Pri nákupe v internetovom obchode (e-shope) dochádza medzi prevádzkovateľom a zákazníkom k uzatvoreniu kúpnej zmluvy realizovanej cez internet, teda zmluvy uzavretej na diaľku. V tomto procese e-shopy spracúvajú osobné údaje zákazníkov, pričom je kľúčové dodržiavať platné právne predpisy, najmä Všeobecné nariadenie o ochrane osobných údajov (GDPR) a súvisiace národné legislatívy. Tento článok poskytuje komplexný prehľad o tom, ako by mali e-shopy spracúvať osobné údaje zákazníkov v súlade s GDPR, aké informácie by mali poskytovať a aké práva majú samotní zákazníci.
Ako e-shop získava a používa osobné údaje zákazníkov?
E-shopy získavajú osobné údaje zákazníkov primárne pri realizácii objednávky. Tieto údaje sú nevyhnutné pre úspešné vybavenie žiadosti alebo objednávky a zahŕňajú zvyčajne meno a adresu, kontaktné údaje (e-mail, telefónne číslo). Súčasne môžu e-shopy spracúvať aj ďalšie informácie, ako napríklad dátum narodenia, ak je to relevantné pre vernostný program alebo špecifické marketingové aktivity, a to vždy len vtedy, ak na ich spracúvanie majú oprávnenie, tzv. právny základ.
Medzi bežné účely spracúvania osobných údajov v e-shopoch patria:
- Spracovanie objednávky tovaru: Vaše osobné údaje spracúvame na účely uzatvorenia zmluvy medzi Vami, ako našim objednávateľom a potenciálnym zákazníkom, a nami, ako dodávateľom, pri využívaní našich služieb. V takom prípade sú spracúvané osobné údaje len v rozsahu, ktorý je nevyhnutný na uzatvorenie a plnenie príslušnej zmluvy. Pre tento účel je poskytovanie Vašich osobných údajov úplne dobrovoľné, ale je nevyhnutné na uzavretie zmluvy a jej následnú správu. Ak kupujúci potrebné údaje neposkytne, predávajúci má právo objednávku zrušiť. Pri nákupe v e-shope sa kupujúci zaväzuje poskytnúť pravdivé informácie.
- Komunikácia a zákaznícka podpora: Osobné údaje sú využívané za účelom komunikácie s Vami.
- Registračný formulár: Zákazník má možnosť zaregistrovať sa v e-shope, registrovaný zákazník má možnosť využívať ponúkané výhody daného e-shopu.
- Recenzia: Návštevník e-shopu má možnosť podeliť sa o svoju skúsenosť s produktom prostredníctvom vyplnenia formulára recenzia. Recenzie, ktoré obsahujú osobné údaje fyzických osôb, vyžadujú súhlas dotknutej osoby so zverejnením.
- Wishlist: Registrovaný zákazník má možnosť si zaradiť vybraný tovar do tzv. wishlistu (zoznam prianí).
- Upselling: Na základe obsahu zákazníkovho košíku alebo tovaru, ktorý už v danom e-shope nakúpil, sa zákazníkovi pri dokončovaní jeho objednávky (v jej platobnom procese) zobrazí obchodníkom odporúčaný tovar k ďalšiemu nákupu.
- Segmentácia a marketing: Na základe toho, čo zákazník v e-shope nakúpi, sú mu prevádzkovateľom e-shopu zasielané newslettery s informáciami o podobnom tovare, aký zákazník v e-shope nakupuje. E-shop môže zbierať osobné údaje v nevyhnutnom rozsahu, ak chce informovať zákazníka o nových produktoch alebo službách. Právnym základom na zber údajov môže byť oprávnený záujem - prevádzkovateľ nepotrebuje súhlas dotknutej osoby na odoslanie newslettera, pokiaľ sa nejedná o osoby, ktoré nemajú predchádzajúci vzťah s e-shopom, kde sa vyžaduje súhlas (opt-in).
- Kontaktný formulár: Prostredníctvom kontaktného formulára môže zákazník rýchlejšie kontaktovať prevádzkovateľa e-shopu a urýchliť tak vybavenie svojej požiadavky.
- Nevybavená objednávka (nedokončený nákupný košík): Ak ide o potenciálneho zákazníka, ktorý vytvoril objednávku, ale ostala mu v nákupnom košíku, tzv. užívateľa web stránky, ktorý svoju objednávku nedokončil, právnym základom na spracúvanie osobných údajov z tejto nedokončenej objednávky je predzmluvný vzťah k budúcej kúpnej zmluve.
Právne základy spracúvania osobných údajov
Podľa GDPR môže e-shop spracúvať osobné údaje len vtedy, ak má na ich spracúvanie oprávnenie, tzv. právny základ. Medzi najčastejšie právne základy patria:
- Plnenie zmluvy: Nevyhnutné pre uzatvorenie a plnenie kúpnej zmluvy, spracovanie objednávky, dodanie tovaru a vybavovanie reklamácií. Toto je základný právny dôvod pre spracúvanie údajov pri realizácii nákupu.
- Plnenie zákonnej povinnosti: Ak e-shop musí spracúvať osobné údaje na základe zákona, napríklad na účely účtovníctva a daňových povinností. Účtovné doklady sa zvyčajne uchovávajú po dobu stanovenú zákonom (napr. 10 rokov pre účtovné doklady).
- Oprávnený záujem: E-shop môže spracúvať osobné údaje na základe svojho oprávneného záujmu, napríklad na účely priameho marketingu (zasielanie newsletterov o akciách, ak už zákazník má s e-shopom nejaký vzťah), zlepšenia služieb, analýzy návštevnosti webu alebo ochranu pred podvodmi. Príkladom na oprávnený záujem môže byť tzv. "upselling" alebo zasielanie informácií o tom, že tovar je teraz v akcii alebo došlo k jeho naskladneniu. Je však dôležité, aby tento záujem neprevažoval nad právami a slobodami dotknutej osoby.
- Súhlas dotknutej osoby: V prípadoch, kde nie je prítomný iný právny základ, je nevyhnutné získať výslovný a informovaný súhlas zákazníka. Tento súhlas musí byť slobodne daný, konkrétny, informovaný a jednoznačný. V prípade zasielania newslettrov osobám, ktoré nemajú predchádzajúci vzťah s e-shopom, sa vyžaduje tzv. "opt-in" súhlas na každý účel samostatne. Súhlas so spracúvaním osobných údajov na účely zasielania newslettra musí byť odvolateľný.
Transparentnosť a informačná povinnosť
E-shop musí spracúvať osobné údaje transparentne, tzn. musí poskytnúť zákazníkovi jasné a zrozumiteľné informácie o tom, ako s jeho údajmi bude nakladať. Táto informačná povinnosť sa týka najmä:
- Identifikácie prevádzkovateľa: Kto je správcom osobných údajov.
- Účelu spracúvania: Na aké konkrétne účely sa osobné údaje spracúvajú (napr. vybavenie objednávky, marketing, vernostný program).
- Právneho základu: Na základe ktorého právneho základu sa údaje spracúvajú.
- Rozsahu spracúvaných osobných údajov: Aké konkrétne osobné údaje sú spracúvané (napr. meno, priezvisko, e-mail, adresa, dátum narodenia). E-shop by mal spracúvať len tie osobné údaje, ktoré sú pre naplnenie určeného účelu potrebné a nevyhnutné.
- Doby uchovávania: Ako dlho budú osobné údaje uchovávané. Táto doba by nemala presiahnuť dobu nevyhnutnú na splnenie daného účelu, prípadne dobu stanovenú zákonom (napr. 4 roky pre určité obchodné informácie, alebo dobu uchovávania účtovných dokladov).
- Príjemcov osobných údajov: Komu môžu byť osobné údaje poskytnuté (napr. prepravná spoločnosť, marketingové agentúry, sprostredkovatelia).
- Práv dotknutej osoby: Informácie o právach zákazníka podľa GDPR (právo na prístup, opravu, výmaz, obmedzenie spracúvania, námietku, prenosnosť údajov, odvolanie súhlasu).
Tieto informácie by mali byť poskytnuté bez toho, aby boli splnené potrebné podmienky, a to pred začatím spracúvania alebo pri zbere osobných údajov. Najvhodnejšie je mať tieto informácie dostupné v samostatnom dokumente ("Zásady ochrany osobných údajov"), ktorý je ľahko dostupný pre užívateľov web stránky, napríklad v päte stránky.
Spracúvanie údajov na marketingové účely a newslettery
Odosielanie marketingových informácií, ako sú newslettery, si vyžaduje osobitnú pozornosť. Existuje rozdiel medzi oslovením existujúcich zákazníkov a potenciálnych zákazníkov.
- Existujúci zákazníci: Ak užívateľ uskutočnil nákup, e-shop môže na základe oprávneného záujmu spracúvať jeho údaje na účely oslovenia reklamou s podobnými produktmi alebo službami, prípadne mu zasielať informácie o akciách, pokiaľ sa v minulosti nevyjadril proti takému spracúvaniu.
- Potenciálni zákazníci / nové kontakty: Pre zasielanie newslettra osobám, ktoré nemajú predchádzajúci vzťah s e-shopom, je vyžadovaný výslovný súhlas (opt-in) na každý účel samostatne. Tento súhlas musí byť aktívny (napr. zaškrtnutím políčka, ktoré nie je predvyplnené) a musí obsahovať informácie o účele, právnom základe, rozsahu údajov a možnostiach odhlásenia. Odhlásenie z databázy na zasielanie newslettra musí byť jednoduché a dostupné.
Cookies a ich spracúvanie
Súbory cookies sú malé textové súbory, ktoré sa pri návšteve webovej stránky stiahnu do vášho zariadenia a slúžia na rôzne účely, vrátane zlepšenia funkčnosti stránky, analýzy návštevnosti a personalizácie reklamy.
- Nevyhnutné cookies: Súbory cookies, bez ktorých by webové stránky nemohli fungovať alebo by ich používanie bolo obmedzené. Tieto sa umiestňujú automaticky a nemožno ich vypnúť.
- Funkčné cookies: Slúžia na rozpoznanie používateľa pri opätovnej návšteve stránky.
- Analytické cookies: Umožňujú vykonávať štatistické analýzy webových stránok, zvyčajne v anonymizovanej podobe.
- Marketingové cookies: Používajú sa na vykonávanie personalizovaných reklamných služieb. Neukladajú priamo osobné údaje, ale sú založené na jedinečnej identifikácii prehliadača a zariadenia.
Pre použitie analytických a marketingových cookies je v zmysle GDPR (a nového európskeho nariadenia ePrivacy) potrebný súhlas používateľa. Tento súhlas by mal byť získaný pred umiestnením týchto cookies. Používatelia majú možnosť kontrolovať a zmazať cookies prostredníctvom nastavení svojho prehliadača.
Ako vás môžu súbory cookie sledovať (jednoducho vysvetlené)
Práva dotknutej osoby (zákazníka)
Každý zákazník, ktorého osobné údaje e-shop spracúva, má v súlade s GDPR nasledujúce práva:
- Právo na prístup k osobným údajom: Máte právo získať potvrdenie, či sa vaše osobné údaje spracúvajú, a ak áno, máte právo na prístup k týmto údajom a k informáciám o účeloch spracúvania, kategóriách dotknutých osobných údajov, príjemcoch, dobe uchovávania a ďalších relevantných informáciách.
- Právo na opravu: Ak sú vaše osobné údaje nepresné alebo neúplné, máte právo požiadať o ich opravu.
- Právo na výmaz (právo byť zabudnutý): V určitých prípadoch máte právo požiadať o vymazanie vašich osobných údajov, napríklad ak už nie sú potrebné na účely, na ktoré boli získané, alebo ak odvoláte súhlas.
- Právo na obmedzenie spracúvania: Môžete požiadať o obmedzenie spracúvania vašich osobných údajov, napríklad počas overovania ich správnosti alebo ak je spracúvanie nezákonné.
- Právo namietať proti spracovaniu: Máte právo namietať proti spracovaniu vašich osobných údajov, najmä ak je spracúvanie založené na oprávnených záujmoch prevádzkovateľa alebo na účely priameho marketingu.
- Právo na prenosnosť údajov: Ak je spracúvanie založené na súhlase alebo zmluve a vykonávané automatizovanými prostriedkami, máte právo získať svoje údaje v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte a preniesť ich k inému prevádzkovateľovi.
- Právo odvolať súhlas: Ak je spracúvanie založené na vašom súhlase, máte právo tento súhlas kedykoľvek odvolať. Odvolanie súhlasu nemá vplyv na už vykonané spracúvanie.
- Právo podať sťažnosť: Máte právo podať sťažnosť na dozorný orgán, ktorým je Úrad na ochranu osobných údajov Slovenskej republiky.
Vybavenie žiadosti o uplatnenie práv dotknutej osoby by malo byť zo strany prevádzkovateľa vybavené v zásade do jedného mesiaca od jej uplatnenia.
Bezpečnosť osobných údajov
E-shopy sú povinné prijať primerané technické a organizačné opatrenia na zabezpečenie ochrany osobných údajov pred neoprávneným prístupom, stratou, zničením alebo poškodením. Tieto opatrenia zahŕňajú zabezpečenie IT systémov, šifrovanie, prístupové práva a pravidelné hodnotenie bezpečnostných rizík.
Zhrnutie a zodpovednosť prevádzkovateľa
Prevádzkovateľ e-shopu má zodpovednosť za dodržiavanie všetkých povinností vyplývajúcich z GDPR a súvisiacich zákonov. To zahŕňa nielen správne získavanie a spracúvanie osobných údajov na základe platných právnych základov, ale aj transparentnú komunikáciu so zákazníkmi, zabezpečenie ich práv a implementáciu adekvátnych bezpečnostných opatrení. Zodpovedná osoba, ak je určená, hrá kľúčovú úlohu pri dohľade nad týmito procesmi. V prípade akýchkoľvek otázok alebo sťažností týkajúcich sa spracúvania osobných údajov, by mal prevádzkovateľ poskytnúť jasné kontaktné údaje na zodpovednú osobu alebo na určenú kontaktnú osobu.
Správne nastavenie procesov ochrany osobných údajov nielenže zabezpečuje súlad s legislatívou, ale tiež buduje dôveru zákazníkov, čo je pre úspešné podnikanie v online prostredí kľúčové. Dôležité je tiež pamätať na to, že ak sú osobné údaje spracúvané na základe súhlasu získaného v súvislosti s ponukou služieb informačnej spoločnosti dieťaťu, je potrebné dodržiavať špecifické pravidlá týkajúce sa súhlasu detí.