Jak napisać regulamin sklepu internetowego? – ochrona prywatności i danych osobowych

Czym są dane osobowe

Poprzez dane osobowe należy rozumieć wszelkie informacje dotyczące zidentyfikowania lub możliwej do zidentyfikowania osoby fizycznej.

Za dane osobowe należy uznać:

• imię,
• nazwisko,
• adres,
• telefon,
• miejsce: urodzenia, studiów i pracy,
• zainteresowania itp.

Administratorem danych jest organ, jednostka organizacyjna, podmiot, decydujący o celach i środkach przetwarzania danych. W handlu elektronicznym administratorem będzie najczęściej przedsiębiorca prowadzący sklep internetowy. Należy jeszcze wspomnieć, że poprzez przetwarzanie danych należy rozumieć jakiekolwiek operacje wykonane na tych danych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie, usuwanie.

Zobacz: Jakich błędów nie popełniać w komunikacji z mediami?

Administrator danych przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą. Jest obowiązany zapewnić, aby dane te były przetwarzane zgodnie z prawem.

Kiedy można przetwarzać dane?

Ustawa podaje okoliczności, w których przetwarzanie danych jest dopuszczalne. Wśród tych okoliczność wymienić należy:

1. gdy osoba, której dane dotyczą, wyrazi na to zgodę;
2. gdy jest to konieczne do realizacji umowy;
3. gdy jest to niezbędne dla wypełniania prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą.

W praktyce funkcjonowania sklepów internetowych najczęstszym celem przetwarzania danych będzie cel realizacji umowy. Przedsiębiorca chcąc zrealizować umowę musi uzyskać odpowiednie dane konsumenta, w tym: jego imię, nazwisko, adres, na który wyśle przesyłkę, telefon kontaktowy.

Inną sytuacją jest gdy przedsiębiorca chce wykorzystać dane w celach marketingowych. Również w tym przypadku dopuszczalne jest przetwarzanie danych (art. 32 ust. 4 w zw. z art. 32 ust. 1 pkt. 5). Jednakże gdy przedsiębiorca, chce złożyć konsumentowi propozycję zawarcia umowy posługując się telefonem, wizjofonem, telefaksem, pocztą elektroniczną, automatycznym urządzeniem wywołującym lub innym środkiem komunikacji elektronicznej może to zrobić wyłącznie za uprzednią zgodą konsumenta.

Oznacza to, że przedsiębiorca, który chce wysyłać na adres e-mail konsumenta propozycję zawarcia umowy zawsze musi uzyskać jego zgodę. Poprzez propozycję zawarcia umowy należy rozumieć ofertę, zaproszenie do składania ofert lub zamówień albo do podjęcia rokowań.

Zobacz: Czy warto komunikować się z mediami?

Co powinno znaleźć się w regulaminie

W przypadku zbierania danych osobowych od osoby, której dane te dotyczą, administrator danych jest obowiązany poinformować tę osobę o:

1. adresie swojej siedziby i pełnej nazwie
2. celu zbierania danych, a w szczególności o znanych mu w czasie udzielania informacji lub przewidywanych odbiorcach lub kategoriach odbiorców danych,
3. prawie dostępu do treści swoich danych oraz ich poprawiania,
4. dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej.

W związku z powyższym przykładowy zapis regulaminu dotyczący ochrony danych osobowych może wyglądać następująco:

1. Dane osobowe przekazywane przez Kupującego są przetwarzane przez sklep www.….pl z siedzibą we Wrocławiu przy ul. Wąskiej 01,
2. Dane osobowe są przetwarzane wyłącznie w celu realizacji umowy.
3. Jeśli kupujący wyrazi na to zgodę, dane są przetwarzane również w celu informowania o nowych produktach, usługach oraz promocjach oferowanych przez sklep www….pl.
4. Dane osobowe nie są udostępniane innym podmiotom dla celów marketingowych.
5. Kupujący ma prawo wglądu do swoich danych, żądania ich korekty lub uzupełnienia oraz ich usunięcia.

Każdej osobie przysługuje prawo kontroli przetwarzania danych, które jej dotyczą, zwartych w zbiorach danych. Jednym z praw kontrolnych jest prawo żądania uzupełnienia, uaktualnienia, sprostowania danych osobowych, czasowego lub stałego wstrzymania ich przetwarzania lub ich usunięcia, jeżeli są one niekompletne, nieaktualne, nieprawdziwe lub zostały zebrane z naruszeniem ustawy albo są już zbędne do realizacji celu, dla którego zostały zebrane.

Pan Marek kupił w sklepie internetowym nasiona doniczkowe odebrał je i zapłacił za nie umówioną cenę. Transakcja przebiegła pomyślnie. Po dokonaniu zakupu zwrócił się do sklepu internetowego aby ten usunął jego dane gdyż nie są one już niezbędne do realizacji celu, dla którego zostały zebrane. Czy sklep ma prawo odmówić usunięcia danych?

Celem zebrania danych w tym przypadku było skuteczne wykonanie umowy kupna-sprzedaży nasion doniczkowych. Rzeczywiście po dokonaniu tej transakcji dane nie są już niezbędne i powinny być usunięte zgodnie z żądaniem kupującego. Sklep nie ma prawa odmówić usunięcia danych.

Zobacz: Jak działa reklama partyzancka i jaki ma wpływ na użytkowników?

Obowiązek rejestracji zbioru danych

W tym miejscu należy również wskazać na generalną zasadę wynikający z art. 40 cytowanej ustawy o ochronie danych osobowych. Przepis ten stanowi, że administrator danych jest obowiązany zgłosić zbiór danych do rejestracji Generalnemu Inspektorowi. Inspektor ten prowadzi ogólnokrajowy, jawny rejestr. Każdy ma prawo go przeglądać. Od powyższej zasady ogólnej istnieją jednak wyjątki. 

Administrator nie musi rejestrować danych min. w sytuacji gdy dane przetwarzane są wyłącznie w celu wystawienia faktury, rachunku lub prowadzenia sprawozdania finansowego, gdy dane są powszechnie znane, gdy przetwarzane są w zakresie drobnych bieżących spraw życia codziennego. Zgodnie z powyższym, jeżeli sklep internetowy zbierając dane wykorzystuje je nie tylko w celach rozliczeniowych ale również np. w celach marketingowych powinien zarejestrować zbiór.

Sklep internetowy prowadzący działalność polegającą na sprzedaży sprzętu AGD zbiera dane klientów takie jak imię, nazwisko, adres e-mail, adres dostawy. Dane te wykorzystuje wyłącznie aby dostarczyć i rozliczyć towar. W przeciągu ostatnich lat zebrał pokaźny zbiór danych liczący kilka tysięcy pozycji. Czy musi rejestrować taki zbiór?
Nie. Wielkość zbioru nie ma znaczenia w tym przypadku, liczy się cel wykorzystania. Sklep ten wykorzystuje dane w celach rozliczeniowych w związku z tym nie musi rejestrować zbioru.

Ten sam sklep internetowy postanawia zbierać oprócz wymienionych danych również dane dotyczące wieku kupującego, wykształcenia, zainteresowań, miesięcznych dochodów itp. Czy w takim przypadku musi zarejestrować zbiór.
Tak. Celem zbierania powyższych danych jest działalność marketingowa. Sklep zbierający dane w tym celu powinien zarejestrować zbiór.
Rejestracji należy dokonać przed rozpoczęciem przetwarzania danych. Rejestracja jest bezpłatna można jej dokonać elektronicznie na stronie Generalnego Inspektora Ochrony Danych Osobowych www.giodo.gov.pl

Czym jest polityka prywatności

Często administratorzy danych osobowych przetwarzanych w Internecie umieszczają na stronie dokument nazywany polityką prywatności (ang. privacy policy). Praktyka ta pojawiła się w Stanach Zjednoczonych i na zachodzie Europy. Obecnie jest również stosowana przez polskich administratorów. Dokument ten ma za zadanie dokładnie poinformować osobę, której dane będą przetwarzane o wszystkich aspektach tego procederu. Mianowicie o tym jakie dane są zbierane, w jaki sposób są przetwarzane, jakie środki zabezpieczeń są stosowane, czy korzysta się z bezpiecznego, szyfrowanego połączenia HTTPS, certyfikatów SSL (Secure Socket Layer), również o sposobach instalowania plików cookies na komputerze użytkownika itp. Należy podkreślić, że zamieszczenie takiego dokumentu nie jest obowiązkowe, jednakże praktykę taką należy uznać za korzystną dla ochrony praw użytkowników Internetu.

Zobacz: Marketing partyzancki w e-biznesie – na czym to polega i czy się sprawdzi?

Podstawa prawna: Art. 1; 6; 7 pkt. 1, 2, 4, 5; 23; 24; 26; 32; 36; 40; 42 Ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, (Dz.U. z 1997 roku, Nr 133, poz. 883 ze zm.); art. 6 ustawy z dnia 2 marca 2000 r. o ochronie niektórych praw konsumentów oraz o odpowiedzialności za szkodę wyrządzoną przez produkt niebezpieczny, (Dz. U. Nr 22, poz. 271 ze zm.).

Marcin Grabowski
m1-grabowski@interia.pl
Autor jest prawnikiem, specjalizuje się w prawie Internetu, w szczególności w prawie handlu elektronicznego (e-handel) oraz w prawie autorskim