Szkolenie prawne dla e-sklepów z prawidłowego postępowania z danymi osobowymi – RODO

Dlaczego e‑sklepy podchodzą do RODO inaczej niż „zwykłe” firmy

RODO (GDPR, czyli ogólne rozporządzenie o ochronie danych, rozporządzenie (UE) 2016/679) ma zastosowanie do każdego podmiotu, który przetwarza dane osobowe osób fizycznych w UE, niezależnie od tego, gdzie ma siedzibę. Oznacza to, że również e‑sklep zarejestrowany poza Unią Europejską musi przestrzegać zasad RODO, jeżeli oferuje swoje towary lub usługi klientom z UE, w tym typowo czeskim konsumentom.

Operator e‑sklepu jest w większości przypadków administratorem danych osobowych, ponieważ decyduje o celach i sposobach przetwarzania. Na przykład o tym, jakie dane będą obowiązkowe w formularzu zamówienia, jakie cookies będą wykorzystywane oraz jak zostanie ustawiona analityka lub personalizacja treści.

E‑sklepy ponadto zazwyczaj pracują z dużą liczbą osób, których dane dotyczą, i z różnorodnymi rodzajami danych. Chodzi o dane kontaktowe, identyfikatory płatnicze, adresy IP, identyfikatory cookies, aż po dane o zachowaniach zakupowych. Zgodnie z RODO identyfikatory internetowe, adresy IP lub identyfikatory cookies mogą stanowić dane osobowe, jeżeli pozwalają zidentyfikować konkretną osobę, zwłaszcza w połączeniu z innymi informacjami. W środowisku e‑sklepu granica między „anonimową statystyką” a danymi osobowymi jest więc często znacznie cieńsza, niż się na pierwszy rzut oka wydaje.

Kolejną specyfiką e‑sklepów jest intensywne korzystanie z cookies i innych technologii śledzących do analityki, optymalizacji UX i remarketingu. Właśnie tutaj RODO spotyka się z tzw. przepisami ePrivacy, które w UE reguluje dyrektywa o prywatności i łączności elektronicznej (tzw. dyrektywa ePrivacy).

W poszczególnych państwach członkowskich (w tym w Republice Czeskiej za pośrednictwem czeskiej ustawy o łączności elektronicznej) przepisy te uzupełniają ochronę łączności elektronicznej i regulują przede wszystkim zapisywanie i odczytywanie cookies w urządzeniu użytkownika. W praktyce oznacza to, że większość analitycznych i marketingowych cookies wymaga uprzedniej świadomej zgody użytkownika, a e‑sklep musi być w stanie wykazać, kto, kiedy i na co konkretnie wyraził zgodę. Przy ustawianiu zgód, banera cookies i powiązanej dokumentacji w praktyce często przydaje się ocena prawna w ramach usług z zakresu RODO.

Ryzyko regulacyjne nie jest teoretyczne. RODO pozwala za poważne naruszenia (na przykład nieprzestrzeganie podstawowych zasad przetwarzania, naruszenie praw osób, których dane dotyczą, lub brak podstawy prawnej) nałożyć karę do 20 milionów euro lub 4 % całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego, w zależności od tego, która kwota jest wyższa.

W przypadku mniej poważnych naruszeń (na przykład w zakresie bezpieczeństwa lub dokumentacji) sankcje sięgają do 10 milionów euro lub 2 % obrotu. W praktyce kary są stopniowane w zależności od wagi naruszenia i okoliczności, ale nawet „średnia” kara może być dla e‑sklepu bardzo dotkliwa, nie mówiąc o kosztach sporów sądowych, odbudowy reputacji czy odszkodowań dla klientów.

Ważny jest również wymiar czasowy. Ostatnie lata pokazują, że organy nadzorcze w całej UE coraz bardziej koncentrują się na środowisku online, cookies, reklamie spersonalizowanej i niewystarczającym zabezpieczeniu danych.

Jednocześnie w UE w pełni weszły w życie także kolejne regulacje dotyczące usług online, na przykład akt o usługach cyfrowych (Digital Services Act, rozporządzenie (UE) 2022/2065). Wprowadza on nowe zasady dla platform internetowych, przejrzystości reklam i moderowania treści. Praktycznym ryzykom komunikacji marketingowej (w tym formie oferty i możliwości udowodnienia przekazu) poświęcony jest szerzej również artykuł Papierowe oferty handlowe w firmach: kiedy komunikacja marketingowa może stanowić ryzyko prawne. Od lutego 2024 roku rozporządzenie to stosuje się w pełni do większości platform internetowych. W 2026 roku obejmuje już także szerszy ekosystem e‑commerce i wymaga spełnienia szczególnych obowiązków, choć niektóre z nich są stopniowane według wielkości platformy. Choć ten artykuł koncentruje się na RODO, dla wielu e‑sklepów nie da się już dziś tych ram regulacyjnych od siebie oddzielić.

Szkolenie prawne dla e‑sklepu nie może więc być ogólnym seminarium o RODO, które można by w tej samej formie przeprowadzić w zakładzie produkcyjnym, szpitalu czy u dowolnego pracodawcy. Musi odpowiadać na specyfikę e‑commerce, typowy stos technologiczny i praktyki marketingowe. Jednocześnie musi uwzględniać aktualne trendy interpretacyjne i praktykę organów nadzorczych, w tym czeskiego Urzędu Ochrony Danych Osobowych (ÚOOÚ).

Prawnicy kancelarii prawnej ARROWS łączą w takim szkoleniu czysto prawne spojrzenie z praktyczną znajomością narzędzi i procesów e‑commerce. Ich celem jest, aby szkolenie nie było „oderwane od rzeczywistości” osób z marketingu, IT i obsługi klienta. Jeżeli szkolenie obejmuje również bezpieczne wdrażanie automatyzacji i narzędzi do pracy z danymi, może nawiązywać do wsparcia prawnego przy wdrażaniu sztucznej inteligencji (AI).

Jakie obowiązki ma e‑sklep przy przetwarzaniu danych osobowych

RODO opiera się na kilku podstawowych zasadach (art. 5 ust. 1 lit. a) RODO), których musi przestrzegać każdy administrator danych osobowych, a więc także operator e‑sklepu. Zasada zgodności z prawem, rzetelności i przejrzystości (art. 5 ust. 1 lit. a) RODO) oznacza, że przetwarzanie musi mieć podstawę prawną, musi być uczciwe wobec klienta, a e‑sklep musi jasno i zrozumiale wyjaśnić, co robi z danymi.

W praktyce oznacza to przede wszystkim dobrze napisane i łatwo dostępne informacje o przetwarzaniu danych osobowych – zazwyczaj w formie polityki prywatności (privacy policy) i informacji w banerze cookies. W e‑commerce często pojawia się ponadto kwestia prawidłowego ujęcia prawnego oprogramowania i związanych z nim umów, którą rozwija artykuł Kompleksowy przegląd umów IT: zapewnienie ochrony prawnej przy wdrażaniu i wsparciu oprogramowania. Zasada ograniczenia celu (art. 5 ust. 1 lit. b) RODO) wymaga, aby e‑sklep zbierał i wykorzystywał dane wyłącznie w jasno określonych, konkretnych i prawnie uzasadnionych celach. Nie może ich też przetwarzać w sposób niezgodny z tymi celami.

Jeżeli na przykład e‑sklep uzyska adres e‑mail klienta wyłącznie w celu realizacji zamówienia, nie może go bez dodatkowych warunków wykorzystać do regularnego newslettera marketingowego. Musi mieć do tego inną odpowiednią podstawę prawną, typowo zgodę lub tzw. soft opt‑in zgodnie z przepisami ePrivacy. Zasada minimalizacji danych (art. 5 ust. 1 lit. c) RODO) nakłada na e‑sklep obowiązek zbierania wyłącznie takich danych, które są rzeczywiście niezbędne do określonego celu, i w adekwatnym zakresie.

Na przykład obowiązkowe żądanie daty urodzenia klienta przy zakupie zwykłego towaru, jeśli nie istnieje szczególna podstawa prawna, może być sprzeczne z tą zasadą. W środowisku online oznacza to często konieczność przeglądu, które pola formularza zamówienia są obowiązkowe, jakie dane przekazujemy narzędziom marketingowym, jakie profilowanie prowadzimy i czy wszystko to jest naprawdę niezbędne.

Zasada prawidłowości (art. 5 ust. 1 lit. d) RODO) wymaga, aby dane osobowe były prawidłowe i w razie potrzeby uaktualniane. Dla e‑sklepu oznacza to posiadanie procesów korygowania adresów dostawy, danych kontaktowych czy informacji płatniczych, a zarazem nieprzechowywanie przez długi czas danych w oczywisty sposób nieaktualnych.

Zasada ograniczenia przechowywania (art. 5 ust. 1 lit. e) RODO) stanowi, że dane osobowe nie powinny być przechowywane dłużej, niż jest to niezbędne do celów, w których zostały zebrane. W praktyce e‑sklep musi ustalić okresy retencji dla różnych rodzajów danych (zamówienia, bazy marketingowe, logi, dane analityczne), a po ich upływie bezpiecznie usuwać lub anonimizować dane.

Wreszcie zasada integralności i poufności (art. 5 ust. 1 lit. f) RODO) nakłada obowiązek zabezpieczenia danych osobowych przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych i organizacyjnych.

Obejmuje to na przykład szyfrowanie baz danych i komunikacji, zarządzanie uprawnieniami dostępu, uwierzytelnianie wieloskładnikowe i regularne tworzenie kopii zapasowych. Dalej także taką organizację pracy, aby wrażliwe dane nie były przesyłane w niezabezpieczonych e‑mailach ani nie były dostępne dla osób nieuprawnionych.

Absolutnie kluczowa jest zasada rozliczalności (accountability, art. 5 ust. 2 RODO). Zgodnie z nią administrator musi nie tylko przestrzegać wszystkich powyższych zasad, ale także być w stanie wykazać ich przestrzeganie.

Oznacza to posiadanie udokumentowanych procesów, rejestrów czynności przetwarzania (zgodnie z art. 30 RODO), ewidencji szkoleń pracowników, umów z podmiotami przetwarzającymi, przeprowadzonych audytów i innych dokumentów, które można przedłożyć organowi nadzorczemu w razie kontroli. Szkolenie prawne dla e‑sklepu ma więc zawsze także wymiar dokumentacyjny – nie chodzi tylko o przekazanie informacji, ale również o zapewnienie dowodów, że jako kierownictwo podjęli Państwo rozsądne kroki w celu przestrzegania RODO.

Podstawy prawne przetwarzania: zamówienie, marketing i analityka

RODO określa sześć podstaw prawnych przetwarzania danych osobowych (art. 6 RODO). W e‑sklepie najczęściej wykorzystuje się trzy: wykonanie umowy, obowiązek prawny i zgodę, ewentualnie prawnie uzasadniony interes. Przetwarzanie jest zgodne z prawem m.in. wtedy, gdy jest niezbędne do wykonania umowy z osobą, której dane dotyczą, lub do podjęcia działań przed zawarciem umowy, na przykład przetwarzanie danych w celu realizacji zamówienia (art. 6 ust. 1 lit. b) RODO). E‑sklep może więc bez dodatkowych warunków przetwarzać dane identyfikacyjne i kontaktowe klienta, treść zamówienia czy adres dostawy, jeżeli jest to niezbędne do zawarcia i wykonania umowy sprzedaży.

Kolejną podstawą prawną jest wypełnienie obowiązku prawnego (art. 6 ust. 1 lit. c) RODO), na przykład przechowywanie dokumentów księgowych przez okres określony przepisami (czeska ustawa o rachunkowości, ustawa nr 563/1991 Sb., z późniejszymi zmianami), wykonywanie obowiązków podatkowych lub obowiązków wynikających z przepisów o ochronie konsumentów. Przetwarzanie wykraczające poza te obowiązki musi jednak mieć własną podstawę prawną.

Do celów marketingowych w praktyce często wykorzystuje się zgodę osoby, której dane dotyczą (art. 6 ust. 1 lit. a) RODO), zwłaszcza w przypadku newsletterów, reklamy spersonalizowanej lub remarketingu, o ile nie ma zastosowania wyjątek tzw. soft opt‑in. Zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna, wyrażona aktywnym działaniem, a nie poprzez wstępnie zaznaczone pole lub milcząco przez to, że użytkownik dalej korzysta ze strony. W przypadku newsletterów można w szczególnych sytuacjach skorzystać także z tzw. soft opt‑in, uregulowanego w czeskim porządku prawnym w § 7 ust. 3 czeskiej ustawy o niektórych usługach społeczeństwa informacyjnego (ustawa nr 480/2004 Sb., z późniejszymi zmianami).

E‑sklep może wykorzystywać adres e‑mail uzyskany w związku ze sprzedażą własnego produktu lub usługi do marketingu podobnych towarów lub usług, jeżeli klient przy pozyskaniu adresu otrzymał możliwość prostej i bezpłatnej odmowy, a możliwość ta jest mu zapewniana także w każdym kolejnym e‑mailu marketingowym. Ten reżim wynika przede wszystkim z przepisów ePrivacy, a nie bezpośrednio z tekstu RODO, ale w praktyce bardzo często pracuje się z nim przy prawnym ustawianiu e‑sklepów.

Prawnie uzasadniony interes (art. 6 ust. 1 lit. f) RODO) może być podstawą prawną na przykład dla podstawowej analityki ruchu na stronie lub dla niektórych form marketingu bezpośredniego. Dotyczy to sytuacji, gdy zachowane są prawa i wolności osób, których dane dotyczą, a przepisy szczególne (np. ePrivacy) nie wymagają zgody.

W przypadku cookies sytuacja jest bardziej skomplikowana, ponieważ to, czy konkretne analityczne cookies wymagają zgody, zależy od ich charakteru, możliwości identyfikacji użytkownika i lokalnych przepisów. W czeskich realiach organ nadzorczy (ÚOOÚ) podkreśla wymóg zgody dla większości cookies, które nie są ściśle niezbędne do działania strony, a zgoda musi spełniać ogólne standardy RODO.

Najczęstszym błędem w praktyce jest to, że e‑sklep traktuje zgodę jako „uniwersalną” podstawę niemal wszelkiego przetwarzania. Albo przeciwnie – opiera się na prawnie uzasadnionym interesie tam, gdzie bezpieczniej byłoby pracować ze zgodą i przejrzystym wyjaśnieniem.

Prawnicy kancelarii prawnej ARROWS zalecają zawsze omówić konkretne przepływy danych, cele przetwarzania i narzędzia, z których korzysta e‑sklep, i na tej podstawie ustalić kombinację podstaw prawnych – inny reżim będzie miało zamówienie, inny przetwarzanie księgowe, a zupełnie inny spersonalizowany remarketing w mediach społecznościowych.

Cookies i identyfikatory internetowe: gdzie RODO styka się z ePrivacy

Cookies to małe pliki tekstowe, które strona zapisuje w urządzeniu użytkownika i które umożliwiają różne funkcje – od utrzymania produktów w koszyku, przez zapamiętanie logowania, aż po szczegółowe śledzenie zachowań użytkownika na wielu stronach. Z perspektywy RODO cookies stają się danymi osobowymi w momencie, gdy pozwalają bezpośrednio lub pośrednio zidentyfikować konkretną osobę, zwłaszcza w połączeniu z innymi informacjami.

Obok RODO do cookies stosuje się również regulacja ePrivacy, zgodnie z którą zapisywanie cookies w urządzeniu użytkownika lub dostęp do nich jest co do zasady możliwy wyłącznie na podstawie uprzedniej zgody, z wyjątkiem cookies niezbędnych do świadczenia usługi, której użytkownik wyraźnie zażądał.

Dla e‑sklepu oznacza to, że tzw. „strictly necessary” cookies, na przykład te zapewniające działanie koszyka czy logowania, można stosować bez zgody, natomiast analityczne i marketingowe cookies zazwyczaj zgody wymagają. Zgoda na cookies musi odpowiadać wymogom RODO – być dobrowolna, konkretna, świadoma i jednoznaczna, wyrażona aktywnym działaniem. W praktyce oznacza to, że baner cookies musi dawać użytkownikowi rzeczywisty wybór, czyli nie tylko „Akceptuj wszystkie”, ale także „Odrzuć wszystkie” lub „Ustaw szczegóły”. Przyciski nie mogą być graficznie zmanipulowane tak, by nakłaniały użytkownika do zgody (tzw. dark patterns).

Czeski organ nadzorczy i literatura fachowa podkreślają, że zgody nie można wywodzić z kontynuowania wizyty na stronie, z samego ukrycia banera cookies ani z wstępnie zaznaczonych pól. Jednocześnie użytkownik powinien mieć możliwość wycofania zgody w dowolnym momencie w taki sam sposób, w jaki ją wyraził. E‑sklep powinien być w stanie ponownie wyświetlić baner cookies przy zmianie ustawień lub po upływie rozsądnego czasu, zazwyczaj po kilku miesiącach.

W czeskiej praktyce często przyjmuje się orientacyjne okresy około 6–12 miesięcy na ponowne zapytanie o zgodę, ale zawsze trzeba uwzględnić konkretne cele, rodzaj cookies i lokalne materiały interpretacyjne. Techniczne cookies, które są niezbędne do samej transmisji komunikatu lub do świadczenia usługi, której zażądał użytkownik (na przykład utrzymanie koszyka, zapewnienie bezpiecznego logowania, ustawienie języka), zazwyczaj nie wymagają zgody, ale i tak warto poinformować użytkownika o ich stosowaniu.

W przypadku analitycznych cookies można w niektórych sytuacjach, przy bardzo ścisłej anonimizacji lub agregacji, rozważać przetwarzanie poza reżimem danych osobowych. W praktyce warunek ten często nie jest jednak spełniony, na przykład gdy korzysta się ze standardowych chmurowych narzędzi analitycznych z systemowymi identyfikatorami odwiedzających.

Szkolenie prawne dla e‑sklepu powinno obejmować konkretne przykłady ustawienia banera cookies, wyjaśnienie różnic między poszczególnymi kategoriami cookies, ryzyka związane z korzystaniem z zagranicznych narzędzi analitycznych i marketingowych, kwestię przekazywania danych osobowych do państw trzecich oraz praktyczne wskazówki, jak pracować z danymi zgodnie z RODO, nie tracąc możliwości rozsądnej optymalizacji marketingu i doświadczenia użytkownika.

E‑mail marketing, newslettery i inna komunikacja

RODO samo w sobie nie zakazuje e‑mail marketingu, ale wymaga, aby każde przetwarzanie danych osobowych miało podstawę prawną (art. 6 RODO), było przejrzyste i respektowało prawa osób, których dane dotyczą. Do wysyłania newsletterów lub innych komunikatów marketingowych zazwyczaj wykorzystuje się zgodę (art. 6 ust. 1 lit. a) RODO).

W praktyce oznacza to, że użytkownik sam aktywnie zapisuje się na subskrypcję, na przykład zaznaczając pole w formularzu zamówienia lub wypełniając odrębny formularz na stronie. Zgoda musi być oddzielona od innych warunków umownych, nie może być wstępnie zaznaczona i powinna być wystarczająco konkretna – warto na przykład rozróżnić zgodę na newsletter, marketing SMS i reklamę spersonalizowaną.

Zalecaną praktyką jest tzw. double opt‑in, w ramach którego po wysłaniu formularza użytkownik otrzymuje e‑mail potwierdzający, w którym kończy rejestrację, klikając w link. Wzmacnia to pozycję dowodową e‑sklepu na wypadek, gdyby klient później twierdził, że nigdy nie zapisał się na newsletter.

Jednocześnie każdy e‑mail marketingowy powinien zawierać jasną i prostą możliwość wypisania się, z której można skorzystać bez konieczności logowania czy skomplikowanych kroków. Po wypisaniu się należy usunąć adres z listy mailingowej; zazwyczaj można zachować minimalną informację, że dany adres nie życzy sobie już kontaktu, jeśli e‑sklep potrzebuje jej do wykazania przestrzegania obowiązków, ale i tu należy respektować zasadę minimalizacji.

Jeżeli e‑sklep wykorzystuje e‑mail również do wysyłania informacji transakcyjnych (potwierdzenie zamówienia, faktura, informacje o dostawie), jest to przetwarzanie na podstawie wykonania umowy lub obowiązku prawnego i zgoda nie jest do tego potrzebna. Nie oznacza to jednak, że do e‑maili transakcyjnych można dowolnie wstawiać treści marketingowe – wyraźne elementy marketingowe mogą prowadzić do wniosku, że faktycznie jest to e‑mail marketingowy, który powinien być oceniany według zasad marketingu bezpośredniego.

Prawnicy kancelarii prawnej ARROWS w praktyce często pomagają klientom ustawić treści zgód, formularze, procesy double opt‑in i stopki e‑maili tak, aby zminimalizować ryzyko sporu z klientem i z organem nadzorczym, a jednocześnie zachować ich funkcjonalność biznesową.

Prawa klientów: DSAR, usunięcie danych i przenoszalność

RODO przyznaje klientom szereg praw, które e‑sklep musi respektować i być gotowy realizować w ustawowych terminach (art. 12–22 RODO). Należą do nich zwłaszcza prawo dostępu do danych osobowych (art. 15), prawo do sprostowania nieprawidłowych danych (art. 16), prawo do usunięcia danych („prawo do bycia zapomnianym”, art. 17), prawo do ograniczenia przetwarzania (art. 18), prawo do przenoszenia danych (art. 20) oraz prawo do sprzeciwu wobec przetwarzania (art. 21), w szczególności wobec przetwarzania na potrzeby marketingu bezpośredniego.

Prawo dostępu pozwala klientowi żądać informacji o tym, jakie dane osobowe e‑sklep o nim przetwarza, w jakich celach, jakie są kategorie danych, komu dane są przekazywane i jak długo będą przechowywane (art. 15 RODO).

E‑sklep musi odpowiedzieć na takie żądanie bez zbędnej zwłoki, nie później niż w ciągu miesiąca od jego otrzymania, z możliwością przedłużenia tego terminu o kolejne dwa miesiące ze względu na złożoność lub liczbę żądań (art. 12 ust. 3 RODO). Musi przekazać kopię przetwarzanych danych, przynajmniej w zakresie rozsądnym i nienaruszającym praw osób trzecich.

Prawo do usunięcia danych pozwala pod pewnymi warunkami żądać usunięcia danych osobowych, na przykład jeśli nie są już potrzebne do celów, w których zostały zebrane, jeśli klient wycofał zgodę i nie istnieje inna podstawa prawna przetwarzania, lub jeśli dane były przetwarzane niezgodnie z prawem (art. 17 RODO).

Prawo do przenoszenia danych (art. 20 RODO) pozwala klientowi otrzymać dane osobowe, które e‑sklep przetwarza na podstawie zgody lub umowy w sposób zautomatyzowany, w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego, i ewentualnie przesłać je innemu administratorowi. W środowisku e‑sklepów nie jest to najczęstszy rodzaj żądania, ale na przykład w przypadku większych platform z programami lojalnościowymi lub rozbudowaną personalizacją konta użytkownika może mieć znaczenie.

Z praktyki kluczowe jest to, że żądania osób, których dane dotyczą (tzw. DSAR – Data Subject Access Requests), mogą wpływać różnymi kanałami – e‑mailem, przez infolinię, media społecznościowe lub czat. Personel e‑sklepu musi być przeszkolony, aby takie zgłoszenia rozpoznać, nie zbyć ich jako „reklamacji klienta” i przekazać je właściwej osobie lub działowi do załatwienia. Szkolenie prawne musi więc obejmować także praktyczne scenariusze: jak rozpoznać, że chodzi o żądanie na podstawie RODO, jak prawidłowo zareagować, jak zweryfikować tożsamość wnioskodawcy i jak wszystko udokumentować.

Prawnicy kancelarii prawnej ARROWS często ustalają z klientami także standardowe odpowiedzi, wewnętrzne workflow i szablony do obsługi DSAR, aby zminimalizować ryzyko błędów, opóźnień i późniejszych skarg do organu nadzorczego.

Bezpieczeństwo i zgłaszanie incydentów

RODO wymaga, aby administrator i podmioty przetwarzające wdrożyli odpowiednie środki techniczne i organizacyjne, zapewniające stopień bezpieczeństwa odpowiadający ryzyku, w tym pseudonimizację i szyfrowanie, zapewnienie dostępności i odporności systemów, szybkie przywrócenie po incydencie i regularne testowanie środków bezpieczeństwa (art. 32 RODO).

W środowisku e‑sklepu oznacza to nie tylko bezpieczne połączenie (HTTPS, TLS), szyfrowane bazy danych i regularne aktualizacje, ale także zarządzanie dostępem do panelu administracyjnego e‑sklepu, logowanie dostępów, oddzielenie środowiska produkcyjnego od testowego oraz szkolenie pracowników w zakresie bezpiecznego postępowania z danymi.

W przypadku naruszenia ochrony danych osobowych (tzw. incydentu bezpieczeństwa lub wycieku danych), które prawdopodobnie skutkuje ryzykiem naruszenia praw lub wolności osób fizycznych, administrator ma obowiązek bez zbędnej zwłoki – w miarę możliwości nie później niż w terminie 72 godzin od stwierdzenia naruszenia – zgłosić je właściwemu organowi nadzorczemu (art. 33 RODO).

W poważniejszych przypadkach, gdy ryzyko jest wysokie, należy poinformować także dotkniętych klientów (art. 34 RODO). Może to dotyczyć na przykład wycieku bazy klientów wraz z hasłami, danymi płatniczymi lub danymi osobowymi w połączeniu z informacjami wrażliwymi.

Incydenty bezpieczeństwa w e‑sklepach często powstają z powodu błędu ludzkiego – źle ustawionych danych dostępowych, współdzielenia dostępów między pracownikami, błędnie wysłanych e‑maili lub nieuwagi przy obchodzeniu się z danymi. Szkolenie prawne powinno wyjaśnić pracownikom, co może stanowić incydent bezpieczeństwa, jakie są wewnętrzne procedury jego zgłaszania, kto odpowiada za komunikację z urzędem i co grozi za zatajenie lub zbagatelizowanie incydentu.

Prawnicy kancelarii prawnej ARROWS pomagają klientom również w przygotowaniu i testowaniu planów reagowania na incydenty (incident response) oraz reprezentują ich przy faktycznym zgłaszaniu wycieków danych organom nadzorczym i dotkniętym klientom.

Szkolenie prawne jako narzędzie zarządzania ryzykiem w e‑commerce

RODO kładzie nacisk nie tylko na środki techniczne, ale również na środki organizacyjne, do których należą właśnie szkolenia i podnoszenie świadomości pracowników (art. 24 ust. 1, art. 32 ust. 4 RODO). W przypadku większych organizacji, które mają inspektora ochrony danych, RODO wyraźnie nakłada na IOD obowiązek zapewniania informowania i szkolenia osób uczestniczących w przetwarzaniu (art. 39 ust. 1 lit. b) RODO).

Nawet bez formalnego obowiązku powołania IOD bez regularnych szkoleń pracowników nie da się jednak długoterminowo utrzymać zgodności z RODO – większość incydentów powstaje nie z powodu „złego prawa”, lecz z powodu błędu ludzkiego, niezrozumienia lub nieznajomości procesów.

W środowisku e‑sklepu z danymi osobowymi pracuje się w zasadzie we wszystkich kluczowych działach: obsłudze klienta, marketingu, IT, logistyce, finansach i zarządzie. Każda z tych grup potrzebuje innego rodzaju informacji i innego poziomu szczegółowości. Obsługa klienta musi rozpoznać żądanie na podstawie RODO, wiedzieć, czego nie wolno przekazywać osobom trzecim przez telefon, i jak bezpiecznie weryfikować tożsamość rozmówcy.

Marketing musi rozumieć zasady dotyczące zgód, cookies, retargetingu i segmentacji. IT z kolei musi rozumieć, jak zmiany techniczne na stronie wiążą się z obowiązkami wynikającymi z RODO i jak prawidłowo ustawić logowanie, dostępy i szyfrowanie.

Wysokiej jakości szkolenie prawne musi więc być ustrukturyzowane i ukierunkowane. Zazwyczaj warto połączyć część ogólną, wyjaśniającą podstawowe zasady RODO, prawa osób, których dane dotyczą, i sankcje, ze specjalistycznymi modułami dla poszczególnych zespołów. Dla kierownictwa ważny jest przegląd ryzyk, odpowiedzialności, kosztów compliance i strategii włączenia RODO do ogólnego ładu korporacyjnego firmy.

Dla marketingu natomiast praktyczne przykłady treści zgód, banerów cookies i formularzy newsletterowych, w tym tego, jakie ustawienia narzędzi są z punktu widzenia RODO jeszcze akceptowalne, a gdzie zaczyna się strefa ryzyka.

Prawnicy kancelarii prawnej ARROWS w praktyce kładą nacisk na to, aby szkolenie nie było czysto teoretycznym wykładem przepisów, lecz opierało się na rzeczywistych scenariuszach Państwa e‑sklepu. Zazwyczaj przed szkoleniem proszą o podstawowe informacje o wykorzystywanej platformie, narzędziach analitycznych i marketingowych, strukturze zespołu marketingowego i planowanych kampaniach. Na tej podstawie omawiają podczas szkolenia konkretne sytuacje: na przykład jak legalnie zbierać adresy e‑mail w konkursach, jak pracować z grupami remarketingowymi, jak bezpiecznie udostępniać dane agencji lub jak ustawić przechowywanie danych w systemie CRM, aby odpowiadało zasadzie ograniczenia przechowywania.

Właściwie zaprojektowane szkolenie jest również istotnym środkiem dowodowym w ewentualnym sporze lub kontroli. Jeżeli są Państwo w stanie wykazać, że pracownicy odbyli szkolenie, otrzymali wewnętrzne wytyczne, wyjaśniono im kluczowe obowiązki i umożliwiono zadawanie pytań, jest bardziej prawdopodobne, że organ nadzorczy lub sąd oceni Państwa ogólne podejście jako odpowiedzialne, nawet jeśli doszło do jednostkowego błędu pracownika. Kancelaria prawna ARROWS jest ubezpieczona od szkód do kwoty 350 000 000 CZK (ok. 14,4 mln EUR) i właśnie dzięki takiemu połączeniu wiedzy, doświadczenia i zdolności ubezpieczeniowej wiele e‑sklepów wybiera jej prawników jako długoterminowych partnerów w zakresie RODO i powiązanych regulacji.

Jak ustawić procesy i dokumentację po szkoleniu

Szkolenie ma sens tylko wtedy, gdy następuje po nim dostosowanie wewnętrznych procesów, dokumentacji i umów. RODO wymaga, aby administrator prowadził rejestr czynności przetwarzania (art. 30 RODO), zwłaszcza jeśli zatrudnia ponad 250 osób lub jeśli przetwarzanie nie ma charakteru sporadycznego, obejmuje szczególne kategorie danych lub stwarza ryzyko dla praw i wolności osób.

W praktyce większość e‑sklepów znajduje się w sytuacji, w której prowadzenie rejestru się opłaca, nawet jeśli ściśle rzecz biorąc nie byłoby obowiązkowe, ponieważ chodzi o systematyczne przetwarzanie dużych wolumenów danych klientów i danych marketingowych.

Rejestr czynności przetwarzania (Records of Processing Activities, ROPA) powinien zawierać informacje o celach przetwarzania, kategoriach osób, których dane dotyczą, i kategoriach danych, kategoriach odbiorców, przekazaniach do państw trzecich, okresach przechowywania i wdrożonych środkach bezpieczeństwa (art. 30 ust. 1 RODO). Dla e‑sklepu oznacza to na przykład odrębne opisanie przetwarzania związanego z zamówieniem, programem lojalnościowym, marketingiem, analityką, obsługą klienta czy realizacją praw osób, których dane dotyczą. Podczas szkolenia warto wyjaśnić całą koncepcję ROPA, a następnie z prawnikami kancelarii prawnej ARROWS praktycznie przejść przez to, jak taki dokument stworzyć i utrzymywać w aktualności, najlepiej we współpracy działu prawnego, IT i handlowego.

Ważną rolę odgrywa również ocena skutków dla ochrony danych (Data Protection Impact Assessment, DPIA), która jest obowiązkowa zawsze, gdy dany rodzaj przetwarzania prawdopodobnie powoduje wysokie ryzyko naruszenia praw lub wolności osób, których dane dotyczą (art. 35 RODO). W e‑commerce może to dotyczyć zwłaszcza profilowania klientów na dużą skalę, zautomatyzowanego podejmowania decyzji o istotnych skutkach, korzystania z monitoringu wizyjnego w magazynach lub szeroko zakrojonego śledzenia zachowań użytkowników na stronie. DPIA ma zidentyfikować ryzyka, ocenić ich wagę i prawdopodobieństwo oraz zaproponować środki ograniczające je do akceptowalnego poziomu.

Nie mniej ważne są ramy umowne z dostawcami, którzy przetwarzają dane osobowe w imieniu e‑sklepu – typowo firmami hostingowymi, dostawcami platform e‑commerce, bramkami płatniczymi, firmami logistycznymi, agencjami marketingowymi, dostawcami narzędzi do newsletterów, chmurowych systemów CRM i platform analitycznych. RODO wymaga, aby przetwarzanie odbywało się na podstawie umowy lub innego instrumentu prawnego (tzw. umowy powierzenia przetwarzania zgodnie z art. 28 RODO), który określa przedmiot i czas trwania przetwarzania, charakter i cel, rodzaj danych osobowych, kategorie osób, których dane dotyczą, oraz obowiązki i prawa administratora.

Umowa musi również zapewniać, że podmiot przetwarzający wdroży odpowiednie środki techniczne i organizacyjne, będzie przetwarzał dane wyłącznie na polecenie administratora, będzie pomagał w realizacji praw osób, których dane dotyczą, oraz w obsłudze incydentów, a po zakończeniu świadczenia usług usunie lub zwróci dane.

Szkolenie prawne powinno wyjaśnić uczestnikom różnicę między administratorem a podmiotem przetwarzającym, co oznacza współadministrowanie (art. 26 RODO) i kiedy warto zawierać tzw. data sharing agreements, na przykład między różnymi spółkami w ramach grupy. Po szkoleniu warto przeprowadzić audyt kluczowych umów z dostawcami i aneksów, zrewidować wzory umów powierzenia i ustalić jednolitą procedurę oceny nowych dostawców (vendor due diligence) – w tym obszarze prawnicy kancelarii prawnej ARROWS często współpracują także z zespołami bezpieczeństwa IT i działami compliance.

Niezbędnym elementem wdrożenia RODO w e‑sklepie jest także polityka przechowywania i usuwania danych (data retention policy), której w praktyce często brakuje lub która jest czysto formalna. Prawidłowo ustawiona polityka określa, jak długo przechowuje się poszczególne kategorie danych (na przykład zamówienia, reklamacje, kontakty marketingowe, logi ze strony, zapisy obsługi klienta) i w jaki sposób po upływie terminu dane są usuwane lub anonimizowane. Konieczne jest także zharmonizowanie tych terminów z innymi przepisami (na przykład podatkowymi i księgowymi, terminami reklamacji i dochodzenia roszczeń) oraz z praktycznymi potrzebami biznesu, na przykład analizą zachowań klientów w czasie.

Kolejnym kluczowym procesem jest obsługa żądań osób, których dane dotyczą, i incydentów bezpieczeństwa. Warto mieć wewnętrzną instrukcję lub SOP (standard operating procedure), która określa, kto przyjmuje żądania, jak są ewidencjonowane, jak weryfikuje się tożsamość wnioskodawcy, jaki jest maksymalny termin odpowiedzi i kto zatwierdza ewentualną odmowę.

Podobnie e‑sklep powinien mieć plan kryzysowy na wypadek incydentów bezpieczeństwa, obejmujący jasny łańcuch komunikacji, procedurę eskalacji, przygotowane wcześniej szablony zgłoszeń do organu nadzorczego i powiadomień dla osób dotkniętych oraz sposób późniejszej oceny zdarzenia i wyciągnięcia z niego wniosków.

Częścią wdrożenia po szkoleniu jest również stworzenie lub aktualizacja wewnętrznych instrukcji, kodeksu postępowania w zakresie pracy z danymi, podręczników pracy z konkretnymi narzędziami (CRM, e‑mailing, analityka) z perspektywy RODO oraz procesów wdrażania nowych pracowników, w tym obowiązkowego przeszkolenia przed uzyskaniem dostępu do danych osobowych. Kancelaria prawna ARROWS często oferuje klientom połączenie szkolenia, przygotowania instrukcji, przeglądu umów i bieżącego zewnętrznego doradztwa prawnego, aby e‑sklep nie musiał rozwiązywać każdego problemu ad hoc, lecz miał długoterminowe i systematyczne wsparcie.

Wymiar międzynarodowy, czeska specyfika i nowe trendy

RODO jest bezpośrednio stosowane we wszystkich państwach członkowskich UE, w tym w Republice Czeskiej, ale jednocześnie pozwala poszczególnym państwom uregulować niektóre kwestie w ustawach krajowych. W czeskich realiach podstawowym aktem uzupełniającym jest czeska ustawa o przetwarzaniu danych osobowych (ustawa nr 110/2019 Sb., z późniejszymi zmianami), która wdraża niektóre elastyczne elementy RODO i reguluje m.in. pozycję i uprawnienia ÚOOÚ.

Dla e‑sklepów ważne jest również śledzenie czeskiego orzecznictwa i stanowisk ÚOOÚ, zwłaszcza w zakresie cookies, marketingu i monitoringu pracowników, ponieważ mogą one konkretyzować, jak ogólne zasady RODO są stosowane w praktyce.

Z perspektywy międzynarodowej dla e‑sklepów kluczowe jest to, że RODO dotyczy również podmiotów spoza UE, jeżeli oferują towary lub usługi osobom w UE lub monitorują ich zachowanie (art. 3 ust. 2 RODO). Ma to duże znaczenie praktyczne na przykład przy korzystaniu z zagranicznych usług chmurowych, narzędzi analitycznych, platform reklamowych lub systemów CRM, które mogą mieć serwery poza UE.

Przekazywanie danych osobowych do państw trzecich jest zgodnie z RODO możliwe tylko wtedy, gdy zapewniony jest odpowiedni stopień ochrony (rozdział V RODO). Na przykład na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (adequacy decision), standardowych klauzul umownych (Standard Contractual Clauses – SCCs) lub innych odpowiednich zabezpieczeń.

Komisja Europejska wydaje decyzje stwierdzające odpowiedni stopień ochrony dla wybranych państw, terytoriów lub sektorów. Dalej także dla organizacji uczestniczących w szczególnych ramach (takich jak EU-US Data Privacy Framework dla certyfikowanych organizacji w USA), co upraszcza przekazywanie danych bez potrzeby dodatkowych zabezpieczeń.

W ostatnich latach przyjęto i zaktualizowano szereg decyzji stwierdzających odpowiedni stopień ochrony, w tym dla Zjednoczonego Królestwa po jego wystąpieniu z UE oraz dla Stanów Zjednoczonych w odniesieniu do organizacji uczestniczących w szczególnych ramach ochrony prywatności (EU-US Data Privacy Framework). Dla e‑sklepu korzystającego z zagranicznych narzędzi ważne jest sprawdzenie, czy dany dostawca jest objęty którąś z tych decyzji, czy też konieczne jest zawarcie standardowych klauzul umownych i przeprowadzenie dodatkowej oceny ryzyka przekazania.

Prawnicy kancelarii prawnej ARROWS mają doświadczenie w organizowaniu takich międzynarodowych przekazań dla klientów z branży e‑commerce i mogą korzystać także z zaplecza sieci ARROWS International przy rozwiązywaniu aspektów transgranicznych.

Szczególną kwestią jest również przetwarzanie danych osobowych dzieci, zwłaszcza gdy e‑sklep jest skierowany do młodszych odbiorców lub oferuje usługi online, z których mogą korzystać dzieci. RODO stanowi, że do wyrażenia zgody na przetwarzanie w związku z oferowaniem usług społeczeństwa informacyjnego bezpośrednio dziecku wymagany jest wiek co najmniej 16 lat, przy czym państwa członkowskie mogą tę granicę obniżyć, ale nie poniżej 13 lat (art. 8 RODO).

W praktyce oznacza to, że jeśli e‑sklep kieruje ofertę do młodszych użytkowników, musi rozważyć, jak weryfikować wiek, jak formułować informacje w sposób zrozumiały dla dzieci i kiedy wymagana jest zgoda rodzica.

Wyraźnym trendem w ochronie prywatności jest wzmacnianie zasady minimalizacji danych i „privacy by design” w skali globalnej, nie tylko w UE (art. 25 RODO). Wiele nowych regulacji, na przykład w niektórych stanach USA, przejmuje zasadę, że zbieranie i wykorzystywanie danych osobowych musi być niezbędne i proporcjonalne do deklarowanych celów, a samo „odkliknięcie” warunków może nie wystarczyć. Dla e‑sklepów oznacza to, że strategia „zbierzmy jak najwięcej danych, może kiedyś się przydadzą” jest coraz bardziej ryzykowna zarówno z prawnego, jak i wizerunkowego punktu widzenia.

Kolejnym trendem jest rosnący nacisk na przejrzystość algorytmicznego podejmowania decyzji i profilowania, w tym prawo osób, których dane dotyczą, do niepodlegania decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, która wywołuje wobec nich skutki prawne lub w podobny sposób istotnie na nie wpływa (art. 22 RODO). W środowisku typowych e‑sklepów regulacja ta ma raczej marginalne znaczenie (na przykład przy zautomatyzowanym zatwierdzaniu większych zakupów, limitów kredytowych lub dynamicznym ustalaniu cen).

Wraz z rosnącym wykorzystaniem narzędzi AI do personalizacji, systemów rekomendacyjnych i scoringu klientów można oczekiwać, że znaczenie tej części RODO będzie rosło. Niepewność i koszty compliance odczuwają zwłaszcza małe i średnie przedsiębiorstwa, które często lekceważą lub odkładają inwestycje w ochronę danych osobowych, obawiając się, że nie stać ich na wyspecjalizowane zespoły ani drogie technologie. Analizy pokazują jednak, że rozsądna inwestycja w podstawowe ustawienia prawne, szkolenia i procesy jest w dłuższej perspektywie tańsza niż usuwanie skutków incydentów, kar i sporów.

Prawnicy kancelarii prawnej ARROWS często pracują więc z klientami etapami – od wstępnego audytu i szkolenia, przez priorytetyzację działań, aż po stopniowe „dopracowywanie” szczegółów – tak, aby compliance było osiągalne także dla mniejszych e‑sklepów bez własnego działu prawnego.

Podsumowanie

Prawidłowe ustawienie pracy z danymi osobowymi w e‑sklepie zgodnie z RODO nie jest jednorazową czynnością, lecz ciągłym procesem, który zaczyna się od zrozumienia podstawowych zasad i podstaw prawnych przetwarzania, przechodzi przez ustawienia techniczne i umowne, a kończy na codziennej praktyce pracowników, którzy pracują z danymi.

Dla przedsiębiorców, inwestorów i kierownictwa e‑sklepów kluczowe jest postrzeganie RODO jako elementu zarządzania ryzykiem – źle ustawione zgody, cookies lub procesy bezpieczeństwa mogą prowadzić do wysokich kar, sporów sądowych, zablokowania działań marketingowych, a także poważnej szkody wizerunkowej.

Szkolenie prawne skierowane bezpośrednio do e‑sklepów jest skutecznym sposobem na połączenie perspektywy prawnej, IT i marketingowej oraz stworzenie wspólnych ram dla codziennych decyzji dotyczących danych. Nie wystarczy jednak jednorazowe seminarium; szkolenie powinno być powiązane z audytem stanu obecnego, dostosowaniem dokumentacji, ustawieniem procesów i regularnym przeglądem w reakcji na zmiany w biznesie, technologiach i przepisach.

Kancelaria prawna ARROWS ma doświadczenie w zakresie RODO i e‑commerce w kontekście czeskim i międzynarodowym, jest ubezpieczona od szkód do kwoty 350 000 000 CZK, a dzięki sieci ARROWS International potrafi wesprzeć także klientów prowadzących działalność transgraniczną. Jeżeli nie chcą Państwo ryzykować błędów, szkód, opóźnień lub kar z powodu niewystarczającej ochrony danych osobowych w swoim e‑sklepie, bezpieczniej jest powierzyć przygotowanie szkolenia prawnego oraz powiązanych instrukcji i umów ekspertom. W razie zainteresowania indywidualną konsultacją lub przygotowaniem szkolenia dla Państwa zespołu mogą Państwo w każdej chwili zwrócić się do prawników kancelarii prawnej ARROWS za pośrednictwem e‑maila konsultacja@arws.cz.