RODO okiem sprzedawcy Internetowego

Czym jest RODO?

RODO - Rozporządzenie o Ochronie Danych Osobowych

Jak możemy przeczytać na stronie GIODO - RODO to "Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)", a jego celem "jest doprowadzenie do pełnej harmonizacji prawa materialnego w ramach UE i swobodnego przepływu danych osobowych".

RODO jest więc rozporządzeniem dotyczącym przepisów ochrony danych wchodzącym w życie 25 maja 2018 roku. Jest to jednak data, w której powinniśmy być już przygotowaniu w 100% na te przepisy. Obecnie trwa okres przejściowy, a wdrażanie nowych przepisów powinniśmy zacząć jak najwcześniej.

Pełna treść rozporządzenia dostępna jest na stronie http://www.giodo.gov.pl/pl/1520284/9745

Jak dostosować sklep internetowy do wymagań RODO?

Informacje na temat RODO od początku wprowadziły niemałe zamieszanie i strach wśród sprzedawców internetowych z powodu zapowiadanych wysokich kar w przypadku nieodpowiedniego przygotowania sklepu. Faktycznie RODO ułatwi pracę sprzedawcom, przepisy są poza pojedynczymi zapisami jasne, a dzięki nim proces zgłaszania bazy klientów do GIODO staje się zupełnie zbędny.

Przepisy rozszerzają przede wszystkim obowiązek informowania osób, których dane zapisujemy i przetwarzamy. Powinniśmy informować ich niemal o wszystkim, na każdym kroku.

W regulaminie powinniśmy informować o tym:

- jakie dane zbieramy i zapisujemy;
- w jaki sposób i w jakim celu przetwarzamy te dane;
- w jaki sposób użytkownik może edytować lub usunąć swoje dane z bazy, a także wskazać organ, do którego może zgłosić naruszenie dot. procesu przetwarzania danych;
- że segmentujemy bazę użytkowników oraz dać im możliwość wyrażenia zgody na ten proces.

Powinniśmy dać im możliwość wyrażenia zgody na:

- przetwarzanie danych ze wskazaniem celu ich przetwarzania np. w celu realizacji zamówienia, na potrzeby marketingowe itp.
- proces segmentacji bazy użytkowników;
- nowe zasady przetwarzania danych o ile polityka prywatności nie spełnia wymogów RODO. Należy tu wskazać elementy wdrożonych zabezpieczeń danych jak i procedury oraz działania wdrażane w momencie kiedy bezpieczeństwo danych zostanie naruszone.

W przypadku naruszenia bezpieczeństwa danych osobowych powinniśmy:

- bezzwłocznie poinformować użytkowników o tym, jakie dane wyciekły;
- w ciągu 72 godzin od wystąpienia naruszenia danych poinformować odpowiedni organ o tym fakcie;

Po wprowadzeniu podobnych informacji do zapisów na stronie tzn. regulamin oraz polityka prywatności, warto jest dodatkowo zainwestować w audyt prawnika, który sprawdzi wprowadzone zmiany i to, czy spełniamy wszystkie wymagania RODO.

Kolejną zmianą jaką wprowadza RODO jest rozdzielenie wymaganych zgód i ich osobna akceptacja. Zabrania się domyślnego oznaczania pól, a także używania opcji w stylu "zaznacz wszystkie". Użytkownik musi więc sam dokładnie wyklikać te punkty na które się zgadza. Wpływa to oczywiście na wydłużenie procesu rejestracji lub składania zamówienia. Użytkownik będzie musiał np. wyrazić osobne zgody na:

- wykorzystanie danych w celu ich przetwarzania na potrzeby realizacji zamówienia;
- wykorzystanie danych w celach marketingowych;
- wykorzystanie danych w celu przekazania ich podmiotom trzecim;
- oraz dodatkowo inne zgody, które nas dotyczą np. segmentacja danych użytkowników.

Zdaje się, że przy składaniu zamówienia w sklepie użytkownik będzie mógł pominąć jedynie punkt drugi. Natomiast punkt trzeci budzi największe wątpliwości. Dane te są zwykle przekazywane kurierom lub innym realizatorom usługi doręczenia przesyłki, a często także firmom zapewniającym działanie oprogramowania sklepu, czy nawet administratorom serwera na których te dane są zapisywane.

Równie wątpliwym jest bardzo subiektywny zapis o tym, że wszystkie zgody i informacje mają być zapisane czytelnym, prostym językiem. Subiektywny, ponieważ nie jest nigdzie wyszczególnione jakich wyrażeń można, a jakich nie można używać. Ten sam zapis dla jednej osoby może być bardzo jasny, a dla drugiej może być niezrozumiały. Oznacza to, że użycie nawet jednego słowa prawniczego/branżowego/technicznego w takim zapisie może sprawić, że wyrażone zgody mogą zostać automatycznie cofnięte i unieważnione. Ciężko stwierdzić kto i na jakiej podstawie będzie uznawał jedne zapiski za "jasne i czytelne", a inne za "zbyt skomplikowane".

Czy firma potrzebuje Inspektora Danych Osobowych?

Zatrudnienie lub wyznaczenie Inspektora Danych Osobowych nie jest konieczne dla większości firmy. Przepisy RODO rekomendują jedynie nominowanie takiej osoby. Jest to jednak wymagane jeżeli nasza firma jest:

- Organizacją publiczną;
- Nasza działalność opiera i skupia się głównie na przetwarzaniu danych osobowych w dużej liczbie;
- Jeżeli operujemy danymi wrażliwymi, czyli osobistymi, prywatnymi informacjami tj. np. danymi zawierającymi informacje o stanie zdrowia, o wyrokach sądowych itp.

Potrzeba nominowania takiego Inspektora jest więc jedynie rekomendowana jeżeli chodzi o sklepy Internetowe. Żaden sprzedawca nie wymaga przecież danych wrażliwych od swoich klientów przy rejestracji. O ile sklep nie sprzedaje danych osobowych, ani nie działa w ramach organizacji publicznej zatrudnianie Inspektora Danych Osobowych nie jest wymagane.

RODO, a dotychczasowe zgody

Na wszelki wypadek, po dostosowaniu naszych wszelkich zapisów wg. wytycznych RODO, powinniśmy jeszcze raz poprosić klientów o wyrażenie na nie zgody. Ze względu na to iż RODO działa w pewnym sensie wstecz. Będzie to oczywiście trudne do zrobienia ze względu na to że klient, który zrobił zakupy raczej nie będzie chciał wczytywać się jeszcze raz w regułki i klikać - po prostu nie będzie mu na tym zależało. Jedynym rozwiązaniem wydaje się jasna informacja i propozycja jakiegoś rabatu w zamian. W praktyce może to być jednak bardzo trudne. Należałby więc jak najszybciej wprowadzić zmiany jakie zapowiadają nowe przepisy, a dla pewności najlepiej gdyby wszystkie te punkty przygotował dla nas prawnik wraz z listą zmian do regulaminu.

Podsumowując, RODO wprowadza zaostrzenie obecnych przepisów co do wyrażania wszelkich zgód na zarządzanie danymi osobowymi, jednocześnie wprowadza obowiązek jasnego informowania o każdym aspekcie. Jest to na pewno konieczny krok w dobrym kierunku. Na początku RODO przysporzy trochę pracy sprzedawcom ale w ogólnym rozrachunku, dane wszystkich użytkowników internetu będą teraz nieco bezpieczniejsze.