RODO wymusza na sklepach internetowych precyzyjne zasady zbierania i przechowywania danych klientów, a ich naruszenie kończy się realnymi karami finansowymi. W artykule pokazujemy, jakie wymogi musi spełniać regulamin i polityka prywatności e-sklepu oraz jak wyglądają konkretne przypadki sankcji nałożonych za błędy w tym zakresie.
RODO, czyli Rozporządzenie o Ochronie Danych Osobowych, to unijny akt prawny regulujący zasady gromadzenia, przetwarzania i przechowywania danych osobowych. Od maja 2018 roku obowiązuje wszystkich przedsiębiorców wykorzystujących dane osób fizycznych, w tym właścicieli sklepów internetowych, którzy przy realizacji zamówień zbierają imię, nazwisko, adres i numer telefonu klienta. Regulamin i polityka prywatności sklepu muszą odzwierciedlać te wymogi.
Sklep może zbierać wyłącznie dane niezbędne do realizacji zamówienia i udostępniać je tylko osobom zaangażowanym w jego wykonanie, na przykład przy pakowaniu czy wysyłce towaru. Dane muszą być zabezpieczone przed wyciekiem i nieuprawnionym dostępem, a klient ma prawo wiedzieć, jak są przetwarzane i przechowywane. Wykorzystanie ich w innym celu niż realizacja zamówienia wymaga odrębnej zgody.
Osoba, której dane dotyczą, ma prawo dostępu do nich, a w określonych sytuacjach może żądać ich usunięcia na podstawie prawa do bycia zapomnianym. Regulamin sklepu musi precyzyjnie określać maksymalny czas przechowywania danych, krąg osób mających do nich dostęp oraz zasady polityki bezpieczeństwa.
Pierwszy krok to ustalenie, jakie dane są pozyskiwane oraz co dzieje się z nimi po zebraniu, czyli jak są przechowywane i przetwarzane. Kolejny etap to ich zabezpieczenie, na przykład przez wieloetapową weryfikację dostępów lub rozwiązania technologiczne chroniące przed kradzieżą i wyciekiem.
Zgoda na przetwarzanie danych osobowych powinna być standardowym elementem pozyskiwania danych od nowych klientów. Jeśli klient jej nie wyraził, jego dane należy niezwłocznie usunąć.
Sklep musi mieć spisaną politykę przetwarzania danych oraz regulamin zawierający wszystkie wymienione wyżej zasady. Jeśli sklep współpracuje z partnerami, na przykład dostawcą platformy czy firmą kurierską, i przekazuje im dane klientów, konieczne są odpowiednie umowy z tymi podmiotami oraz informacja o tym w regulaminie. Bez tego odpowiedzialność za wyciek danych, nawet z winy kuriera, spadnie na sklep.
Sklep powinien też opracować politykę wykorzystania plików cookies, jeśli profiluje klientów na potrzeby dopasowanych reklam czy remarketingu.
Regulamin tworzony przez pracowników spoza działu prawnego często pomija istotne kwestie i może nieświadomie zawierać klauzule niedozwolone, które stają się podstawą roszczeń klientów.
Gotowe wzory dostępne w internecie bywają zgodne z RODO pod względem prawnym, ale są dokumentami uniwersalnymi, niedopasowanymi do konkretnej działalności. Samodzielna ingerencja w taki wzór grozi wprowadzeniem błędnych zapisów.
Rozwiązaniem ograniczającym to ryzyko jest zlecenie przygotowania regulaminu, polityki prywatności i polityki cookies prawnikom z doświadczeniem w obsłudze przedsiębiorców działających w internecie, niezależnie od tego, czy są to prawnicy wewnętrzni, czy z zewnętrznej kancelarii.
RODO przewiduje grzywny ustalane indywidualnie, a ich górny pułap wynosi 20 mln euro lub 4% rocznego obrotu światowego przedsiębiorstwa.
Przepisy są już egzekwowane w praktyce. Na sklep internetowy na Łotwie nałożono karę 7 tys. euro za naruszenie prawa do bycia zapomnianym: mimo żądania usunięcia danych osobowych klienta, sklep nadal wysyłał SMS-y reklamowe na jego numer telefonu.
Do typowych naruszeń należy brak zgody klienta na profilowanie oraz nieaktualizowanie regulaminu i polityki bezpieczeństwa, na przykład po zmianie administratora danych lub sposobu ich przetwarzania. Każda taka zmiana wymaga odnotowania w dokumentacji, a czasem ponownego uzyskania zgody użytkowników.
Uwaga: zaniechanie aktualizacji dokumentacji po zmianie sposobu przetwarzania danych może skutkować decyzją organu nadzorczego o karze, zwłaszcza gdy klient złoży skargę.
jedna odpowiedź do “Regulamin sklepu internetowego a RODO - kary i przykłady naruszeń RODO przez sklepy internetowe”
Z drugiej strony ludzie nie za bardzo mają pojęcie o co chodzi z tym całym RODO, co otwiera sklepom wiele ścieżek do różnego rodzaju naruszeń.