W dropshippingu właściciel sklepu internetowego jest administratorem danych osobowych klientów i odpowiada za ich ochronę, nawet gdy zamówienia fizycznie realizuje hurtownia. Aby ograniczyć ryzyko naruszenia RODO, trzeba zawrzeć z dostawcą umowę powierzenia przetwarzania danych, zweryfikować jego zabezpieczenia i jasno poinformować klienta o przekazywaniu danych w polityce prywatności.
Kto odpowiada za dane klientów w dropshippingu?
Gdy klient składa zamówienie w Twoim sklepie, przekazuje między innymi imię, nazwisko, adres dostawy, adres e-mail i często numer telefonu. To sklep decyduje, po co dane są zbierane i w jaki sposób obsługiwana jest sprzedaż. Z tego powodu występuje jako administrator danych.
Hurtownia otrzymuje dane po to, aby zapakować i wysłać zamówienie. Zwykle działa więc jako podmiot przetwarzający, czyli procesor. Nie oznacza to jednak, że sklep może przenieść na hurtownię całą odpowiedzialność wobec klienta. Administrator musi wybrać dostawcę zapewniającego odpowiednie gwarancje bezpieczeństwa, ustalić zasady współpracy i nadzorować ich wykonanie.
Sklep i hurtownia – jaka jest relacja prawna?
Podstawą tej relacji jest założenie, że hurtownia przetwarza dane na udokumentowane polecenie sklepu. Nie powinna wykorzystywać ich do własnych celów, na przykład do niezależnego marketingu, chyba że ma do tego odrębną podstawę prawną i działa jako osobny administrator.
| Cecha | Administrator – sklep | Procesor – hurtownia |
|---|---|---|
| Cel przetwarzania | Decyduje, dlaczego dane są potrzebne, na przykład do sprzedaży i realizacji dostawy. | Realizuje ustalony cel na podstawie polecenia sklepu. |
| Odpowiedzialność wobec klienta | Odpowiada za zgodność przetwarzania z RODO i realizację praw klienta. | Odpowiada za wykonanie obowiązków określonych w umowie powierzenia. |
| Zakres działań | Ustala zakres danych, okres ich przechowywania i sposób obsługi zamówień. | Przetwarza tylko dane i w zakresie potrzebnym do wykonania zlecenia. |
| Obowiązek ochrony danych | Dobiera dostawcę, wdraża zabezpieczenia i kontroluje współpracę. | Stosuje środki techniczne i organizacyjne oraz zachowuje poufność. |
Nie każda współpraca z dostawcą będzie automatycznie powierzeniem. Ostateczna kwalifikacja zależy od faktycznego podziału ról i celów przetwarzania. Jeżeli hurtownia samodzielnie decyduje o celach wykorzystywania danych, jej status może być inny. Przy nietypowym modelu warto zasięgnąć porady specjalisty.
Umowa powierzenia danych – co powinna zawierać?
Art. 28 RODO wymaga, aby administrator korzystał wyłącznie z usług podmiotów dających wystarczające gwarancje wdrożenia właściwych środków ochrony. W dropshippingu podstawowym dokumentem jest umowa powierzenia przetwarzania danych. Powinna być zawarta przed przekazaniem pierwszych danych do hurtowni.
W umowie trzeba opisać co najmniej następujące elementy:
- Cel przetwarzania – realizacja zamówień, przygotowanie przesyłek i przekazanie ich przewoźnikowi.
- Kategorie danych – na przykład imię i nazwisko, adres dostawy, numer telefonu oraz adres e-mail, jeśli jest potrzebny do realizacji usługi.
- Czas przetwarzania – okres współpracy oraz zasady usunięcia lub zwrotu danych po jej zakończeniu.
- Zobowiązanie do poufności – dostęp do danych mogą mieć wyłącznie osoby upoważnione i zobowiązane do zachowania tajemnicy.
- Zasady korzystania z dalszych procesorów – na przykład firm kurierskich lub operatorów logistycznych.
- Środki bezpieczeństwa i współpraca przy naruszeniach – sposób zabezpieczenia danych, zgłaszania incydentów i obsługi żądań klientów.
- Prawo do kontroli – możliwość uzyskania informacji lub przeprowadzenia audytu w zakresie potrzebnym do sprawdzenia zgodności.
Przed podpisaniem umowy sprawdź również dostawcę. Sama nazwa dokumentu nie zabezpiecza sklepu, jeżeli hurtownia nie ma realnych procedur ochrony danych. Przydatna jest lista kontrolna:
- Polityka prywatności hurtowni – sprawdź, jak dostawca opisuje przetwarzanie danych i komu je udostępnia.
- Umowa powierzenia – potwierdź, że została podpisana przed przekazaniem danych i obejmuje rzeczywisty zakres współpracy.
- Zabezpieczenia systemów – ustal, kto ma dostęp do danych, jak są przesyłane i jak dostawca reaguje na incydenty.
- Podwykonawcy – sprawdź, czy hurtownia korzysta z kolejnych procesorów i na jakich zasadach.
- Lokalizacja dostawcy – ustal, czy dane pozostają w Europejskim Obszarze Gospodarczym.
Jeżeli hurtownia lub jej podwykonawca znajduje się poza EOG, przekazanie danych wymaga dodatkowej analizy. Mogą być potrzebne odpowiednie zabezpieczenia transferu, w tym Standardowe Klauzule Umowne, a także ocena prawa państwa odbiorcy i poinformowanie klienta o istotnych ryzykach. Nie wystarczy samo wskazanie zagranicznego adresu w umowie.
Co wpisać do polityki prywatności?
Klient powinien wiedzieć, że jego dane nie pozostają wyłącznie w systemie sklepu. Polityka prywatności powinna wskazywać, że dane są przekazywane hurtowni lub operatorowi logistycznemu w celu przygotowania i wysłania zamówienia. Informacja musi być zrozumiała, aktualna i zgodna z rzeczywistym przebiegiem obsługi.
Dokument powinien obejmować w szczególności:
- dane administratora i jego dane kontaktowe,
- cele oraz podstawy prawne przetwarzania,
- kategorie danych przekazywanych dostawcy,
- informację o odbiorcach danych, w tym hurtowni i przewoźnikach,
- okres przechowywania danych albo kryteria jego ustalenia,
- prawa klienta, w tym dostęp do danych, ich sprostowanie i usunięcie w przypadkach przewidzianych prawem,
- informację o transferze poza EOG, jeżeli taki transfer występuje.
Nie należy zastępować obowiązku informacyjnego ogólnym zdaniem, że dane mogą być przekazywane „partnerom”. Klient powinien rozumieć, komu dane trafiają i dlaczego. Zgoda nie jest uniwersalnym rozwiązaniem, ponieważ dane potrzebne do realizacji umowy mogą być przetwarzane na innej podstawie. Zgody trzeba natomiast prawidłowo obsługiwać tam, gdzie są rzeczywiście wymagane, na przykład przy niektórych działaniach marketingowych.
Jak postępować po wykryciu naruszenia?
Jeśli dojdzie do wysłania danych niewłaściwej osobie, utraty dostępu do systemu albo wycieku informacji z hurtowni, dostawca powinien niezwłocznie powiadomić sklep zgodnie z umową. Administrator ocenia naruszenie, dokumentuje je i sprawdza, czy konieczne jest zgłoszenie do organu nadzorczego lub zawiadomienie osób, których dane dotyczą.
Procedura powinna przebiegać w następującej kolejności:
- Zabezpiecz dostęp do systemów i ustal, jakie dane, kiedy i komu zostały ujawnione.
- Poproś hurtownię o opis incydentu, podjęte działania oraz informacje o możliwych dalszych skutkach.
- Udokumentuj naruszenie i przeprowadź ocenę ryzyka dla klientów.
- Jeżeli przepisy tego wymagają, zgłoś naruszenie właściwemu organowi w ustawowym terminie i poinformuj osoby, których dotyczy.
Brak umowy, niejasna polityka prywatności albo wybór niesprawdzonego dostawcy może prowadzić do skarg klientów, kontroli i wysokich kar administracyjnych nakładanych za naruszenia RODO. Przed rozpoczęciem współpracy przeprowadź krótki audyt dokumentów, przepływu danych i zabezpieczeń. W razie transferu poza EOG, nietypowego podziału ról lub incydentu skonsultuj sprawę z prawnikiem specjalizującym się w ochronie danych.
Najważniejsza zasada jest prosta: hurtownia może wykonywać operacje na danych, ale to sklep pozostaje administratorem i musi wykazać, że cały proces jest zgodny z RODO. Umowa powierzenia, rzetelna polityka prywatności oraz weryfikacja dostawcy tworzą podstawę bezpiecznego dropshippingu.
Artykuł ma charakter informacyjny i nie stanowi porady prawnej. Przy ocenie konkretnego modelu dropshippingu, transferze danych poza EOG lub postępowaniu po naruszeniu warto skonsultować się z prawnikiem albo specjalistą do spraw ochrony danych.
