Dane osobowe w zakupach online - co podlega RODO?

Podczas zakupów online podajemy imię, adres, telefon i e-mail, często nawet nie zastanawiając się, jak szeroko rozumiana jest ochrona tych informacji. Wyjaśniam, co to są dane osobowe, które informacje podlegają RODO, a także jak bezpiecznie przekazywać je sklepom, kurierom i operatorom płatności. Dodaję też praktyczne przykłady, prawa konsumenta oraz sytuacje, w których sprzedawca nie powinien żądać od nas więcej, niż naprawdę potrzebuje.

Co to są dane osobowe i jak rozumieć tę definicję

Najprościej mówiąc, dane osobowe to wszelkie informacje dotyczące zidentyfikowanej albo możliwej do zidentyfikowania osoby fizycznej. Nie chodzi wyłącznie o imię i nazwisko. Liczy się to, czy na podstawie jednej informacji lub kilku połączonych danych można ustalić, o kogo chodzi.

Identyfikacja może być bezpośrednia, na przykład przez numer PESEL, albo pośrednia. Sklep może nie znać naszego nazwiska na podstawie samego numeru klienta, ale jeśli ma w systemie przypisany do niego adres, historię zakupów i numer telefonu, bez trudu ustali konkretną osobę. Właśnie dlatego definicja jest szeroka i zawsze trzeba patrzeć na kontekst oraz możliwość połączenia informacji.

Przepisy dotyczą osób fizycznych, czyli konkretnych ludzi. Sama nazwa spółki lub fundacji nie jest daną osobową, ale już imię, nazwisko i służbowy adres e-mail pracownika kontaktowego mogą podlegać ochronie. Podobnie wygląda sytuacja jednoosobowej działalności gospodarczej, gdzie dane firmy często prowadzą wprost do właściciela.

Nie każda informacja działa tak samo w każdej sytuacji

Ten sam element może być daną osobową dla jednej organizacji, a dla innej nie. Przykładowo, numer zamówienia wydrukowany na paragonie nie musi pozwolić przypadkowej osobie rozpoznać klienta. Dla sklepu, który ma przy nim adres dostawy i dane płatnika, jest już jednak częścią informacji o konkretnej osobie.

Nie ma też znaczenia, czy informacja jest publiczna. Publicznie dostępne imię, zdjęcie lub adres firmy nadal mogą być danymi osobowymi, jeżeli dotyczą rozpoznawalnej osoby. Umieszczenie danych w internecie nie odbiera ich właścicielowi prawa do prywatności.

Przykłady danych osobowych, które spotykamy na co dzień

W codziennym życiu najłatwiej rozpoznać dane osobowe po tym, że pozwalają skontaktować się z konkretnym człowiekiem albo przypisać mu określone działanie. Poniższe przykłady pokazują, dlaczego nie warto ograniczać tego pojęcia wyłącznie do dokumentów urzędowych.

Sam adres e-mail typu „kontakt@firma.pl” zwykle opisuje skrzynkę ogólną, a nie konkretną osobę. Inaczej będzie przy adresie zawierającym imię i nazwisko albo gdy wiadomo, że z danej skrzynki korzysta wyłącznie jeden pracownik. Techniczny charakter informacji nie oznacza automatycznie, że jest ona anonimowa.

Dane zwykłe i szczególne kategorie

RODO wyróżnia także szczególne kategorie danych, potocznie nazywane danymi wrażliwymi. Chodzi między innymi o informacje o zdrowiu, pochodzeniu rasowym lub etnicznym, poglądach politycznych, religii, przynależności związkowej, danych genetycznych, biometrii oraz życiu seksualnym i orientacji seksualnej.

Takie informacje podlegają silniejszej ochronie i w praktyce sklepu z prezentami zazwyczaj nie powinny być potrzebne do zwykłej sprzedaży. Jeżeli formularz zakupowy pyta o dane, które nie mają związku z wysyłką, płatnością ani obsługą reklamacji, traktuję to jako sygnał, by sprawdzić cel takiego żądania.

Dlaczego sklep potrzebuje danych przy zakupie prezentu

Sprzedawca potrzebuje pewnego zakresu informacji, aby przyjąć zamówienie, przygotować paczkę i rozliczyć transakcję. Zwykle są to imię i nazwisko, adres dostawy, e-mail lub telefon oraz dane potrzebne do płatności. Zakres może się zmienić, gdy prezent wysyłamy bezpośrednio do innej osoby.

W takim przypadku dane odbiorcy, na przykład jego imię i adres, są przetwarzane po to, by kurier mógł dostarczyć przesyłkę. Nie oznacza to jednak, że sklep powinien zbierać od odbiorcy dodatkowe informacje marketingowe. Do doręczenia paczki wystarczy to, co rzeczywiście jest potrzebne do wykonania usługi.

Realizacja zamówienia a zgoda marketingowa

Jedną z częstszych pomyłek jest przekonanie, że każda czynność sklepu wymaga osobnej zgody. Dane konieczne do zawarcia i wykonania umowy mogą być przetwarzane bez zgody marketingowej, ponieważ sklep musi obsłużyć zakup. Newsletter, reklamy dopasowane do zainteresowań i wiadomości promocyjne to odrębne cele.

Pole zgody na wysyłkę ofert powinno być dobrowolne i oddzielone od akceptacji regulaminu. Odznaczenie zgody marketingowej nie powinno blokować możliwości kupienia produktu. Z mojego doświadczenia wynika, że właśnie na stronach płatności najłatwiej przeoczyć dodatkowe zgody, dlatego przed kliknięciem sprawdzam wszystkie zaznaczone pola.

Sklep może przekazać część danych firmie kurierskiej, operatorowi płatności lub dostawcy systemu informatycznego. Taki odbiorca powinien mieć określoną rolę i otrzymać tylko dane potrzebne do konkretnego zadania. Nie oznacza to automatycznie, że każdy partner handlowy może używać informacji klienta do własnych kampanii reklamowych.

Przy zakupie warto też rozdzielić dane osobowe od informacji o samym produkcie. Jeśli chcesz lepiej ocenić, ile faktycznie płacisz za upominek, pomocne będzie wyjaśnienie dotyczące ceny netto i brutto. To temat finansowy, ale pozwala uniknąć podawania dodatkowych danych w formularzu tylko dlatego, że niejasno opisano sposób rozliczenia.

Jak bezpiecznie przekazywać dane podczas zakupów online

Bezpieczne zakupy nie polegają na tym, by nigdy nie podawać swoich danych. Chodzi raczej o świadome sprawdzanie, komu, w jakim celu i w jakim zakresie je przekazujemy. Sklep powinien wyjaśnić to w polityce prywatności lub klauzuli informacyjnej.

• Sprawdź nazwę sprzedawcy, dane kontaktowe i zasady zwrotu przed zapłatą.
• Podawaj tylko informacje potrzebne do dostawy, płatności i obsługi zamówienia.
• Nie przesyłaj skanu dowodu osobistego przez zwykły e-mail, jeśli nie ma wyraźnej podstawy i bezpiecznej procedury.
• Nie wysyłaj numeru PESEL sprzedawcy, który potrzebuje wyłącznie adresu do paczki.
• Używaj osobnego, silnego hasła do konta zakupowego i włącz dodatkowe zabezpieczenia, jeśli sklep je oferuje.
• Przed zapisem karty płatniczej sprawdź, czy ta funkcja jest naprawdę potrzebna.

Ostrożność ma szczególne znaczenie przy zakupach z mediów społecznościowych i mało znanych stron. Bardzo niska cena nie uzasadnia rezygnacji z podstawowych zasad bezpieczeństwa. Jeśli sprzedawca naciska na podanie danych niezwiązanych z zamówieniem albo prosi o przesłanie dokumentów bez wyjaśnienia, lepiej przerwać transakcję i poszukać innego kanału kontaktu.

Przeczytaj również: Zwrot Varlesca - Jak zrobić to dobrze i szybko odzyskać pieniądze?

Jakie prawa ma osoba, której dane dotyczą

Możesz zapytać administratora, jakie dane o Tobie posiada, w jakim celu je wykorzystuje i komu je udostępnia. W zależności od sytuacji przysługuje Ci także prawo do sprostowania danych, usunięcia ich, ograniczenia przetwarzania, przenoszenia oraz sprzeciwu wobec określonych działań, zwłaszcza marketingu bezpośredniego.

Odpowiedź na żądanie powinna co do zasady nadejść w ciągu miesiąca. Przy sprawach skomplikowanych termin może zostać przedłużony maksymalnie o kolejne 2 miesiące, ale administrator powinien poinformować o tym wcześniej i wyjaśnić przyczynę.

Usunięcie danych nie zawsze następuje od razu. Sklep może być zobowiązany do dalszego przechowywania części informacji przez okres wynikający z przepisów podatkowych, rachunkowych lub dotyczących dochodzenia roszczeń. Dlatego „prawo do bycia zapomnianym” nie oznacza bezwarunkowego usunięcia każdej informacji na żądanie.

Jeżeli potrzebujesz dokumentu potwierdzającego zakup, nie zakładaj, że sprzedawca zawsze wymaga numeru NIP. W praktyce przydatne jest sprawdzenie, jakie informacje powinna zawierać faktura dla osoby prywatnej, zanim przekażesz dane wykraczające poza rzeczywistą potrzebę rozliczenia.

Jak ocenić formularz sklepu przed kliknięciem „kupuję”

Przed finalizacją zamówienia robię krótką kontrolę, która zajmuje mniej niż minutę. Najpierw sprawdzam, czy każde pole ma sens w danym zakupie. Numer telefonu może być przydatny kurierowi, ale data urodzenia albo informacja o zainteresowaniach nie jest standardowo potrzebna do wysłania prezentu.

Drugi krok to rozdzielenie pól obowiązkowych od opcjonalnych. Gwiazdka przy polu nie oznacza jeszcze, że sklep ma prawo żądać dowolnej informacji. Jeśli nie rozumiem, po co dana rubryka jest potrzebna, szukam wyjaśnienia przy formularzu albo pytam obsługę przed zakupem.

Na końcu sprawdzam, czy zgody marketingowe nie są zaznaczone z góry oraz czy polityka prywatności wskazuje administratora, cele przetwarzania i podstawowe prawa klienta. Ten prosty nawyk jest moim zdaniem skuteczniejszy niż próba zapamiętania wszystkich przepisów.

Co sprawdzić, zanim dane zostaną zapisane na dłużej

Dane osobowe są częścią niemal każdego zakupu, ale nie powinny przejmować nad nim kontroli. Najważniejsze pytania są proste: czy wiem, kto jest administratorem, po co zbiera informacje i czy zakres danych pasuje do usługi?

Jeśli odpowiedź brzmi „tak”, podanie podstawowych danych do dostawy lub rozliczenia jest zwykle normalnym elementem transakcji. Jeśli formularz budzi wątpliwości, nie muszę działać pod presją promocji. Kilka minut poświęconych na sprawdzenie sprzedawcy może uchronić mnie przed niepotrzebnym ujawnieniem informacji, których później trudno się pozbyć.

Najkrótsza zasada brzmi więc tak: dane osobowe to nie tylko PESEL i dowód osobisty, lecz także informacje, które w połączeniu pozwalają rozpoznać człowieka. Świadomy klient nie unika wszystkich formularzy, tylko podaje minimum potrzebne do konkretnego zakupu i osobno decyduje o zgodach marketingowych.