RODO w sklepie internetowym – obowiązki sprzedawcy w praktyce

RODO kojarzy się z wielostronicowymi dokumentami i karami w milionach euro. W małym sklepie internetowym sprowadza się jednak do kilku konkretnych zadań. Musisz wiedzieć, jakie dane zbierasz i po co. Jasno o tym poinformować. Zabezpieczyć te dane. I pozwolić klientom korzystać z ich praw. To wszystko.

Jakie dane zbierasz i na jakiej podstawie

Cel	Dane	Podstawa prawna	Czy potrzebna zgoda?
Realizacja zamówienia i dostawa	Imię, nazwisko, adres, e-mail, telefon	Umowa	Nie
Faktury i księgowość	Dane do faktury	Obowiązek prawny	Nie
Reklamacje i zwroty	Dane zamówienia	Obowiązek prawny / umowa	Nie
Konto klienta	Login, historia zamówień	Umowa (usługa elektroniczna)	Nie
Newsletter	E-mail	Zgoda	Tak
Analityka (np. GA4)	Identyfikatory cookies	Zgoda	Tak
Reklamy i remarketing	Identyfikatory cookies, piksele	Zgoda	Tak
Prośba o opinię po zakupie	E-mail	Prawnie uzasadniony interes (zwykle)	Zależy od formy

Zwróć uwagę, że do samej realizacji zamówienia zgoda nie jest potrzebna. Podstawą jest umowa. Checkbox „zgadzam się na przetwarzanie danych w celu realizacji zamówienia” jest więc zbędny, a czasem wręcz mylący.

Polityka prywatności

Musi zawierać: kto jest administratorem danych (Ty albo Twoja firma) i jak się z nim skontaktować; cele i podstawy prawne przetwarzania, takie jak w tabeli wyżej; odbiorców danych, czyli przewoźników, operatora płatności, hosting, platformę sklepową, biuro rachunkowe, narzędzia mailingowe i analityczne; informację o przekazywaniu danych poza EOG, jeśli korzystasz z narzędzi spoza UE, np. Google czy Meta; okres przechowywania danych dla każdego celu; prawa klienta, czyli dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw, cofnięcie zgody i skargę do Prezesa UODO; informacje o cookies i zarządzaniu zgodami; oraz informację o profilowaniu, jeśli je stosujesz.

Cookies

Cookies niezbędne, takie jak koszyk, logowanie czy zapamiętanie wyboru zgód, nie wymagają zgody. Analityczne i marketingowe uruchamiasz dopiero po zgodzie.

Baner musi pozwalać odrzucić zgody tak samo łatwo, jak je zaakceptować, np. przyciskami „Akceptuję” i „Odrzucam” obok siebie. Decyzję trzeba móc w każdej chwili zmienić, np. linkiem „Ustawienia cookies” w stopce. A jeśli korzystasz z Google Analytics albo Google Ads, potrzebujesz trybu zgody Google (Consent Mode v2), który przekazuje Google decyzję użytkownika.

Umowy powierzenia

Z firmami, które przetwarzają dane Twoich klientów w Twoim imieniu, zawierasz umowy powierzenia przetwarzania danych. Najczęściej to platforma sklepowa albo hosting, narzędzie do newslettera, biuro rachunkowe i system do obsługi zamówień i wysyłek, np. BaseLinker. Duzi dostawcy mają gotowe umowy do zaakceptowania w panelu albo w regulaminie usługi, więc zwykle zajmuje to kilka kliknięć.

Bezpieczeństwo

Minimum to certyfikat SSL w całym sklepie, silne hasła i logowanie dwuetapowe do panelu sklepu, poczty i narzędzi, regularne aktualizacje (szczególnie w WooCommerce), kopie zapasowe i dostęp do danych tylko dla osób, które go potrzebują.

Do tego plan na wypadek wycieku. Naruszenie ochrony danych zgłaszasz do UODO w ciągu 72 godzin, jeśli powoduje ryzyko dla osób, których dotyczy. Lepiej wiedzieć to wcześniej niż szukać tej informacji w panice.

Gdy klient pyta o swoje dane

Klient może poprosić o kopię swoich danych, ich usunięcie albo poprawienie. Odpowiadasz bez zbędnej zwłoki, co do zasady w ciągu miesiąca. Pamiętaj tylko, że nie musisz usuwać danych, które masz obowiązek przechowywać, np. faktur.

Dokumenty RODO, czyli politykę prywatności i informacje o cookies, najwygodniej przygotować razem z regulaminem, w generatorze od kancelarii e-commerce albo z prawnikiem. Zajrzyj do tekstu o tym, co musi zawierać regulamin sklepu, i do checklisty przed startem.