utworzone przez Doradca Sprzedawcy | wrz 27, 2018 | Obowiązki Informacyjne Sprzedawcy, Profesjonalny Regulamin Sklepu Internetowego od prawników Prokonsumencki.pl, RODO |
Obowiązkowe checkboxy ze zgodami klientów stanowią ważny element sklepu internetowego. To dzięki nim możesz jako sprzedawca odebrać zgodę klienta o określone działania, na które jest wymagana zgoda. Dzięki zapisaniu zgody w systemie informatycznym sklepu, uzyskujesz również w łatwy sposób dowód, że klient zaakceptował warunki regulaminu lub zapoznał się w określonymi dokumentami i zasadami. Wraz z rozpoczęciem stosowania rozporządzenia RODO, zmiany nastąpiły również w sposobie formułowania komunikatów i zgód w checkboxach, a także w ich rodzajach. W artykule opisujemy w jaki sposób należy formułować obowiązkowe checkboxy, aby były zgodne z nowymi przepisami, a także zasady odbierania zgód od klientów.
Jakie obowiązkowe checkboxy są obowiązkowe w każdym sklepie
Jednym z najważniejszych checkboxów w każdym sklepie internetowym jest checkbox ze zgodą na regulamin. Ten checkbox nie jest wymagany przez rozporządzenie RODO – obowiązek jego posiadania wynika z ustawy o prawach konsumenta oraz z przepisów kodeksu cywilnego. Ustawa o prawach konsumenta wymaga, aby sprzedawca podał konsumentowi szereg informacji przez zawarciem z nim umowy. Sprzedawca powinien poinformować konsumenta m.in. o :
- swoich danych takich jak nazwa firmy, organ który zarejestrował firmę, numerze REGON, NIP lub KRS, dane kontaktowe – adres prowadzenia działalności i do doręczeń, adres e-mail, numer telefonu;
- adresie do składania reklamacji;
- sposobie i terminie płatności;
- sposobie oraz terminie dostarczenia towaru;
- możliwości odstąpienia od umowy bez podania przyczyny w terminie 14 dni od dnia otrzymania towaru;
- obowiązku dostarczenia towaru bez wad;
- możliwości złożenia reklamacji z tytułu rękojmi w przypadku wadliwości towaru oraz procedurze reklamacyjnej stosowanej przez sprzedawcę.
Regulamin zawierający te wszystkie informacje, stanowi wzorzec umowny. Zgodnie z kodeksem cywilnym, taki wzorzec umowny powinien być przez stronę umowy, która go przygotowała udostępniony drugiej stronie, jeszcze przed zawarciem umowy. Wówczas wchodzi on w skład zawartej umowy. Również tę funkcję spełnia umieszczony w odpowiednim miejscu checkbox.
Checkbox ze zgodą na regulamin powinien zawierać oświadczenie klienta, że zapoznał się on z regulaminem oraz że akceptuje postanowienia regulaminu. W treści checkboxa powinien znajdować aktywny odnośnik (link) do regulaminu na stronie sklepu. Checkbox nie powinien być domyślnie zaznaczony – klient powinien wyrazić zgodę w aktywny sposób, a więc właśnie poprzez zaznaczenie checkboxa. Ta zasada dotyczy wszystkich checkboxów, jakie znajdują się w sklepie – niezależnie od tego, czy ich zaznaczenie jest wymagane, aby dokonać w sklepie jakichś działań, czy też są one fakultatywne. Jeżeli chodzi o miejsca w sklepie, w jakich powinien znajdować się ten checkbox, jest on wymagany w przypadku składania zamówienia i zakładania konta. Powinien on znajdować się zatem na dowolnym etapie formularza zamówienia lub rejestracji, ale przed przyciskiem potwierdzającym złożenie zamówienia lub założenie konta. W przypadku checkboxa ze zgodą na regulamin, powinien on być obowiązkowy – jego zaznaczenie powinno zatem z technicznego punktu widzenia konieczne do założenia konta lub złożenia zamówienia.
Kolejnym checkboxem, który jest wymagany w każdym sklepie internetowym jest checkbox potwierdzający zapoznanie się z polityką prywatności. Ten checkbox jest wypełnieniem obowiązków informacyjnych stanowionych przez rozporządzenie RODO. Z punktu widzenia rozporządzenia RODO w zdecydowanej większości przypadków sprzedawca będzie administratorem zbieranych przez siebie danych osobowych klientów. Rozporządzenie RODO w art. 13 nakłada na administratora obowiązek poinformowania użytkownika strony sklepu o kwestiach takich jak:
- dane administratora – nazwa firmy, imię i nazwisko administratora (w przypadku firm jednoosobowych), dane kontaktowe np. adres miejsca prowadzenia działalności/siedziby, adres e-mail;
- jeżeli administrator wyznaczył inspektora ochrony danych – dane kontaktowe tej osoby;
- cele i podstawy prawne przetwarzania danych osobowych;
- kategorie odbiorców danych osobowych – jeżeli administrator przekazuje dane klientów jakimś podmiotom zewnętrznym (np. firmy kurierskie);
- przekazywanie danych osobowych klientów do państwa będącego poza Europejskim Obszarem Gospodarczym – EOG (czyli państwami członkowskimi Unii Europejskiej oraz Norwegią, Islandią i Liechtensteinem) lub organizacji międzynarodowej mającej siedzibę poza EOG;
- konkretny okres przechowywania określonych danych osobowych lub kryteria ustalenia takiego okresu;
- prawo żądania przez osobę, której dane dotyczą dostępu do jej danych oraz do żądania sprostowania, usunięcia lub ograniczenia przetwarzania jej danych;
- prawo do cofnięcia wcześniej wyrażonej zgody na przetwarzanie danych;
- prawo do wniesienia przez osobę, której dane dotyczą skargi do organu nadzorczego (w Polsce jest to Prezes Urzędu Ochrony danych Osobowych – UODO);
- czy wymóg podania danych osobowych podczas korzystania ze sklepu jest warunkiem koniecznym do zawarcia umowy (np. umowy sprzedaży) w sklepie oraz jakich danych i jakich sytuacji taki wymóg dotyczy;
- zautomatyzowane podejmowanie decyzji w stosunku do klientów w tym tzw. profilowanie klientów oraz zasady działania tego typu mechanizmów, jeżeli są stosowane w sklepie.
Dobrze napisana polityka prywatności sklepu internetowego spełnia funkcję informacyjną w stosunku do powyższych treści. Administrator danych powinien wykazać, że poinformował klienta o w/w kwestiach. Funkcję tę pełni checkbox z potwierdzeniem zapoznania się z polityką prywatności.
Zgody marketingowe w sklepie internetowym
W przypadku, gdy zamierzasz zbierać dane klientów, aby wykorzystać je później w celu marketingu a więc np. wysyłania materiałów reklamowych na adres e-mail podany przy rejestracji konta, potrzebne jest odebranie od klientów zgody na ten rodzaj przetwarzania jego danych. Ta sytuacja różni się od przetwarzania danych np. w celu prowadzenia konta klienta lub w celu realizacji zamówienia złożonego w sklepie internetowym. W tamtych przypadkach podstawą do przetwarzania danych jest konieczność realizacji umowy zawieranej z klientem. W przypadku marketingu, podstawą do przetwarzania danych może być wyraźna zgoda klienta. Checkbox, który umożliwia wyrażenie tej zgody ma więc nie tylko charakter informacyjny – jego zaznaczenie jest również podstawą przetwarzania danych. W związku z tym, wymagania co do treści takiego checkboxa są również bardziej restrykcyjne. Zalecane jest, aby najważniejsze informacje związane z przetwarzaniem danych zawrzeć już w treści checkboxa a dopiero dodatkowo odesłać do polityki prywatności. W checkboxie warto zawrzeć m.in. następujące informacje:
- oświadczenie o zgodzie na przetwarzanie danych w celu marketingowym;
- wymienienie danych jakie mogą być przetwarzane w tym celu;
- dobrowolność zgody;
- możliwość wycofania zgody w każdej chwili oraz w jaki sposób można wycofać zgodę;
- w jaki sposób będzie wyglądało przetwarzanie danych klienta np. że będzie otrzymywał cykliczny newsletter z informacjami o nowościach w sklepie internetowym;
- dane rejestrowe administratora danych (przynajmniej nazwa i adres firmy) oraz dane kontaktowe np. adres e-mail;
- jakie podmioty mogą być odbiorcami danych przetwarzanych w celu marketingowym;
- jeżeli stosujesz profilowanie w sklepie, to także podstawowe informacje o tym, na czym polega takie profilowanie w Twoim sklepie;
- wskazanie, że dane będą przetwarzane zgodnie z polityką prywatności oraz odesłanie do tego dokumentu w formie aktywnego linku.
Zgoda musi być aktywnie wyrażona, zatem tak samo jak w przypadku regulaminu i polityki prywatności, checkbox ze zgodą nie powinien być domyślnie zaznaczony. Inaczej niż w przypadku regulaminu i polityki prywatności, zgoda nie może być warunkiem założenia konta czy złożenia zamówienia. Musi ona być w pełni dobrowolna, nie może być zatem wymuszona jako warunek przejścia do następnego kroku formularza rejestracji czy zamówienia.
Na marginesie można dodać, że w przypadku prowadzenia marketingu bezpośredniego możemy opierać się nie na zgodzie, a na tzw. usprawiedliwionym interesie administratora danych – sygnalizujemy jedynie to zagadnienia i na pewno do niego wrócimy w osobnym wpisie.
Inne zgody w sklepie internetowym
Opisane w tym artykule obowiązkowe checkboxy pojawiają się prawie we wszystkich sklepach internetowych. W niektórych przypadkach możesz potrzebować również innych checkboxów. Niektóre inne zgody, jakie mogą być wymagane w sklepie internetowym to:
- zgoda na tzw. marketing zewnętrzny, a więc marketing produktów lub usług Twoich partnerów handlowych;
- zgoda na przekazanie danych portalom typu Ceneo/Opineo i na ich przetwarzanie przez te portale w celu wysłania klientowi zaproszenia do wyrażenia opinii o zakupie;
- zgoda na przekazanie danych osobowych Twoim partnerom handlowym w celu prowadzenia bezpośrednio przez nich marketingu ich produktów i usług – tutaj przede wszystkim zalecane jest, aby wymienić podmioty, którym zamierzasz w taki sposób przekazywać dane;
- zgoda na przetwarzanie danych wrażliwych (np. dane dotyczące zdrowia przez apteki internetowe)
- zgoda na dostarczanie treści cyfrowych (np. przy sprzedaży ebooków lub plików mp3) – brak tej zgody może umożliwić bezpłatne korzystanie z treści
Każda z tych zgód musi być dobrowolna oraz wyraźna. Stąd również powinny one być wyrażone w formie odrębnych checkboxów. Tak samo jak opisana wyżej zgoda marketingowa, checkboxy te nie mogą być obowiązkowe, nie powinny też być domyślnie zaznaczone.
Podsumowanie
Założeniem RODO w przypadku zbierania i przetwarzania danych osobowych klientów jest przede wszystkim, aby klient wiedział jakie dane i w jakich celach są od niego zbierane. Ważne jest również, aby przetwarzanie opierało się na właściwych podstawach. Tam gdzie jest to realizacja umowy, trzeba wykazać, że klient taką umowę zawarł i otrzymał wszystkie jej szczegóły – tutaj ważny jest checkbox ze zgodą na regulamin oraz z potwierdzeniem zapoznania się z polityką prywatności. Z kolei tam, gdzie przetwarzanie opiera się na zgodzie klienta, odpowiedni checkbox pozwala wykazać, że klient wyraził taką świadomą, dobrowolną i szczegółową zgodę na dany rodzaj przetwarzania jego danych. Warto pamiętać, że przetwarzanie danych niezgodnie z RODO może prowadzić do nałożenia przez Prezesa UODO na właściciela sklepu kary finansowej do 4% całkowitego, rocznego światowego obrotu firmy z poprzedniego roku obrotowego lub do 20 mln euro. Odpowiednio sformułowane obowiązkowe checkboxy są więc świetnym sposobem na wykazanie w razie ewentualnej kontroli, że przetwarzasz dane zgodnie z RODO oraz na podstawie odpowiednich zgód.
Jeżeli masz jakiekolwiek pytania związane z checkboxami w Twoim sklepie internetowym, skorzystaj z pomocy naszych doświadczonych prawników np. pisząc do nas na adres: kontakt@prokonsumencki.pl.
utworzone przez Doradca Sprzedawcy | lip 10, 2018 | Obowiązki Informacyjne Sprzedawcy, RODO |
Fanpage na Facebooku – dane osobowe ostatnimi czasy są niezwykle gorącym tematem — i to nie tylko w środowiskach prawniczych — co jest zasługą szumu wokół rozporządzenia RODO. Wprowadziło ono zaostrzenie odpowiedzialności za przetwarzanie danych oraz uchyliło dyrektywę 95/46, która wcześniej regulowała tę kwestię. Dawne przepisy unijne potrafią jednak nadal zaskakiwać i dają okazje do rozważań, czego dowodem jest czerwcowy wyrok europejskiego Trybunału Sprawiedliwości. Czy wnioski te znajdą jeszcze zastosowanie na gruncie RODO?
W sprawie między niemieckim organem ochrony danych osobowych a podmiotem prowadzącym fanpage na Facebooku o charakterze dydaktycznym TSUE orzekł, że administrator fanpage’a ponosi odpowiedzialność za przetwarzanie danych osobowych użytkowników razem z Facebookiem. W jaki sposób Trybunał doszedł do tego rozstrzygnięcia?
Od czego się zaczęło?
Spór miał swój początek w 2011 roku, kiedy Wirtschaftsakademie, wspomniana spółka prowadząca fanpage na Facebooku w celach edukacyjnych, otrzymała nakaz dezaktywacji swojej strony od lokalnego organu zajmującego się ochroną danych osobowych na podstawie przepisów wdrożonej do prawa krajowego dyrektywy unijnej 95/46.
Zdaniem organu nadzorczego naruszenie polegało na nieinformowaniu użytkowników fanpage’a, że ich dane są gromadzone za pomocą plików cookies i przetwarzane w celach statystycznych przez administratora strony za pomocą narzędzia zwanego Facebook Insights. Pliki cookies przesyłane przez Facebooka zawierają niepowtarzalny kod użytkownika, który można powiązać z danymi użytkowników zarejestrowanych na portalu. Jest on pobrany z urządzenia użytkownika i przetwarzany przy każdorazowym odwiedzeniu przez niego fanpage’a.
W możliwy do przewidzenia sposób Wirtschaftsakademie podjęła próbę obrony, odwołując się od decyzji organu ochrony danych osobowych poprzez zarzucenie mu, że błędnie przypisuje jej odpowiedzialność za narzędzia i rozwiązania techniczne, które są pod kontrolą samego Facebooka.
Ponownie odbił piłeczkę niemiecki organ ochrony danych, wskazując, że w świetle przepisów spółka ponosi odpowiedzialność, ponieważ spełnia kryteria administratora danych osobowych jako podmiot, który zleca innej instytucji (w omawianym przypadku Facebookowi) gromadzenie i przetwarzanie danych użytkowników. Podnoszono, że zakładając i prowadząc fanpage Wirtschaftsakademie przyczyniła się do poszerzania bazy danych osobowych gromadzonych przez Facebooka, a sama korzystała ze statystyk opracowanych na podstawie tych danych za pomocą narzędzi przez niego udostępnionych.
„Administrator danych oznacza każdą osobę lub każdy podmiot, który gromadzi, przetwarza lub wykorzystuje dane osobowe na swój rachunek lub zleca to innym podmiotom”
— § 3 ust. 7 BDSG (federalnej ustawy o ochronie danych osobowych)
Rzecz jasna Wirtschaftsakademie nie zgodziła się ze stanowiskiem organu, zarzucając w szczególności, że spółka ma wgląd jedynie do anonimowych statystyk użytkowników odwiedzających jej fanpage na Facebooku, których nie może powiązać z konkretnymi osobami. Sprawa ostatecznie trafiła do sądu administracyjnego. W korzystnym dla spółki wyroku stwierdzono, że administrator fanpage’a na Facebooku nie jest „administratorem danych” w rozumieniu § 3 ust. 7 BDSG, co oznacza, że wydany nakaz usunięcia jej strony był bezzasadny.
Sprawa w Trybunale
Oczywiście, sprawa wskutek środków zaskarżenia składanych przez organ ochrony danych została przekazana w końcu sądowi federalnemu, który z kolei zwrócił się do Trybunału Sprawiedliwości z kluczowymi pytaniami odnośnie wykładni niektórych przepisów dyrektywy 95/46. Najważniejszym zagadnieniem, które miało zostać poddane interpretacji TSUE, była właśnie kwestia definicji administratora danych osobowych w kontekście portali społecznościowych.
Trybunał powołał się w swoim orzeczeniu na motywy stojące za wspomnianą dyrektywą, w szczególności natomiast podkreślił konieczność zapewnienia wysokiego poziomu ochrony prawa do prywatności. Nie bez przyczyny na mocy przepisów dyrektywy pojęcie administratora danych jest szeroko definiowane. Celem szerokiego zakresu interpretacji jest skuteczna i pełna ochrona osób, których dane dotyczą.
Za administratora danych należy uważać podmiot, który samodzielnie lub wspólnie z innymi podmiotami określa cele i sposoby przetwarzania danych osobowych. Oznacza to, że jednocześnie w roli administratora, odpowiedzialnego za przetwarzanie określonego typu danych, występować może nie jeden, lecz kilka podmiotów, które wspólnie tej czynności dokonują. Wówczas każdy z nich ponosi odpowiedzialność za przetwarzanie, jednak w zakresie, który rzeczywiście odpowiada stopniowi zaangażowania w czynności przetwarzania. Oznacza to, że rozmiar tej odpowiedzialności należy oceniać indywidualnie i przy uwzględnieniu wszystkich okoliczności danej sprawy.
Nie było wątpliwości co do tego, że Facebook jest we wskazanej sytuacji głównym podmiotem określającym cele i sposoby przetwarzania danych osobowych swoich użytkowników, także tych, którzy odwiedzali fanpage spółki. Trybunał jednak ustalił, że Wirtschaftsakademie uczestniczył w tym procesie, ponieważ jako administrator fanpage’a podejmował działania, bez których nie doszłoby do przetwarzania określonych rodzajów danych osób odwiedzających jego fanpage — w szczególności natomiast danych demograficznych takich jak płeć, wiek czy stan cywilny. Chociaż przyjmują one postać anonimowych statystyk, to ich sporządzanie opiera się na wcześniejszym gromadzeniu i przetworzeniu danych osobowych za pomocą wspomnianych plików cookies. A te, jak podkreśla TSUE, Facebook instaluje na urządzeniach osób odwiedzających fanpage, co nie miałoby miejsca, gdyby fanpage na Facebooku nie został w pierwszej kolejności założony dobrowolnie przez określony podmiot. Tym samym staje się on współodpowiedzialny za ich gromadzenie i przetwarzanie.
Fakt, że administrator fanpage’a jedynie korzysta z usług oferowanych przez Facebooka, nie zwalnia go z odpowiedzialności, zwłaszcza że fanpage odwiedzony może być nie tylko przez użytkowników portalu, ale także osoby nieposiadające na nim konta. Jak słusznie dostrzegł Trybunał: „W tym przypadku odpowiedzialność administratora fanpage’a w zakresie przetwarzania danych osobowych tych osób jest jeszcze bardziej istotna, ponieważ samo wejście na fanpage’a przez osoby odwiedzające skutkuje automatyczne przetworzeniem ich danych osobowych.”
Trybunał zaznaczył zatem konieczność uwzględnienia współodpowiedzialności portalu społecznościowego oraz administratora fanpage’a jako podmiotu niewątpliwie wnoszącego swój wkład w gromadzenie danych osobowych przez Facebooka. Tylko taka perspektywa może bowiem zapewnić ochronę prawa do prywatności, na którą powoływano się w motywach do dyrektywy 95/46.
RODO a orzeczenie
Powyższe rozważania doprowadziły ostatecznie TSUE do istotnego wniosku, że „pojęcie administratora danych obejmuje administratora fanpage’a prowadzonego na portalu społecznościowym.” To doprecyzowanie wcześniej spornej definicji nie traci wcale znaczenia mimo uchylenia dyrektywy 95/46. Może ono znaleźć zastosowanie w interpretacji przepisów obecnie obowiązującego RODO. Pojęcie „administratora danych” pojawia się również na gruncie nowego rozporządzenia, dlatego orzeczenie TSUE, mimo że dotyczące wykładni poprzednich przepisów, nie musi stracić na aktualności.
W praktyce oznacza to, że prowadząc fanpage powinieneś m.in. spełniać obowiązki informacyjne wynikające z RODO (np. w ramach polityki prywatności fanpage). A tych obowiązków jest całkiem sporo – niezbędne minimum zawiera artykuł 13 RODO, zgodnie z którym:
Artykuł 13
Informacje podawane w przypadku zbierania danych od osoby, której dane dotyczą
1. Jeżeli dane osobowe osoby, której dane dotyczą, zbierane są od tej osoby, administrator podczas pozyskiwania danych osobowych podaje jej wszystkie następujące informacje:
a) swoją tożsamość i dane kontaktowe oraz, gdy ma to zastosowanie, tożsamość i dane kontaktowe swojego przedstawiciela;
b) gdy ma to zastosowanie – dane kontaktowe inspektora ochrony danych;
c) cele przetwarzania danych osobowych, oraz podstawę prawną przetwarzania;
d) jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f) – prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią;
e) informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją;
f) gdy ma to zastosowanie – informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję odpowiedniego stopnia ochrony lub w przypadku przekazania, o którym mowa w art. 46, art. 47 lub art. 49 ust. 1 akapit drugi, wzmiankę o odpowiednich lub właściwych zabezpieczeniach oraz o możliwościach uzyskania kopii danych lub o miejscu udostępnienia danych.
2. Poza informacjami, o których mowa w ust. 1, podczas pozyskiwania danych osobowych administrator podaje osobie, której dane dotyczą, następujące inne informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania:
a) okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu;
b) informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych;
c) jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a) – informacje o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem;
d) informacje o prawie wniesienia skargi do organu nadzorczego;
e) informację, czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych;
f) informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz – przynajmniej w tych przypadkach – istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą.
3. Jeżeli administrator planuje dalej przetwarzać dane osobowe w celu innym niż cel, w którym dane osobowe zostały zebrane, przed takim dalszym przetwarzaniem informuje on osobę, której dane dotyczą, o tym innym celu oraz udziela jej wszelkich innych stosownych informacji, o których mowa w ust. 2.
Informacje te najlepiej zawrzeć w polityce prywatności fanpage i zamieścić je bezpośednio w jednej z zakładek informacyjnych na fanpage lub umieścić tam link z odesłaniem do polityki prywatności.
Jeśli jesteś zainteresowany przygotowaniem odpowiednich dla Ciebie dokumentów lub masz dodatkowe pytania związane z prowadzeniem fanpage na Facebooku – nasi prawnicy służą pomocą. Możesz skontaktować się z nami pod adresem email: kontakt@prokonsumencki.pl.
utworzone przez Doradca Sprzedawcy | kwi 16, 2018 | Obowiązki Informacyjne Sprzedawcy, Ochrona Danych Osobowych (GIODO), Profesjonalny Regulamin Sklepu Internetowego od prawników Prokonsumencki.pl, RODO |
W ostaniach miesiącach RODO jest odmieniane przez wszystkie przypadki. Przez ten cały szum medialny trudno wyłapać jednak istotę RODO i co ono faktycznie oznacza dla Sprzedawcy Internetowego. Na tym skupimy się w tym artykule tak aby ułatwić Wam dostosowanie swojego sklepu internetowego do wymogów stawianych przez RODO.
Co to właściwie jest RODO
RODO, to dokładnie rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) – zwane dalej „RODO” lub „Rozporządzenie RODO”.
RODO jest rozporządzeniem PE i Rady UE. Rozporządzenia takie są bezpośrednio stosowane w państwie – członku UE, a więc odróżnieniu od dyrektyw nie wymagają implementacji (wdrożenia) do jego systemu prawnego. Są one narzędziem harmonizacji, uwspólniania pewnych kwestii na terenie całej Unii. Dla przykładu obowiązująca jeszcze dziś ustawa z 29 sierpnia 1997 r. o ochronie danych osobowych stanowi implementację dyrektywy 95/46/WE Parlamentu Europejskiego i Rady 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych.
Oficjalny tekst Rozporządzenia RODO dostępny jest tutaj.
Czy RODO oznacza rewolucję w sklepie internetowym
Dla osoby, która dotychczas niewiele robiła w zakresie ochrony danych osobowych, nie dokonała zgłoszenia zbiorów danych do GIODO oraz nie posiałada stosownej dokumentacji wewnętrznej dotyczącej przetwarzania danych osobowych, to tak – RODO może oznaczać małą rewolucję i konieczność podjęcia szeregu kroków celem dostosowania się do jego wymogów.
Natomiast osoby, które rzetelnie wykonywały obowiązki ciążące na nich na mocy ww. ustawy o ochronie danych osobowych, nie powinny obawiać się nadejścia 25 maja 2018 r. . Przepisy wprowadzają oczywiście nowe regulacje, nowe obowiązki informacyjne oraz nowe prawa osób, których dane dotyczą. Jednak dużą część dotychczasowej pracy.
Dotychczasowa ustawa o ochronie danych osobowych przykładowo określała, że administrator danych osobowych przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności ma zapewnić, aby dane te były przetwarzane zgodnie z prawem (zasada legalności), zbierane dla oznaczonych, zgodnych z prawem celów i, co do zasady, niepoddawane dalszemu przetwarzaniu niezgodnemu z tymi celami (zasada celowości), merytorycznie poprawne i adekwatne w stosunku do celów przetwarzania (zasada merytorycznej poprawności i adekwatności), czy przechowywane nie dłużej niż jest to niezbędne do osiągnięcia celu ich przetwarzania (zasada ograniczenia czasowego).
Do tych zasad RODO wprost dodaje zasadę integralności i poufności (zgodnie z nią dane osobowe muszą być przetwarzane w sposób zapewniający im odpowiednie bezpieczeństwo, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych) oraz zasadę rozliczalności – zgodnie z którą to na administratorze ciąży obowiązek przestrzegania zasad przetwarzania danych i wykazania ich przestrzegania zarówno w stosunku do osób, których dane przetwarza jak i organowi nadzoru (według projektu nowej ustawy o ochronie danych osobowych będzie to Prezes Urzędu Ochrony Danych Osobowych, który zastąpi Generalnego Inspektora Ochrony Danych Osobowych).
Ta ostatnia zasada – rozliczalności – najlepiej pokazuje, jak RODO ma zmienić nasze dotychczasowe myślenie o danych osobowych. Formułuje trzy podstawy dotyczące ochrony danych: relatywizm, neutralność technologiczną oraz podejście oparte na ryzyku. Mówiąc w skrócie – obecnie nie wystarczy już raz przygotowana dokumentacja, którą przechowujemy w szufladzie. Administrator danych ma stale myślec o ochronie danych i na bieżąco minimalizować ryzyka związana z naruszeniem ich ochrony.
Czy RODO dotyczy każdego sprzedawcy internetowego
Tak, do RODO musi się stosować każdy sprzedawca internetowy. Warto wspomnieć, że dotychczas obowiązująca ustawa o ochronie danych osobowych także powinna być stosowana przez każdego sprzedawcę internetowego.
W celu realizacji umowy sprzedawca musi posiadać informacje niezbędne do wystawienia rachunku, przesłania towaru do kupującego (imię i nazwisko, adres kupującego). Na pewno nie dotyczy Cię wyjątek z artykułu 23 RODO – nie jesteś np. sądem, policją. Na 99% masz siedzibę w UE, a na 100% oferujesz towary lub usługi znajdującym się w Unii osobom.
Dostosowanie sklepu internetowego do RODO – od czego zacząć
RODO może być rewolucją lub ewolucją – wszystko zależy od tego, co do tej pory było zrobione w temacie ochrony danych osobowych w naszej firmie. Dostosowanie sklepu internetowego do RODO należy przeprowadzić dwutorowo – pierwszy etap dotyczy dostosowanie samej strony sklepu internetowego, czyli to co widoczne dla jego klientów. Drugi etap natomiast dotyczy spraw wewnętrznych sklepu internetowego, czyli tego co jest niewidoczne dla klientów sklepu internetowego. Obie te strefy wzajemnie się przenikają i powinny być spójne ze sobą.
RODO na zewnątrz sklepu internetowego – czyli to, co widać
Dostosowanie sklepu na zewnątrz wydaje się prostsze. W tym zakresie należy zadbać przede wszystkim o:
- regulamin sklepu internetowego i politykę prywatności zgodną z RODO
- sprawdzenie i dostosowanie checkboxów stosowanych na stronie sklepu tak aby były one zgodne z RODO
- zapewnienie ew. innych informacji, jeżeli ich podanie okaże się konieczne zgodnie z RODO
O polityce prywatności zgodnej z RODO pisaliśmy już tutaj: Polityka prywatności sklepu internetowego zgodna z RODO – zmiany ważne dla Sprzedawców Internetowych – zachęcamy do lektury tego wpisu, są tam wskazane obowiązki informacyjne, które należy spełnić aby stosowana przez nas polityka prywatności była zgodna. Polityka prywatności po wejściu w życie RODO stanie się bardzo ważnym miejscem, w którym możliwe będzie spełnienie stawianych obowiązków informacyjnych.
Sam regulamin w zależności od jego konstrukcji i dotychczasowej zawartości może wymagać mniej lub większej ingerencji z uwagi na konieczność dostosowania do RODO.
Istotne na pewno będzie przejrzenie stosowanych przez nas treści zgód (checkboxów) na stronie sklepów pod kątem RODO i w razie potrzeby dostosowanie ich do nowych wymogów informacyjnych.
RODO wewnątrz sklepu internetowego – czyli to, czego nie widać
Teraz przechodzimy ze strony internetowej sklepu do siedziby sklepu. To co jest na stronie sklepu, to tak naprawdę wierzchołek góry lodowej, której reszta powinna być właśnie wewnątrz prowadzonej działalności przez Sprzedawcę. Nie ma jednej złotej recepty dostosowania się do RODO – przepisy te są na tyle nowe, że trudno tutaj mówić o jakiejś wypracowanej praktyce. Będzie się ona dopiero tworzyła na podstawie kolejnych decyzji i wytycznych organu nadzorczego, którym będzie dotychczasowe GIODO. Brak jednoznacznych wytycznych nie zwalania nas jednak z podjęcia próby dostosowania się do RODO i wdrożenia go we własnej firmie.
Tutaj ważna informacja – RODO nie dotyczy tylko sklepu internetowego. Jeżeli w naszej firmie poza sklepem internetowym prowadzimy także inną działalność – chociażby sklep stacjonarny, to wdrożenie RODO powinno obejmować także tę dodatkową działalność.
W zakresie sposobu wdrożenia warto na pewno odesłać do przydatnego naszym zdaniem poradnika – Przewodnik po RODO dla małych i średnich przedsiębiorców przygotowanego przez Ministerstwo Przedsiębiorczości i Technologii (link). Wyróżnia on poniższe etapy wdrożenia RODO w firmie – naszym zdaniem od tego warto zacząć:
- Identyfikacja procesów przetwarzania danych osobowych (w skrócie jakie dane i w jakich celach przetwarzamy)
- Weryfikacja podstawowych parametrów procesów przetwarzania danych (określamy podstawy przetwarzania, zakres oraz treść obowiązków z tym związanych)
- Wdrożenie podejścia opartego na ryzyku (określamy poziom ryzyka związanego z przetwarzaniem danych)
- Przeprowadzenie procedury oceny skutków dla ochrony danych (nie zawsze jest to obowiązkowe, ale zalecamy jej przeprowadzenie)
- Powierzenie przetwarzania danych (ustalamy komu przekazujemy dane i podpisujemy z tymi podmiotami umowy dot. powierzenia )
- Nowe prawa osób, których dane dotyczą (zapewniamy możliwość korzystania z nowych prawa – np. prawa do bycia zapomnianym)
- Incydenty bezpieczeństwa (wdrażamy zasady zgłaszania naruszeń)
Większość z tych informacji będzie zawarta w wewnętrznej dokumentacji firmy – np. w polityce bezpieczeństwa (nie mylić z polityką prywatności). Zadaniem sprzedawcy jest przygotować i wdrożyć taką dokumentację w swojej firmie.
Czy warto czekać z wdrożeniem RODO do uchwalenia krajowych ustaw
Jak zapewne wiesz wciąż trwają prace nad polską ustawą o ochronie danych osobowych, która ma wdrożyć niektóre zapisy RODO do polskiego systemu prawnego. Naszym zdaniem jednak zdecydowanie nie warto czekać – jak wyżej napisaliśmy RODO zacznie być stosowane od 25 maja 2018 r. I od tego dnia musisz przetwarzać dane zgodnie z zasadami, a więc również wykazać, że przestrzegasz tych zasad.
Za łamanie podstawowych zasad przetwarzania danych osobowych organ nadzoru może nałożyć karę pieniężną w wysokości do 20 mln EURO lub do 4 % całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego. Przy czym, przy decydowaniu o nałożeniu kary powinien zwrócić uwagę m. in. na charakter, wagę i czas trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody, umyślny lub nieumyślny charakter naruszenia, działania podjęte przez administratora lub podmiot przetwarzający w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą, a także na szereg czynników (szer. art. 83 RODO).
Podsumowanie
O RODO usłyszył pewnie jeszcze nie jeden raz. Szczególnie interesujący będzie pierwszy rok obowiązywania nowych przepisów – z pewnością poznamy nowe wytyczny organu nadzoru, które pozwolą lepiej dostosować się do nowych przepisów. Warto na bieżąco śledzić stronę internetową GIODO na której są publikowane ważniejsze informacje dotyczące stosowania RODO. Kwestią czasu pozostaje wydanie stosowanych wytycznych dotyczących branży ecommerce.
Pamiętajmy jednak aby nie czekać, aż „się samo wdroży” – RODO wymaga od nas aktywnego podejścia do ochrony danych osobowych. Jeżeli potrzebujesz pomocy we wdrożeniu, to skontaktuj się z nami – chętnie pomożemy:
- mail: kontakt@prokonsumencki.pl
- tel: 61 847 55 18
utworzone przez Doradca Sprzedawcy | mar 14, 2018 | Ochrona Danych Osobowych (GIODO), Profesjonalny Regulamin Sklepu Internetowego od prawników Prokonsumencki.pl, Regulamin Sklepu Internetowego, RODO |
25 maja 2018 r. zacznie obowiązywać Rozporządzenie RODO, które wymusza także na Sprzedawcach internetowych m.in. aktualizację stosowanych przez nich polityki prywatności sklepu internetowego o dodatkowe obowiązki informacyjne. RODO to nie tylko nowa polityka prywatności, ale zupełnie nowe podejście do ochrony danych osobowych. W tym artykule skupimy się jednak na najważniejszych zmianach dotyczących polityki prywatności sklepu internetowego, tak aby była ona zgodna z RODO.
Rozporządzenie RODO, to dokładnie rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) – zwane dalej „RODO” lub „Rozporządzenie RODO”. Oficjalny tekst Rozporządzenia RODO dostępny jest tutaj.
Dla osób, które chcą szerzej zapoznać się z tematem RODO polecamy jako pierwszy krok w tym kierunku Przewodnik po RODO dla małych i średnich przedsiębiorców wydany przez Ministerstwo Przedsiębiorczości i Technologii (kliknij).
Polityka prywatności sklepu internetowego zgodna z RODO
Rozporządzenie RODO wskazuje szereg wymaganych informacji, które należy udostępnić osobie, której dane dotyczą. RODO ustala także zasady przetwarzania danych osobowych, którymi musimy się kierować przy ich przetwarzaniu.
W kontekście sklepów internetowych warto wskazazć, że RODO szczególny nacisk kładzie także na formę podania tych informacji – RODO wymaga by informacje, które podajemy (np. w ramach polityka prywatności sklepu internetowego) były zwięzłe, łatwo dostępne i zrozumiałe, by były formułowane jasnym i prostym językiem, a w stosownych przypadkach, dodatkowo wizualizowane. Od razu trzeba zaznaczyć, że trudno pogodzić z jednej strony strony te zasady, a z drugiej ilość i szczegółowość obowiązków informacyjnych, które należy spełnić. Kolejną ważną zasadą wynikającą z RODO, a istotną dla sprzedawców, jest minimalizacja danych – w skórcie zbieramy dane tyko wtedy kiedy jest to niezbędne, tylko te dane, które są niezbędne i tylko przez okres niezbędny do realizacji celu w jakim zbieramy dany. Zasada ta ma za zadanie uniknięcie zbierania danych na zapas lub przetwarzanie ich przez nieograniczony czas, gdy dane te są już zbędne.
Poniżej wskazujemy najważniejsze zasady dotyczące przetwarzania danych (zasady z art. 5 Rozporządzenia RODO) – zgodnie z RODO dane osobowe muszą być :
- przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą („zgodność z prawem, rzetelność i przejrzystość”);
- zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami („ograniczenie celu”);
- adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane („minimalizacja danych”);
- prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane („prawidłowość”);
- przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane; dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych na mocy art. 89 ust. 1, z zastrzeżeniem że wdrożone zostaną odpowiednie środki techniczne i organizacyjne wymagane na mocy niniejszego rozporządzenia w celu ochrony praw i wolności osób, których dane dotyczą („ograniczenie przechowywania”);
- przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych („integralność i poufność”).
Informacje- polityka prywatności sklepu internetowego zgodnie z RODO
Przechodząc do samych obowiązków informacyjnych, które powinien spełnić sprzedawca internetowy, to poniżej wskazujemy najważniejsze wynikające z RODO. Pamiętajmy jednak, że poza RODO są także dotychczas istniejące przepisy wymagajace np. informowania o stosowaniu plików cookies. Każdorazowo także zakres wymaganych informacji będzie musiał być dostosowany do konkretnego sklepu internetowego – wynika to z różnic np. w zakresie celów przetwarzania danych, stosowania profilowania, czy też kategorii odbiorców danych.
Kluczowy w tym zakresie będzie art. 13 Rozporządzenia RODO, zgodnie z którym administrator danych podczas pozyskiwania danych osobowych obowiązany jest podać poniższe informacje:
- swoją tożsamość i dane kontaktowe oraz, gdy ma to zastosowanie, tożsamość i dane kontaktowe swojego przedstawiciela;
- gdy ma to zastosowanie – dane kontaktowe inspektora ochrony danych;
- cele przetwarzania danych osobowych, oraz podstawę prawną przetwarzania;
- jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f) – prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią;
- informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją;
- gdy ma to zastosowanie – informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję odpowiedniego stopnia ochrony lub w przypadku przekazania, o którym mowa w art. 46, art. 47 lub art. 49 ust. 1 akapit drugi, wzmiankę o odpowiednich lub właściwych zabezpieczeniach oraz o możliwościach uzyskania kopii danych lub o miejscu udostępnienia danych.
- okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu;
- informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych;
- jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a) – informacje o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem;
- informacje o prawie wniesienia skargi do organu nadzorczego;
- informację, czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych;
- informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz – przynajmniej w tych przypadkach – istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą.
Administrator zobowiązany jest także do poinformowania, czy podanie danych i tym samym ich przetwarzanie jest dobrowolne, czy też obowiązkowe – a w tym ostatnim wypadku należy wskazać ską wynika taki obowiązek – może on wynikać np. z umowy lub z ustawy.
Podsumowanie
Dostosowanie sklepu internetowego oraz polityka prywatności do RODO nie jest łatwe, ale jest jak najbardziej możliwe. Konieczne jest przede wszystkim dokładnie zbadanie celów i zakresu przetwarzanych danych. Następnie na tej podstawie możliwe jest rozpoczęcie opracowywania polityki prywatności. Część wymaganych informacji z RODO pokrywa się z dotychczas obowiazującymi przepisami, jednak zostały one dość mocno rozbudwane i wymagają większego uszczegółowienia. Cel jest jasny – osoba, której dane dotyczą powinna mieć jak najwięcej informacji, o tym komu powierza swoje dane oraz co się z nimi później dzieje.
Potrzebujesz pomocy przy przygotowani polityki prywatności sklepu internetowego zgodnej z RODO?
Skontaktuj się z nami, chętnie pomożemy:
- 61 847 55 18
- kontakt@prokonsumencki.pl
