Jakie dane klientów przetwarza sklep internetowy
Sklep internetowy przetwarza szeroki zakres danych osobowych klientów:
Dane identyfikacyjne: imię, nazwisko, adres e-mail, numer telefonu, adres dostawy i rozliczeniowy, NIP (dla firm)
Dane transakcyjne: historia zamówień, metody płatności, kwoty transakcji, dane do faktur
Dane behawioralne: przeglądane produkty, czas spędzony na stronie, porzucone koszyki, kliknięcia, historia wyszukiwań
Dane techniczne: adres IP, identyfikatory cookies, fingerprint przeglądarki, dane geolokalizacyjne
Dane z programów lojalnościowych: punkty, preferencje, historia nagród
RODO (Rozporządzenie o Ochronie Danych Osobowych) wymaga, aby każda kategoria danych miała określoną podstawę prawną przetwarzania, cel i okres retencji.
Podstawy prawne przetwarzania danych w e-commerce
RODO wymaga, aby każde przetwarzanie danych osobowych miało jedną z 6 podstaw prawnych. W e-commerce najczęściej stosowane to:
Wykonanie umowy (art. 6 ust. 1 lit. b)
- Przetwarzanie danych niezbędnych do realizacji zamówienia
- Adres dostawy, dane do faktury, dane kontaktowe
- Nie wymaga osobnej zgody
Obowiązek prawny (art. 6 ust. 1 lit. c)
- Przechowywanie danych do celów podatkowych i księgowych
- Okres retencji wynikający z przepisów (np. 5 lat dla faktur)
Prawnie uzasadniony interes (art. 6 ust. 1 lit. f)
- Marketing bezpośredni do istniejących klientów
- Zapobieganie oszustwom
- Analityka i optymalizacja sklepu
- Wymaga przeprowadzenia testu równowagi interesów
Zgoda (art. 6 ust. 1 lit. a)
- Newsletter i marketing do potencjalnych klientów
- Profilowanie i personalizacja (cookies marketingowe)
- Musi być dobrowolna, konkretna, świadoma i jednoznaczna
Typowe naruszenia RODO w sklepach internetowych
Najczęstsze naruszenia RODO w e-commerce, za które UODO nakłada kary:
Brak lub wadliwa polityka cookies
- Automatyczne ustawianie cookies marketingowych przed uzyskaniem zgody
- Cookie banner bez opcji odmowy lub z „dark patterns”
- Brak możliwości wycofania zgody
Wycieki danych klientów
- Niezabezpieczona baza danych klientów
- Brak szyfrowania danych w tranzycie i at rest
- Niezgłoszenie naruszenia do UODO w ciągu 72 godzin
Nadmierne zbieranie danych
- Wymaganie danych niepotrzebnych do realizacji zamówienia (np. PESEL, data urodzenia)
- Brak minimalizacji danych w formularzach
Brak realizacji praw osób
- Nierealizowanie prawa do usunięcia danych (prawo do bycia zapomnianym)
- Brak możliwości eksportu danych (prawo do przenoszenia)
- Brak informacji o przetwarzaniu danych przez podmioty trzecie
Nieprawidłowe powierzenie danych
- Brak umów powierzenia z dostawcami (hosting, marketing, analytics)
- Transfer danych poza EOG bez odpowiednich zabezpieczeń
Wymagania techniczne RODO dla e-commerce
RODO wymaga wdrożenia „odpowiednich środków technicznych i organizacyjnych” (art. 32). Dla e-commerce oznacza to:
Szyfrowanie danych:
- TLS 1.2+ dla wszystkich stron (nie tylko checkout)
- Szyfrowanie bazy danych at rest
- Szyfrowanie backupów
Kontrola dostępu:
- Wieloskładnikowe uwierzytelnianie dla panelu administracyjnego
- Zasada najmniejszych uprawnień (least privilege)
- Logowanie i monitoring dostępu do danych osobowych
Bezpieczeństwo infrastruktury:
- Firewall i WAF chroniący aplikację
- Regularne testy penetracyjne platformy
- Monitoring bezpieczeństwa 24/7
- System wykrywania i reagowania na incydenty
Zarządzanie podatnościami:
- Regularne aktualizacje platformy i wtyczek
- Skanowanie podatności
- Procedura patchowania krytycznych luk
Backup i odtwarzanie:
- Regularne kopie zapasowe z testami odtwarzania
- Plan ciągłości działania (BCP) i odtwarzania po awarii (DRP)
Breach notification — co robić po wycieku danych
W przypadku naruszenia ochrony danych osobowych (data breach) sklep internetowy musi:
W ciągu 72 godzin od wykrycia:
- Zgłosić naruszenie do Prezesa UODO (art. 33 RODO)
- Zgłoszenie musi zawierać: charakter naruszenia, kategorie i przybliżoną liczbę osób, których dane dotyczą, prawdopodobne konsekwencje, środki podjęte w celu zaradzenia
Bez zbędnej zwłoki (jeśli wysokie ryzyko):
- Powiadomić osoby, których dane dotyczą (art. 34 RODO)
- Komunikat musi być jasny, zrozumiały i zawierać rekomendacje działań ochronnych
Dokumentacja:
- Udokumentować naruszenie, jego skutki i podjęte działania
- Dokumentacja musi być dostępna na żądanie organu nadzoru
Rekomendujemy przygotowanie procedury reagowania na incydenty przed incydentem — w ramach audytu bezpieczeństwa identyfikujemy luki w procedurach i pomagamy opracować plan reagowania.
Kary RODO w praktyce — przykłady z e-commerce
Kary za naruszenie RODO w sektorze e-commerce rosną:
Przykłady kar w Polsce:
- Morele.net — 2,83 mln PLN za wyciek danych 2,2 mln klientów (brak odpowiednich zabezpieczeń technicznych)
- Sklep internetowy — 40 000 PLN za brak współpracy z UODO po wycieku
Przykłady kar w Europie:
- H&M (Niemcy) — 35,3 mln EUR za nielegalne monitorowanie pracowników
- Notebooksbilliger.de — 10,4 mln EUR za monitoring kamerami bez podstawy prawnej
- Amazon Europe — 746 mln EUR za przetwarzanie danych bez podstawy prawnej
Maksymalne kary:
- Do 20 mln EUR lub 4% rocznego globalnego obrotu (wyższa kwota)
- Kary mogą być nakładane za każde naruszenie osobno
Kary finansowe to nie jedyny koszt — koszty pośrednie (utrata klientów, reputacji, koszty prawne) często wielokrotnie przewyższają samą karę.
Cyberbezpieczeństwo w Twojej branży
Dowiedz się więcej o cyberbezpieczeństwie w Twojej branży:
- Cyberbezpieczeństwo dla branży: Finanse i bankowość
- Cyberbezpieczeństwo dla branży: E-commerce i handel internetowy
