Zakupy online a ochrona danych osobowych — co sklepy internetowe muszą gwarantować klientom

Każde zamówienie w sklepie internetowym wiąże się z podaniem danych osobowych — imienia, nazwiska, adresu, numeru telefonu, adresu e-mail. Przy płatności online dochodzą do tego dane karty lub logowanie do bankowości. W dobie rosnącej liczby wycieków danych i phishingu warto wiedzieć, jakie obowiązki nakłada prawo na sklepy internetowe i jakie prawa przysługują klientom w zakresie ochrony ich danych.

Jakie dane sklep internetowy może zbierać?

Zasada minimalizacji danych, wynikająca z RODO (Rozporządzenie Ogólne o Ochronie Danych Osobowych), mówi jasno — sklep może zbierać tylko te dane, które są niezbędne do realizacji zamówienia. W praktyce oznacza to imię i nazwisko, adres dostawy, adres e-mail (do potwierdzenia zamówienia i komunikacji), numer telefonu (dla kuriera) oraz dane do faktury, jeśli klient o nią poprosi.

Sklep nie może wymagać podania danych, które nie mają związku z realizacją zamówienia — np. numeru PESEL, daty urodzenia czy numeru dowodu osobistego. Jeśli formularz zamówienia wymaga takich informacji, powinno to wzbudzić czujność kupującego.

Obowiązek informacyjny — co sklep musi Ci powiedzieć

Przed zebraniem danych osobowych sklep musi poinformować klienta o kilku kluczowych kwestiach. Przede wszystkim — kto jest administratorem danych (firma prowadząca sklep), w jakim celu dane są przetwarzane (realizacja zamówienia, marketing, analityka), na jakiej podstawie prawnej (umowa sprzedaży, zgoda, uzasadniony interes administratora), jak długo dane będą przechowywane, oraz jakie prawa przysługują osobie, której dane dotyczą.

Te informacje powinny znajdować się w polityce prywatności — dokumencie, który każdy sklep internetowy jest zobowiązany udostępnić na swojej stronie. Warto do niego zajrzeć przed pierwszym zamówieniem, zwłaszcza w mniej znanych sklepach.

Sklepy dbające o transparentność, takie jak UrbanCity.pl, publikują jasno sformułowaną politykę prywatności i informują klientów o przetwarzaniu danych już na etapie składania zamówienia.

Zgoda na marketing — kiedy jest wymagana?

Realizacja zamówienia nie wymaga zgody klienta na przetwarzanie danych — podstawą prawną jest tu wykonanie umowy sprzedaży. Zgoda staje się natomiast konieczna, gdy sklep chce wysyłać newslettery, powiadomienia o promocjach, spersonalizowane reklamy czy wiadomości SMS z ofertami.

Co istotne, zgoda na marketing musi być dobrowolna, konkretna i świadoma. Sklep nie może domyślnie zaznaczać checkboxa „Chcę otrzymywać newsletter” — klient musi sam podjąć tę decyzję. Ponadto wycofanie zgody powinno być równie łatwe jak jej udzielenie — wystarczy link „wypisz się” w stopce maila lub odpowiednia opcja w ustawieniach konta.

Cookies i śledzenie — co musisz wiedzieć

Niemal każdy sklep internetowy korzysta z plików cookies — małych plików tekstowych zapisywanych w przeglądarce użytkownika. Cookies dzielą się na niezbędne (np. zapamiętanie zawartości koszyka) i analityczno-marketingowe (np. śledzenie zachowań na stronie, remarketing w Google Ads czy Facebooku).

Od czasu wejścia w życie znowelizowanego prawa telekomunikacyjnego sklepy mają obowiązek uzyskać aktywną zgodę klienta na cookies inne niż niezbędne. W praktyce realizuje się to przez baner cookie z opcją zaakceptowania lub odrzucenia poszczególnych kategorii plików. Sklep, który automatycznie instaluje cookies marketingowe bez zgody użytkownika, narusza przepisy.

Prawo do usunięcia danych — „prawo do bycia zapomnianym”

Każdy klient sklepu internetowego ma prawo zażądać usunięcia swoich danych osobowych. Administrator (sklep) musi spełnić to żądanie, chyba że istnieje podstawa prawna do dalszego przetwarzania — np. obowiązek przechowywania dokumentacji podatkowej przez 5 lat.

W praktyce oznacza to, że sklep może usunąć konto klienta i dane kontaktowe, ale musi zachować dane dotyczące transakcji (faktury, paragony) przez okres wymagany przepisami podatkowymi. Żądanie usunięcia danych składa się zazwyczaj mailem do administratora lub przez formularz kontaktowy.

Na co zwracać uwagę jako kupujący?

Przed złożeniem zamówienia w nowym sklepie internetowym warto sprawdzić kilka rzeczy: czy strona ma certyfikat SSL (kłódka w pasku adresu), czy polityka prywatności jest dostępna i zrozumiała, czy baner cookies daje realny wybór (a nie tylko przycisk „akceptuję”), oraz czy sklep posiada regulamin zgodny z obowiązującymi przepisami.

Wybierając sprawdzone sklepy z ugruntowaną pozycją na rynku — jak chociażby UrbanCity.pl, który działa w branży odzieżowej od lat — minimalizujesz ryzyko związane z niewłaściwym przetwarzaniem Twoich danych.

Podsumowanie

Ochrona danych osobowych w e-commerce to nie abstrakcyjny temat „z Brukseli” — to zbiór konkretnych praw, które przysługują każdemu, kto robi zakupy w internecie. Prawo do informacji, prawo do wycofania zgody, prawo do usunięcia danych, wymóg minimalizacji zbieranych informacji — te zasady obowiązują każdy sklep, niezależnie od tego, czy sprzedaje odzież, elektronikę czy artykuły spożywcze. Świadomy konsument to bezpieczny konsument — a świadomość zaczyna się od znajomości swoich praw.