Krótka odpowiedź
Tak, RODO obowiązuje Pani/Pana nową stronę internetową lub sklep internetowy, gdy tylko przetwarzane są tam dane osobowe. Dzieje się to szybciej niż wielu przedsiębiorców sądzi: formularz kontaktowy, zamówienie z imieniem i adresem, baner cookie'a do analityki lub okno czatu żądające adresu e-mail — to wszystko to przetwarzania danych osobowych. Wielkość Pani/Pana firmy lub liczba odwiedzających nie ma tu znaczenia.
To, co się różni, to zakres tego, co od Pani/Pana się oczekuje. Informacyjna strona internetowa zawierająca tylko adres i numer telefonu wymaga niewiele. Sklep internetowy z kontami klientów, danymi płatniczymi, adresami dostawy i biuletyn wymaga więcej: zaangażowanych jest wiele stron trzecich, które przetwarzają dane w Pani/Pana imieniu, a to wymaga umów.
Kiedy Pani/Pana to bezpośrednio dotyczy
RODO wchodzi w grę w momencie, gdy Pani/Pana strona internetowa lub sklep internetowy robi coś z danymi, które można przypisać konkretnej osobie. Pomyślmy o formularzu kontaktowym, który zapisuje imię i adres e-mail, narzędziu analityki, które śledzi zachowanie odwiedzających, pikselu reklamowym strony trzeciej, koncie logowania dla klientów lub procesie zamawiania, w którym adres i dane płatnicze są rejestrowane i przekazywane operatorowi paczkomatów lub dostawcy płatności.
Każdy z tych elementów oznacza, że istnieje strona, która przetwarza dane w Pani/Pana imieniu: Pani/Pana dostawca hostingu, Pani/Pana platforma sklepu internetowego, Pani/Pana dostawca analityki, Pani/Pana narzędzie marketingu e-mailowego. W przypadku tych stron trzecich w większości przypadków obowiązkowa jest umowa przetwarzania danych. Sposób oceny tej umowy i na co należy zwrócić uwagę, znajduje się na stronie baza wiedzy z wyjaśnieniami dla każdej sytuacji.
Kiedy Pani/Pana to mniej dotyczy
Czysto informacyjna strona internetowa bez formularzy, bez śledzących plików cookie i bez stron trzecich, które obserwują, przetwarza mało lub wcale nie przetwarza danych osobowych. W takim przypadku wpływ RODO jest ograniczony. Ale w praktyce jest to rzadkie: większość witryn ma co najmniej formularz kontaktowy lub skrypt analityki, a oba już liczą się jako przetwarzanie.
Nie chodzi więc o to, czy "Pani/Pana dotyczy, czy nie", ale "w jakim stopniu". Prosta strona broszury wymaga krótkiego oświadczenia o ochronie prywatności i przejrzenia używanych narzędzi. Sklep internetowy z kontami klientów i wieloma dostawcami wymaga pełniejszego obrazu: które narzędzie przetwarza co, kto jest administratorem przetwarzającym dane, i gdzie przechowywane są jakie dane.
Co to oznacza w praktyce
Jeśli budujesz nową stronę internetową lub sklep internetowy, zwykle pojawiają się trzy pytania jednocześnie. Po pierwsze: które narzędzia i dostawcy będą przetwarzać dane w Pani/Pana imieniu, i czy z każdym z nich zawarta jest umowa przetwarzania danych? Po drugie: czy na stronie znajduje się oświadczenie o ochronie prywatności wyjaśniające, co Pani/Pana robi i dlaczego? Po trzecie: czy to nowe przetwarzanie zostało zapisane w Pani/Pana rejestrze działań przetwarzania, aby Pani/Pani mógł/mogła w każdej chwili wykazać, co się dzieje?
Te trzy pytania nie powinny być odpowiadane niezależnie od siebie. Platforma sklepu internetowego, dostawca płatności i operacyjny są często wszyscy trzej administratorami przetwarzającymi dane, i każdy z nich powinien mieć miejsce w rejestrze. Jeśli w trakcie procesu coś pójdzie nie tak — na przykład dlatego, że dostawca przesyła dane bez zabezpieczenia — to moment, aby szybko móc ocenić, co się stało i czy należy to zgłosić. Wstępne wskazanie w tym celu otrzymasz kilka pytań, które od razu dają kierunek.
Jaki jest związek z istniejącymi obowiązkami
Nowa strona internetowa lub sklep internetowy zwykle nie stanowią osobnego obowiązku wynikającego z RODO, lecz raczej rozszerzenie tego, co obowiązywało już wcześniej. Jeśli Twoja firma już przetwarza dane pracowników lub zbiera dane klientów, strona internetowa stanowi dodatkowy element: nowi podmioty przetwarzające dane, nowe przepływy danych, a zatem uzupełnienie rejestru i istniejących umów z podmiotami przetwarzającymi dane. RODO oraz wytyczne EDRB i Urzędu Ochrony Danych Osobowych stanowią w tym względzie punkt wyjścia; w jaki sposób informacje te zostały zorganizowane na tej platformie i gdzie znajduje się źródło każdej części, przeczytasz w wyjaśnieniu dotyczącym sposobu zorganizowania informacji.
To, czy Twoja konkretna strona internetowa lub sklep internetowy w pełni zgodny z RODO, to kwestia, którą najlepiej przeanalizować z prawnikiem lub, w razie wątpliwości dotyczących konkretnego przetwarzania, z Urzędem Ochrony Danych Osobowych. Ten artykuł wyjaśnia kwestię, ale nie stanowi porady prawnej.
Samodzielna kontrola swojej pozycji
Chcesz szybko zobaczyć, które elementy dotyczą Twojej nowej strony internetowej lub sklepu internetowego — jakie narzędzia, jakie podmioty przetwarzające dane, jakie dokumenty? Wykonaj bezpłatny szybki przegląd lub przeglądaj tematy w bazie wiedzy. Chcesz monitorować to systematycznie, gdy dołączą rejestr i monitorowanie, wówczas możesz utworzenie konta biznesowego i kontynuować od tego miejsca, w którym się znajdujesz.