RODO w sprzedaży na marketplace: obowiązki sprzedawcy wobec danych klientów

RODO obejmuje sprzedaż na marketplace, ponieważ sprzedawca otrzymuje dane osobowe kupujących i wykorzystuje je do obsługi transakcji. Odpowiada przy tym za własny zakres przetwarzania danych, niezależnie od obowiązków platformy.

Ten poradnik jest przeznaczony dla sprzedawców działających na Allegro, Amazonie oraz innych platformach e-commerce. Wyjaśnia podział ról, podstawy prawne, dokumentację, marketing, retencję danych i postępowanie po naruszeniu.

Czy RODO dotyczy sprzedawcy na marketplace?

Tak, RODO dotyczy każdego sprzedawcy przetwarzającego dane klientów w związku ze sprzedażą na marketplace. Rozporządzenie jest stosowane od 25 maja 2018 r.

Sprzedawca otrzymujący dane kupującego do realizacji zamówienia jest administratorem danych w swoim zakresie. Sam określa cele związane z wykonaniem transakcji, dokumentacją księgową, obsługą zwrotów oraz dochodzeniem roszczeń.

Platforma marketplace pozostaje osobnym administratorem danych przetwarzanych w ramach własnego serwisu. Odpowiada między innymi za prowadzenie kont użytkowników, działanie platformy oraz procesy wynikające z jej regulaminu.

Kurier co do zasady działa jako odrębny administrator w zakresie usługi przewozu. Otrzymuje dane adresata, ponieważ realizuje dostawę i odpowiada za własne operacje dotyczące przesyłki.

Podział odpowiedzialności nie oznacza, że platforma przejmuje obowiązki sprzedawcy. Każdy administrator danych odpowiada za własne cele, zakres danych, zabezpieczenia i komunikację z osobami, których dane dotyczą.

RODO nie zastępuje zasad dotyczących zwrotów, reklamacji ani informacji przed zakupem. Te zagadnienia opisuje osobno prawo konsumenckie na marketplace.

Jakie dane przetwarza sprzedawca i na jakiej podstawie?

Sprzedawca przetwarza dane potrzebne do zawarcia i wykonania transakcji, rozliczenia sprzedaży oraz ochrony roszczeń. Typowy zakres obejmuje imię, nazwisko, adres, numer telefonu, adres e-mail oraz zamówienie z jego szczegółami.

Podstawa prawna przetwarzania wynika z art. 6 ust. 1 RODO. Wykonanie umowy, wskazane w literze b, obejmuje realizację zamówienia, kontakt dotyczący dostawy oraz obsługę zwrotu.

Zgoda nie jest potrzebna do realizacji zamówienia. Realizacja zamówienia opiera się na wykonaniu umowy, ponieważ bez danych adresowych i kontaktowych sprzedawca nie zrealizuje uzgodnionego świadczenia.

Obowiązek prawny z litery c obejmuje przetwarzanie związane z księgowością i podatkami. Dokumenty księgowe zawierają dane wymagane dla ewidencji sprzedaży oraz rozliczeń z właściwymi organami.

Dane z dokumentów rozliczeniowych są przechowywane przez 5 lat, licząc od końca roku podatkowego.

Prawnie uzasadniony interes z litery f obejmuje między innymi ustalenie, dochodzenie i obronę roszczeń. Ta podstawa wymaga powiązania konkretnego zakresu danych z rzeczywistym interesem administratora.

Minimalizacja danych ogranicza zbierane informacje do zakresu odpowiadającego celowi. Sprzedawca nie gromadzi dodatkowych danych tylko dlatego, że kontakt z kupującym daje techniczną sposobność ich zapisania.

Retencja kończy się usunięciem albo anonimizacją danych. Dalsze przechowywanie wymaga istniejącego celu oraz właściwej podstawy przetwarzania.

Jakie obowiązki informacyjne i dokumenty ma sprzedawca?

Sprzedawca przekazuje klientowi informacje o własnym przetwarzaniu i prowadzi dokumentację opisującą operacje na danych. Obowiązek informacyjny wynika z art. 13 RODO.

Informacja identyfikuje administratora, cele, podstawy prawne, odbiorców danych, okresy przechowywania oraz prawa osoby. Obejmuje także dane kontaktowe administratora i źródła dotyczące wykonywania praw.

W sprzedaży marketplace informacja trafia do klienta przykładowo w wiadomości transakcyjnej albo w dokumentach sprzedaży. Treść odróżnia operacje sprzedawcy od procesów prowadzonych przez platformę.

Własny sklep internetowy publikuje te informacje głównie w polityce prywatności. Polityka prywatności opisuje wtedy całość przetwarzania danych, od formularza zamówienia po pliki cookies. Różnice organizacyjne między kanałami sprzedaży omawia poradnik marketplace czy własny sklep.

Dokumentacja wewnętrzna obejmuje opis celów, kategorii osób, zakresów danych, odbiorców, retencji oraz zabezpieczeń. Rejestr czynności przetwarzania porządkuje te informacje i stanowi standard bezpieczeństwa danych.

Wyjątki dotyczące prowadzenia rejestru czynności są w RODO ujęte wąsko. Sam niewielki rozmiar firmy nie przesądza automatycznie o braku dokumentacji.

Sprzedawca opisuje także zasady nadawania dostępu do danych, tworzenia kopii zapasowych oraz reagowania na żądania klientów. Dokumenty odpowiadają rzeczywistym procesom, systemom i podmiotom uczestniczącym w obsłudze zamówień.

Kiedy potrzebna jest umowa powierzenia przetwarzania?

Umowa powierzenia dotyczy podmiotu, który przetwarza dane w imieniu sprzedawcy i według jego udokumentowanych instrukcji. Podstawę tej relacji określa art. 28 RODO.

Podmiot przetwarzający, czyli procesor, to przykładowo integrator marketplace pobierający zamówienia do wspólnego panelu. Przed wyborem rozwiązania pomocne jest porównanie integratorów marketplace, uwzględniające przepływ informacji oraz dostęp do danych.

Powierzenie występuje również przy usługach takich jak zewnętrzny fulfillment, hosting, narzędzie mailingowe i biuro księgowe mające dostęp do danych klientów. Z takimi podmiotami zawiera się umowę powierzenia.

Umowa opisuje przedmiot i charakter operacji, kategorie danych, grupy osób oraz obowiązki stron. Reguluje także poufność, zabezpieczenia, dalszych podwykonawców, zwrot oraz usunięcie danych po zakończeniu usługi.

Sama nazwa usługi nie rozstrzyga roli podmiotu. Znaczenie ma faktyczny sposób działania, zakres instrukcji oraz samodzielność usługodawcy w ustalaniu celów przetwarzania.

Kurier zwykle nie jest procesorem sprzedawcy, ponieważ samodzielnie realizuje usługę przewozu jako odrębny administrator. Ta relacja zazwyczaj nie wymaga umowy powierzenia.

Czy dane klientów z marketplace służą własnemu marketingowi?

Dane klientów pozyskane przez marketplace nie służą własnemu marketingowi sprzedawcy poza platformą. Brakuje podstawy prawnej dla takiego wykorzystania, a regulaminy platform zakazują używania danych transakcyjnych w tym celu.

Adres e-mail albo numer telefonu udostępniony do dostawy pozostaje związany z obsługą konkretnego zamówienia. Dodanie tych danych do własnej bazy reklamowej oznacza odrębny cel przetwarzania.

Własny marketing wymaga odrębnej zgody zebranej we własnym kanale. Przykładem jest zapis do newslettera sklepu internetowego zawierający osobną, jednoznaczną decyzję odbiorcy.

Brak sprzeciwu klienta nie stanowi zgody. Zakup produktu również nie oznacza akceptacji wiadomości promujących kolejne oferty poza środowiskiem marketplace.

Komunikacja dotycząca płatności, dostawy, zwrotu albo reklamacji pozostaje obsługą umowy, a nie marketingiem. Treść i cel wiadomości rozstrzygają o jej charakterze, niezależnie od użytego narzędzia.

Sprzedawca rozdziela listy transakcyjne od baz marketingowych. Takie rozdzielenie ogranicza przypadkowe kampanie kierowane do osób, które przekazały dane wyłącznie przy zakupie.

Co robi sprzedawca przy naruszeniu ochrony danych?

Sprzedawca identyfikuje zdarzenie, ogranicza jego skutki, zabezpiecza dowody i ocenia ryzyko dla praw oraz wolności osób. Każde naruszenie trafia do wewnętrznej dokumentacji zdarzeń.

Naruszenie ochrony danych to utrata poufności, dostępności albo integralności danych osobowych. Przykłady obejmują wysłanie etykiety niewłaściwej osobie, przejęcie konta lub ujawnienie pliku z zamówieniami.

Zgłoszenie do Urzędu Ochrony Danych Osobowych, czyli UODO, następuje bez zbędnej zwłoki, jeżeli naruszenie rodzi ryzyko dla praw i wolności osób. Obowiązek wynika z art. 33 RODO.

Zgłoszenie naruszenia następuje nie później niż w ciągu 72 godzin po jego stwierdzeniu.

Opis dla organu wskazuje charakter zdarzenia, prawdopodobne konsekwencje, zastosowane środki oraz dane kontaktowe. Dokumentacja utrwala również przesłanki decyzji o zgłoszeniu albo jego braku.

Przy wysokim ryzyku dla praw i wolności osób sprzedawca zawiadamia także osoby objęte zdarzeniem. Reguluje to art. 34 RODO.

Komunikat przedstawia zdarzenie prostym językiem i wskazuje działania ograniczające skutki. W nietypowych przypadkach pomaga prawnik.

Jak wdrożyć RODO w sprzedaży marketplace krok po kroku?

Wdrożenie warto rozpocząć od mapy danych, systemów i usługodawców uczestniczących w sprzedaży. Następnie należy przypisać każdej operacji cel, podstawę prawną, okres retencji i osobę odpowiedzialną.

1. Spisz dane pobierane z Allegro, Amazona i pozostałych kanałów. Uwzględnij panele platform, pocztę, program księgowy, integrator, magazyn oraz system obsługi klienta.

2. Określ role wszystkich uczestników. Sprzedawca i platforma są odrębnymi administratorami, kurier zwykle działa samodzielnie, a integrator lub hosting mogą występować jako procesorzy.

3. Przygotuj informację zgodną z art. 13 RODO. Powinna opisywać faktyczne procesy sprzedawcy i trafiać do klienta w dostępnym kanale.

4. Załóż rejestr czynności, nawet gdy działalność jest niewielka. Rejestr warto aktualizować po dodaniu platformy, narzędzia, pracownika albo nowego celu przetwarzania.

5. Sprawdź umowy z procesorami. Umowa powierzenia powinna odpowiadać zakresowi usługi i wskazywać zasady korzystania z dalszych podwykonawców.

6. Ogranicz uprawnienia pracowników do zakresu zadań. Konta powinny być indywidualne, chronione silnym uwierzytelnianiem i odbierane niezwłocznie po zakończeniu współpracy.

7. Ustal harmonogram usuwania danych. Okresy trzeba powiązać z księgowością, roszczeniami, zwrotami oraz rzeczywistymi wymaganiami operacyjnymi.

8. Przygotuj procedurę naruszeń i prosty formularz zgłoszenia wewnętrznego. Zespół powinien wiedzieć, komu przekazać informację o błędnej przesyłce, utracie urządzenia lub przejęciu konta.

9. Oddziel marketing od obsługi transakcji. Dane z platformy nie powinny trafiać do newslettera bez odrębnej zgody zebranej we własnym kanale.

10. Przeglądaj procesy po każdej istotnej zmianie sprzedaży. Wdrożenie RODO w sklepie internetowym i na marketplace opiera się na tych samych krokach, różni się kanałem komunikacji z klientem. Szerszy plan operacyjny przedstawia poradnik jak sprzedawać na marketplace.

Najczęściej zadawane pytania o RODO w e-commerce

Kiedy zgoda na przetwarzanie danych jest zbędna?

Zgoda jest zbędna przy realizacji zamówienia i obsłudze zwrotu, ponieważ podstawą jest wykonanie umowy. Nie stanowi ona również podstawy dla księgowości, podatków ani przetwarzania związanego z dochodzeniem roszczeń.

O czym mówi artykuł 34 RODO?

Artykuł 34 RODO reguluje zawiadamianie osób o naruszeniu ochrony danych. Obowiązek powstaje przy wysokim ryzyku dla praw i wolności osób objętych zdarzeniem.

Czy sprzedawca na Allegro jest administratorem danych?

Tak, sprzedawca jest administratorem danych otrzymanych do realizacji własnych celów związanych z transakcją. Allegro pozostaje osobnym administratorem procesów prowadzonych w ramach platformy.

Czy mały sklep potrzebuje Inspektora Ochrony Danych?

Inspektor Ochrony Danych zwykle nie jest wyznaczany u typowego małego sprzedawcy marketplace. Kryteria obejmują regularne monitorowanie osób oraz przetwarzanie na dużą skalę szczególnych kategorii danych, a przypadki graniczne wymagają indywidualnej oceny.