Dodałeś baner z cookies. Masz gdzieś w stopce politykę prywatności. Uznałeś, że to wystarczy.
Prawdopodobnie nie wystarczy.
Zgodność z RODO w e-commerce to nie jednorazowy checkbox - to ciągłe zobowiązanie prawne, które większość właścicieli sklepów realizuje źle, często nawet o tym nie wiedząc. I nie są to tylko teoretyczne zagrożenia. Od 2018 roku unijne organy nadzorcze nałożyły łącznie ponad 4 miliardy euro kar z tytułu naruszeń RODO. Małe sklepy też dostają kary.
Oto co tak naprawdę ma znaczenie - i gdzie większość sklepów po cichu odpada.
Co RODO tak naprawdę wymaga od Twojego sklepu
RODO przyznaje klientom z UE konkretne prawa dotyczące ich danych osobowych. Jako właściciel sklepu jesteś administratorem danych - co oznacza, że ponosisz odpowiedzialność prawną za sposób, w jaki dane są zbierane, przechowywane, przetwarzane i usuwane.
To nie tylko adresy e-mail. To też:
- zachowanie użytkowników śledzone przez narzędzia analityczne
- historia zakupów i dane płatności
- adresy dostawy przechowywane w systemie
- wszelkie dane przekazywane zewnętrznym narzędziom - platformom e-mail, sieciom reklamowym, systemom CRM
Jeśli którekolwiek z tych danych należy do osoby z UE - nawet jeśli Twój sklep działa poza Unią - RODO obowiązuje Cię tak samo.
7 miejsc, w których większość sklepów nie spełnia wymogów RODO
1. Baner cookies, który tak naprawdę nie zbiera zgody
Baner z napisem "Używamy plików cookie" i jednym przyciskiem "Akceptuję" nie jest zgodny z RODO. Użytkownik musi móc odrzucić niezbędne pliki cookie równie łatwo, jak je zaakceptować. Wstępnie zaznaczone checkboxy są nielegalne. Domniemana zgoda jest nielegalna.
Twój baner musi mieć:
- wyraźną opcję "Odrzuć wszystkie"
- szczegółowe ustawienia dla różnych kategorii cookies (analityczne, marketingowe, funkcjonalne)
- brak uruchamiania jakichkolwiek cookies przed wyrażeniem zgody
Większość popularnych implementacji banera cookies - łącznie z wieloma popularnymi wtyczkami - nie spełnia co najmniej jednego z tych warunków.
2. Polityka prywatności, która mówi za mało
Polityka prywatności to nie tylko formalność prawna. Zgodnie z RODO musi konkretnie informować użytkowników o tym:
- jakie dane zbierasz i w jakim celu
- jaka jest podstawa prawna przetwarzania każdego rodzaju danych
- jak długo przechowujesz dane
- komu udostępniasz dane - z wymienieniem podmiotów trzecich z nazwy
- jak użytkownicy mogą realizować swoje prawa (dostęp, usunięcie, przenoszenie danych)
"Możemy udostępniać Twoje dane zaufanym partnerom" to za mało. Musisz ich wymienić.
3. Brak procedury obsługi żądań podmiotów danych
RODO przyznaje klientom prawo do żądania dostępu do swoich danych, ich poprawienia lub usunięcia. Masz 30 dni na odpowiedź na takie żądanie.
Czy masz na to procedurę? Czy wiesz, gdzie dokładnie w Twoich narzędziach przechowywane są dane klientów? Czy możesz je wyeksportować lub usunąć na żądanie?
Większość sklepów nie ma jasnej odpowiedzi na żadne z tych pytań.
4. Narzędzia zewnętrzne, o których zapomniałeś
Każde narzędzie podłączone do Twojego sklepu - Google Analytics, Facebook Pixel, Klaviyo, Hotjar, live chat - potencjalnie przetwarza dane klientów z UE. Każde z nich wymaga:
- umowy powierzenia przetwarzania danych z dostawcą
- ujawnienia w polityce prywatności
- zgody tam, gdzie jest wymagana
Kiedy ostatni raz sprawdziłeś, jakie narzędzia faktycznie działają na Twoim sklepie?
5. E-mail marketing bez właściwej zgody
Wstępne zaznaczenie pola zapisu na newsletter przy kasie jest nielegalne w świetle RODO. Miękkie opt-iny ("składając zamówienie, wyrażasz zgodę na otrzymywanie e-maili marketingowych") są nielegalne. Zgoda musi być:
- dobrowolna
- konkretna
- świadoma
- jednoznaczna
Jeśli nie możesz udowodnić, kiedy i w jaki sposób subskrybent wyraził zgodę - to jest problem z compliance.
6. Przechowywanie danych bez końca
RODO wymaga usuwania danych osobowych, gdy nie są już potrzebne. Oznacza to, że konta klientów, dane zamówień i listy e-mailowe muszą mieć określoną politykę retencji.
Przechowywanie danych "na wszelki wypadek" nie jest podstawą prawną do ich zatrzymywania.
7. Brak SSL na każdej podstronie
Jeśli jakakolwiek strona Twojego sklepu - w tym kasa - ładuje się przez HTTP zamiast HTTPS, przesyłasz dane klientów bez szyfrowania. To nie tylko problem RODO. To fundamentalny błąd bezpieczeństwa.
Jak sprawdzić, czy rzeczywiście jesteś zgodny z RODO
Szczera odpowiedź brzmi: większość właścicieli sklepów tego nie wie. Zgodność z RODO nie jest widoczna z zewnątrz - żyje w Twoich konfiguracjach, umowach z dostawcami i wewnętrznych procesach.
Praktycznym punktem wyjścia jest audyt. Nie audyt prawny - te kosztują tysiące i trwają tygodniami. Audyt techniczny, który pokazuje co faktycznie dzieje się w Twoim sklepie: które cookies uruchamiają się przed wyrażeniem zgody, jakie dane trafiają do jakich narzędzi, czego brakuje w polityce prywatności i gdzie proces zakupowy stwarza ryzyko prawne.
Dokładnie to sprawdza QuoAudit - razem z problemami UX i konwersji, które kosztują Cię sprzedaż.
Podsumowanie
Zgodność z RODO to nie jednorazowe zadanie. To stan, który Twój sklep musi utrzymywać - a większość sklepów traci zgodność za każdym razem, gdy instalują nową wtyczkę, uruchamiają nową kampanię reklamową albo zmieniają dostawcę e-mail.
Sklepy, które dostają kary, to nie zawsze te, które zignorowały RODO. Często to te, które uznały że problem załatwiły - i nie sprawdziły ponownie.
Sprawdź, jak wygląda Twój sklep → Zamów QuoAudit