Kolejnym problemem, z jakim musi się zmierzyć przedsiębiorca prowadzący sklep w Internecie jest ochrona danych osobowych swoich klientów. Należy bowiem pamiętać, że przy okazji prowadzenia e-butiku sprzedawca otrzymuje od swoich klientów dane osobowe, które następnie przetwarza w różnych celach, m.in. realizacji zamówienia, marketingu, statystyki.

Zgłoszenie do inspektora

Obowiązkiem właściciela sklepu jest zgłoszenie danych osobowych klientów przetwarzanych przez sklep do głównego inspektora ochrony danych osobowych. Dane, które otrzymuje sklep od swoich klientów, stanowią ponad wszelką wątpliwość dane osobowe, które podlegają ochronie. Regulacja art. 6 ustawy o ochronie danych osobowych z 29 sierpnia 1997 roku (DzU z 2002 r., nr 101, poz. 926) definiuje pojęcie danych osobowych wskazując, że są to wszystkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Regulacja art. 7 ustawy definiuje natomiast pojęcie zbioru danych osobowych. Określa go, jako każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępny według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony, czy podzielony funkcjonalnie. Przedsiębiorca, w tym z branży odzieżowej, modowej, prowadzący sprzedaż internetową powinien dokonać zgłoszenia zbioru danych do rejestracji przed datą rozpoczęcia działalności, czyli przed rozpoczęciem faktycznej sprzedaży towarów. Jeżeli jednak przedsiębiorca uchybił temu obowiązkowi, w jego interesie pozostaje jak najszybsze dokonanie zgłoszenia zbioru danych do rejestru, tak aby uniknąć ewentualnych sankcji.

Należy mieć na uwadze konieczność rejestracji każdego ze zbiorów danych osobowych oddzielnie, o ile przedsiębiorca przetwarza te dane w różnych celach. Niezależne zgłoszenia na oddzielnych formularzach rejestracyjnych powinny być dokonane w przypadku przetwarzania danych osobowych dla celów związanych z realizacją zamówienia, marketingu lub też dla prowadzenia statystyki. Sprzedawca nie ma natomiast obowiązku przekazywania do GIODO listy klientów czy też aktualizowania zbioru.

Polityka bezpieczeństwa

Fakt dokonania zgłoszenia zbioru danych do rejestracji jest jedynie jedną z czynności, jaką podjąć musi przedsiębiorca internetowy działający w branży modowej, aby nie narazić się na zarzut naruszenia przepisów ustawy o ochronie danych osobowych. Do jego obowiązków należy także zabezpieczenie i ochrona danych przed jakąkolwiek ingerencją osób trzecich. Na właścicielu firmy ciąży obowiązek sporządzenia i stosowania polityki bezpieczeństwa i instrukcji zarządzania systemem informatycznym. Regulacje §3 i §4 rozporządzenia ministra spraw wewnętrznych i administracji z 29 kwietnia 2004 r., w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (DzU z 2004 r., nr 100, poz. 1024) stanowią, że administrator danych osobowych, tj. sprzedawca, zobowiązany jest do sporządzenia na piśmie zasad polityki bezpieczeństwa i jej wdrożenia. Celem tego dokumentu jest wskazanie działań, jakie należy podejmować, aby należycie wykonywać obowiązki administratora danych osobowych w zakresie ich zabezpieczenia.

Instrukcja zarządzania

Obok polityki bezpieczeństwa przedsiębiorca powinien stworzyć instrukcję zarządzania systemem informatycznym. Powinna ona zawierać ogólne informacje o systemie informatycznym i zbiorach danych osobowych, które są przy ich użyciu przetwarzane, zastosowane u sprzedawcy rozwiązania techniczne, jak również procedury eksploatacji i zasady użytkowania, jakie zastosowano  w celu zapewnienia pełnego bezpieczeństwa przetwarzania danych osobowych.

Konieczna jest rejestracja każdego ze zbiorów danych osobowych oddzielnie, o ile przedsiębiorca przetwarza je w różnych celach

Nieprawidłową praktyką, jaką stosują sprzedawcy prowadzący działalność gospodarczą w Internecie jest uzyskiwanie jednej zgody klienta na przetwarzanie jego danych w różnych celach. Klient musi wyrazić zgodę na przetwarzanie danych na każdy cel osobno  w sposób wyraźny. Zgody nie można zastąpić akceptacją regulaminu sklepu internetowego bądź wyrażeniem zgody na otrzymywanie newslettera. Taka nieprawidłowa praktyka jest  powszechna.

Są sankcje

Przedsiębiorca niestosujący się do wspomnianych zasad może być narażony na przewidziane w ustawie represje. Kto uchybia obowiązkowi rejestracji zbioru danych osobowych bądź choćby nieumyślnie narusza obowiązek ich zabezpieczenia, podlega karze grzywny, karze ograniczenia wolności oraz karze pozbawienia wolności do 1 roku.

—Angelika Czubacka-Pędzisz