Regulamin sklepu po niemiecku - kiedy wystarczy tłumaczenie, a kiedy polski regulamin to za mało
czytaj więcej
Poradnik: RODO w sklepie internetowym
Najczęstsze zdanie, jakie słyszymy przy zamawianiu dokumentów: „potrzebuję regulaminu zgodnego z RODO". Brzmi to jak jedna, zamknięta sprawa - a w rzeczywistości chodzi o dwie zupełnie różne rzeczy, które łatwo pomylić, bo rynek nazywa je tak samo.
Regulamin sklepu i polityka prywatności to dokumenty dla klientów - publikujesz je na stronie, każdy może je przeczytać. RODO w firmie to dokumentacja wewnętrzna, której klient nigdy nie zobaczy, a o którą zapyta urząd, jeśli kiedykolwiek się u Ciebie pojawi. Jedno nie zastępuje drugiego, choć jedno wynika z drugiego. Poniżej wyjaśniamy, gdzie dokładnie przebiega ta granica.
Skąd bierze się to nieporozumienie
Samo określenie „regulamin zgodny z RODO" jest nieścisłe i nie jest to niczyja wina - tak po prostu mówi się na rynku. Regulamin sklepu w ogóle nie jest dokumentem RODO. Reguluje umowę sprzedaży: zamówienia, płatności, dostawę, reklamacje, prawo odstąpienia. Jego podstawą są Kodeks cywilny, ustawa o prawach konsumenta i ustawa o świadczeniu usług drogą elektroniczną. O danych osobowych mówi najwyżej jednym odesłaniem.
Kiedy sprzedawca dokumentów pisze „komplet zgodny z RODO", w praktyce znaczy to: do regulaminu dołączona jest polityka prywatności i polityka cookies. I tylko tyle. To dwa dokumenty informacyjne, opublikowane na stronie, adresowane do osób, które ją odwiedzają. Nie są całym RODO w firmie - są jego fasadą.
Jeśli interesuje Cię sam podział ról między regulaminem a polityką prywatności, opisaliśmy go osobno w tekście polityka prywatności i regulamin strony www - czym się od siebie różnią. Tutaj idziemy o poziom głębiej: co musi istnieć za polityką prywatności, żeby była prawdziwa.
Polityka prywatności to oświadczenie, nie system ochrony danych
Polityka prywatności realizuje obowiązek informacyjny z art. 13 i 14 RODO. Mówiąc prosto: masz obowiązek powiedzieć osobie, której dane zbierasz, co z nimi robisz. Dlatego prawidłowa polityka prywatności odpowiada między innymi na pytania:
- kto jest administratorem danych i jak się z nim skontaktować,
- w jakich celach dane są przetwarzane i na jakiej podstawie prawnej,
- komu dane są przekazywane (odbiorcy, podmioty przetwarzające, państwa trzecie),
- jak długo są przechowywane,
- jakie prawa ma osoba, której dane dotyczą - i jak z nich skorzystać,
- czy dochodzi do profilowania lub automatycznego podejmowania decyzji.
Zwróć uwagę na charakter tej listy. To wszystko są informacje o stanie faktycznym w Twojej firmie. Polityka prywatności niczego nie tworzy i niczego nie zabezpiecza - ona opisuje. Jest jak zeznanie podatkowe: sensowne tylko wtedy, gdy stoją za nim uporządkowane księgi. Deklaracja może być pięknie wypełniona, a i tak nic nie znaczy, jeśli nie odpowiada temu, co naprawdę zdarzyło się w firmie.
Sedno w jednym zdaniu: polityka prywatności jest wypadkową tego, co firma faktycznie robi z danymi. Najpierw ustala się, co firma robi - dopiero potem można to uczciwie opisać na stronie. Odwrotna kolejność daje dokument, który brzmi profesjonalnie i nie ma pokrycia w rzeczywistości.
Co składa się na RODO w firmie
RODO nie zawiera zamkniętej listy „dokumentów do posiadania". Zawiera zasadę rozliczalności (art. 5 ust. 2): musisz być w stanie wykazać, że przestrzegasz przepisów. Wykazać - czyli pokazać dowody. Dlatego w praktyce dokumentacja wygląda tak:
| Element | Z czego wynika | Po co realnie istnieje |
|---|---|---|
| Rejestr czynności przetwarzania (RCPD) | art. 30 ust. 1 RODO | Mapa całości: jakie dane, w jakim celu, na jakiej podstawie, jak długo, komu przekazywane. To z niego powstaje treść polityki prywatności. |
| Polityka ochrony danych (potocznie: polityka bezpieczeństwa) | art. 24 ust. 2 RODO | Zasady, których trzymają się ludzie w firmie - kto ma dostęp, jak się nadaje i odbiera uprawnienia, co wolno wynosić poza biuro. |
| Analiza ryzyka, w niektórych przypadkach ocena skutków (DPIA) | art. 32 i art. 35 RODO | Uzasadnienie, dlaczego zastosowane zabezpieczenia są adekwatne. Bez niej zdanie „stosujemy odpowiednie środki" jest gołosłowne. |
| Procedura postępowania przy naruszeniu | art. 33 i 34 RODO | Masz 72 godziny na zgłoszenie naruszenia do Prezesa UODO. Bez gotowej procedury ten czas zwykle zjada ustalanie, kto właściwie ma decydować. |
| Procedura realizacji praw osób | art. 15-22, art. 12 RODO | Na żądanie klienta („usuńcie moje dane") odpowiadasz co do zasady w miesiąc. Procedura mówi, kto to robi i jak się to dokumentuje. |
| Upoważnienia do przetwarzania i ich ewidencja | art. 29 RODO | Pracownik może przetwarzać dane wyłącznie na Twoje polecenie. Upoważnienie jest dowodem, że takie polecenie zostało wydane. |
| Umowy powierzenia | art. 28 ust. 3 RODO | Z każdym, kto przetwarza dane w Twoim imieniu: firmą hostingową, informatykiem, systemem mailingowym, agencją marketingową, biurem rachunkowym. |
| Klauzule informacyjne (pracownicy, kandydaci, kontrahenci) | art. 13 RODO | Polityka prywatności na stronie dotyczy klientów. Osoby po drugiej stronie - zatrudnieni i kandydaci - potrzebują własnych. |
Do tego dochodzą rzeczy, które nie są dokumentem, ale bez nich dokumentacja jest tylko papierem: przeszkoleni ludzie, kontrola dostępu do systemów, kopie zapasowe, usuwanie danych po upływie okresu przechowywania.
Trzy pułapki, w które wpadają sklepy
1
„Mam mniej niż 250 pracowników, więc rejestr mnie nie dotyczy"
To najczęściej powtarzany mit. Owszem, art. 30 ust. 5 RODO przewiduje wyłączenie dla podmiotów zatrudniających mniej niż 250 osób - ale nie stosuje się go, gdy przetwarzanie nie ma charakteru sporadycznego, może powodować ryzyko dla praw i wolności albo obejmuje dane szczególnych kategorii.
Sklep internetowy przetwarza dane klientów codziennie i w sposób ciągły - to definicja przetwarzania niesporadycznego. W praktyce wyjątek nie działa niemal nigdy w e-commerce, także w jednoosobowej działalności.
2
„Wpisaliśmy w politykę listę odbiorców, więc temat załatwiony"
Wymienienie w polityce prywatności firmy hostingowej, systemu do newslettera czy narzędzia analitycznego to dopiero poinformowanie klienta. Osobnym obowiązkiem jest umowa powierzenia z każdym z tych podmiotów (art. 28 RODO) - bez niej przekazujesz dane bez podstawy, mimo że uczciwie o tym napisałeś.
Uwaga na niuans: nie każdy odbiorca jest podmiotem przetwarzającym. Operator płatności i firma kurierska działają zwykle jako odrębni administratorzy - z nimi umowy powierzenia się nie zawiera. Rozstrzygnięcie, kto jest kim, to element porządkowania dokumentacji, nie kwestia gustu.
3
„Polityka prywatności jest z wzoru, więc na pewno pasuje"
Wzór opisuje typową sytuację. Problem pojawia się, gdy Twoja sytuacja typowa nie jest: wysyłasz newsletter, zbierasz opinie o produktach, prowadzisz program lojalnościowy, korzystasz z remarketingu, przechowujesz dane na serwerze poza Europejskim Obszarem Gospodarczym albo obsługujesz zamówienia przez zewnętrzną firmę.
Każda z tych rzeczy to osobny cel przetwarzania, z własną podstawą prawną i własnym okresem przechowywania. Jeśli nie ma ich w rejestrze, nie będzie ich też w polityce - a klient dostanie informację, która jest niepełna.
Co się dzieje, gdy różnica przestaje być teoretyczna
Są dwa momenty, w których widać, czy za polityką prywatności coś stoi.
Pierwszy to wyciek albo pomyłka. Wysłana do niewłaściwego adresata lista zamówień, zgubiony laptop, przejęte konto w panelu sklepu. Od chwili stwierdzenia naruszenia biegnie 72 godziny na zgłoszenie do Prezesa UODO - a jeśli ryzyko dla osób jest wysokie, trzeba też zawiadomić samych klientów. W tym czasie trzeba ustalić, jakie dane wyciekły, ilu osób dotyczą i jakie mogą być tego skutki. Firma, która ma rejestr czynności, odpowiada na te pytania w kilka godzin. Firma bez rejestru zaczyna od odtwarzania, gdzie w ogóle trzyma dane.
Drugi to kontrola. Urząd nie zaczyna od czytania polityki prywatności na stronie - zaczyna od żądania rejestru czynności, umów powierzenia, upoważnień i dowodów na to, jak realizowane są prawa osób. Warto też wiedzieć, że kary są rozdzielone: za brak rejestru czy brak umowy powierzenia grozi niższy pułap (do 10 mln euro lub 2% obrotu), za przetwarzanie bez podstawy prawnej i naruszenie praw osób - wyższy (do 20 mln euro lub 4% obrotu).
Polityka prywatności jest tym, co obiecujesz klientowi. Dokumentacja RODO jest dowodem, że jesteś w stanie tę obietnicę dotrzymać.
Od czego zacząć, jeśli masz dziś tylko dokumenty na stronę
Kolejność ma znaczenie i jest odwrotna od intuicyjnej.
- Krok 1. Spisz, co naprawdę robisz z danymi. Zamówienia, konta klientów, newsletter, formularz kontaktowy, opinie, reklamacje, rekrutacja, kadry. Każdy z tych obszarów to osobna czynność przetwarzania.
- Krok 2. Zrób listę wszystkich systemów i firm, które mają dostęp do tych danych - łącznie z informatykiem, biurem rachunkowym i agencją. Sprawdź, z kim masz podpisaną umowę powierzenia, a z kim nie.
- Krok 3. Ustal okresy przechowywania i sprawdź, czy ktokolwiek te dane po tym czasie usuwa. Konta sprzed dziesięciu lat i porzucone koszyki to realny problem, nie akademicki.
- Krok 4. Dopiero teraz przeczytaj swoją politykę prywatności i porównaj ją z tym, co wyszło z kroków 1-3. Jeśli się rozjeżdżają, poprawiaj politykę, nie rzeczywistość.
- Krok 5. Uzupełnij procedury - naruszenia, realizacja praw, upoważnienia - i przeszkol osoby, które mają dostęp do danych.
Jeśli chcesz, żeby zrobił to ktoś za Ciebie, zajmujemy się przygotowaniem dokumentacji RODO od strony praktycznej: rozmowa o tym, jak działa firma, potem komplet dokumentów dopasowany do tych odpowiedzi. Sprawdzamy też, czy Twoja obecna polityka prywatności i polityka cookies mówią prawdę o tym, co dzieje się w Twoim sklepie. Dla firm, które wolą oddać ten temat na stałe, prowadzimy też funkcję inspektora ochrony danych.
Krótkie podsumowanie
| Dokumenty na stronę | RODO w firmie | |
|---|---|---|
| Co to jest | Regulamin, polityka prywatności, polityka cookies | Rejestr czynności, polityka ochrony danych, procedury, umowy powierzenia, upoważnienia |
| Dla kogo | Dla klientów i użytkowników strony | Dla Ciebie, Twoich pracowników i - w razie potrzeby - dla urzędu |
| Gdzie się znajduje | Publicznie, na stronie | Wewnątrz firmy, nigdzie nie publikowane |
| Kiedy się przydaje | Zawsze - klient musi wiedzieć, na co się godzi | Przy naruszeniu, przy kontroli, przy żądaniu klienta, przy sporze |
| Co jest w cenie kompletu dokumentów | To | To jest osobne opracowanie |
Komplet dokumentów na stronę jest potrzebny i w większości sklepów jest pierwszym krokiem - ale to krok pierwszy, nie ostatni. Warto wiedzieć, co się kupiło, żeby nie odkryć różnicy w tym jednym tygodniu w roku, w którym naprawdę zaczyna mieć znaczenie.
Nie masz pewności, czy Twoja polityka prywatności opisuje to, co naprawdę dzieje się w Twoim sklepie?
Porozmawiajmy o Twojej dokumentacjiArtykuł ma charakter informacyjny i nie stanowi porady prawnej dla konkretnej sprawy. Zakres obowiązków zależy od modelu Twojej działalności - w razie wątpliwości skontaktuj się z nami.
