Nie, prowadzenie sprzedaży w modelu dropshipping nie wymaga zgłoszenia działalności do PUODO. Obowiązek rejestracji wywodzi się z dawnego rejestru GIODO, który nie funkcjonuje już pod rządami RODO. Nie oznacza to jednak, że sklep może pominąć ochronę danych osobowych. Musi wdrożyć zasady RODO, a najważniejszym elementem współpracy z hurtownią jest zwykle umowa powierzenia przetwarzania danych.
Czy dropshipping trzeba zgłaszać do PUODO?
Nie istnieje formularz ani procedura, za pomocą której przedsiębiorca zgłasza Prezesowi Urzędu Ochrony Danych Osobowych sam fakt prowadzenia dropshippingu. RODO odeszło od generalnego obowiązku rejestrowania zbiorów danych, znanego wcześniej z przepisów o GIODO.
W modelu dropshipping dane klienta są jednak przekazywane podmiotowi zewnętrznemu, aby mógł on przygotować i wysłać zamówienie. To oznacza konieczność ustalenia ról stron i wdrożenia odpowiednich zabezpieczeń. Najczęściej właściciel sklepu jest administratorem danych, a hurtownia lub dostawca działa jako podmiot przetwarzający, czyli procesor.
Jakie obowiązki RODO ma sklep w dropshippingu?
Zakres obowiązków zależy od faktycznego podziału zadań. Inaczej należy ocenić sytuację, w której hurtownia tylko wysyła paczkę, a inaczej model obejmujący także obsługę zwrotów, reklamacji i kontaktu z klientem. Właściciel sklepu powinien w szczególności:
- Zawrzeć umowę powierzenia przetwarzania danych – jeżeli hurtownia przetwarza dane w imieniu sklepu, podstawą jest art. 28 RODO. Umowa powinna określać między innymi zakres, cel, czas i sposób przetwarzania oraz obowiązki procesora.
- Zrealizować obowiązek informacyjny – polityka prywatności powinna wskazywać, że dane mogą trafić do dostawcy realizującego zamówienie, a także wyjaśniać role poszczególnych podmiotów.
- Ocenić ryzyko i wdrożyć zabezpieczenia – sklep powinien ograniczyć zakres przekazywanych danych do niezbędnego minimum oraz zadbać o środki techniczne i organizacyjne chroniące je przed dostępem osób nieuprawnionych.
- Zweryfikować hurtownię – administrator powinien sprawdzić, czy dostawca zapewnia wystarczające gwarancje bezpieczeństwa, właściwie zarządza dostępem do danych i kontroluje ewentualnych dalszych podwykonawców, takich jak firmy kurierskie.
W niektórych przypadkach konieczne może być także prowadzenie rejestru czynności przetwarzania. Zależy to między innymi od charakteru, skali i regularności przetwarzania oraz od tego, czy działalność spełnia warunki zwolnienia przewidzianego w art. 30 RODO.
Brak zgłoszenia do PUODO nie jest więc problemem, bo taki obowiązek co do zasady nie istnieje. Problemem może być natomiast brak umowy powierzenia, niepełna polityka prywatności albo przekazywanie danych dostawcy bez sprawdzenia jego zabezpieczeń.
Kto odpowiada za dane klientów?
W typowym modelu sprzedaży klient zawiera umowę ze sklepem, dlatego to sklep decyduje o celach i sposobach przetwarzania danych. Jako administrator odpowiada za zgodność operacji z RODO, także wtedy, gdy fizyczną wysyłkę realizuje hurtownia.
Nota ekspercka: największym ryzykiem w dropshippingu nie jest brak zgłoszenia do PUODO, lecz brak kontroli nad dostawcą. Podpisanie umowy powierzenia nie zastępuje weryfikacji procesora. Administrator powinien ocenić jego zabezpieczenia przed rozpoczęciem współpracy i reagować na zmiany w trakcie jej trwania.
W skrócie: dropshippingu nie zgłasza się do PUODO. Trzeba natomiast prawidłowo określić role stron, zawrzeć umowę powierzenia z hurtownią, poinformować klientów o odbiorcach danych i zapewnić ich bezpieczeństwo.
Artykuł ma charakter informacyjny i nie stanowi porady prawnej. Ocena obowiązków może zależeć od rzeczywistego modelu współpracy sklepu z hurtownią oraz zakresu przekazywanych danych.
