Twój sklep zbiera dane klientów każdego dnia. Adresy e-mail przy zamówieniu. Numery telefonów do wysyłki. Dane płatnicze. Adresy IP z analityki. Historię przeglądania z pikseli śledzących. Za każdą daną, którą zbierasz, idzie prawny obowiązek jej ochrony i poinformowania klientów, jak ją wykorzystujesz.
Tu wchodzą w grę polityka prywatności, zgoda na pliki cookie i RODO (GDPR). To nie tylko formalności. To zasady regulujące, jak zbierasz, przechowujesz i wykorzystujesz informacje o klientach. Błędy grożą karami, brakiem zaufania klientów i problemami prawnymi. Dobre wdrożenie buduje zaufanie do marki.
Większość osób prowadzących sklepy pomija prywatność, bo wydaje się nudna i skomplikowana. Jest skomplikowana. Ten artykuł pokazuje jednak, co naprawdę trzeba zrobić.
Czym jest RODO i kogo dotyczy
RODO (po angielsku GDPR, General Data Protection Regulation) to ogólne rozporządzenie o ochronie danych. To prawo Unii Europejskiej, które ustala zasady zbierania i wykorzystywania danych osobowych przez firmy. Jeśli masz choć jednego klienta w UE, RODO obowiązuje także Ciebie. Jeśli Twój sklep obsługuje jakiegokolwiek klienta w UE, musisz przestrzegać RODO.
RODO nie jest opcjonalne. To nie sugestia. Komisja Europejska nałożyła na firmy kary liczone w miliardach euro za jego naruszanie. Microsoft zapłacił 20 mln USD. Facebook zapłacił 5 mld USD. To ogromne firmy. Mały sklep internetowy może dostać niższe kary, ale zasada jest ta sama: naruszenia RODO są kosztowne.
Podstawowa zasada RODO jest prosta: klienci są właścicielami swoich danych. Ty tylko pożyczasz je na pewien czas. Musisz zapytać o zgodę przed ich zebraniem. Musisz wyjaśnić, co z nimi robisz. I musisz je usunąć, gdy klient o to poprosi.
Najważniejsze zasady RODO dla sklepów internetowych
Potrzebujesz zgody przed zebraniem danych
Nie możesz po prostu zbierać adresów e-mail, numerów telefonów ani żadnych danych osobowych bez wyraźnej zgody. Przy zamówieniu potrzebujesz jawnych pól wyboru do zaznaczenia, a nie zaznaczonych z góry. Jeśli klient odznaczy pole „Zgadzam się na wiadomości marketingowe”, nie możesz zapisać go na marketing. Potrzebujesz jego aktywnej, świadomej zgody.
Dotyczy to list marketingowych, śledzenia analitycznego i reklamowych plików cookie. Jeśli używasz Google Analytics, musisz poinformować klientów, że z niego korzystasz, i dać im możliwość odmowy. Jeśli używasz Facebook Pixel do retargetingu, potrzebujesz zgody, zanim piksel się uruchomi.
Musisz wyjaśnić, co robisz z danymi
Polityka prywatności to nie tylko dokument prawny. To komunikacja z klientami. Musisz wyjaśnić prostym językiem (nie żargonem prawniczym), jakie dane zbierasz, po co, jak długo je przechowujesz i kto ma do nich dostęp. RODO wymaga, by te informacje były „łatwo dostępne” i podane „jasnym i prostym językiem”.
Polityka prywatności ukryta za pięcioma kliknięciami albo napisana żargonem prawniczym nie spełnia standardu „jasnego i prostego” języka.
Musisz usuwać dane na żądanie
Klienci mają prawo zażądać usunięcia swoich danych. To „prawo do bycia zapomnianym”. Jeśli klient napisze e-mail z prośbą o usunięcie konta i danych, masz 30 dni na realizację. Nie możesz za to pobierać opłat. Nie możesz zignorować prośby. Musisz usunąć dane i potwierdzić, że ich nie ma.
Musisz zgłaszać naruszenia danych
Jeśli dane klientów zostaną naruszone lub skradzione, masz 72 godziny na zgłoszenie tego europejskim organom. Musisz też powiadomić poszkodowanych klientów. Nie możesz ukryć naruszenia ani liczyć, że nikt tego nie zauważy. Sam ten wymóg sprawił, że RODO jest kosztowne dla wielu firm, bo wymusza przejrzystość i odpowiedzialność. Najlepsze praktyki bezpieczeństwa przy zamówieniu znajdziesz w artykule jak zabezpieczyć finalizację zamówienia w sklepie internetowym.
Transfery danych wymagają zatwierdzonych mechanizmów
Jeśli przechowujesz dane klientów poza UE, musisz stosować zatwierdzone mechanizmy przekazywania. Ma to znaczenie, gdy operator płatności ma siedzibę w USA, korzystasz z poczty e-mail firmy z USA albo robisz kopie zapasowe w amerykańskim centrum danych. Nie możesz po prostu przenosić danych klientów z UE dokądkolwiek. Potrzebne są odpowiednie ramy prawne.
Czym jest polityka prywatności i dlaczego jej potrzebujesz
Polityka prywatności to dokument, który wyjaśnia, jak Twój sklep zbiera, wykorzystuje i chroni informacje o klientach. Wymaga jej RODO, wiele przepisów stanowych w USA i standardy branżowe. Bez niej łamiesz prawo, a klienci nie mają jak zrozumieć, jak postępujesz z ich danymi.
Polityka prywatności musi obejmować:
Jakie dane zbierasz
Wypisz każdy rodzaj danych, które gromadzisz. To oczywiste rzeczy, takie jak adresy e-mail i adresy wysyłki, ale też mniej oczywiste: adresy IP z serwera strony, pliki cookie z analityki, śledzenie zachowań i dane lokalizacyjne. Pisz konkretnie. Nie pisz po prostu „dane osobowe”. Napisz „adres e-mail, numer telefonu, adres wysyłki, historia zakupów i zachowanie podczas przeglądania”. Jeśli przyjmujesz płatności przez bramkę płatności, polityka prywatności musi wyjaśniać, jakie dane płatnicze obsługuje operator. Zobacz jak działają bramki płatności, by zrozumieć, jakie dane przepływają przez system płatności.
Jak je zbierasz
Zbierasz dane przez formularze, strony zamówienia lub pliki cookie? Przez kontakt z obsługą klienta lub zgłoszenia? Przez narzędzia analityczne lub piksele reklamowe? Opisz metody. Tu wspominasz o Google Analytics, Facebook Pixel, operatorze płatności i innych narzędziach, których używasz do zbierania danych.
Po co je zbierasz
Zbierasz adresy e-mail, by realizować zamówienia i wysyłać informacje o wysyłce. Zbierasz numery telefonów na potrzeby obsługi klienta. Zbierasz dane analityczne, by zrozumieć, jak odwiedzający korzystają ze strony. Używasz plików cookie, by zapamiętać klientów, żeby nie musieli logować się za każdym razem. Wyjaśnij biznesowy powód każdego rodzaju zbierania danych.
Jak długo je przechowujesz
Nie przechowujesz danych w nieskończoność. Musisz określić okresy przechowywania. Historię zakupów możesz trzymać 7 lat ze względów podatkowych i prawnych. Adresy e-mail możesz trzymać 3 lata po ostatnim zakupie na potrzeby marketingu. Zgłoszenia do obsługi możesz trzymać rok. Niezależnie od tego, jaka jest Twoja polityka przechowywania, podaj ją jasno.
Kto ma do nich dostęp
Jeśli używasz operatora płatności, ma on dostęp do danych płatniczych. Jeśli korzystasz z firmy kurierskiej, ma ona dostęp do adresów i może wykorzystać te informacje do doręczenia. Jeśli obsługę klienta zlecasz na zewnątrz, zespół wsparcia widzi imiona i adresy e-mail klientów. Wypisz wszystkie podmioty trzecie, które mogą zobaczyć dane klientów, i wyjaśnij dlaczego. Szczegóły dotyczące wysyłki znajdziesz w artykule jak skonfigurować wysyłkę w sklepie internetowym.
Jak je chronisz
Czy używasz certyfikatów SSL do szyfrowania danych w przesyłaniu? Czy wymagasz silnych haseł? Czy regularnie robisz kopie zapasowe? Czy szkolisz zespół z bezpieczeństwa danych? Opisz swoje środki bezpieczeństwa. Jeśli Twoje zabezpieczenia są słabe, napisz o tym mimo to, ale zobowiąż się do poprawy.
Prawa klientów
Na mocy RODO klienci mają prawo dostępu do swoich danych, ich poprawiania, usuwania i przenoszenia do innej usługi. Polityka prywatności musi mówić, jak z tych praw skorzystać. Podaj adres e-mail lub formularz kontaktowy, w którym klienci mogą poprosić o dostęp do danych lub ich usunięcie.
Zgoda na pliki cookie i śledzenie
Pliki cookie to małe pliki, które strony zapisują na komputerze klienta, by go zapamiętać. Służą do utrzymania logowania, zapamiętywania produktów w koszyku i śledzenia zachowania na różnych stronach.
RODO rozróżnia niezbędne i nieniezbędne pliki cookie. Niezbędne pliki cookie (np. koszyka lub sesji) nie wymagają zgody. Wszystko inne wymaga.
Niezbędne pliki cookie, które nie wymagają zgody
Pliki cookie koszyka są niezbędne, bo bez nich klienci traciliby koszyk przy każdym przejściu na nową stronę. Pliki cookie sesji, które utrzymują logowanie, są niezbędne. Pliki cookie bezpieczeństwa, które zapobiegają oszustwom, są niezbędne. Możesz ich używać bez pytania o zgodę, bo są wymagane do działania sklepu.
Nieniezbędne pliki cookie, które wymagają zgody
Analityczne pliki cookie (Google Analytics, narzędzia map cieplnych, analityka produktowa) nie są potrzebne do działania sklepu. Pomagają zrozumieć zachowania, ale sklep działa bez nich. Znajomość danych o odwiedzających przydaje się do optymalizacji, ale klienci powinni wyrazić zgodę, zanim zaczniesz ich śledzić. Marketingowe pliki cookie i piksele retargetingowe (Facebook Pixel, śledzenie konwersji Google Ads) zdecydowanie nie są niezbędne. Śledzą klientów w internecie, by pokazywać im reklamy. Wymagają wyraźnej zgody, zanim się uruchomią. Przegląd tego, czego można się nauczyć z analityki, znajdziesz w artykule jak wykorzystać analitykę do zrozumienia zachowań odwiedzających w sklepie.
Jak wdrożyć zgodę na pliki cookie
Potrzebujesz banera zgody na pliki cookie, który pojawia się, gdy klient po raz pierwszy odwiedza stronę. Baner musi wyjaśniać, jakich plików cookie używasz i po co. Powinien mieć co najmniej trzy opcje: Akceptuj wszystkie, Odrzuć nieniezbędne i Dostosuj. Akceptacja wszystkich powinna być jednym przyciskiem. Odrzucenie powinno być tak samo łatwe do kliknięcia (nie schowane w menu). Klienci powinni móc odmówić analitycznych i marketingowych plików cookie bez utraty możliwości zakupów.
Nie utrudniaj wyboru manipulacyjnymi sztuczkami, jak duży niebieski napis „Akceptuj” i malutki szary „Odrzuć”. To narusza RODO. Obie opcje muszą być tak samo widoczne i klikalne.
Możesz skorzystać z narzędzia do zgód na pliki cookie. Takie usługi obsługują baner, zgody na śledzenie i aktualizację preferencji. Kosztują, ale zmniejszają ryzyko prawne.
Prywatność w sklepach spoza UE
RODO to prawo UE, ale przepisy o prywatności istnieją wszędzie. Jeśli Twój sklep działa w Kalifornii, podlegasz CCPA (California Consumer Privacy Act). W Wirginii obowiązuje VDPA. Kanada ma PIPEDA. Brazylia ma LGPD. Australia ma APPs.
Te przepisy nie są identyczne z RODO, ale opierają się na podobnych zasadach: klienci są właścicielami swoich danych, trzeba pytać o zgodę, być przejrzystym i usuwać dane na żądanie.
Jeśli masz klientów w kilku regionach, nie możesz mieć jednej polityki prywatności, która działa wszędzie. Musisz przestrzegać najsurowszego przepisu, który Cię dotyczy. W większości sklepów jest to RODO, bo jest najbardziej rygorystyczne. Jeśli spełniasz wymagania RODO, prawdopodobnie spełniasz też większość innych przepisów o prywatności.
Regulamin a polityka prywatności
Polityka prywatności i regulamin to różne dokumenty o różnych celach.
Polityka prywatności opisuje, jak postępujesz z danymi: co zbierasz, po co, jak długo je przechowujesz i jak klienci mogą uzyskać do nich dostęp lub je usunąć.
Regulamin opisuje, jak klienci mogą korzystać ze sklepu: warunki płatności, zasady zwrotów, zasady refundacji, ograniczenia odpowiedzialności i czego klientom nie wolno. Klient może zaakceptować Twoje postępowanie z danymi (prywatność), ale nie zgadzać się z zasadą braku zwrotów (regulamin).
Potrzebujesz obu dokumentów. Szczegóły pisania regulaminu znajdziesz w artykule jak napisać regulamin sklepu internetowego.
Jak WEMASY pomaga w prywatności i zgodności z przepisami
Kreator stron WEMASY ma wbudowane szyfrowanie SSL dla wszystkich danych w przesyłaniu. Dane Twoich klientów są przechowywane na bezpiecznych serwerach z regularnymi kopiami zapasowymi. WEMASY pozwala też dodać politykę prywatności i banery zgody na pliki cookie bezpośrednio do strony, bez własnego kodu. Możesz ustawić, które pliki cookie są niezbędne, a które wymagają zgody, i pozwolić WEMASY obsłużyć proces zgody.
To nie zwalnia Cię z prawnego obowiązku posiadania jasnej polityki prywatności, ale ułatwia wdrożenie. Sprawdź, co zawiera Twój plan WEMASY.
Lista kontrolna prywatności dla Twojego sklepu
Przed startem przejdź przez tę listę:
Polityka prywatności
Czy na stronie jest polityka prywatności? Czy jest publicznie dostępna? Czy wyjaśnia, jakie dane zbierasz, po co, jak długo je przechowujesz i kto ma do nich dostęp? Czy zawiera dane kontaktowe do próśb o dostęp do danych? Nie kopiuj cudzej polityki prywatności. Ogólne polityki nie opisują Twoich konkretnych praktyk.
Zgoda na pliki cookie
Jeśli używasz analitycznych lub marketingowych plików cookie, czy masz baner zgody? Czy daje klientom prawdziwy wybór rezygnacji? Czy przycisk odrzucenia jest tak samo łatwy do kliknięcia jak przycisk akceptacji? Czy baner wyjaśnia, do czego służy każdy rodzaj plików cookie?
Niezbędne zabezpieczenia
Czy używasz SSL (HTTPS) w całym sklepie? Czy wymagasz silnych haseł? Czy masz plan na wypadek naruszenia danych? Czy regularnie robisz kopie zapasowe danych klientów?
Narzędzia zewnętrzne
Wypisz każde narzędzie, które obsługuje dane klientów: operatora płatności, firmę kurierską, usługę e-mail, platformę analityczną, narzędzie marketingowe, oprogramowanie do obsługi. Czy polityka prywatności wspomina o każdym z nich? Czy znasz ich polityki prywatności? Czy spełniają wymagania RODO lub lokalnych przepisów?
Proces usuwania danych
Jeśli klient napisze z prośbą o usunięcie danych, czy masz proces, by to zrobić? Czy wiesz, jak usunąć dane z systemu sklepu, od operatora płatności, z usługi e-mail i innych narzędzi? Potrzebujesz udokumentowanego procesu, a nie zgadywania.
Porada prawna
Czy konsultowano prywatność z prawnikiem? Nie potrzebujesz prawnika przy każdym pytaniu, ale przy pierwszym sklepie warto poświęcić 1-2 godziny pracy prawnika, by upewnić się, że idziesz we właściwym kierunku. Wielu prawników sprawdzi podstawową politykę prywatności za 200-400 EUR.
Najczęstsze pytania
Czy potrzebuję polityki prywatności, jeśli mój sklep jest mały?
Tak. RODO i inne przepisy o prywatności obowiązują niezależnie od wielkości sklepu. Nawet sklep z 10 klientami miesięcznie ma prawny obowiązek chronić ich dane i wyjaśniać, jak je wykorzystuje. Polityka prywatności to prawne minimum.
Czy mogę użyć szablonu polityki prywatności?
Tak, ale tylko jako punkt wyjścia. Generatory polityk prywatności tworzą polityki na podstawie Twoich konkretnych narzędzi i praktyk. Nie kopiuj słowo w słowo polityki konkurencji. Polityka musi odpowiadać Twoim faktycznym praktykom. Jeśli polityka mówi, że usuwasz dane po roku, a faktycznie trzymasz je 7 lat, tworzysz ryzyko prawne.
Co jeśli nie mam klientów z UE?
Nadal możesz mieć obowiązki dotyczące prywatności. W USA obowiązuje CCPA w Kalifornii i VDPA w Wirginii. Kanada ma PIPEDA. Brazylia ma LGPD. Większość krajów ma jakąś formę prawa o prywatności. Nawet jeśli kierujesz ofertę tylko do klientów z USA, bezpieczniej stosować RODO, bo jest najsurowsze. Zgodność z RODO zwykle oznacza zgodność ze słabszymi przepisami.
Ile naprawdę kosztuje polityka prywatności?
Podstawową politykę możesz wygenerować za darmo generatorem polityk prywatności. Za spersonalizowaną politykę napisaną przez prawnika licz się z 500-2000 EUR. Większość małych sklepów zaczyna od wygenerowanej polityki i daje ją do sprawdzenia prawnikowi za 200-400 EUR, by upewnić się, że obejmuje ich konkretną konfigurację.
Jaka jest różnica między RODO a CCPA?
RODO to prawo UE. CCPA to prawo stanu Kalifornia. RODO jest surowsze. Oba dają klientom prawo dostępu, usunięcia i poprawiania danych. Oba wymagają świadomej zgody na marketing. RODO wymaga zgody przed zebraniem większości danych. CCPA pozwala zbierać dane, ale wymaga opcji rezygnacji. Jeśli spełniasz wymagania RODO, prawdopodobnie spełniasz też CCPA.
Jak odpowiedzieć na prośbę klienta o usunięcie danych?
Gdy klient prosi o usunięcie danych, odpowiedz w ciągu 30 dni. Usuń jego konto z systemu sklepu. Usuń go z listy marketingu e-mail. Usuń z analityki. Poproś operatora płatności o usunięcie jego danych. Potwierdź na piśmie, że dane zostały usunięte. Przechowuj dokumentację usunięcia na wypadek potrzeby udowodnienia zgodności.