Váš e-shop sbírá údaje o zákaznících každý den. E-mailové adresy v pokladně. Telefonní čísla kvůli doručení. Platební údaje. IP adresy z analytiky. Historii prohlížení ze sledovacích pixelů. Ke každému údaji, který sbíráte, patří právní povinnost ho chránit a říct zákazníkům, jak s ním naložíte.
Právě tady přicházejí ke slovu zásady ochrany osobních údajů, souhlas s cookies a GDPR. Nejsou to jen právní formality. Jsou to pravidla, podle kterých sbíráte, ukládáte a používáte informace o zákaznících. Když je zvládnete špatně, hrozí vám pokuty, nedůvěra zákazníků a právní potíže. Když je zvládnete dobře, budujete důvěru ve svou značku.
Většina majitelů e-shopů ochranu soukromí přeskakuje, protože působí nudně a složitě. Složitá opravdu je. Tento článek ale rozebírá, co skutečně musíte udělat.
Co je GDPR a koho se týká
GDPR je zkratka pro obecné nařízení o ochraně osobních údajů (General Data Protection Regulation). Je to právní předpis Evropské unie, který stanoví pravidla pro to, jak firmy sbírají a používají osobní údaje. Pokud máte jediného zákazníka v EU, GDPR se vztahuje na vás. Pokud váš e-shop obsluhuje jakéhokoli zákazníka v EU, musíte GDPR dodržovat.
GDPR není dobrovolné. Není to doporučení. Evropská komise uložila firmám za porušení pokuty v miliardách eur. Jedna velká technologická firma zaplatila USD 20 milionů. Jiná zaplatila USD 5 miliard. To jsou obrovské společnosti. Malý e-shop může dostat menší pokuty, ale princip je stejný: porušení GDPR je drahé.
Základní zásada GDPR je jednoduchá: údaje patří zákazníkům. Vy si je jen dočasně půjčujete. Před sběrem se musíte zeptat na souhlas. Musíte vysvětlit, co s nimi děláte. A musíte je smazat, když o to zákazník požádá.
Hlavní pravidla GDPR pro e-shopy
Před sběrem údajů potřebujete souhlas
Nemůžete jen tak sbírat e-mailové adresy, telefonní čísla ani jiné osobní údaje bez jasného souhlasu. V pokladně potřebujete výslovné zaškrtávací políčko, které zákazník zaškrtne sám, ne předem zaškrtnuté. Pokud zákazník odškrtne políčko "Souhlasím se zasíláním marketingových e-mailů", nemůžete ho do marketingu přihlásit. Potřebujete jeho aktivní a informovaný souhlas.
Týká se to marketingových seznamů, sledování analytiky i reklamních cookies. Pokud používáte Google Analytics, musíte zákazníkům říct, že ho používáte, a dát jim možnost to odmítnout. Pokud používáte Facebook Pixel k retargetingu zákazníků, potřebujete souhlas dřív, než se pixel spustí.
Musíte vysvětlit, co s údaji děláte
Zásady ochrany osobních údajů nejsou jen právní dokument. Je to komunikace se zákazníky. Musíte srozumitelně (ne právnickým žargonem) vysvětlit, jaké údaje sbíráte, proč je sbíráte, jak dlouho je uchováváte a kdo k nim má přístup. GDPR vyžaduje, aby tyto informace byly "snadno dostupné" a podané "jasným a jednoduchým jazykem".
Zásady, které jsou schované za pěti kliknutími nebo napsané právnickým žargonem, standard "jasně a jednoduše" nesplňují.
Na požádání musíte údaje smazat
Zákazníci mají právo požádat, abyste jejich údaje smazali. Říká se tomu "právo být zapomenut". Pokud vám zákazník napíše e-mail s žádostí o smazání účtu a údajů, máte 30 dní na splnění. Nesmíte si za to nic účtovat. Nesmíte žádost ignorovat. Musíte údaje smazat a potvrdit, že jsou pryč.
Musíte hlásit úniky dat
Pokud dojde k narušení nebo odcizení údajů o zákaznících, máte 72 hodin na nahlášení evropským úřadům. Musíte také informovat dotčené zákazníky. Únik nesmíte skrývat ani doufat, že si ho nikdo nevšimne. Už jen tento požadavek udělal z GDPR pro mnoho firem nákladnou záležitost, protože vynucuje transparentnost a odpovědnost. Osvědčené postupy zabezpečení pokladny najdete v článku jak udržet pokladnu vašeho e-shopu v bezpečí.
Přenosy údajů vyžadují schválení
Pokud ukládáte údaje o zákaznících mimo EU, musíte použít schválené mechanismy přenosu. Týká se to případů, kdy je váš zpracovatel plateb v USA, kdy používáte e-mailovou službu z USA nebo kdy zálohujete data v americkém datovém centru. Údaje zákazníků z EU nemůžete jen tak přesouvat kamkoli. Potřebujete zavedený právní rámec.
Co jsou zásady ochrany osobních údajů a proč je potřebujete
Zásady ochrany osobních údajů jsou dokument, který vysvětluje, jak váš e-shop sbírá, používá a chrání informace o zákaznících. Vyžaduje je GDPR, řada zákonů jednotlivých států USA i oborové standardy. Bez nich porušujete zákon a zákazníci nemají jak zjistit, jak s jejich údaji nakládáte.
Vaše zásady musí pokrývat:
Jaké údaje sbíráte
Vyjmenujte každý druh údajů, které shromažďujete. Patří sem zjevné věci jako e-mailové a doručovací adresy, ale i méně zjevné, například IP adresy ze serveru vašeho webu, cookies z analytiky, sledování chování a údaje o poloze. Buďte konkrétní. Nepište jen "osobní údaje". Napište "e-mailová adresa, telefonní číslo, doručovací adresa, historie nákupů a chování při prohlížení". Pokud přijímáte platby přes platební bránu, musí zásady vysvětlit, jaké platební údaje zpracovává váš zpracovatel plateb. Co kudy teče v platebním systému, zjistíte v článku jak fungují platební brány.
Jak je sbíráte
Sbíráte údaje přes formuláře, stránky pokladny nebo cookies? Při komunikaci se zákaznickou podporou nebo přes tikety? Přes analytické nástroje nebo reklamní pixely? Popište metody. Tady zmíníte Google Analytics, Facebook Pixel, platební bránu nebo jakékoli nástroje, kterými údaje sbíráte.
Proč je sbíráte
E-mailové adresy sbíráte kvůli zpracování objednávek a posílání informací o doručení. Telefonní čísla kvůli zákaznické podpoře. Analytická data, abyste pochopili, jak návštěvníci web používají. Cookies používáte, aby si vás web pamatoval a nemuseli jste se pokaždé přihlašovat. U každého druhu sběru údajů vysvětlete obchodní důvod.
Jak dlouho je uchováváte
Údaje neuchováváte navždy. Musíte stanovit lhůty uchování. Historii nákupů můžete držet 7 let z daňových a právních důvodů. E-mailové adresy můžete držet 3 roky po posledním nákupu pro marketing. Tikety podpory můžete držet 1 rok. Ať jsou vaše lhůty jakékoli, uveďte je jasně.
Kdo k nim má přístup
Pokud používáte zpracovatele plateb, má přístup k platebním údajům. Pokud používáte dopravce, má přístup k adresám a může je použít k doručení. Pokud zákaznickou podporu zajišťuje externí firma, vidí váš tým podpory jména a e-mailové adresy zákazníků. Vyjmenujte všechny třetí strany, které mohou údaje o zákaznících vidět, a vysvětlete proč. Jak funguje doprava, popisuje článek jak nastavit dopravu ve vašem e-shopu.
Jak je chráníte
Používáte certifikáty SSL k šifrování přenášených dat? Vyžadujete silná hesla? Zálohujete data pravidelně? Školíte svůj tým v ochraně dat? Vysvětlete svá bezpečnostní opatření. Pokud je vaše zabezpečení slabé, řekněte to i tak, ale zavažte se ho zlepšit.
Práva zákazníků
Podle GDPR mají zákazníci právo na přístup ke svým údajům, jejich opravu, smazání a přenesení k jiné službě. Vaše zásady jim musí říct, jak tato práva uplatnit. Uveďte e-mailovou adresu nebo kontaktní formulář, kde mohou zákazníci požádat o přístup k údajům nebo jejich smazání.
Souhlas s cookies a sledování
Cookies jsou malé soubory, které weby ukládají do počítače zákazníka, aby si ho zapamatovaly. Používají se k udržení přihlášení, k zapamatování položek v košíku a ke sledování chování napříč weby.
GDPR rozlišuje nezbytné a nenezbytné cookies. Nezbytné cookies (například cookies nákupního košíku nebo relace) souhlas nevyžadují. Všechno ostatní ano.
Nezbytné cookies, které souhlas nepotřebují
Cookies nákupního košíku jsou nezbytné, protože bez nich by zákazníci při přechodu na další stránku o košík přišli. Cookies relace, které udržují přihlášení, jsou nezbytné. Bezpečnostní cookies, které brání podvodům, jsou nezbytné. Tyto cookies můžete používat bez žádosti o souhlas, protože jsou nutné k fungování e-shopu.
Nenezbytné cookies, které souhlas vyžadují
Analytické cookies (Google Analytics, nástroje pro teplotní mapy, produktová analytika) nejsou k provozu e-shopu nutné. Pomáhají vám pochopit chování, ale e-shop bez nich funguje dobře. Znalost dat o návštěvnících je užitečná pro optimalizaci, ale zákazníci by měli souhlasit dřív, než je začnete sledovat. Marketingové cookies a retargetingové pixely (Facebook Pixel, sledování konverzí v Google Ads) rozhodně nezbytné nejsou. Tyto cookies sledují zákazníky po internetu, aby jim zobrazovaly reklamy. Vyžadují výslovný souhlas dřív, než se spustí. Přehled toho, co se z analytiky dozvíte, najdete v článku jak pomocí analytiky pochopit chování návštěvníků.
Jak souhlas s cookies zavést
Potřebujete lištu pro souhlas s cookies, která se zobrazí, když zákazník web poprvé navštíví. Lišta musí vysvětlit, jaké cookies používáte a proč. Měla by mít alespoň tři možnosti: Přijmout vše, Odmítnout nenezbytné a Upravit. Přijmout vše má být jedno tlačítko. Odmítnutí musí být stejně snadné ke kliknutí (ne schované v nabídce). Zákazníci by měli mít možnost říct ne analytickým a marketingovým cookies, aniž by přišli o možnost nakupovat.
Nedělejte souhlas matoucí pomocí klamavých vzorů, například "Přijmout" velkými modrými písmeny a "Odmítnout" drobným šedým textem. To je v rozporu s GDPR. Obě možnosti musí být stejně viditelné a klikatelné.
Můžete použít nástroj pro souhlas s cookies. Tyto služby se postarají o lištu, evidenci souhlasů i aktualizaci vašich předvoleb. Stojí peníze, ale ušetří vám právní riziko.
Ochrana soukromí pro e-shopy mimo EU
GDPR je právo EU, ale předpisy o ochraně soukromí existují všude. Pokud váš e-shop působí v Kalifornii, vztahuje se na vás CCPA (California Consumer Privacy Act). Ve Virginii platí VDPA. Kanada má PIPEDA. Brazílie má LGPD. Austrálie má APPs.
Tyto zákony nejsou s GDPR totožné, ale vycházejí z podobných zásad: údaje patří zákazníkům, musíte se zeptat na souhlas, musíte být transparentní a musíte údaje na požádání smazat.
Pokud máte zákazníky ve více regionech, nemůžete mít jedny zásady, které fungují všude. Musíte dodržovat nejpřísnější zákon, který se na vás vztahuje. Pro většinu e-shopů je to GDPR, protože je nejpřísnější. Pokud dodržujete GDPR, pravděpodobně vyhovujete i většině ostatních zákonů o ochraně soukromí.
Obchodní podmínky a zásady ochrany osobních údajů
Zásady ochrany osobních údajů a obchodní podmínky jsou různé dokumenty s různým účelem.
Zásady ochrany osobních údajů popisují, jak nakládáte s údaji: co sbíráte, proč, jak dlouho to uchováváte a jak k tomu mají zákazníci přístup nebo jak to mohou smazat.
Obchodní podmínky popisují, jak mohou zákazníci váš e-shop používat: platební podmínky, podmínky vrácení zboží, podmínky vrácení peněz, omezení odpovědnosti a co zákazníci dělat nesmějí. Zákazníkovi může vyhovovat vaše nakládání s údaji (soukromí), ale nesouhlasit s tím, že peníze nevracíte (podmínky).
Potřebujete oba dokumenty. K psaní obchodních podmínek se dozvíte víc v článku jak napsat obchodní podmínky pro váš e-shop.
Jak WEMASY pomáhá s ochranou soukromí a souladem s pravidly
Tvůrce webů od WEMASY obsahuje vestavěné šifrování SSL pro všechna přenášená data. WEMASY také umožňuje přidat na web zásady ochrany osobních údajů a lištu pro souhlas s cookies bez vlastního kódu. Můžete nastavit, které cookies jsou nezbytné a které vyžadují souhlas, a průběh souhlasu nechat na WEMASY.
Nic z toho vás nezbavuje právní odpovědnosti mít jasné zásady ochrany osobních údajů, ale zavedení je snazší. Podívejte se, co obsahuje váš tarif WEMASY.
Kontrolní seznam ochrany soukromí pro váš e-shop
Než e-shop spustíte, projděte tento seznam:
Zásady ochrany osobních údajů
Máte na webu zásady ochrany osobních údajů? Jsou veřejně dostupné? Vysvětlují, jaké údaje sbíráte, proč je sbíráte, jak dlouho je uchováváte a kdo k nim má přístup? Obsahují kontakt pro žádosti o údaje? Nekopírujte cizí zásady. Obecné zásady nevysvětlují vaše konkrétní postupy.
Souhlas s cookies
Pokud používáte analytické nebo marketingové cookies, máte lištu pro souhlas s cookies? Dává zákazníkům skutečnou možnost odmítnout? Je tlačítko odmítnutí stejně snadné ke kliknutí jako tlačítko přijetí? Vysvětluje lišta, co který druh cookies dělá?
Nezbytné zabezpečení
Používáte SSL (HTTPS) pro celý e-shop? Vyžadujete silná hesla? Máte plán, co dělat, když dojde k narušení údajů? Zálohujete údaje o zákaznících pravidelně?
Nástroje třetích stran
Vyjmenujte každý nástroj, který zpracovává údaje o zákaznících: zpracovatele plateb, dopravce, e-mailovou službu, analytickou platformu, marketingový nástroj, software podpory. Zmiňují je všechny vaše zásady? Přečetli jste si jejich zásady ochrany osobních údajů? Dodržují GDPR nebo vaše místní zákony?
Postup mazání údajů
Pokud zákazník e-mailem požádá o smazání svých údajů, máte na to postup? Víte, jak údaje smazat ze systému e-shopu, od zpracovatele plateb, z e-mailové služby a z dalších nástrojů? Potřebujete zdokumentovaný postup, ne odhad.
Právní poradenství
Konzultovali jste ochranu soukromí s právníkem? Právník nemusíte mít na každou otázku, ale u prvního e-shopu stojí za to věnovat 1 až 2 hodiny právního času tomu, abyste měli jistotu, že jdete správným směrem. Mnoho právníků zkontroluje základní zásady ochrany osobních údajů za EUR 200-400.
Často kladené otázky
Potřebuji zásady ochrany osobních údajů, když je můj e-shop malý?
Ano. GDPR i další zákony o ochraně soukromí platí bez ohledu na velikost e-shopu. I e-shop s 10 zákazníky měsíčně má zákonnou povinnost chránit jejich údaje a vysvětlit, jak je používá. Zásady ochrany osobních údajů jsou zákonné minimum.
Mohu použít vzorové zásady ochrany osobních údajů?
Ano, ale jen jako výchozí bod. Generátory zásad vytvoří zásady podle vašich konkrétních nástrojů a postupů. Nekopírujte zásady konkurenta slovo od slova. Zásady musí odpovídat vašim skutečným postupům s údaji. Pokud zásady říkají, že údaje po 1 roce mažete, ale ve skutečnosti je držíte 7 let, vytváříte si právní riziko.
Co když nemám zákazníky z EU?
Povinnosti v oblasti soukromí můžete mít i tak. USA mají CCPA v Kalifornii a VDPA ve Virginii. Kanada má PIPEDA. Brazílie má LGPD. Většina zemí má nějakou formu zákona o ochraně soukromí. I když cílíte jen na zákazníky z USA, je bezpečnější řídit se GDPR, protože je nejpřísnější. Soulad s GDPR obvykle znamená soulad i se slabšími zákony.
Kolik zásady ochrany osobních údajů skutečně stojí?
Základní zásady můžete zdarma vytvořit v generátoru zásad ochrany osobních údajů. Za zásady na míru od právníka počítejte s EUR 500-2,000. Většina malých e-shopů začíná s vygenerovanými zásadami a nechá je zkontrolovat právníkem za EUR 200-400, aby pokrývaly jejich konkrétní nastavení.
Jaký je rozdíl mezi GDPR a CCPA?
GDPR je právo EU. CCPA je zákon státu Kalifornie. GDPR je přísnější. Oba dávají zákazníkům právo na přístup ke svým údajům, jejich smazání a opravu. Oba vyžadují souhlas s marketingem. GDPR vyžaduje souhlas před sběrem většiny údajů. CCPA sběr povoluje, ale vyžaduje možnost odhlášení. Pokud dodržujete GDPR, pravděpodobně vyhovujete i CCPA.
Jak mám reagovat na žádost zákazníka o smazání údajů?
Když zákazník požádá o smazání svých údajů, odpovězte do 30 dní. Smažte jeho účet ze systému e-shopu. Smažte ho z e-mailového marketingového seznamu. Odstraňte ho z analytiky. Požádejte zpracovatele plateb, aby jeho údaje smazal. Písemně potvrďte, že jsou jeho údaje smazány. Uchovejte dokumentaci o smazání pro případ, že byste museli prokázat, že jste postupovali správně.