Dostawcy dropshipping możesz przekazać tylko dane niezbędne do realizacji konkretnego zamówienia, przede wszystkim imię i nazwisko, adres dostawy oraz – gdy jest potrzebny – numer telefonu i adres e-mail. Sklep jest administratorem danych, a hurtownia działa zwykle jako podmiot przetwarzający. Legalność przekazania wymaga zawarcia umowy powierzenia zgodnej z art. 28 RODO oraz poinformowania klienta o odbiorcach danych w polityce prywatności.
Jakie dane możesz przekazać hurtowni?
Zakres danych powinien wynikać z celu przekazania. Jeżeli hurtownia ma wyłącznie spakować i wysłać zamówienie, potrzebuje informacji pozwalających zidentyfikować odbiorcę oraz doręczyć przesyłkę. Nie oznacza to prawa do przekazania całej bazy klientów ani danych gromadzonych „na zapas”.
Podstawą jest zasada minimalizacji danych wynikająca z RODO. Dane są narzędziem do wykonania zamówienia, a nie towarem, który można swobodnie udostępniać partnerowi biznesowemu. Zwykle nie ma uzasadnienia dla przekazywania hurtowni historii zakupów, historii przeglądania, numeru PESEL czy danych płatniczych klienta. Wyjątkiem może być sytuacja, w której określone informacje są rzeczywiście potrzebne do obsługi reklamacji, zwrotu albo innego uzgodnionego procesu.
Zakres danych a cel przekazania
Poniższe zestawienie pokazuje, jak oceniać poszczególne kategorie informacji w kontekście wysyłki:
| Dane osobowe | Cel przekazania | Czy niezbędne? |
|---|---|---|
| Imię i nazwisko | Identyfikacja odbiorcy przesyłki | Zwykle tak |
| Adres dostawy | Doręczenie zamówienia | Tak |
| Numer telefonu | Kontakt w sprawie doręczenia, na przykład przez kuriera | Często tak, zależnie od metody dostawy |
| Adres e-mail | Przekazanie informacji o realizacji zamówienia lub statusie przesyłki | Tylko gdy jest potrzebny do obsługi zamówienia |
| Numer PESEL, historia zakupów, historia przeglądania | Brak uzasadnienia przy zwykłej wysyłce | Nie |
Numer telefonu lub e-mail nie są automatycznie wymagane przy każdym zamówieniu. Jeśli przewoźnik może dostarczyć przesyłkę bez telefonu, a sklep sam obsługuje komunikację z klientem, przekazanie tego numeru może być zbędne. Każde pole powinno mieć konkretny cel i odpowiadać rzeczywistemu sposobowi realizacji usługi.
Dlaczego potrzebujesz umowy powierzenia?
W modelu dropshippingowym sklep internetowy jest zazwyczaj administratorem danych. To sklep decyduje, po co i w jakim zakresie dane klienta są przetwarzane. Hurtownia realizuje zamówienie w imieniu sklepu, dlatego najczęściej występuje jako podmiot przetwarzający.
Przekazanie danych hurtowni bez uregulowania tej relacji w umowie powierzenia stanowi naruszenie RODO. Podstawą jest art. 28 RODO. Dokument nie może ograniczać się do ogólnego stwierdzenia, że dostawca „będzie przestrzegał przepisów”. Powinien opisywać rzeczywisty zakres współpracy.
Umowa powierzenia powinna określać co najmniej:
- Zakres danych – na przykład imię, nazwisko, adres dostawy, numer telefonu i adres e-mail.
- Cel przetwarzania – realizacja, pakowanie i doręczenie zamówienia.
- Czas przetwarzania – okres potrzebny do wykonania zamówienia oraz czynności związanych z jego obsługą.
- Obowiązki hurtowni – przetwarzanie danych wyłącznie na polecenie sklepu, zachowanie poufności i stosowanie zabezpieczeń technicznych oraz organizacyjnych.
- Zasady korzystania z podwykonawców – w tym firm kurierskich, operatorów logistycznych i innych podmiotów uczestniczących w dostawie.
Hurtownia nie może wykorzystywać przekazanych danych do własnych celów, na przykład do budowania własnej bazy marketingowej. Jeżeli chce wysyłać klientom newsletter lub inne oferty, sama umowa powierzenia nie wystarczy. Taki cel wymaga odrębnej podstawy prawnej i odpowiedniej zgody, gdy jest ona potrzebna.
Co musisz ujawnić klientowi?
Klient powinien wiedzieć, że jego dane nie pozostają wyłącznie w systemie sklepu. Polityka prywatności musi wskazywać, że dane mogą trafić do zewnętrznej hurtowni lub operatora logistycznego w celu realizacji zamówienia. Informacja powinna odpowiadać faktycznemu modelowi współpracy, a nie opisywać go ogólnikowo.
W polityce prywatności należy opisać:
- jakie kategorie danych są przekazywane dostawcy,
- w jakim celu hurtownia je przetwarza,
- jaką rolę pełni sklep, a jaką dostawca,
- czy dane mogą zostać przekazane podwykonawcom, takim jak firma kurierska,
- jak długo dane są przechowywane lub przetwarzane w związku z zamówieniem.
Warto zaktualizować politykę prywatności przed uruchomieniem współpracy. Sam zapis w umowie z hurtownią nie zastępuje obowiązku informacyjnego wobec klienta. Regulamin sklepu powinien z kolei jasno opisywać sposób wysyłki, choć szczegółowe informacje o przetwarzaniu danych należą przede wszystkim do polityki prywatności.
Co zrobić przed przekazaniem pierwszego zamówienia?
Przed rozpoczęciem współpracy uporządkuj proces w następującej kolejności:
- Ustal, jakie dane są faktycznie potrzebne do wysyłki i usuń pola niemające konkretnego celu.
- Sprawdź, czy hurtownia stosuje zabezpieczenia adekwatne do zakresu przetwarzania danych.
- Zawrzyj umowę powierzenia na podstawie art. 28 RODO.
- Ustal zasady korzystania przez hurtownię z firm kurierskich i innych podwykonawców.
- Zaktualizuj politykę prywatności oraz procedury obsługi żądań klientów i incydentów.
Za co odpowiada sklep?
Wobec klienta i organu nadzorczego sklep nie może po prostu przerzucić odpowiedzialności na hurtownię. Administrator powinien wybrać dostawcę dającego wystarczające gwarancje ochrony danych, określić jego obowiązki i reagować na informacje o naruszeniach. W razie problemu znaczenie ma także to, czy sklep potrafi wykazać, że prawidłowo dobrał partnera i nadzorował przetwarzanie.
Największe ryzyko powstaje wtedy, gdy sklep przekazuje hurtowni całą bazę klientów, nie zawiera umowy powierzenia i nie informuje o tym klientów.
Naruszenie może prowadzić do skarg, obowiązku usunięcia nieprawidłowości i administracyjnej kary pieniężnej. Przed podpisaniem dokumentów warto skonsultować model współpracy z prawnikiem, zwłaszcza gdy hurtownia obsługuje także zwroty, reklamacje lub kontaktuje się bezpośrednio z klientami.
Najbezpieczniejsza zasada jest prosta: przekazuj tylko dane potrzebne do konkretnej czynności, zawrzyj umowę powierzenia i jasno poinformuj o tym klienta.
Artykuł ma charakter informacyjny i nie stanowi indywidualnej porady prawnej. W przypadku wątpliwości dotyczących modelu współpracy, zakresu danych lub treści umowy powierzenia skonsultuj się z prawnikiem.
