RODO w sklepie internetowym: co należy do strony, a co do firmy

Przy odbiorze prawie każdego sklepu pada to samo pytanie: „czy sklep jest zgodny z RODO?". Odpowiadamy wtedy, że sklep - owszem, jest przygotowany, ale zgodność z RODO nie jest cechą oprogramowania. Jest cechą firmy, która tym sklepem prowadzi sprzedaż. Brzmi to jak wykręt, więc zwykle od razu tłumaczymy, gdzie przebiega granica. Ten tekst jest rozwinięciem tamtego tłumaczenia.

Sedno jest takie: to, co kupujesz razem ze sklepem i dokumentami, to warstwa widoczna - polityka prywatności, polityka cookies, banner zgód, poprawnie zbudowane formularze. RODO w firmie to warstwa niewidoczna, której nie da się wgrać na serwer, bo dotyczy tego, jak Twoja firma obchodzi się z danymi na co dzień. Poniżej rozpisujemy obie.

Dlaczego „regulamin zgodny z RODO" to skrót myślowy

Zaczniemy od nazewnictwa, bo ono jest źródłem większości nieporozumień. Regulamin sklepu nie jest dokumentem RODO - dotyczy umowy sprzedaży: zamówień, płatności, dostawy, reklamacji, zwrotów. Kiedy sprzedawca dokumentów pisze „regulamin zgodny z RODO", w praktyce ma na myśli: do kompletu dołączona jest polityka prywatności i polityka cookies. Dokładnie te dwa dokumenty i nic więcej.

To ważne rozróżnienie, bo polityka prywatności jest opisem tego, co robisz z danymi - a nie mechanizmem, który cokolwiek chroni. Napisaliśmy w niej, że przechowujesz dane przez określony czas? Ktoś w firmie musi je faktycznie po tym czasie usuwać. Napisaliśmy, że przekazujesz dane firmie hostingowej? Musi istnieć z nią umowa powierzenia. Sama polityka tego nie załatwia - ona to tylko ogłasza.

Pisaliśmy już szerzej o tym, co składa się na stronę zgodną z prawem i jakie kary grożą za zaniedbania. Tu skupiamy się na jednym: rozdzieleniu odpowiedzialności między stronę a firmę.

Warstwa pierwsza: co konfiguruje się w sklepie

To jest część, którą realnie da się „zrobić" po stronie technicznej - i którą sprawdzamy przy każdym wdrożeniu.

Zgody i cookies

• Banner cookies, który naprawdę blokuje skrypty. Najczęstszy błąd, jaki widzimy przy przejmowaniu sklepów: okienko informuje o ciasteczkach, ale Google Analytics i piksel reklamowy startują przed kliknięciem czegokolwiek. Zgoda musi być uzyskana zanim skrypt się uruchomi, inaczej okienko jest dekoracją.
• Odrzucenie równie łatwe jak akceptacja. Jeśli „Akceptuję wszystkie" to duży przycisk, a odmowa wymaga wejścia w ustawienia i odklikania czterech suwaków, mechanizm jest wadliwy.
• Możliwość wycofania zgody w dowolnym momencie - najczęściej małą ikoną w rogu ekranu albo linkiem w stopce.
• Osobne checkboxy dla osobnych rzeczy. Akceptacja regulaminu to jedno, zgoda na newsletter drugie, zgoda na kontakt telefoniczny trzecie. Jeden zbiorczy checkbox „akceptuję regulamin i zgadzam się na marketing" jest wadliwy z definicji. Żaden z nich nie może być domyślnie zaznaczony.

Formularze i konta klientów

• Każdy formularz - kontaktowy, zapytanie o produkt, zapis do newslettera - z informacją, kto jest administratorem danych i odesłaniem do polityki prywatności.
• Zbieramy tylko dane faktycznie potrzebne. Pole „PESEL" w formularzu kontaktowym to nie przesada, tylko realny przypadek, na który trafiliśmy.
• Klient musi mieć jak usunąć konto i pobrać swoje dane. Jeśli usunięcie konta wymaga maila do obsługi, to też działa - pod warunkiem, że ktoś ten mail czyta i realizuje.

Bezpieczeństwo i dostępy

• HTTPS na całym sklepie, nie tylko na koszyku.
• Osobne konto w panelu dla każdej osoby, z uprawnieniami do tego, czego naprawdę potrzebuje. Jedno wspólne konto „admin", którego hasło zna pięć osób i były pracownik, uniemożliwia ustalenie, kto co zrobił.
• Odbieranie dostępów po zakończeniu współpracy - z panelu, poczty, FTP i narzędzi zewnętrznych. To jeden z najczęściej pomijanych punktów.
• Kopie zapasowe: kopia bazy sklepu to pełny zbiór danych klientów. Ma znaczenie, gdzie leży, kto ma do niej dostęp i jak długo jest trzymana. Kopia sprzed pięciu lat na czyimś dysku zewnętrznym to problem, nie zabezpieczenie.
• Aktualizacje oprogramowania - podstawowa higiena, która w RODO nazywa się „odpowiednimi środkami technicznymi".

Czas życia danych

Sklep gromadzi dane szybciej, niż ktokolwiek zauważa: konta bez logowania od pięciu lat, porzucone koszyki z adresami, logi serwera, historia newslettera, archiwum zamówień. Część z tych danych trzeba trzymać (zamówienia i faktury - ze względu na przepisy podatkowe), część powinna zniknąć znacznie wcześniej. Jeśli w polityce prywatności jest zdanie o okresie przechowywania, to gdzieś musi istnieć ustawienie albo procedura, która ten okres egzekwuje.

Warstwa druga: komu Twój sklep wysyła dane

To punkt, który zaskakuje najczęściej. Sklep internetowy nigdy nie działa sam - przy każdym zamówieniu dane wędrują do kilku firm naraz. Każde takie przekazanie wymaga podstawy, a często osobnej umowy.

Warto to raz przejść na spokojnie, bo lista odbiorców z polityki prywatności powinna odpowiadać temu, co faktycznie jest podpięte pod sklep. Jeżeli w zeszłym roku zmieniłeś operatora płatności albo dołożyłeś nowe narzędzie marketingowe, a polityka została ta sama - jest już nieaktualna.

Warstwa trzecia: to, czego nie da się wgrać na serwer

I tu wracamy do sedna. Poniższe rzeczy istnieją wyłącznie po stronie firmy i żaden wykonawca sklepu nie zrobi ich za Ciebie:

• Rejestr czynności przetwarzania - spis tego, jakie dane, w jakim celu i na jakiej podstawie przetwarzasz. To z niego bierze się treść polityki prywatności, a nie odwrotnie.
• Polityka ochrony danych i procedury - co robicie, gdy klient zażąda usunięcia danych, i co robicie, gdy dojdzie do wycieku (na zgłoszenie do urzędu są 72 godziny).
• Umowy powierzenia z podmiotami z tabeli powyżej.
• Upoważnienia dla pracowników i zobowiązania do poufności.
• Analiza ryzyka - uzasadnienie, dlaczego zastosowane zabezpieczenia są wystarczające.
• Klauzule informacyjne dla pracowników i kandydatów do pracy - polityka prywatności na stronie ich nie obejmuje.

Można to opisać jednym zdaniem: polityka prywatności jest menu, a dokumentacja RODO jest kuchnią. Menu można napisać ładnie i drogo, ale kontrola zawsze idzie na zaplecze. Jeśli chcesz to uporządkować, przygotowujemy dokumentację RODO - to osobna usługa niż komplet dokumentów na stronę, właśnie dlatego, że dotyczy zupełnie innej warstwy.

Pięć błędów, które widzimy najczęściej

1. Skrypty analityczne i reklamowe startują przed zgodą. Banner jest, zgody nie ma.
2. Polityka prywatności skopiowana z innego sklepu - razem z nazwą tamtej firmy i narzędziami, których ten sklep nigdy nie używał.
3. Brak umowy powierzenia z kimkolwiek, przy jednoczesnym wyliczeniu wszystkich tych podmiotów w polityce prywatności.
4. Jeden checkbox na wszystko - regulamin, newsletter i marketing w jednym zdaniu.
5. Dostępy do panelu, których nikt nie odebrał po zakończeniu współpracy z poprzednim wykonawcą, pracownikiem albo agencją.

Pierwsze cztery to kwestia konfiguracji i dokumentów. Piąty to kwestia nawyku - i akurat on najczęściej kończy się realnym incydentem.

Co dostajesz od nas, a co zostaje po Twojej stronie

Obie kolumny są potrzebne i żadna nie zastępuje drugiej. Sklep z bezbłędną konfiguracją i bez dokumentacji jest tak samo niekompletny, jak segregator dokumentów przy sklepie, który odpala piksel reklamowy przed zgodą.

Jeśli prowadzisz sklep i nie masz pewności, w którym miejscu jesteś - napisz do nas. Sprawdzamy konfigurację zgód i listę narzędzi podpiętych pod sklep zarówno w sklepach, które budujemy, jak i w tych, które trafiają do nas po kimś innym.

Tekst ma charakter informacyjny i nie zastępuje porady prawnej. Zakres obowiązków zależy od tego, jak działa konkretna firma.