Dlaczego każdy sklep internetowy podlega RODO?

Prowadzisz sklep internetowy? Świetnie. Ale zanim wrzucisz kolejne produkty do oferty, zatrzymaj się na moment i zadaj sobie jedno pytanie: czy wiem, co dzieje się z danymi moich klientów? Bo jeśli choć raz poprosiłeś kogoś o imię, nazwisko, adres e-mail, numer telefonu czy dane do wysyłki, to nieświadomie… wkroczyłeś na teren RODO.

I tu nie ma znaczenia, czy Twój sklep generuje miliony obrotu rocznie, czy dopiero testujesz pierwsze sprzedaże. RODO dotyczy każdego, kto zbiera i przetwarza dane osobowe osób fizycznych na terenie Unii Europejskiej. Tak, nawet jeśli nie masz jeszcze zarejestrowanej działalności, ale np. testujesz swój pomysł przez platformę typu Shoplo, WooCommerce czy Shopify.

Dlaczego warto potraktować to poważnie? Bo błędy w przetwarzaniu danych mogą Cię drogo kosztować – nie tylko finansowo. Urząd Ochrony Danych Osobowych ma prawo nałożyć karę sięgającą nawet 20 milionów euro lub 4% rocznego obrotu. Ale nawet jeśli kontrola Cię ominie, klienci coraz częściej patrzą na to, czy ich dane są bezpieczne. Brak zaufania = brak zakupów. Proste.

W tym poradniku przeprowadzimy Cię krok po kroku przez najważniejsze elementy wdrożenia RODO w sklepie internetowym. Dowiesz się:

• kim jesteś z punktu widzenia przepisów,
• co musisz mieć w dokumentacji „na zapleczu”,
• jak poprawnie zaprojektować formularze i checkboxy,
• jakie dane przetwarzasz i na jakiej podstawie prawnej.

Obowiązki właściciela sklepu jako administratora danych

Kim jesteś z punktu widzenia RODO?

W RODO nie ma pojęcia „właściciel sklepu internetowego”. Są tylko dwa główne podmioty: administrator danych osobowych oraz podmiot przetwarzający. I choć może brzmieć to sucho, to znaczenie jest bardzo konkretne: jako właściciel sklepu jesteś administratorem danych swoich klientów, subskrybentów, partnerów biznesowych, a nierzadko także pracowników czy współpracowników.

To Ty decydujesz, jakie dane są zbierane, w jakim celu, jak długo będą przechowywane i kto będzie je przetwarzał. To Ty ustalasz, że chcesz wiedzieć, kto zamówił produkt, chcesz wysłać mu paczkę, fakturę albo kod rabatowy. I to Ty odpowiadasz za to, żeby te dane były bezpieczne, aktualne i przetwarzane zgodnie z przepisami.

Co to oznacza w praktyce? Przede wszystkim, że musisz mieć kontrolę nad całym cyklem życia danych osobowych – od momentu ich zebrania, przez ich przechowywanie, aż po ewentualne usunięcie. A także wiedzieć, z kim i w jakim zakresie te dane są udostępniane.

Co musisz posiadać „na zapleczu”?

Zanim w ogóle zaczniesz porządkować checkboxy czy pisać politykę prywatności, warto zająć się fundamentami. A fundamentem zgodności z RODO jest wewnętrzna dokumentacja i przygotowanie sklepu od strony organizacyjnej.

Pierwszym dokumentem, który powinieneś stworzyć, jest rejestr czynności przetwarzania danych. To taki „spis wszystkich sytuacji”, w których w Twoim sklepie dochodzi do przetwarzania danych. Czyli: rejestracja klienta, złożenie zamówienia, wysyłka paczki, newsletter, księgowość, remarketing. Każda z tych czynności powinna zostać opisana: co robisz, jakie dane są w to zaangażowane, na jakiej podstawie prawnej i jak długo je przechowujesz.

Drugim elementem jest analiza ryzyka. RODO nie wymaga, byś był informatykiem czy prawnikiem – ale oczekuje, że jako administrator sam ocenisz, czy dane w Twoim sklepie są odpowiednio zabezpieczone. To oznacza: czy masz szyfrowane połączenia, kto ma dostęp do danych, czy robisz backupy, czy wiesz, co się stanie, jeśli dane wyciekną.

W ramach tej analizy powinna powstać również wewnętrzna polityka ochrony danych, czyli dokument, który pokazuje, jak Twoja firma (nawet jednoosobowa) dba o dane osobowe. Może być krótki, ale konkretny – np. opisujący zasady nadawania haseł, zakres dostępu pracowników czy sposób reagowania na incydenty.

No i oczywiście – musisz posiadać zawarte umowy powierzenia przetwarzania danych ze wszystkimi firmami, którym przekazujesz dane swoich klientów. Hosting, biuro księgowe, kurierzy, systemy CRM, operatorzy e-mail marketingu – wszyscy oni technicznie przetwarzają dane Twoich klientów w Twoim imieniu. A to oznacza, że musisz mieć z nimi podpisaną stosowną umowę (zwaną umową powierzenia), która jasno określa zasady tej współpracy.

Na tym etapie dobrze jest też zrobić sobie tzw. mini audyt zgodności RODO, czyli po prostu przejść przez cały proces obsługi klienta i sprawdzić:

• jakie dane zbierasz,
• gdzie one trafiają,
• kto ma do nich dostęp,
• czy masz nad tym kontrolę.

Formularze i checkboxy – jak nie popełnić błędu?

Dla wielu właścicieli sklepów internetowych formularz zamówienia to po prostu techniczny etap ścieżki zakupowej. Ale z punktu widzenia RODO to jeden z kluczowych momentów przetwarzania danych osobowych. To tu klienci przekazują Ci swoje imię, nazwisko, adres, e-mail czy numer telefonu – a Ty musisz zadbać o to, by każda informacja została zebrana zgodnie z prawem.

W tej sekcji przyjrzymy się najważniejszemu elementowi formularzy – checkboxom – i wyjaśnimy, jak ich używać, by nie wpaść w kłopoty.

Wbrew pozorom, nie chodzi tylko o „klikanie zgody”. Chodzi o właściwe podstawy prawne, jasne komunikaty i uczciwe podejście do użytkownika. Czyli dokładnie to, czego RODO oczekuje.

Czym są checkboxy w kontekście RODO?

Checkbox to nie tylko techniczny znacznik w formularzu. To narzędzie prawne – sposób na wykazanie, że uzyskałeś dobrowolną, konkretną, świadomą i jednoznaczną zgodę na przetwarzanie danych osobowych. A jednocześnie… bardzo łatwo go nadużyć.

W analizowanych dokumentach eksperci często podkreślają, że checkbox to nie wymówka do zbierania nadmiarowych zgód. Nie możesz dodawać ich „na zapas”, bo „może się przyda”. Każda zgoda musi mieć konkretny cel i podstawę prawną. Inaczej zamiast ochrony danych masz ich nieuprawnione przetwarzanie.

Jakie zgody są potrzebne, a jakie nie?

To jedno z największych nieporozumień wśród właścicieli sklepów. Wielu z nich sądzi, że każda czynność wymaga osobnej zgody. Tymczasem RODO przewiduje różne podstawy przetwarzania danych – a zgoda to tylko jedna z nich.

Przetwarzanie danych w celu realizacji zamówienia – czyli np. zebranie adresu dostawy, e-maila czy numeru telefonu – nie wymaga odrębnej zgody, bo odbywa się na podstawie zawartej umowy (art. 6 ust. 1 lit. b RODO). Wysyłasz produkt, kontaktujesz się z klientem – to część transakcji.

Gdzie zatem potrzebna jest zgoda?

• Newsletter – czyli przesyłanie informacji handlowych drogą elektroniczną. Wymaga zgody zarówno na mocy RODO, jak i przepisów o świadczeniu usług drogą elektroniczną.
• Marketing telefoniczny – tu potrzebna jest wyraźna zgoda na kontakt w tym konkretnym kanale.
• Przekazanie danych zewnętrznym partnerom – np. w celu wysyłki prośby o opinię, integracji z systemem rekomendacji czy analizy zachowań – również wymaga osobnej zgody.

W skrócie: jeśli coś nie jest niezbędne do realizacji zamówienia, prawdopodobnie wymaga zgody. I to udzielonej w sposób zgodny z przepisami – czyli nie domyślnie zaznaczonej, nie ukrytej, nie połączonej z innymi zgodami.

Zasady poprawnego wdrożenia checkboxów

Tutaj zasada jest prosta i często powtarzana przez ekspertów: „jeden checkbox = jeden cel”. Jeśli prosisz o zgodę na coś więcej niż jeden cel – łamiesz RODO. Dlatego nie możesz:

• łączyć zgody na newsletter z akceptacją regulaminu,
• pytać „czy zgadzasz się na przetwarzanie danych w celach marketingowych, newsletterowych i kontaktowych” – bo to trzy różne cele,
• umieszczać ogólnego checkboxa typu „wyrażam zgodę na przetwarzanie danych” bez dokładnego wyjaśnienia, w jakim celu i na jakiej podstawie.

Prawidłowe wdrożenie polega na tym, że użytkownik:

• wie, czego dotyczy zgoda,
• nie musi jej zaznaczać, jeśli nie chce (zgoda musi być dobrowolna),
• może ją później łatwo wycofać.

I jeszcze jedno – zaznaczenie checkboxa musi być dobrowolne i aktywne. Nie może być domyślnie zaznaczone przy wejściu na stronę.

Typowe błędy w sklepach:

Brak checkboxa do akceptacji regulaminu: Choć nie zawsze dotyczy danych osobowych, brak wyraźnej zgody na warunki zakupu może podważyć ważność zawartej umowy. Regulamin powinien być zaakceptowany świadomie, z możliwością zapoznania się z jego treścią (najlepiej podlinkowaną).

Łączenie zgód: To częsty problem: klient musi zaznaczyć jedną zgodę na wszystko. A to sprzeczne z RODO, które wymaga jasnego rozróżnienia celów i podstaw przetwarzania. Jeśli chcesz mieć porządek, musisz rozdzielić cele na osobne zgody.

Zgoda na coś, co jej nie wymaga: Niektórzy właściciele sklepów „na wszelki wypadek” proszą klienta o zgodę na przetwarzanie danych w celu realizacji zamówienia. Ale to niepotrzebne – taka operacja odbywa się na podstawie umowy. Taka nadmiarowa zgoda nie tylko jest zbędna, ale może wprowadzać klienta w błąd.

Jeśli chcesz mieć spokój – a przede wszystkim świadomą zgodność z przepisami – wróć do swojego formularza i przeanalizuj każdy checkbox. Czy jest tam, gdzie być powinien? Czy ma czytelną treść? Czy odnosi się do jednego celu? Jeśli masz wątpliwości – zapytaj. Lepiej poprawić jedną zgodę dziś, niż tłumaczyć się z jej braku jutro.

Jakie dane przetwarza sklep internetowy?

Na pierwszy rzut oka sklep internetowy nie wygląda jak miejsce, które zajmuje się czymś więcej niż tylko sprzedażą produktów. Klikasz, zamawiasz, płacisz, odbierasz. Ale jeśli spojrzeć głębiej – to jeden z najbardziej „danychrażliwych” obszarów w internecie. I właśnie dlatego e-commerce tak bardzo interesuje RODO.

Sklep przetwarza nie tylko dane niezbędne do realizacji zamówienia, ale często również te, które służą do budowania relacji z klientem, analizowania jego zachowań, a czasem – zupełnie nieświadomie – dane wrażliwe. Im więcej automatyzujesz i integrujesz, tym większa odpowiedzialność. Przyjrzyjmy się więc temu, co właściwie zbierasz, kiedy i po co.

Dane zwykłe – czyli codzienność e-commerce

Zacznijmy od tego, co pojawia się w każdym sklepie, bez względu na jego skalę czy branżę. Imię, nazwisko, adres e-mail, numer telefonu i adres do wysyłki to absolutna podstawa – dane, bez których nie da się zrealizować zamówienia. Przetwarzasz je zazwyczaj na podstawie umowy z klientem, czyli zgodnie z art. 6 ust. 1 lit. b RODO – i wszystko jest w porządku, dopóki nie zaczynasz używać tych danych w innych celach.

Ale to nie wszystko. W systemie sklepu zbierasz także dane transakcyjne – historię zamówień, informacje o płatnościach, a nierzadko również numer IP, który rejestrowany jest podczas wizyty w sklepie (np. przez systemy analityczne, cookies, logi serwera). To wszystko nadal są dane osobowe – nawet jeśli na pierwszy rzut oka wyglądają anonimowo. Wystarczy, że połączysz je z konkretnym zamówieniem lub kontem klienta – i już podlegają ochronie.

Co ważne, dane zwykłe to nie tylko „to, co widać w formularzu”. Jeśli masz podłączony system CRM, narzędzia do remarketingu albo korzystasz z opcji „zapisz dane do przyszłych zakupów”, to przetwarzasz więcej, niż Ci się wydaje. A to oznacza, że musisz dobrze wiedzieć, gdzie te dane są zapisywane, jak są zabezpieczone i jak długo będą przechowywane.

Dane szczególne – uwaga na wrażliwe informacje

W większości sklepów internetowych dane osobowe ograniczają się do danych zwykłych. Ale zdarzają się sytuacje – czasem zupełnie nieintencjonalnie – gdy w grę wchodzą tzw. dane szczególnych kategorii, czyli tzw. dane wrażliwe.

Najczęściej pojawia się to w branżach takich jak zdrowie, suplementy, żywność specjalistyczna, produkty dla dzieci czy kosmetyki dermokosmetyczne. Przykłady?

• Klient w uwagach do zamówienia wpisuje: „Proszę nie dodawać cukru, mam cukrzycę”.
• W formularzu kontaktowym pytasz: „Czy produkt wywołał u Pani/Pana reakcję alergiczną?”.
• Przy subskrypcji klient wybiera kategorię „dla dzieci od 0 do 3 lat”.

To już są dane, które mogą ujawniać informacje o stanie zdrowia, przekonaniach, a nawet sytuacji rodzinnej. A przetwarzanie takich danych wymaga wyjątkowo silnych zabezpieczeń i jasno określonej zgody (art. 9 ust. 2 RODO). Nie wystarczy checkbox – potrzebna jest bardzo konkretna, świadoma zgoda użytkownika, najlepiej z dodatkową informacją o celu, czasie przechowywania i prawie do cofnięcia zgody w każdej chwili.

Dlatego zanim zadasz jakiekolwiek „dobrze brzmiące pytanie” w formularzu – zastanów się, czy nie wchodzisz przypadkiem na teren danych wrażliwych. Jeśli tak – skonsultuj to z prawnikiem lub ekspertem RODO. Lepiej nie ryzykować.

Czy dane klientów trzeba kasować?

To jedno z najczęstszych pytań, jakie zadają właściciele sklepów: „Skoro klient coś kupił, to mogę jego dane trzymać, prawda?”. Odpowiedź brzmi: tak, ale nie na zawsze – i nie wszystkie dane w tym samym celu.

RODO wprowadza zasadę ograniczenia przechowywania danych. Oznacza to, że musisz wiedzieć, jak długo dane są Ci potrzebne – i po co. Przykład:

• Dane niezbędne do realizacji zamówienia możesz trzymać przez czas niezbędny do realizacji tej usługi oraz przez okres, w którym klient może złożyć reklamację lub zgłosić roszczenie (np. 2 lata).
• Dane do celów księgowych – przez 5 lat, zgodnie z przepisami podatkowymi.
• Dane do newslettera – do momentu wycofania zgody.

Ale to nie wszystko. Klienci mają też konkretne prawa, które musisz respektować. Mają prawo:

• zażądać wglądu w swoje dane,
• poprawić błędne informacje,
• ograniczyć ich przetwarzanie,
• a nawet całkowicie je usunąć (prawo do bycia zapomnianym).

Dlatego warto, by Twój sklep miał techniczne możliwości realizowania tych praw – czyli np. moduł, który pozwala klientowi usunąć konto, złożyć wniosek o usunięcie danych, wycofać zgodę na newsletter. Jeśli korzystasz z gotowego oprogramowania e-commerce – sprawdź, czy takie funkcje są wbudowane. Jeśli nie – zadbaj o ich wdrożenie lub przynajmniej opracuj procedurę ich realizacji „ręcznie”.

RODO nie mówi, jak dokładnie masz to zrobić. Ale wymaga, byś był w stanie to zrobić skutecznie i terminowo. Jeśli klient zgłosi Ci żądanie dostępu do danych – masz maksymalnie 30 dni na odpowiedź.

Wnioski i kilka słów na koniec

Jeśli dobrnąłeś do końca tego artykułu – brawo! Zależy nam, tak samo jak pewnie Tobie, by Twój sklep internetowy był nie tylko funkcjonalny i dochodowy, ale również bezpieczny i zgodny z prawem. I to bardzo dobra wiadomość – dla Ciebie, Twoich klientów i ewentualnych kontrolujących.

Pamiętaj, że RODO nie musi być straszakiem. To tak naprawdę zestaw całkiem logicznych zasad, które – jeśli dobrze wdrożone – pomagają budować zaufanie i profesjonalny wizerunek. A przy okazji pomagają w zarządzaniu danymi. 

Pamiętaj też, że ten artykuł to przewodnik, nie porada prawna. Każdy sklep działa trochę inaczej – korzysta z innych rozwiązań technologicznych, ma inne potrzeby, inny poziom zaawansowania. Dlatego, jeśli masz jakiekolwiek wątpliwości (np. czy potrzebujesz zgody na konkretną integrację, jak zapisać klauzulę w regulaminie, jak zautomatyzować obsługę żądań klientów), warto skonsultować się z prawnikiem specjalizującym się w e-commerce albo z certyfikowanym doradcą ds. ochrony danych osobowych.

I na koniec jeszcze jedno, nie tylko UODO ma oczy szeroko otwarte. W sieci działa również wielu użytkowników, którzy bardzo dobrze znają swoje prawa – i potrafią bez trudu wychwycić luki w polityce prywatności, brak checkboxa, czy nieaktualny regulamin. Nie traktuj ich jak „czepialskich” – oni po prostu chcą wiedzieć, jak dbasz o ich dane. 

Mamy nadzieję, że ten artykuł pomógł Ci lepiej zrozumieć:

• kim jesteś z punktu widzenia RODO,
• jak uporządkować zaplecze dokumentacyjne,
• jak poprawnie wdrożyć checkboxy,
• i które dane tak naprawdę przetwarzasz.

Zainteresował Cię temat RODO? Zobacz też:

• Hosting zgodny z RODO – co to znaczy i jak wybrać? – jakie wymagania powinien spełniać Twój serwer.
• Hosting a zgodność strony WWW z RODO – co musisz wiedzieć? – praktyczne porady dla właścicieli sklepów.
• Strona internetowa zgodna z RODO – co to oznacza? – co powinno znaleźć się na stronie, by uniknąć kłopotów.
• Co to jest RODO i czemu jest ważne w Internecie? – podstawy, które powinien znać każdy e-sprzedawca.