RODO w sklepie internetowym

to wszystkie informacje o osobie fizycznej zidentyfikowanej lub możliwej do zidentyfikowania. Chodzi o to, czy – wykorzystując dane – możemy ustalić, do kogo należą. A więc imię, nazwisko, adres mailowy, nick internetowy, PESEL czy nawet informacje o lokalizacji – to wszystko mogą być dane osobowe. To samo dotyczy numeru telefonu czy wizerunku.

to wszystko, co robisz z danymi osobowymi. A więc ich zbieranie, porządkowanie, usuwanie, a nawet już samo przechowywanie, zmiana, przesyłanie – wszystko, co można zrobić z danymi.

to jest osoba, która decyduje o celach i sposobach przetwarzania danych. Jeśli masz jednoosobową działalność, to jesteś administratorem jako osoba fizyczna. Jeśli Twój sklep działa jako spółka, to administratorem danych jest sama spółka.

Dwie najważniejsze podstawy przetwarzania danych. Pierwsza z nich to przetwarzanie danych niezbędne w celu wykonania umowy, której stroną jest klient lub do podjęcia działań na żądanie klienta, przed zawarciem umowy. Tę podstawę wykorzystasz przy realizacji zamówień przez Twój sklep internetowy. RODO określa też drugą podstawę, jaką jest zgoda klienta – ta podstawa przyda Ci się przy wysyłaniu newslettera.

Zastosuj np. szyfrowanie danych osobowych, aktualizuj używane oprogramowanie i sprzęt, regularnie sprawdzaj i testuj, czy nie musisz poprawić zabezpieczeń. Oceniając, czy stopień bezpieczeństwa w Twoim sklepie jest odpowiedni, uwzględnij w szczególności ryzyko wiążące się z przetwarzaniem, zwłaszcza wynikające z przypadkowego lub niezgodnego z prawem zniszczenia, utraty, modyfikacji, nieuprawnionego ujawnienia lub nieuprawionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych.

Pamiętaj o dwóch ważnych zasadach z RODO: privacy by default (prywatność w ustawieniach domyślnych) i privacy by design (prywatność w fazie projektowania).

Musisz w nim uwzględnić szczególne prawa konsumentów – określone oddzielną ustawą, które są szersze niż zagwarantowane przepisami prawa osób kupujących w związku z prowadzoną działalnością gospodarczą przedsiębiorców

W rejestrze czynności przetwarzania nie chodzi o to, by wpisywać do niego dane poszczególnych klientów – lecz kategorie danych i procesy jakie na nich są wykonywane oraz inne elementy wskazane w art. 30 RODO.

W obowiązku informacyjnym musisz wskazać odbiorców danych – osoba, której dane dotyczą musi wiedzieć o tym, że dane są przekazywane innym podmiotom.

realizujesz je poprzez przekazanie obowiązku informacyjnego, opisanego powyżej. Osoba, której dane dotyczą ma prawo do tego by w przystępnej formie, jasnym i zrozumiałym językiem otrzymać informacje o tym kto, w jakim celu, na jakiej podstawie przetwarza jej dane oraz do tego, by zostać poinformowana o przysługujących jej uprawnieniach.

Twój klient ma prawo żądać od Ciebie potwierdzenia, czy przetwarzane są jego dane osobowe, a jeżeli ma to miejsce, jest uprawniony do uzyskania dostępu do nich oraz do wskazanych w art. 15 RODO informacji- takich jak cel przetwarzania, kategorie przetwarzanych danych. Jeśli klient tego zażąda – musisz przekazać mu kopię przetwarzanych danych, które go dotyczą ( np. w formacie PDF). Pierwsza kopia jest bezpłatna – za kolejne możesz pobrać opłatę, przy czym musi ona być rozsądna i jej wysokość wynikać musi z kosztów administracyjnych- o ile takie ponosisz przy tworzeniu kopii.

Twój klient ma prawo żądania od Ciebie niezwłocznego sprostowania jego danych osobowych, które są nieprawidłowe (np. omyłki w nazwisku). Może także żądać uzupełnienia niekompletnych danych osobowych.

chyba najbardziej popularny aspekt RODO. Jeśli nie życzę sobie dalszego przetwarzania moich danych osobowych, żądam od administratora niezwłocznego usunięcia moich danych. Administrator musi wówczas bez zbędnej zwłoki usunąć dane. Czy zawsze? Na szczęście RODO przewiduje wyjątki. Z prawa tego Twój klient może skorzystać, jeżeli zachodzi jedna z następujących okoliczności:

dane osobowe nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane (czyli jeśli np. nie są już niezbędne do wykonania umowy sprzedaży, dostawy towarów, umowa została w pełni wykonana)

dane były przetwarzane na podstawie zgody (np. adres e-mail do wysyłki newsletter) i klient cofnął zgodę oraz nie ma innej podstawy prawnej przetwarzania (dane niezbędne do wysyłki przetwarzasz nie na podstawie zgody, lecz z uwagi na to, że są one niezbędne do wykonania zawartej umowy)

klient wnosi sprzeciw wobec przetwarzania i nie występują nadrzędne prawnie uzasadnione podstawy przetwarzania

dane osobowe były przetwarzane niezgodnie z prawem

dane osobowe muszą zostać usunięte w celu wywiązania się z obowiązku prawnego przewidzianego w prawie Unii lub prawie państwa członkowskiego, któremu podlega administrator

dane osobowe zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego.

A co jeśli Twój klient nie zapłacił Ci za dostarczony mu towar i korzysta z prawa do bycia zapomnianym?

Jeśli usuniesz jego dane – nie będzie mógł skutecznie dochodzić roszczeń na drodze sądowej. Na szczęście i tu RODO przychodzi z pomocą – prawa tego nie trzeba realizować, jeśli m.in. są niezbędne dla ustalenia czy dochodzenia roszczeń.

klient może zażądać od Ciebie ograniczenia przetwarzania, jeśli kwestionuje prawidłowość swoich danych osobowych – na okres pozwalający Ci sprawdzić ich prawidłowość, jeśli przetwarzanie jest niezgodne z prawem, a Klient sprzeciwia się usunięciu danych osobowych, żądając w zamian ograniczenia ich wykorzystywania, jak również jeśli nie potrzebujesz już danych osobowych Klienta do celów przetwarzania, ale są one potrzebne samemu Klientowi, do ustalenia, dochodzenia lub obrony roszczeń ( jeśli np. będzie od Ciebie dochodził roszczeń z tytułu gwarancji czy rękojmi) oraz jeśli Klient wniósł sprzeciw wobec przetwarzania- do czasu ustalenia, czy rzeczywiście ma podstawy do wniesienia sprzeciwu.

Twój klient ma prawo otrzymać w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego (np. PDF) swoje dane osobowe, które Ci przekazał np. rejestrując się lub składając zamówienie, oraz ma prawo przesłać te dane osobowe innemu administratorowi (np. do innego sklepu), jeżeli:

przetwarzanie odbywa się na podstawie zgody lub na podstawie umowy ( w przypadku sklepów internetowych zazwyczaj podstawą przetwarzania będzie właśnie ta druga podstawa – konieczność wykonania zawartej umowy sprzedaży)

przetwarzanie odbywa się w sposób zautomatyzowany (zautomatyzowany – czyli pozbawiony ludzkiej ingerencji, niektórzy twierdzą, że każde przetwarzanie które nie następuje w formie papierowej jest przetwarzaniem zautomatyzowanym).

Co więcej, Twój klient może żądać, żebyś to Ty przesłał jego dane do innego administratora (np. do innego sklepu), o ile w danym przypadku będzie to technicznie możliwe.

Prawo to można wykonać tylko, jeśli przetwarzanie odbywa się w interesie publicznych lub gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora – w praktyce przy sklepach internetowych będzie to rzadka podstawa, niemniej warto pamiętać, że takie prawo istnieje, nie zawsze można z niego skorzystać i jeśli przetwarzanie odbywa się na podstawie zgody lub w związku z koniecznością realizacji zawartej umowy- nie trzeba go realizować.

Polega na tym, że w razie zgłoszenia sprzeciwu danych nie można w dalszym ciągu przetwarzać.

Wyjątek wprowadzono w zakresie prawa do sprzeciwu jak chodzi o marketing bezpośredni (np. wysyłkę Newslettera). Otóż jeśli dane osobowe są przetwarzane na potrzeby takiego marketingu, Twój klient, ma prawo w dowolnym momencie wnieść sprzeciw wobec przetwarzania jego danych, w zakresie, w jakim przetwarzanie jest związane z takim marketingiem bezpośrednim. Z drugiej strony, jak już wiesz, RODO chroni również Ciebie. Możesz wykorzystać ten sprzeciw, żeby pozbyć się niechcianych telefonów z ofertami.

Każda osoba fizyczna ma prawo do tego, by nie podlegać decyzji, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i wywołuje wobec tej osoby skutki prawne lub w podobny sposób istotnie na nią wpływa. Chodzi tu o decyzje podejmowane bez ingerencji ludzkiej. Są jednak wyjątki. Prawa tego nie stosuje się, jeśli ta decyzja jest niezbędna do zawarcia lub wykonania umowy między osobą, której dane dotyczą, a administratorem, jeśli jest dozwolona prawem UE, prawem państwa członkowskiego oraz jeśli opiera się na wyraźnej zgodzie Twojego Klienta.

Odwołanie zgody musi być tak samo łatwe jak jej wyrażenie.