Polacy pokochali zakupy online. Stały się one nierozłączną częścią codziennego życia większości z nas. Świadczą o tym zarówno przeprowadzane badania, jak i tempo rozwoju firm zajmujących się dostarczaniem przesyłek. Według różnych raportów nawet około 80% użytkowników Internetu dokonuje zakupów za pomocą sklepów internetowych. Cenimy sobie wygodę i oszczędność czasu, możliwość łatwego porównania cen czy zapoznania się z opiniami innych osób na temat wymarzonego produktu.
Branża e-commerce nie może jednak zapomnieć o ciążących na niej obowiązkach prawnych. Mamy na myśli oczywiście przepisy regulujące ochronę danych osobowych, a w tym artykule chcielibyśmy skupić się na drobnym wycinku, którym jest retencja danych osobowych. Okres przechowywania danych osobowych, jak pokazuje doświadczenie, w praktyce wydaje się jednym z bardziej kłopotliwych obowiązków wynikających z przepisów RODO.
W niniejszym artykule przyjrzymy się bliżej zasadom retencji danych w sklepach internetowych, zwracając uwagę na obowiązki przedsiębiorców w zakresie ochrony danych osobowych. Omówimy, jak długo można przechowywać dane klientów, jakie są wyjątki od tych reguł oraz jakie konsekwencje mogą wynikać z ich nieprzestrzegania.
Jakie obowiązki ciążą na właścicielach sklepów online?
W obszarze RODO retencja danych odnosi się do praktyki przechowywania danych osobowych przez określony czas. Okres retencji danych mówi nam o tym, jak długo możemy, a nawet powinniśmy przechowywać dane osobowe. Motyw 39 RODO stanowi, iż „aby zapobiec przechowywaniu danych osobowych przez okres dłuższy, niż jest to niezbędne, administrator powinien ustalić termin ich usuwania lub okresowego przeglądu”. Co za tym idzie, przynajmniej w teorii nie jest wymagana procedura retencji danych, jednakże Prezes UODO w decyzji ZSPU.421.3.2019 z dnia 18 października 2019 r. zarzucił administratorowi „brak odpowiednich polityk dotyczących przetwarzania danych osobowych w Biuletynie Informacji Publicznej pod kątem ich aktualności i celowości publikacji oraz określających terminy usunięcia danych osobowych”. Co za tym idzie, brak formalnego obowiązku wdrożenia procedury nie oznacza, iż można zapomnieć o retencji danych osobowych. Przygotowanie odpowiedniej dokumentacji, w której będą określone terminy usuwania danych, niewątpliwie zadziała na korzyść administratora i uporządkuje zachodzące u niego procesy przetwarzania danych osobowych.
Inne obowiązki wynikające z RODO w zakresie retencji mogą dotyczyć informowania osób, których dane dotyczą, o okresie przechowywania ich danych osobowych w treści klauzuli informacyjnej wynikającej z art. 13 lub art. 14 RODO. Tych samych informacji należy udzielić podmiotowi danych w ramach prawa dostępu do danych z art. 15 ust. 1 lit. d RODO. Pamiętajmy, iż gdy nie jest z góry znany czas, przez który będą przechowywane dane osobowe, należy wskazać kryteria ustalania tego okresu.
Jak ustalić okres przechowywania danych? Dlaczego retencja danych jest istotna?
Prowadząc sklep internetowy, pozyskujemy od klientów najróżniejsze dane: dane identyfikacyjne, kontaktowe, adresowe, rozliczeniowe, informacje o preferencjach. W jaki sposób ustalić okres ich przechowywania? Czy można ustanowić jednolite zasady retencji danych? A może usuwajmy dane osobowe niezwłocznie po przeprowadzeniu transakcji, zwłaszcza skoro ich przetwarzanie wiąże się z ryzykiem i jest obarczone koniecznością spełnienia dodatkowych obowiązków? Ostatnie pytanie jest oczywiście mocno prowokacyjne i od razu podpowiemy, iż delikatnie mówiąc, nie jest to optymalne rozwiązanie. Dane osobowe niejednokrotnie musimy przechowywać z uwagi na konieczność spełnienia obowiązków prawnych, realizacji naszego interesu biznesowego, a ostatecznie w celu ochrony praw i wolności osób, których dane dotyczą.
Nie jest również możliwe ustalenie jednolitych zasad retencji z uwagi, iż różny może być cel ich przechowywania lub podstawa prawna. Przez inny okres będziemy przechowywać dane osoby której przygotowaliśmy ofertę, a ostatecznie nie doszło do finalizacji transakcji. Inny będzie czas przechowywania danych klienta, który zakupił produkt z podstawową gwarancją a jeszcze inny, jeżeli zostały wykupione usługi dodatkowe. Co więcej, na samym końcu będą czekały na nas podatki, czyli termin przedawnienia zobowiązania podatkowego. Co za tym idzie, nie jest możliwe ustalenie sztywnego okresu, po którym nastąpi usunięcie danych.
Intuicyjnie ustalając termin przechowywania danych będziemy poszukiwać odwołania w przepisach prawa. Okres przechowywania danych klientów może odnosić się do ustawowych terminów związanych z gwarancją (2 lata, jeżeli nie zastrzeżono inaczej), rękojmią (2 lata) czy zobowiązaniami podatkowymi (5 lat). Przepisy jednak nie we wszystkich przypadkach wprost określają terminy, na podstawie których możemy ustalić zasady retencji danych. Dlaczego zatem przepisy mówią nam tak mało? Oczywiście zawsze, gdy jest to możliwe, gdzie tematykę retencji danych da się usystematyzować i w interesie publicznym jest, aby każdy przyjął jednolite zasady (np. wspomniane przepisy podatkowe), wówczas rzeczywiście okres przechowywania jest określony konkretnym terminem, w oparciu o przepisy ustawy. Jednakże brak możliwości uregulowania wszystkich aspektów przetwarzania danych wynikających z różnych potrzeb administratorów danych powoduje, iż wielokrotnie decyzję o okresie przetwarzania danych należy podjąć samodzielnie i odpowiednio ją uargumentować – jak choćby w przypadku ustalenia okresu przechowywania danych osób, które otrzymały ofertę lub umieściły produkt w koszyku, ale ostatecznie nie zdecydowały się na zakup.
Czy można przechowywać dane w nieskończoność?
Punktem granicznym przy przechowywaniu danych osobowych jest osiągnięcie przez administratora zakładanego celu. Jednak jak to w życiu bywa, od każdej reguły są wyjątki. Dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane np. do celów statystycznych. Oczywiście pod warunkiem, że zostały wdrożone odpowiednie środki techniczne i organizacyjne w celu ochrony praw i wolności osób. Jednakże zdecydowanie rekomendujemy przechowywanie takich danych, np. o historii zakupów, trendach zakupowych itp. w formie uniemożliwiającej identyfikację osoby fizycznej, czyli po ich zanonimizowaniu. Usunięcie z bazy danych o klientach, a pozostawienie jedynie informacji o np. dacie zakupu, kwocie, czyli takich, które nie stanowią danych osobowych umożliwiających identyfikację osoby fizycznej, pozwoli na dalsze działanie naszego sklepu (np. w zakresie planowania dostaw, szacowania okresu zwiększonego popytu), a oddali od nas ryzyka wiążące się z ewentualnymi naruszeniami danych osobowych.
Decydując się na usunięcie danych osobowych lub ich anonimizację należy pamiętać, iż dotyczy to danych przetwarzanych zarówno elektronicznie, jak i papierowo. Dokonując usunięcia danych, zniszczenia nośników czy dokumentów je zawierających albo anonimizując dane osobowe należy zadbać, aby ten proces był wykonany skutecznie oraz nieodwracalnie. Korzystając w powyższym zakresie z podwykonawców (zarówno w odniesieniu do fizycznego niszczenia danych, jak i zarządzania systemem informatycznym), powierzając im do przetwarzania dane osobowe, nie jesteśmy zwolnieniu z obowiązku upewnienia się, że proces został wykonany prawidłowo. To my, jako administrator danych osobowych, w pełni odpowiadamy za ich przetwarzanie i to na nas spoczywa obowiązek wykazania przestrzegania przepisów.
Nie zapominajmy również o danych osobowych, które znajdują się w skrzynkach mailowych. Jest to miejsce, w którym najłatwiej stracić kontrolę nad posiadanymi danymi osobowymi, zwłaszcza jeśli chodzi o okres ich przechowywania. Jednakże kwestia retencji danych w poczcie elektronicznej z uwagi na swoją rozległość i wielowątkowość mogłaby być tematem na osobny artykuł. Najważniejsze jest, ażeby nie zbierać danych osobowych „na zapas” i przechowywać je tak długo, aż osiągniemy zakładamy cel.
Podsumowanie
Retencja danych w sklepach internetowych to kluczowy aspekt zarządzania danymi osobowymi klientów, który ma istotne znaczenie w kontekście obowiązujących przepisów RODO. Przedsiębiorcy muszą dokładnie określać okresy przechowywania danych, dostosowując je do celów, dla których są one przetwarzane. Należy dbać o regularne przeglądy i usuwanie danych po osiągnięciu zakładanego celu. Wdrożenie skutecznych zasad retencji danych nie tylko zapewnia zgodność z obowiązującymi przepisami, minimalizuje ponoszone ryzyko, usprawnia procesy biznesowe, ale przede wszystkim chroni prywatność klientów i buduje ich zaufanie, co jest kluczowe w dynamicznie rozwijającym się i mocno konkurencyjnym rynku e-commerce.
