Vybrané povinnosti prevádzkovateľov e-shopov pri spracúvaní osobných údajov

Každý prevádzkovateľ e-shopu má k dispozícii minimálne základné informácie o svojich zákazníkoch, a to meno, priezvisko, adresu zákazníka, prípadne doručovaciu adresu (ak je iná ako adresa zákazníka), e-mail zákazníka, jeho telefónne číslo alebo číslo účtu. Tieto údaje sú považované za osobné údaje.

Dňa 25. mája 2018 nadobudlo účinnosť Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe týchto údajov, ktorým sa zrušuje smernica 95/46/ES (ďalej len „nariadenie GDPR“).

Pravidlá v spracúvaní osobných údajov, ktoré prinieslo nariadenie GDPR sú pre niektorých prevádzkovateľov e-shopov úplnou novinkou.

Tento článok poukazuje na niektoré povinnosti prevádzkovateľov e-shopov pri spracúvaní osobných údajov podľa nariadenia GDPR.

Právne základy spracúvania osobných údajov v e-shope

Na to, aby prevádzkovateľ e-shopu mohol spracúvať osobné údaje zákazníkov (a nielen ich) musí, v súlade so zásadou zákonnosti, disponovať primeraným právnym základom.

V rámci prevádzkovania internetového obchodu dochádza k spracúvaniu osobných údajov zákazníkov a využitiu týchto právnych základov:

• Objednávka tovaru/služieb, ktorá vedie k uzavretiu kúpnej zmluvy – právnym základom takéhoto spracúvania osobných údajov zákazníkov je zmluva s dotknutou osobou podľa čl. 6 ods. 1 písm. b) nariadenia GDPR. Spracúvanie osobných údajov zákazníka v tomto prípade prebieha bez potreby súhlasu zákazníka, nakoľko právnym základom spracúvania jeho osobných údajov je práve konkrétna zmluva uzavretá na diaľku medzi zákazníkom a e-shopom.
• Marketingová komunikácia so zákazníkom e-shopu – ani v tomto prípade nie je potrebné získavať súhlas od zákazníka, nakoľko spracúvanie osobných údajov prebieha na základe oprávneného záujmu prevádzkovateľa podľa čl. 6 ods. 1 písm. f) nariadenia GDPR. Oprávnený záujem spočíva napríklad v informovaní zákazníka o novom tovare a službách daného e-shopu s cieľom podporiť ich predajnosť.
• Marketingová komunikácia s osobou, ktorá v e-shope ešte nenakúpila (bez predchádzajúceho právneho vzťahu) – v tomto prípade jeprávnym základom spracúvania osobných údajov súhlas dotknutej osoby podľa čl. 6 ods. 1 písm. a) nariadenia GDPR.
• Vernostný program, pričom právnym základom takéhoto spracúvania je súhlas dotknutej osoby.
• Spotrebiteľské súťaže, pričom právnym základom takéhoto spracúvania je aj v tomto prípade súhlas dotknutej osoby.

Získané osobné údaje môže prevádzkovateľ internetového obchodu spracúvať len na konkrétne vymedzený a výslovne uvedený legitímny účel. Spracúvanie osobných údajov spôsobom, ktorý je nezlučiteľný s takýmto účelom, je vylúčené. Vyplýva to zo zásady obmedzenia účelu.

Spracúvanie len nevyhnutných údajov

V zmysle zásady minimalizácie údajov je prevádzkovateľ e-shopu povinný spracúvať len také osobné údaje, ktoré sú nevyhnutné na dosiahnutie konkrétneho účelu spracúvania. V nadväznosti na účely a právne základy uvedené skôr ide najmä o tieto údaje:

• účel – uzavretie zmluvy (objednávka tovaru/služieb) – napr. titul, meno, priezvisko, adresa bydliska, adresa dodania tovaru, ak je iná ako adresa bydliska, e-mailová adresa, telefónne číslo, číslo bankového účtu, ak sa platba realizuje na účet,
• účel priamy marketing (bez ohľadu, na to, či je základom spracúvania oprávnený záujem prevádzkovateľa alebo súhlas dotknutej osoby) – titul, meno, priezvisko a e-mailová adresa,
• účel vernostný program – titul, meno, priezvisko, adresa bydliska alebo e-mailová adresa a prípadne ďalšie údaje (napr. v závislosti od toho, akým spôsobom sú poskytované výhody plynúce z vernostného programu),
• účel spotrebiteľská súťaž – zoznam spracúvaných osobných údajov závisí od podmienok súťaže uvedených v štatúte/pravidlách súťaže, o ktorých majú byť dotknuté osoby informované pred udelením súhlasu so spracúvaním ich osobných údajov na účel súťaže.

Informačná povinnosť prevádzkovateľa e-shopu

Prevádzkovateľ je povinný informovať dotknuté osoby o spracúvaní ich osobných údajov. K splneniu informačnej povinnosti musí dôjsť najneskôr v okamihu získania osobných údajov. Prevádzkovateľ e-shopu je povinný informačnú povinnosť plniť iniciatívne, nie až na žiadosť dotknutej osoby.

Prevádzkovateľ dotknutej osobe poskytuje informácie ustanovené v čl. 13 ods. 1 až 3 nariadenia GDPR, ak osobné údaje získal priamo od dotknutej osoby a podľa čl. 14 ods. 1 a 2 nariadenia, ak osobné údaje nezískal priamo od dotknutej osoby. Príkladom situácie, keď prevádzkovateľ e-shopu získa údaje od inej ako dotknutej osoby je