwarzania. Najważniejsze jest, aby sklep potrafił wykazać, w jaki sposób spełnia wymogi RODO, a nie tylko powoływać się na zapisy w polityce prywatności.
Zgłaszanie naruszeń ochrony danych osobowych
Naruszenie ochrony danych osobowych to nie tylko wyciek danych, który trafia do wiadomości publicznej. Może obejmować także przypadkowe zniszczenie, utratę, zmianę danych osobowych albo ich nieuprawnione ujawnienie lub uzyskanie do nich dostępu.
W przypadku naruszenia ochrony danych, sklep musi ocenić ryzyko dla praw i wolności osób, których dane dotyczą.
Zgodnie z art. 33 RODO, jeśli naruszenie może powodować ryzyko dla praw i wolności osób fizycznych, administrator musi zgłosić je właściwemu organowi nadzorczemu bez zbędnej zwłoki, a jeśli to możliwe, nie później niż w ciągu 72 godzin od stwierdzenia naruszenia.
Jeśli naruszenie może powodować wysokie ryzyko dla praw i wolności osób fizycznych, osoby, których to dotyczy, mogą też wymagać poinformowania bez zbędnej zwłoki, z zastrzeżeniem warunków i wyjątków przewidzianych w RODO.
Nawet jeśli naruszenie nie wymaga zgłoszenia do organu nadzorczego, decyzję w tej sprawie wraz z uzasadnieniem należy udokumentować, jeśli wymaga tego art. 33.
Dlatego sklep powinien mieć gotową procedurę reagowania na incydenty, zanim jeszcze dojdzie do naruszenia, zamiast tworzyć ją dopiero w trakcie incydentu.
Najczęstsze błędy dotyczące RODO w sklepach internetowych
W eCommerce powtarza się kilka problemów:
- zbieranie zgody na przetwarzanie, które w rzeczywistości jej nie wymaga
- łączenie różnych celów marketingowych w jedną zgodę
- sprawianie, że wyrażenie zgody jest łatwiejsze niż jej wycofanie
- stosowanie polityki prywatności, która nie odzwierciedla faktycznego przetwarzania danych w sklepie
- aktywowanie zbędnych technologii śledzących przed uzyskaniem wymaganej zgody
- brak zrozumienia, którzy dostawcy pełnią rolę podmiotu przetwarzającego
- pomijanie kwestii międzynarodowych transferów danych
- korzystanie z niewspieranego oprogramowania lub modułów, które tworzą niepotrzebne ryzyko bezpieczeństwa
- brak jasnego procesu obsługi żądań osób, których dane dotyczą
- nieprawidłowa ocena i dokumentowanie naruszeń ochrony danych osobowych.
Żadnego z tych problemów nie rozwiąże samo dodanie modułu RODO albo opublikowanie polityki prywatności. Zgodność z przepisami wymaga połączenia odpowiednich procesów, wymogów prawnych i ich właściwego wdrożenia technicznego.
Konsekwencje niezgodności z przepisami
RODO pozwala organom nadzorczym nakładać kary administracyjne w wysokości do 20 milionów euro albo 4% całkowitego rocznego światowego obrotu firmy, w zależności od tego, która z tych wartości jest wyższa, za określone naruszenia przepisów.
To ustawowe maksimum, a nie typowa kara za każde naruszenie. Ustalając odpowiedni środek naprawczy oraz, jeśli ma to zastosowanie, wysokość kary, organy nadzorcze biorą pod uwagę takie czynniki jak charakter, waga i czas trwania naruszenia, liczbę osób, których ono dotyczyło, działania podjęte w celu ograniczenia szkody oraz stopień współpracy organizacji.
Dla małego albo średniego sklepu praktyczne konsekwencje słabej zgodności z przepisami mogą więc wykraczać poza samą karę. Odpowiadanie na kontrolę, reagowanie na naruszenie ochrony danych, przebudowa procesów oraz utrata zaufania klientów – wszystko to może generować wysokie koszty.
Jak zacząć wdrażać RODO w swoim sklepie
Najbardziej użytecznym punktem wyjścia jest zmapowanie danych osobowych, które faktycznie przetwarza sklep: co jest zbierane, po co, na jakiej podstawie prawnej, gdzie jest przechowywane, kto wewnątrz firmy i spośród zewnętrznych dostawców ma do tego dostęp, jak długo dane są przechowywane, co się dzieje, gdy klient korzysta ze swoich praw, oraz co się stanie, jeśli dane zostaną naruszone. Samo to ćwiczenie często ujawnia luki trudne do zauważenia z poziomu samego sklepu.
Warto następnie skupić się w pierwszej kolejności na kwestiach związanych z najwyższym ryzykiem, czyli mechanizmami zgód i śledzenia, informacją o prywatności, kontrolą dostępu, relacjami z dostawcami, transferami międzynarodowymi oraz procedurami reagowania na naruszenia. Zgodność z RODO najlepiej traktować jako proces ciągły, a nie jednorazowy projekt, ponieważ nowe moduły, narzędzia analityczne, platformy marketingowe, dostawcy płatności czy integracje mogą zmieniać sposób przetwarzania danych osobowych i wymagać ponownego przeglądu odpowiedniej dokumentacji i zabezpieczeń.
Podsumowanie
Zgodność z RODO w eCommerce nie polega na zbieraniu jak największej liczby zgód ani na publikowaniu ogólnego szablonu polityki prywatności. Zaczyna się od zrozumienia, jakie dane osobowe przetwarza sklep i po co, a następnie wyboru właściwej podstawy prawnej, jasnego informowania klientów, ochrony danych oraz utrzymywania procesów obsługi żądań, dostawców i naruszeń.
W przypadku sklepu internetowego prawna i techniczna strona zgodności są ze sobą ściśle powiązane. Polityka prywatności musi odzwierciedlać technologie faktycznie wykorzystywane w sklepie, zgoda musi realnie kontrolować to, co robi strona, a środki bezpieczeństwa muszą w praktyce chronić dane.
Dokładne wymogi zależą od działalności sklepu i przepisów, które go obowiązują, dlatego kwestie prawne warto skonsultować ze specjalistą ds. ochrony danych. Techniczne wdrożenie to z kolei obszar, w którym doświadczony zespół eCommerce może pomóc zidentyfikować luki i wdrożyć niezbędne zabezpieczenia.
<div class="rtb-text-box is-blue-50">Nie jesteś pewien, czy techniczna konfiguracja Twojego sklepu odpowiada wymogom RODO? Pomożemy zidentyfikować potencjalne luki i wdrożyć środki techniczne potrzebne do tego, żeby Twój sklep był bezpieczny i łatwy w utrzymaniu.Skontaktuj się z nami!</div>
Najczęściej zadawane pytania (FAQ)
Czy RODO dotyczy małego sklepu internetowego?
Tak. Nie istnieje ogólne zwolnienie z RODO tylko dlatego, że sklep internetowy jest mały. Niektóre konkretne obowiązki wynikające z RODO mają jednak wyjątki albo inne progi. Na przykład art. 30 przewiduje ograniczone zwolnienie z obowiązku prowadzenia rejestru czynności przetwarzania dla niektórych organizacji zatrudniających mniej niż 250 osób, pod warunkiem spełnienia dodatkowych warunków.
Czy sklep internetowy zawsze potrzebuje zgody na przetwarzanie danych klienta?
Nie. Zgoda to tylko jedna z podstaw prawnych przewidzianych w RODO. Przetwarzanie niezbędne do realizacji zamówienia może co do zasady opierać się na wykonaniu umowy, a niektóre obowiązki związane z dokumentacją - na obowiązku prawnym. Działania marketingowe i śledzące mogą wiązać się z innymi podstawami prawnymi i podlegać dodatkowo przepisom ePrivacy oraz prawu krajowemu.
Czy każda usługa zewnętrzna wymaga umowy powierzenia przetwarzania danych?
Nie. Umowa powierzenia przetwarzania danych, o której mowa w art. 28 RODO, jest wymagana wtedy, gdy dany podmiot zewnętrzny działa jako podmiot przetwarzający w imieniu sklepu. Inni dostawcy mogą działać jako niezależni administratorzy albo mieć inny status prawny. Sklep powinien więc każdorazowo ustalić rolę danego dostawcy, zamiast zakładać, że każdy z nich wymaga takiej samej umowy.
Co się dzieje, jeśli w sklepie internetowym dojdzie do naruszenia ochrony danych?
Sklep musi ocenić naruszenie i ustalić, czy może ono powodować ryzyko dla praw i wolności osób fizycznych. Jeśli wymagane jest zgłoszenie do organu nadzorczego, co do zasady trzeba tego dokonać bez zbędnej zwłoki, a jeśli to możliwe - w ciągu 72 godzin od stwierdzenia naruszenia. Naruszenia wysokiego ryzyka mogą też wymagać poinformowania osób, których dotyczą.
Jakie dane osobowe musi chronić sklep internetowy?
Sklep internetowy może przetwarzać imiona i nazwiska, dane kontaktowe, informacje dotyczące dostawy i rozliczeń, dane zamówień i konta, adresy IP, informacje o urządzeniu oraz dane zbierane przez narzędzia analityczne i marketingowe. To, jakie dane są przetwarzane i jak należy je chronić, zależy od specyfiki danego sklepu. Kluczowe zasady to zbieranie wyłącznie niezbędnych danych, wykorzystywanie ich w określonych celach oraz stosowanie odpowiednich zabezpieczeń przez cały cykl ich życia.
