Sklep PrestaShop i RODO: lista rzeczy do sprawdzenia

RODO obowiązuje od 2018 roku, a mimo to przy większości audytów znajdujemy te same braki: zaznaczona domyślnie zgoda na newsletter, baner cookies, który niczego nie blokuje, brak umowy z firmą hostingową i nikt nie wie, co zrobić, gdy klient poprosi o usunięcie danych. Poniżej lista rzeczy do sprawdzenia w sklepie na PrestaShop. Nie jest poradą prawną, jest listą techniczną i organizacyjną, którą przechodzimy przy audycie.

Zgody w formularzach

Zacznij od rejestracji, koszyka i formularza kontaktowego. Każde miejsce, w którym klient podaje dane, powinno jasno mówić, po co je zbierasz. Akceptacja regulaminu jest warunkiem zakupu, więc nie wymaga osobnej zgody, ale zgoda na newsletter, na profilowanie czy na przekazanie danych partnerom już tak, i każda osobno.

• Pola zgód są domyślnie odznaczone. Zaznaczony checkbox nie jest zgodą.
• Zgoda na newsletter jest oddzielona od akceptacji regulaminu i nie jest warunkiem zakupu.
• Przy każdej zgodzie jest krótka informacja, kto jest administratorem i do czego dane będą użyte, z linkiem do polityki prywatności.
• Zakupy jako gość nie wymagają założenia konta ani zgód marketingowych.
• Sklep zapisuje, kiedy i na co klient się zgodził. W PrestaShop robi to moduł zgodności z RODO, który zapisuje treść zgody i czas.

Polityka prywatności i regulamin

Polityka prywatności to dokument, który odpowiada na pytania: kto jest administratorem, jakie dane zbierasz, po co, na jakiej podstawie, komu je przekazujesz, jak długo trzymasz i jakie prawa ma klient. Musi być dostępna z każdej strony sklepu, najczęściej w stopce, i podlinkowana przy każdym formularzu.

Najczęstszy błąd to polityka skopiowana z innego sklepu. Wymienia usługi, których nie używasz, i pomija te, które masz. Przejdź ją punkt po punkcie z listą rzeczywistych odbiorców danych: operator płatności, firmy kurierskie, program do faktur, narzędzie do mailingu, hosting, firma opiekująca się sklepem, narzędzia analityczne, platformy reklamowe. Jeśli którejś brakuje, dopisz. Jeśli jest wymieniona, a jej nie używasz, usuń.

Cookies i skrypty zewnętrzne

Baner z napisem „ta strona używa cookies, OK” nic nie załatwia. Skrypty analityczne, piksele reklamowe, czat i mapy ustawiają pliki cookies i wysyłają dane do zewnętrznych firm. Do czasu zgody klienta nie powinny się uruchamiać. Technicznie oznacza to, że moduł zgody na cookies musi blokować ładowanie tych skryptów, a nie tylko wyświetlać komunikat.

Rodzaj	Przykłady	Czy wymaga zgody	Co sprawdzić
Niezbędne	sesja, koszyk, logowanie, wybór języka	nie	Czy baner ich nie blokuje, bo wtedy koszyk się gubi
Analityczne	statystyki odwiedzin, mapy cieplne	tak	Czy skrypt ładuje się dopiero po kliknięciu „zgadzam się”
Marketingowe	piksele reklamowe, remarketing	tak	Czy odmowa jest tak samo łatwa jak zgoda
Funkcjonalne od zewnętrznych firm	czat, mapy, wideo, opinie	zwykle tak	Czy da się pokazać zastępczy element do czasu zgody

Test jest prosty: otwórz sklep w trybie prywatnym, nie klikaj niczego na banerze i sprawdź w narzędziach przeglądarki, jakie cookies zostały ustawione i do jakich domen poszły żądania. Jeśli widzisz domeny reklamowe, baner nie działa.

Prawa klienta: dostęp, eksport, usunięcie

Klient może zapytać, jakie dane o nim masz, poprosić o ich kopię, poprawienie albo usunięcie. Sklep musi umieć to zrobić, a firma musi wiedzieć, kto odpowiada za obsługę takich wniosków i w jakim czasie. PrestaShop ma do tego wbudowany moduł zgodności z RODO: klient w swoim koncie może pobrać swoje dane i wysłać prośbę o usunięcie, a Ty w panelu widzisz te prośby i możesz je zrealizować.

Co z zamówieniami i fakturami

Usunięcie danych klienta nie oznacza usunięcia faktur. Dokumenty księgowe musisz przechowywać przez okres wymagany przepisami podatkowymi, i to jest osobna podstawa prawna. W praktyce usuwa się lub anonimizuje konto, adresy, historię przeglądania i zgody marketingowe, a dokumenty zostają. Sprawdź, czy Twój sklep i program do faktur robią to poprawnie, bo moduły zewnętrzne (opinie, programy lojalnościowe, czat) często trzymają dane klienta w swoich tabelach i nie reagują na usunięcie konta.

Dane w innych systemach

Klient jest też w programie magazynowym, w systemie kuriera, u operatora płatności, w narzędziu do mailingu i w kopiach zapasowych. Usunięcie ze sklepu to początek, nie koniec. Spisz, gdzie trafiają dane klienta, i ustal, jak usuwa się je w każdym z tych miejsc. Dla kopii zapasowych wystarczy zasada: kopie mają ustalony czas retencji, po którym są usuwane, a danych z kopii nie przywraca się bez ponownego usunięcia.

Umowy powierzenia

Każda firma, która przetwarza dane Twoich klientów na Twoje zlecenie, jest podmiotem przetwarzającym i potrzebujesz z nią umowy powierzenia. Duzi dostawcy mają gotowe umowy do zaakceptowania w panelu. Z mniejszymi, w tym z firmą opiekującą się sklepem, trzeba ją podpisać osobno. My podpisujemy ją standardowo przy każdej opiece i każdym dostępie do sklepu.

• Hosting i dostawca serwera.
• Operator płatności.
• Firmy kurierskie i broker przesyłek.
• Narzędzie do newslettera i automatyzacji maili.
• Program do faktur, jeśli jest w chmurze.
• Firma wdrażająca i opiekująca się sklepem.
• Narzędzia analityczne i czat, jeśli mają dostęp do danych identyfikujących.
• Zewnętrzny magazyn lub fulfillment.

Bezpieczeństwo i dostęp do panelu

RODO wymaga „odpowiednich środków technicznych”. W praktyce dla sklepu oznacza to kilka konkretnych rzeczy: osobne konto w panelu dla każdej osoby z uprawnieniami ograniczonymi do jej pracy, usuwanie kont po odejściu pracownika, mocne hasła i uwierzytelnianie dwuskładnikowe tam, gdzie się da, certyfikat SSL na całym sklepie, aktualna wersja PrestaShop i PHP, zmieniony adres panelu administracyjnego, kopie zapasowe szyfrowane i trzymane poza serwerem. Sklep na wersji bez wsparcia, jak 1.6 czy 1.7, trudno nazwać odpowiednio zabezpieczonym.

Naruszenie danych: 72 godziny

Jeśli dojdzie do wycieku danych osobowych, na przykład przez włamanie na sklep, masz 72 godziny od stwierdzenia naruszenia na zgłoszenie do UODO, a jeśli naruszenie niesie wysokie ryzyko dla klientów, musisz też poinformować ich samych. Te 72 godziny mijają szybko, zwłaszcza w weekend. Dlatego procedura powinna być spisana wcześniej: kto stwierdza naruszenie, kto decyduje o zgłoszeniu, kto pisze do klientów, gdzie są logi, które pokażą, co wyciekło. Co robić w pierwszej godzinie po włamaniu, opisaliśmy w osobnym artykule.

Lista kontrolna

RODO w sklepie to w większości porządek: wiesz, jakie dane masz, gdzie są, kto je widzi i jak je usunąć. Reszta to dokumenty.

Pytania, które słyszymy najczęściej

Czy wbudowany moduł RODO w PrestaShop wystarcza?

Załatwia zapis zgód, eksport i usunięcie danych z samego sklepu. Nie załatwia cookies, umów powierzenia ani danych w zewnętrznych systemach. To dobry początek, nie całość.

Czy muszę mieć inspektora ochrony danych?

Większość małych i średnich sklepów nie musi. Obowiązek dotyczy między innymi firm, których główna działalność polega na przetwarzaniu danych na dużą skalę. W razie wątpliwości zapytaj prawnika, my nie udzielamy porad prawnych.

Co z danymi klientów w kopiach zapasowych po usunięciu konta?

Ustal czas retencji kopii i trzymaj się go. Zapisz w polityce, że dane mogą pozostać w kopiach przez ten okres. Przy odtwarzaniu kopii ponownie usuń dane klientów, którzy wcześniej o to prosili.

Jak często robić taki przegląd?

Raz w roku i po każdej większej zmianie: nowy moduł marketingowy, nowy operator płatności, nowy sposób sprzedaży. Większość punktów sprawdza się w godzinę.