W przypadku tradycyjnej sprzedaży w relacjach między sprzedawcą a klientem często nawet nie dochodzi do przetwarzania danych. Klient płaci za towar, który podaje mu sprzedawca i na tym koniec. Sytuacja się zmienia, gdy pojawia się konieczność wystawienia faktury lub przyjęcia zamówienia, które nie może być zrealizowane od ręki. Bez konieczności podania danych przez konsumenta nie da się zrobić zakupów w Internecie. 

Urząd Ochrony Danych Osobowych wyjaśnia, kiedy sprzedawca nie powinien przetwarzać danych bez wyraźnej zgody klienta.

Czytaj też: 2,8 mln zł kary dla Morele.net od UODO to przestroga dla firm handlujących w internecie

Profilowanie tylko za zgodą

Podstawą przetwarzania danych osobowych w przypadku realizacji zamówienia jest konieczność wykonania umowy, której klient jest stroną. Sklep musi przetwarzać dane klienta, by móc obsłużyć złożone zamówienie i wysłać je pod wskazany adres lub też skontaktować się z klientem w razie konieczności.

W niektórych przypadkach podstawą przetwarzania danych może być także prawnie uzasadniony interes administratora. Będziemy mieć z nim do czynienia np. w przypadku, gdy sklep internetowy wykorzystuje dane w celu marketingu bezpośredniego swoich usług czy towarów. Do tego nie jest wymagana zgoda klienta. Jeżeli jednak klient nie życzy sobie kontaktów ze sklepem w celach marketingowych, może wyrazić sprzeciw wobec przetwarzania danych w takim celu.

W relacjach między sprzedawcami a klientami często dochodzi do przetwarzania danych także w innych celach, które wymagają uzyskania zgód.  Np. gdy sprzedawca chce przekazywać dane klienta innym podmiotom, swoim partnerom biznesowym. Celem jest marketing ich usług.

Przy dzisiejszych zaawansowanych technologiach sprzedawcy chcąc zwiększyć skuteczność sprzedaży profilują klientów: badają  ich preferencje, analizują historie zakupów oraz oglądanych przedmiotów. Niekiedy korzystają z danych związanych z aktywnością klientów na portalach społecznościowych czy wyszukiwarkach. Na podstawie tych danych tworzone są profile klientów, przewidywane ich zachowania konsumenckie, a następnie formułowany jest przekaz marketingowy dostosowany do preferencji danej osoby. Takie profilowanie wymaga jednak zgody klientów, jeżeli o tym, co z w przekazie reklamowym zostanie nam przedstawione, decyduje automat, czyli program, który analizuje dane klientów.

Dobrowolnie i świadomie

Ponieważ zgoda nie jest jedyną podstawą przetwarzania danych osobowych, to powinna być ona zbierana przez administratora tylko wtedy, gdy nie ma ona innej podstawy, jak np. konieczność realizacji umowy. Jeżeli jest ona zbierana, to należy pamiętać, że musi być ona wyrażona przez klienta nie tylko dobrowolnie, ale i świadomie – musi on być poinformowany przez administratora o konkretnym celu, w jakim mają być dane przetworzone, na co dokładnie się godzi. Ważne, aby konsument był poinformowany m.in. o tym, kto, w jaki sposób będzie wykorzystywał jego dane osobowe, do jakiego celu. W tym miejscu warto zaznaczyć, że zgoda nie powinna być podstawą przetwarzania danych w sytuacji, gdy tą podstawą jest umowa zawarta z konsumentem.

Jeżeli dane mają być przekazane innym podmiotom, to również klient powinien wiedzieć, komu i na jakiej podstawie oraz w jakim celu. Czyli administrator powinien wskazać, czy np. odbywa się to na podstawie umowy powierzenia w związku z tym, że pewne usługi świadczy dla niego inna firma. Tak może być np. gdy inny podmiot świadczy na rzecz sprzedawcy usługi księgowe czy hostingowe.

W przypadku gdy sprzedawca zamierza przekazać dane klienta innej firmie i do innych celów niż te, w jakich zostały one zebrane, to musi mieć na to zgodę. Z taką sytuacją możemy mieć do czynienia np. w związku z realizacją usług marketingowych przez inny podmiot, chyba że odbywa się to w ramach umowy powierzenia. Wtedy podmiot zewnętrzny nie może wykorzystywać naszych danych do marketingu innych sprzedawców.

Zgody na przetwarzanie danych osobowych są powszechnie udzielane w Internecie. Uważajmy na to, czy podmiot, z którym w ten sposób się komunikujemy, przekazuje informacje o sobie, np. o swojej rzeczywistej, stacjonarnej, a nie tylko o wirtualnej siedzibie, o możliwości kontaktu z nim, reklamowania jego usług etc. Niekiedy użytkownicy nie zwracają uwagi na brak jakichkolwiek informacji nt. sprzedawcy albo też nie zapoznają się z pełną informacją na temat przetwarzania danych i bezrefleksyjnie zaznaczają pola ze zgodami. Brak informacji o sprzedawcy może oznaczać np., że funkcjonuje on w porządku prawnym państwa trzeciego, w którym przepisy RODO czy chroniące polskich konsumentów w ogóle nie obowiązują.

Warto pamiętać, że jednym z praw, jakie daje RODO, jest możliwość wycofania zgody na przetwarzanie danych. Zgodnie z art. 7 ust. 3 RODO zgoda może zostać wycofana w dowolnym momencie. Jej wycofanie musi być równie łatwe, jak jej wyrażenie, co oznacza, że jeśli zgoda była pozyskana przy użyciu interfejsu użytkownika (np. za pośrednictwem strony internetowej, aplikacji, strony logowania, interfejsu urządzenia IoT lub poczty elektronicznej), jej odwołanie powinno być możliwe za pomocą tego samego interfejsu elektronicznego.

Zniżka za dane - czy tego chcemy?

Ostrożność w udostępnianiu danych osobowych sprzedawcom czy ich partnerom warto zachować zwłaszcza wtedy, gdy jesteśmy zachęcani do przekazywania swoich danych osobowych poprzez wypełnienie formularza przystąpienia do programu  lojalnościowego. Przed udostępnieniem nazwiska, adresu zamieszkania, maila, daty urodzenia, numeru telefonu dobrze się zastanówmy, czy chcemy to zrobić w zamian za rabaty lub dodatkowe promocje.

Podjęcie decyzji powinniśmy uzależnić od tego, kto i w jakim celu nas o to prosi. Kiedy mamy wątpliwości co do zakresu żądanych danych osobowych, trzeba pytać, czy na pewno jest wymagany taki zakres. Warto dopytać się o zasadność takiego zakresu z uwagi na cel, w jakim dane mają być przetwarzane. Pamiętajmy, że administrator powinien kierować się wynikającą z RODO zasadą minimalizacji danych. Nie powinien więc zbierać danych, które nie są mu potrzebne do realizacji celu, w którym je pozyskuje. Nie może się tłumaczyć, że określone dane mogą przydać mu się w przyszłości.

Wyrabiając kartę lojalnościową, często udzielamy zgód na wykorzystywanie naszych danych w celach marketingowych partnerom biznesowym sprzedawcy. Bardzo często konsumenci zapominają później, że ich dane dostało kilka bądź kilkanaście innych podmiotów i przetwarzają je do swoich celów, na co osoby te się zgodziły. Warto więc się zastanowić, czy warto tak przekazywać swoje dane w zamian za zniżki czy upominki przy zakupach.