Provozovatel českého e-shopu se při každém nákupu dostává do kontaktu s osobními údaji zákazníků. Sbírá jméno, adresu, e-mail, telefon, často také fakturační a dodací údaje, někdy i údaje o platební kartě. Podle nařízení GDPR platí, že za všechna tato data nese odpovědnost prodávající, nikoli poskytovatel e-shopové platformy ani přepravce. E-shop musí být schopen doložit, proč ta která informace byla shromážděna, jak dlouho ji uchovává a komu ji předává. Bez tohoto základu nelze zákonnou povinnost splnit, i kdyby web jinak fungoval bezchybně.

Prvním krokem je určení právního titulu pro každou operaci s daty. U vyřízení objednávky se jedná o plnění smlouvy, u marketingových e-mailů je nutný souhlas nebo oprávněný zájem, u účetnictví jde o zákonnou povinnost. Zákazník musí být před dokončením nákupu srozumitelně informován o tom, kdo jeho údaje zpracovává, za jakým účelem a jaká má práva. Informační povinnost se nevyčerpává vložením odkazu do patičky webu. Pokud hledáte praktické rady, jak tuto část nastavit v praxi, pomůže vám ochrana osobních údajů při nákupu na internetu, kde jsou popsány konkrétní kroky pro české e-shopy.

Dále je nutné ošetřit dobu uchování. Data z objednávek se vážou na účetní a daňové předpisy, proto je nelze smazat okamžitě po doručení zboží. Naopak údaje získané pouze pro marketing nesmí ležet v databázi neomezeně. E-shop by měl mít nastavený automatický úklid a jasná pravidla pro výmaz na žádost zákazníka. Stejně důležité je zabezpečení – přístupy zaměstnanců, šifrování přenosu a smlouvy se zpracovateli, kteří se dostanou k datům.

V neposlední řadě musí být provozovatel připraven doložit soulad při kontrole Úřadu pro ochranu osobních údajů. To znamená vedené záznamy o činnostech zpracování, záznamy o případných incidentech a jasně popsaný postup při úniku dat. Malý e-shop si často vystačí se základní dokumentací, ale musí být aktuální a odpovídat skutečnému provozu. Formální převzetí cizí šablony bez úpravy na konkrétní procesy bývá častým zdrojem problémů.