Polityka prywatności sklepu internetowego

Polityka prywatności sklepu internetowego to temat, o którym stało się głośno w 2018 r., kiedy weszło w życie tzw. RODO. Wtedy to właściciele biznesów e-commerce zaczęli dostosowywać witryny do nowych przepisów. Powodem takich działań były poniekąd drakońskie kary finansowe, które przewidziano za niewdrożenie polityki prywatności. W tym artykule wyjaśnię Ci, czym owa polityka prywatności jest, jak ją napisać oraz co grozi za jej brak.

Co to jest polityka prywatności sklepu internetowego?

Polityka prywatności to dokument mający informować osoby odwiedzające Twój e-sklep o działaniach, które podejmujesz w związku ze zbieraniem ich danych osobowych. Musi on określać m.in., jakie dokładnie dane gromadzisz oraz w jaki sposób je przetwarzasz lub wykorzystujesz.

Jaka ustawa zobowiązuje do napisania polityki prywatności?

Nie ma jednego przepisu, który nakazywałby właścicielom sklepów internetowych wdrożenie polityki prywatności. Powiem więcej – w żadnym akcie prawnym związanym z obowiązkiem informowania użytkowników strony o zakresie przetwarzania ich danych nie znajdziesz sformułowania polityka prywatności. 

To od Ciebie zależy, jak nazwiesz dokument, którego celem jest wypełnienie obowiązków informacyjnych. Jednak przyjęło się określanie go mianem polityki prywatności i zapewniam Cię, że pliku o tej nazwie będzie szukał Twój Klient, zainteresowany sposobem przetwarzania jego danych.

Do przestrzegania obowiązku informacyjnego zobowiązują Cię trzy akty prawne:

• Rozporządzenie Parlamentu Europejskiego i Rady 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (zwane potocznie RODO).
• Ustawa z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną.
• Ustawa z dnia 16 lipca 2004 r. Prawo telekomunikacyjne.

Najważniejszy z tych aktów to RODO. Pozostałe dwie ustawy nie poruszają tematu obowiązku informacyjnego w tak szerokim zakresie, ale to nie oznacza, że można je całkowicie zignorować. Jeśli chcesz – możesz napisać trzy różne dokumenty, w których oddzielnie zrealizujesz obowiązki wynikające z tych trzech przepisów. Tylko po co? Skoro możesz zawrzeć wszystko w jednej polityce prywatności.

Polityka prywatności sklepu internetowego – czy jest obowiązkowa?

Z zasady polityka prywatności jest obowiązkowa na tych stronach, które gromadzą lub przetwarzają dane osobowe użytkowników. Ale… jako właściciel sklepu internetowego na pewno zbierasz i przetwarzasz dane osobowe użytkowników, nawet jeśli nie zdajesz sobie z tego sprawy. 

Istnieją różne interpretacje tego, jak daleko sięga zakres uznawania pozyskiwanych przez stronę internetową danych za dane osobowe. Najbezpieczniej jest więc, jeżeli każdy właściciel strony internetowej umieści na niej politykę prywatności – chyba, że ma pewność, że jego strona nie pozyskuje takich danych. Nie wymaga to dużej inwestycji, a pozwala zaoszczędzić czas spędzony na potencjalnym postępowaniu prowadzonym przez organ kontrolny i pieniądze na nałożonych karach za nieprawidłowe postępowanie. Chociażby w przypadku uznania danych pozyskanych z Google Analytics za dane osobowe. 

Pozyskiwanie danych osobowych ma na przykład miejsce podczas:

• zawierania i realizacji umowy (a skoro prowadzisz e-sklep, jest to przecież cel Twojego biznesu),
• korzystania z formularzy kontaktowych,
• zapisywania się do newslettera,
• dodawania opinii pod produktami czy komentowania wpisów na blogu,
• zapisywania Twojego IP podczas wizyty na stronie – adres IP także jest daną osobową.

Oczywiście nie jest to katalog zamknięty, ponieważ nie sposób wyliczyć wszystkich aktywności, które wiążą się ze zbieraniem danych osobowych. Podsumowując, można stwierdzić, że z pewnością każdy sklep internetowy wymaga polityki prywatności, ale bezpiecznie jest umieścić ją także na stronie internetowej.

Co wziąć pod uwagę, pisząc politykę prywatności?

Przepisy, co już ustaliliśmy, nie zobowiązują sklepów do posiadania polityki prywatności. Mówią tylko o spełnieniu obowiązku informacyjnego wobec osób, których dane przetwarzane są na stronie www. Najłatwiej jest tego jednak dokonać właśnie poprzez prawidłowo napisaną politykę prywatności. 

Przy tworzeniu polityki prywatności należy uwzględnić cel zbierania danych, metody ochrony prywatności, udostępnianie informacji podmiotom trzecim oraz prawa klientów dotyczące ich danych osobowych.

Co powinna zawierać polityka prywatności?

Napisanie polityki prywatności koniecznie trzeba poprzedzić analizą tego, w jaki sposób strona internetowa będzie gromadziła dane osobowe i jak je przetwarzała. Nie wolno zapomnieć o wtyczkach i narzędziach zbierających informacje o użytkownikach odwiedzających stronę. Do takich narzędzi należą m.in. Pixel Facebook’a czy Google Analytics. Polityka prywatności musi zawierać dokładne informacje, jakie dane gromadzą te narzędzia (np. wyświetlone podstrony) oraz w jaki sposób są one wykorzystywane.

Zważywszy na fakt, że jest to kwestia indywidualna, nie istnieje uniwersalny wzór polityki prywatności dla strony internetowej. Prawidłowo sporządzona polityka prywatności musi uwzględniać zarówno techniczne cechy strony, jak i spojrzenie biznesowe. Mogę przecież prowadzić sklep – tak jak i moja koleżanka. Obie będziemy gromadzić takie same dane osobowe użytkowników, ale wykorzystamy je w zupełnie innym celu. Polityka prywatności jest m.in. po to, aby osoba, która udostępni swoje dane, wiedziała, co się z nimi stanie.

Pokrótce, niezbędne elementy w polityce prywatności to:

• dane administratora,
• uwzględnienie prawa użytkownika do żądania dostępu do przetwarzanych danych, ich sprostowania, ograniczenia przetwarzania lub usunięcia,
• dane inspektora ochrony danych (o ile powołano taką osobę),
• zakres pozyskiwanych danych,
• sposób i okres przechowywania danych oraz sposób ich wykorzystywania.

Pliki cookies a polityka prywatności

Obowiązek informacyjny w zakresie plików cookies reguluje art. 173 ustawy Prawo telekomunikacyjne. Przepis mówi dosłownie o „przechowywaniu lub uzyskiwaniu dostępu do informacji”. Przekładając z prawniczego na zwykły język, chodzi właśnie o tzw. ciasteczka. Ustawa zobowiązuje administratora strony (czyli Ciebie – właściciela e-sklepu) do poinformowania odbiorcy o:

• celu używania cookies,
• możliwościach określenia warunków przechowywania lub uzyskiwania dostępu do informacji (tj. o możliwości akceptacji wszystkich plików cookies lub wyłączenia wybranych).

Co grozi za brak polityki prywatności w e-sklepie? 

Jeśli w ogóle nie realizujesz obowiązku informacyjnego (czyli nie masz polityki prywatności na stronie) lub robisz to, ale z naruszeniem przepisów, grozi Ci kara finansowa w wysokości do 4% obrotu z poprzedniego roku obrotowego (art. 83 ust. 5 RODO). 

Może Cię też zainteresować: Regulamin sklepu internetowego.