W sklepie dropshippingowym jesteś zazwyczaj administratorem danych klienta, nawet jeśli nie widzisz towaru i nie pakujesz przesyłki. Hurtownia lub dostawca realizujący wysyłkę działa zwykle jako podmiot przetwarzający. Dlatego potrzebujesz nie tylko polityki prywatności, lecz także umowy powierzenia oraz osobnej analizy transferu danych poza EOG.
Dlaczego RODO w dropshippingu wymaga dodatkowych ustaleń?
W dropshippingu sklep przekazuje zewnętrznemu podmiotowi dane potrzebne do realizacji zamówienia. Mogą to być imię i nazwisko, adres dostawy, numer telefonu, adres e-mail oraz informacje o zakupionym produkcie. Sam fakt, że dostawca wysyła paczkę bezpośrednio do klienta, nie przenosi odpowiedzialności za dane na hurtownię.
Jeżeli sklep ustala cele i sposoby przetwarzania danych, pozostaje administratorem. Odpowiada więc za podstawę prawną, zakres przekazywanych informacji, bezpieczeństwo oraz realizację praw klienta. Dostawca wykonujący wyłącznie czynności logistyczne może być podmiotem przetwarzającym. Nieznajomość tych zasad nie wyłącza odpowiedzialności przed organem nadzorczym.
Kto jest administratorem, a kto procesorem?
O roli stron decyduje rzeczywisty sposób działania, a nie sama nazwa użyta w regulaminie lub umowie. W typowym modelu sprzedaży właściciel sklepu przyjmuje zamówienie, ustala cenę i odpowiada wobec klienta, natomiast hurtownia otrzymuje dane wyłącznie po to, aby przygotować i wysłać przesyłkę.
| Rola | Kto to jest? | Główna odpowiedzialność |
|---|---|---|
| Administrator | Właściciel sklepu, który decyduje o celach i sposobach przetwarzania | Podstawa prawna, obowiązki informacyjne, bezpieczeństwo danych i obsługa praw klienta |
| Podmiot przetwarzający | Hurtownia lub dostawca realizujący wysyłkę w imieniu sklepu | Przetwarzanie danych zgodnie z instrukcjami administratora i zapewnienie ich bezpieczeństwa |
| Odrębny administrator | Podmiot, który samodzielnie decyduje o celach użycia danych | Własne obowiązki wynikające z RODO, niezależne od instrukcji sklepu |
Procesor nie powinien wykorzystywać danych klienta do własnego marketingu, budowania bazy odbiorców ani innych celów niezwiązanych z realizacją zamówienia. Jeżeli dostawca chce używać danych samodzielnie, jego rola może wymagać odrębnej oceny.
Jak uregulować współpracę z hurtownią?
Jeżeli dostawca przetwarza dane w imieniu sklepu, należy zawrzeć umowę powierzenia przetwarzania danych na podstawie art. 28 RODO. Powinna mieć formę pozwalającą utrwalić treść ustaleń, na przykład pisemną lub elektroniczną. Sam zapis w regulaminie sklepu nie zastępuje umowy między administratorem a procesorem. Regulamin informuje klienta, ale nie ustanawia relacji powierzenia z hurtownią.
Umowa powierzenia powinna określać co najmniej:
- Cel przetwarzania – realizacja, pakowanie i wysyłka zamówień oraz czynności ściśle z nimi związane.
- Zakres danych – na przykład dane identyfikacyjne, adresowe i kontaktowe, bez przekazywania informacji, które nie są potrzebne do dostawy.
- Kategorie osób – klienci sklepu i inne osoby wskazane w zamówieniu, jeśli ich dane są niezbędne do realizacji usługi.
- Instrukcje administratora – zasady przetwarzania, zabezpieczenia, zgłaszania incydentów i reagowania na żądania klientów.
- Podwykonawcy – warunki korzystania z kolejnych podmiotów, takich jak operator logistyczny lub firma kurierska.
- Zakończenie współpracy – zwrot, usunięcie albo ograniczenie dostępu do danych po wykonaniu usługi.
Hurtownia powinna także zobowiązać się do zachowania poufności, stosowania środków bezpieczeństwa i pomocy przy obsłudze naruszeń oraz żądań osób, których dane dotyczą.
Co z przekazywaniem danych do Chin lub innych państw poza EOG?
Chiny są państwem trzecim w rozumieniu RODO. Jeżeli dostawca z Chin otrzymuje dane klienta, mamy nie tylko do czynienia z przetwarzaniem przez zewnętrzny podmiot, lecz także z transferem danych poza Europejski Obszar Gospodarczy. Taki transfer wymaga zastosowania mechanizmu przewidzianego w rozdziale V RODO.
Jednym z możliwych narzędzi są Standardowe Klauzule Umowne (SCC). Ich podpisanie nie kończy jednak analizy. Administrator powinien ocenić, czy w państwie odbiorcy dane będą faktycznie chronione w sposób zasadniczo równoważny ochronie zapewnianej w Unii. W praktyce potrzebna może być ocena transferu, często określana jako TIA, a także dodatkowe zabezpieczenia techniczne i organizacyjne.
Polityka prywatności powinna jasno wskazywać odbiorców danych, cele przekazania, państwo trzecie, zastosowany mechanizm transferu oraz prawa klienta. Ogólna zgoda ukryta w regulaminie nie legalizuje automatycznie stałego przekazywania danych do zagranicznego dostawcy. Wyjątki z art. 49 RODO mają ograniczone zastosowanie i nie powinny zastępować rozwiązania dla regularnego modelu biznesowego.
Jeżeli dostawca odmawia zawarcia SCC lub nie pozwala ustalić, gdzie i w jaki sposób przechowuje dane, przed uruchomieniem współpracy trzeba ocenić, czy przekazanie danych jest w ogóle możliwe.
Lista kontrolna przed uruchomieniem dropshippingu
Przed rozpoczęciem sprzedaży sprawdź następujące elementy:
- Ustal, jakie dane klienta są rzeczywiście potrzebne dostawcy do realizacji zamówienia.
- Określ role sklepu, hurtowni, operatora logistycznego i innych odbiorców danych.
- Zawrzyj umowę powierzenia z dostawcą, który działa na Twoje instrukcje.
- Uzupełnij politykę prywatności o odbiorców danych i transfer poza EOG, jeśli występuje.
- Zweryfikuj zabezpieczenia transferu, w tym SCC i wynik oceny TIA przy dostawcy z państwa trzeciego.
- Ustal procedurę reagowania na naruszenia, żądania klientów i zakończenie współpracy.
W dropshippingu wygoda logistyczna nie zmienia zasad odpowiedzialności za dane. Najpierw ustal rzeczywiste role stron, potem udokumentuj powierzenie i osobno oceń transfer poza EOG. Przy regularnej wysyłce do Chin lub innym złożonym modelu warto skonsultować dokumentację z prawnikiem specjalizującym się w ochronie danych.
Artykuł ma charakter wyłącznie informacyjny i nie stanowi porady prawnej. Ocena zgodności konkretnego modelu dropshippingu z RODO wymaga analizy umów, przepływów danych i lokalizacji wszystkich dostawców.
