Interná GDPR dokumentácia e-shopu: čo všetko musí obsahovať

Čo je interná GDPR dokumentácia

Interná GDPR dokumentácia je súbor dokumentov, v ktorých prevádzkovateľ zachytáva, aké osobné údaje spracúva, na aké účely, na akom právnom základe, s kým ich zdieľa a ako ich chráni. Na rozdiel od zásad ochrany osobných údajov na webe ju nezverejňujete. Slúži vám, vašim zamestnancom a v prípade kontroly Úradu na ochranu osobných údajov SR.

Jej právnym základom je najmä čl. 24 GDPR. Podľa neho musí prevádzkovateľ prijať vhodné technické a organizačné opatrenia a byť schopný preukázať, že spracúvanie prebieha v súlade s nariadením. Interná dokumentácia je práve tým dôkazom. Niektoré dokumenty GDPR vyžaduje výslovne (napríklad záznamy o spracovateľských činnostiach podľa čl. 30 alebo zmluvy so sprostredkovateľmi podľa čl. 28), iné sú nevyhnutné na to, aby ste dokázali splniť ďalšie povinnosti.

Interná dokumentácia verzus poučenie o ochrane osobných údajov na webe: v čom je rozdiel

Poučenie o ochrane osobných údajov na webe (často nazývané aj zásady ochrany osobných údajov alebo informácie o spracúvaní) a interná GDPR dokumentácia sa navzájom nenahrádzajú. Každý z dokumentov plní inú povinnosť, je určený inému čitateľovi a má inú mieru podrobnosti. E-shop potrebuje oba.

Zjednodušene povedané: zásady na webe hovoria zákazníkom, čo s ich údajmi robíte. Interná dokumentácia popisuje, ako to v skutočnosti zabezpečujete.

	Verejná dokumentácia na webe	Interná dokumentácia
Komu je určená	zákazníkom a návštevníkom webu	prevádzkovateľovi, zamestnancom, dozornému orgánu
Kde je uložená	na webe e-shopu	interne, v listinnej alebo elektronickej podobe
Účel	splniť informačnú povinnosť (čl. 13 a 14 GDPR)	preukázať súlad a nastaviť pravidlá spracúvania
Príklady	zásady ochrany osobných údajov, informácie o cookies	záznamy o činnostiach, bezpečnostná smernica, poučenia, zmluvy so sprostredkovateľmi, evidencie

Forma dokumentácie nie je predpísaná. Môže ísť o tabuľky, smernice, vzory aj evidencie vedené elektronicky. Rozhodujúce je, aby bola úplná, zodpovedala skutočnosti a dala sa kedykoľvek predložiť.

Čo sú informačné systémy

V slovenskej praxi ochrany osobných údajov sa informačným systémom rozumie súbor spracovateľských operácií, ktoré prevádzkovateľ vykonáva s osobnými údajmi na jeden konkrétny účel. Nejde o softvér ani o konkrétnu databázu, ale o ucelenú agendu. Napríklad všetko, čo e-shop robí s údajmi zákazníkov pri vybavovaní objednávok, tvorí jeden informačný systém.

Pojem pochádza z predchádzajúceho zákona o ochrane osobných údajov č. 122/2013 Z. z., na ktorom bola postavená celá dokumentácia. GDPR dnes hovorí najmä o spracovateľských činnostiach, no v praxi sa oba pojmy používajú ako zameniteľné a mnohí prevádzkovatelia svoju dokumentáciu naďalej členia podľa informačných systémov. Slovenské znenie GDPR síce v čl. 4 bode 6 používa pojem informačný systém užšie, ako usporiadaný súbor osobných údajov, v dokumentácii sa však ustálil uvedený širší význam.

Čo tvorí informačný systém

Každý informačný systém je vymedzený týmito prvkami:

• účel – prečo údaje spracúvate,
• právny základ – zmluva, zákon, oprávnený záujem alebo súhlas,
• dotknuté osoby – čie údaje spracúvate,
• zoznam osobných údajov – ktoré konkrétne údaje,
• spracovateľské operácie – získavanie, zaznamenávanie, usporadúvanie, uchovávanie, vyhľadávanie, prehliadanie, poskytovanie, vymazanie či likvidácia,
• príjemcovia – komu údaje poskytujete,
• lehota uchovávania – ako dlho údaje uchovávate,
• bezpečnostné opatrenia – ako údaje chránite.

Základné pravidlo znie: jeden účel, jeden informačný systém. Ak tie isté údaje použijete na iný účel, napríklad e-mail zákazníka na zasielanie newslettera, vzniká ďalší informačný systém s vlastným právnym základom a lehotou uchovávania.

Typické informačné systémy e-shopu

Informačný systém	Účel	Právny základ	Dotknuté osoby
Zákazníci – vybavenie objednávok	uzavretie a plnenie kúpnej zmluvy, doručenie tovaru	plnenie zmluvy	zákazníci
Reklamácie a odstúpenie od zmluvy	vybavenie reklamácií a vrátenia tovaru	zákonná povinnosť	zákazníci
Účtovníctvo	vedenie účtovníctva a plnenie daňových povinností	zákonná povinnosť	zákazníci, dodávatelia
Dodávatelia a obchodní partneri	uzatváranie a plnenie zmlúv s dodávateľmi tovaru a služieb, komunikácia s obchodnými partnermi	plnenie zmluvy, oprávnený záujem (kontaktné osoby partnerov)	dodávatelia – fyzické osoby a živnostníci, kontaktné osoby dodávateľov a partnerov
Marketing – newsletter	zasielanie obchodných oznámení	oprávnený záujem alebo súhlas	zákazníci, odberatelia
Cookies a analytika	meranie návštevnosti, cielená reklama	súhlas	návštevníci webu
Personalistika a mzdy	plnenie povinností zamestnávateľa	zákonná povinnosť, pracovná zmluva	zamestnanci
Výber zamestnancov	výberové konanie	predzmluvné vzťahy, súhlas	uchádzači o zamestnanie
Kamerový systém	ochrana majetku	oprávnený záujem	zamestnanci, návštevníci
Žiadosti dotknutých osôb	vybavovanie žiadostí podľa GDPR	zákonná povinnosť	zákazníci a ďalšie osoby
Uplatňovanie právnych nárokov	vymáhanie pohľadávok, súdne spory	oprávnený záujem	zákazníci, dodávatelia

Príklad: informačný systém Zákazníci v praxi

Na jednom systéme je dobre vidieť, čo všetko pod pojem súbor spracovateľských operácií patrí:

1. Zákazník vyplní objednávkový formulár – získavanie údajov.
2. Objednávka sa uloží v administrácii e-shopu – zaznamenávanie a usporadúvanie.
3. Meno, adresa a telefón sa odovzdajú dopravcovi – poskytovanie príjemcovi.
4. Zákaznícka podpora dohľadá objednávku pri otázke zákazníka – vyhľadávanie a prehliadanie.
5. Údaje zostávajú uložené počas plnenia zmluvy a záručnej doby – uchovávanie.
6. Po uplynutí lehoty sa údaje vymažú alebo anonymizujú – likvidácia.

Všetky tieto operácie slúžia jedinému účelu, a preto tvoria jeden informačný systém, aj keď prebiehajú vo viacerých nástrojoch: v administrácii e-shopu, v e-mailovej schránke aj v systéme dopravcu.

Prečo na správnom vymedzení záleží

Zoznam informačných systémov je kostrou celej internej dokumentácie. Vychádzajú z neho záznamy o spracovateľských činnostiach, poučenia oprávnených osôb (zamestnanca poučíte pre konkrétne informačné systémy, s ktorými pracuje), bezpečnostné opatrenia aj retenčné lehoty.

Najčastejšie chyby pri vymedzovaní:

• Jeden veľký systém na všetko. Informačný systém „Zákazníci“, ktorý zahŕňa objednávky, newsletter aj reklamácie, mieša rôzne právne základy a lehoty. Pri odvolaní súhlasu s newsletterom potom nie je jasné, čo treba vymazať.
• Pomenovanie podľa softvéru. „Informačný systém Shoptet“ nie je informačný systém v zmysle GDPR dokumentácie. Softvér je len nástroj, informačný systém sa vymedzuje účelom.
• Zabudnuté agendy. Najčastejšie chýbajú výber zamestnancov, kamerový systém a vybavovanie žiadostí dotknutých osôb.

Prečo nestačia „zásady ochrany osobných údajov“ na webe

Ak máte e-shop, spracúvate osobné údaje každý deň: mená, adresy, e-maily, telefónne čísla, históriu objednávok. Väčšina prevádzkovateľov má na webe zverejnené zásady ochrany osobných údajov a myslí si, že tým je GDPR vybavené. Nie je.

Zverejnené zásady slúžia na informovanie zákazníkov. Interná dokumentácia slúži na to, aby ste vedeli preukázať, že s údajmi zaobchádzate v súlade so zákonom. GDPR totiž stojí na zásade zodpovednosti (čl. 5 ods. 2 GDPR): dôkazné bremeno nesiete vy, nie Úrad na ochranu osobných údajov SR.

Pri kontrole alebo po sťažnosti zákazníka sa úrad nebude pýtať, či ste to mysleli dobre. Bude chcieť vidieť papiere. V tomto článku nájdete prehľad dokumentov, ktoré by mal mať v šuplíku (alebo v cloude) každý e-shop.

Čo hrozí, ak dokumentáciu nemáte

Nariadenie GDPR umožňuje uložiť pokutu až do 20 miliónov eur alebo 4 % celosvetového ročného obratu, podľa toho, ktorá suma je vyššia. Malé e-shopy takéto sumy realisticky nedostanú, ale aj pokuta v rádoch tisícov eur dokáže zničiť ročný zisk menšieho obchodu. Úrad pri výške pokuty prihliada aj na to, či prevádzkovateľ spolupracoval a či mal zavedené opatrenia, takže dobrá dokumentácia môže sankciu výrazne znížiť.

Kontrola pritom často nezačína z iniciatívy úradu. Najčastejším spúšťačom je sťažnosť zákazníka, ktorý dostáva newsletter bez súhlasu, nedostal odpoveď na svoju žiadosť alebo zistil, že jeho údaje unikli. Úrad si v takom prípade vyžiada konkrétne doklady a lehota na ich predloženie býva krátka. Dokumentáciu, ktorú nemáte pripravenú vopred, za pár dní kvalitne nevytvoríte.

Dokumentácia ako nástroj, nie byrokracia

Dobre spracovaná interná dokumentácia má aj praktický prínos. Prinúti vás zmapovať, kde všade máte údaje zákazníkov, kto k nim má prístup a ktoré nástroje sú zbytočné. Mnohé e-shopy pri jej príprave zistia, že platia za aplikácie, ktoré už nepoužívajú, alebo že k administrácii má stále prístup bývalý brigádnik.

Čo nájdete v článku

Postupne prejdeme všetky dokumenty, ktoré by mal mať e-shop pripravené: záznamy o spracovateľských činnostiach, bezpečnostné opatrenia, poučenia osôb, zmluvy so sprostredkovateľmi, testy proporcionality, postupy pri žiadostiach a incidentoch, retenčnú politiku a ďalšie. Pri každom dokumente uvádzame, čo má obsahovať, a praktické príklady z prostredia e-commerce.

1. Záznamy o spracovateľských činnostiach

Záznamy podľa čl. 30 GDPR sú základom celej dokumentácie. Je to prehľad všetkého, čo s osobnými údajmi robíte, rozdelený podľa účelov.

Často počuť, že firmy do 250 zamestnancov záznamy viesť nemusia. Výnimka však neplatí, ak spracúvanie nie je príležitostné. E-shop spracúva údaje zákazníkov pri každej objednávke, takže záznamy potrebuje prakticky vždy.

Každý záznam by mal obsahovať:

• meno a kontaktné údaje prevádzkovateľa (a zodpovednej osoby, ak ju máte),
• účel spracúvania a právny základ,
• kategórie dotknutých osôb a kategórie osobných údajov,
• kategórie príjemcov (dopravcovia, platobná brána, účtovník, platforma e-shopu),
• prenosy do tretích krajín, ak k nim dochádza,
• lehoty na vymazanie,
• všeobecný opis bezpečnostných opatrení.

Typické spracovateľské činnosti e-shopu:

Účel	Právny základ	Doba uchovávania (orientačne)
Vybavenie objednávky a doručenie	plnenie zmluvy	počas trvania zmluvy a záruky
Účtovníctvo a faktúry	zákonná povinnosť	10 rokov podľa zákona o účtovníctve
Reklamácie a spotrebiteľské spory	zákonná povinnosť	podľa dĺžky záruky a premlčania
Newsletter zákazníkom	oprávnený záujem (pri podobných produktoch)	do odhlásenia
Newsletter ostatným	súhlas	do odvolania súhlasu
Zákaznícky účet	plnenie zmluvy	do zrušenia účtu
Analytické a marketingové cookies	súhlas	podľa nastavenia cookies
Personalistika a mzdy	zákonná povinnosť	podľa pracovnoprávnych a daňových predpisov
Uplatňovanie a obrana právnych nárokov	oprávnený záujem	do premlčania nároku

Tabuľka je ilustračná. Doby uchovávania si nastavte podľa svojich procesov a konkrétnych predpisov, ktoré sa na vás vzťahujú.

Príklad vyplneného záznamu

Aby bolo jasné, ako má záznam vyzerať v praxi, tu je vzor pre najdôležitejšiu činnosť každého e-shopu:

Položka	Obsah
Názov činnosti	Vybavenie objednávok a doručenie tovaru
Prevádzkovateľ	obchodné meno, sídlo, IČO, kontaktný e-mail
Účel	uzavretie a plnenie kúpnej zmluvy, doručenie tovaru, komunikácia o stave objednávky
Právny základ	čl. 6 ods. 1 písm. b) GDPR – plnenie zmluvy
Dotknuté osoby	zákazníci – fyzické osoby, kontaktné osoby zákazníkov – firiem
Kategórie údajov	meno, priezvisko, fakturačná a dodacia adresa, e-mail, telefón, obsah objednávky, spôsob platby
Príjemcovia	prevádzkovateľ platformy e-shopu, dopravcovia, platobná brána, účtovník
Prenos do tretích krajín	nie, prípadne názov nástroja a použitá záruka
Lehota uchovávania	počas plnenia zmluvy a záručnej doby, faktúry 10 rokov
Bezpečnostné opatrenia	odkaz na bezpečnostnú smernicu, dvojfaktorové prihlásenie do administrácie, obmedzené prístupy

Rovnako spracujte každý ďalší účel. Pri malom e-shope ich býva 8 až 15.

V akej forme záznamy viesť

GDPR nepredpisuje formu. Postačí tabuľka v Exceli alebo Google Sheets, kde je jeden riadok jedna činnosť a stĺpce zodpovedajú povinným položkám. Dôležité je, aby ste záznamy vedeli na požiadanie predložiť úradu a aby boli aktuálne.

Pri každej zmene pridajte dátum aktualizácie. Novú činnosť (napríklad spustenie vernostného programu alebo recenzií cez externú službu) zapíšte ešte pred jej spustením, nie dodatočne.

Ako záznamy pripraviť

1. Spíšte všetky systémy a nástroje, ktoré používate: platformu e-shopu, e-mail, účtovný program, marketingové nástroje, analytiku, cloudové úložisko.
2. Pri každom nástroji si položte otázku, aké osobné údaje v ňom sú a prečo.
3. Zoskupte údaje podľa účelov, nie podľa nástrojov. Jeden nástroj môže slúžiť viacerým účelom a naopak.
4. Ku každému účelu priraďte právny základ a lehotu uchovávania.
5. Skontrolujte, či zásady ochrany osobných údajov na webe hovoria to isté.

2. Bezpečnostné opatrenia

Čl. 32 GDPR vyžaduje primerané technické a organizačné opatrenia. Primerané znamená zodpovedajúce rizikám, nie maximálne možné. Malý e-shop nepotrebuje bezpečnostný projekt na sto strán, ale potrebuje vedieť popísať, ako údaje chráni.

Dokument o bezpečnostných opatreniach (často nazývaný bezpečnostná smernica) by mal pokrývať najmä:

• prístupové práva – kto má prístup do administrácie e-shopu, účtovníctva a e-mailov a s akými oprávneniami,
• heslá a autentifikáciu – pravidlá pre heslá, dvojfaktorové overenie, zákaz zdieľania účtov,
• zariadenia – šifrovanie notebookov a mobilov, aktualizácie, antivírus, zamykanie obrazovky,
• zálohovanie – čo sa zálohuje, ako často a ako sa overuje obnova,
• fyzickú bezpečnosť – uzamknuté priestory, skrine na dokumenty, likvidácia papierových dokladov,
• odchod zamestnanca – zrušenie prístupov a vrátenie zariadení v deň ukončenia spolupráce,
• vzdialenú prácu – pravidlá pre prácu z domu a z verejných sietí.

Dobrou praxou je k smernici pripojiť krátke posúdenie rizík: aké hrozby reálne hrozia (únik databázy zákazníkov, phishing, strata notebooku) a ktoré opatrenie ich znižuje.

Opatrenia špecifické pre e-shopy

Okrem všeobecných pravidiel by sa smernica mala venovať rizikám, ktoré sú typické práve pre online predaj:

• Administrácia e-shopu. Každý používateľ má vlastný účet, nikto nepoužíva spoločný „admin“. Oprávnenia nastavte podľa potreby: skladník nepotrebuje export databázy zákazníkov.
• Exporty údajov. Exporty objednávok a zákazníkov do CSV sú najčastejším zdrojom únikov. Určte, kto ich smie robiť, kam sa ukladajú a kedy sa mažú.
• Platobné údaje. Čísla platobných kariet nikdy neuchovávajte ani neposielajte e-mailom. Platby nechajte na certifikovanú platobnú bránu.
• Doplnky a pluginy. Pred inštaláciou doplnku do e-shopu overte, ku ktorým údajom získa prístup. Nepoužívané doplnky odinštalujte.
• E-mailová komunikácia. Hromadné e-maily posielajte cez newsletterový nástroj alebo s adresátmi v skrytej kópii, nikdy nie v poli „Komu“.
• Tlačené dokumenty. Dodacie listy a štítky obsahujú adresy zákazníkov. Chybné výtlačky skartujte, nevyhadzujte ich do papiera.

Štruktúra bezpečnostnej smernice

Pre menší e-shop sa osvedčuje takéto členenie:

1. Úvodné ustanovenia – rozsah platnosti, na koho sa smernica vzťahuje, kto za ňu zodpovedá.
2. Prehľad informačných systémov a ich správcov.
3. Riadenie prístupov a hesiel.
4. Ochrana zariadení a sietí.
5. Zálohovanie a obnova.
6. Fyzická ochrana priestorov a dokumentov.
7. Práca s exportmi, prenosnými médiami a tlačenými dokumentmi.
8. Postup pri bezpečnostnom incidente (odkaz na samostatný postup).
9. Kontrola dodržiavania a pravidelná revízia.

Ako preukázať, že opatrenia naozaj fungujú

Smernica, ktorú nikto nedodržiava, má malú hodnotu. Vedľa nej si uchovávajte aj stopy jej uplatňovania: záznam o teste obnovy zálohy, zoznam používateľov s prístupom do administrácie s dátumom poslednej kontroly či potvrdenie o odobratí prístupov odchádzajúcemu zamestnancovi. Pri kontrole presne takéto drobné doklady presvedčia najviac.

3. Poučenie zamestnancov a ďalších osôb s prístupom

Každý, kto pracuje s osobnými údajmi na váš pokyn, musí byť poučený (čl. 29 a čl. 32 ods. 4 GDPR, § 79 zákona č. 18/2018 Z. z. o mlčanlivosti). Týka sa to zamestnancov, brigádnikov aj spolupracovníkov na živnosť, ktorí vybavujú objednávky či zákaznícku podporu.

Poučenie by malo obsahovať:

• ku ktorým údajom a systémom má osoba prístup a na aký účel,
• povinnosť mlčanlivosti, ktorá trvá aj po skončení spolupráce,
• základné bezpečnostné pravidlá z vašej smernice,
• čo robiť, keď zistí incident alebo dostane žiadosť zákazníka o jeho údaje,
• dátum a podpis.

Poučenie je jednoduchý dokument, ale bez podpisu ho neviete preukázať. Pri zmene pracovnej náplne ho aktualizujte.

Na koho sa často zabúda

• Rodinní príslušníci, ktorí pomáhajú s balením zásielok alebo odpovedajú na e-maily „len občas“.
• Brigádnici a študenti cez sezónu, napríklad pred Vianocami.
• Externí spolupracovníci na živnosť, ktorí spravujú sociálne siete, reklamy alebo zákaznícku podporu. Ak pracujú vo vlastnom mene a s vlastnými nástrojmi, môžu byť sprostredkovateľmi a namiesto poučenia s nimi treba uzavrieť zmluvu.
• Konatelia a spoločníci, ktorí síce firmu vlastnia, ale pri práci s údajmi musia dodržiavať rovnaké pravidlá.

Poučenie nie je jednorazový podpis

Podpísaný papier preukazuje, že človek dostal informácie. Úrad však môže skúmať aj to, či poučenie bolo zrozumiteľné a primerané jeho práci. Odporúčame preto:

• pripojiť k poučeniu stručný výťah z bezpečnostnej smernice v praktickej podobe (desať pravidiel na jednu stranu),
• raz ročne krátke preškolenie, napríklad s ukážkami podvodných e-mailov,
• pri odchode zamestnanca písomne potvrdiť vrátenie zariadení a zrušenie prístupov,
• poučenia uchovávať počas trvania spolupráce a primeraný čas po jej skončení.

Čo do poučenia nepatrí

Poučenie nie je miesto na informovanie zamestnanca o spracúvaní jeho vlastných údajov. To je samostatná informačná povinnosť podľa čl. 13 GDPR, ktorú plníte voči zamestnancom ako dotknutým osobám. Oba dokumenty môžete odovzdať naraz, ale nemiešajte ich do jedného textu.

4. Zmluvy so sprostredkovateľmi

Sprostredkovateľ je firma, ktorá spracúva osobné údaje vo vašom mene a podľa vašich pokynov. S každým takým partnerom musíte mať zmluvu podľa čl. 28 GDPR, často označovanú ako DPA (Data Processing Agreement).

V e-shope sú typickými sprostredkovateľmi:

• prevádzkovateľ e-shopovej platformy alebo hostingu,
• externý účtovník alebo mzdová kancelária,
• nástroj na e-mail marketing,
• nástroj na zákaznícku podporu alebo chat,
• cloudové úložisko a e-mailová služba,
• fulfillment alebo skladová služba.

Pozor na rozdiel: dopravcovia a platobné brány často vystupujú ako samostatní prevádzkovatelia, nie ako sprostredkovatelia. Zmluvu podľa čl. 28 s nimi potom nepotrebujete, ale v záznamoch ich uveďte ako príjemcov.

Veľké platformy majú DPA zvyčajne súčasťou obchodných podmienok. Stačí si ju stiahnuť, odložiť a overiť, či neprenáša údaje mimo EÚ bez záruk. Pri menších dodávateľoch (účtovník, freelancer) zmluvu pripravte sami.

Čo musí zmluva so sprostredkovateľom obsahovať

Čl. 28 ods. 3 GDPR presne určuje obsah zmluvy. Zmluva musí upravovať najmä:

• predmet, dobu, povahu a účel spracúvania,
• typ osobných údajov a kategórie dotknutých osôb,
• povinnosť spracúvať údaje len na základe vašich zdokumentovaných pokynov,
• mlčanlivosť osôb, ktoré u sprostredkovateľa s údajmi pracujú,
• bezpečnostné opatrenia sprostredkovateľa,
• pravidlá pre zapojenie ďalších subdodávateľov (tzv. ďalších sprostredkovateľov),
• pomoc pri vybavovaní žiadostí dotknutých osôb a pri incidentoch,
• vymazanie alebo vrátenie údajov po skončení spolupráce,
• vaše právo na kontrolu a audit.

Ak vám dodávateľ pošle zmluvu, ktorá tieto body nepokrýva, vyžiadajte si doplnenie. Zmluva, ktorá hovorí len všeobecne o „ochrane údajov podľa GDPR“, nestačí.

Ako zistiť, kto je sprostredkovateľ

Rozhodujúce je, kto určuje účel a prostriedky spracúvania. Ak dodávateľ s údajmi pracuje výlučne pre vás a nemôže ich použiť na vlastné účely, je sprostredkovateľom. Ak s nimi nakladá aj na svoje účely (napríklad dopravca, ktorý musí plniť vlastné zákonné povinnosti), je samostatným prevádzkovateľom.

V hraničných prípadoch, napríklad pri reklamných platformách alebo porovnávačoch cien, môže ísť aj o spoločných prevádzkovateľov podľa čl. 26 GDPR. Vtedy treba dohodu o spoločnom prevádzkovaní. Veľké reklamné platformy ju zvyčajne majú zapracovanú vo svojich podmienkach.

Prenosy do tretích krajín

Mnohé nástroje, ktoré e-shopy bežne používajú, sídlia v USA alebo tam ukladajú údaje: analytika, reklamné systémy, e-mailové nástroje či cloudové úložiská. Pri každom takom prenose musíte mať záruku podľa kapitoly V GDPR. V praxi ide najmä o:

• certifikáciu dodávateľa v rámci EU-US Data Privacy Framework,
• štandardné zmluvné doložky schválené Európskou komisiou,
• rozhodnutie Komisie o primeranosti pre danú krajinu.

V dokumentácii si ku každému nástroju poznačte, či prenáša údaje mimo EÚ a na základe akej záruky. Stav certifikácií a rozhodnutí o primeranosti sa môže meniť, preto ho pri revízii dokumentácie overte znova.

5. Test proporcionality a evidencia súhlasov

Ak spracúvate údaje na základe oprávneného záujmu (čl. 6 ods. 1 písm. f) GDPR), musíte vedieť preukázať, že váš záujem prevažuje nad právami zákazníka. Na to slúži test proporcionality, niekedy nazývaný aj balančný test.

Test má tri kroky:

1. Aký je váš záujem? Napríklad posielať existujúcim zákazníkom ponuky podobného tovaru.
2. Je spracúvanie nevyhnutné? Dá sa cieľ dosiahnuť s menej údajmi alebo inak?
3. Prevažuje váš záujem? Čo môže zákazník rozumne očakávať, aký je dopad na neho a aké záruky poskytujete (napr. jednoduché odhlásenie v každom e-maili).

V e-shope ho potrebujete typicky pre newsletter existujúcim zákazníkom, kamerový systém v sklade či predajni a uchovávanie údajov na obranu pred nárokmi.

Ak spracúvate údaje na základe súhlasu, musíte vedieť preukázať, že ste ho dostali (čl. 7 ods. 1 GDPR). Uchovávajte, kto súhlas udelil, kedy, akým spôsobom a s akým znením. Rovnako evidujte odvolanie súhlasu. Pri cookies to zvyčajne zabezpečí cookie lišta, pri newsletteri e-mailový nástroj s double opt-in.

Vzorový test: newsletter existujúcim zákazníkom

Krok	Posúdenie
Oprávnený záujem	priamy marketing – informovať zákazníkov o novinkách a akciách na tovar podobný tomu, ktorý si kúpili
Nevyhnutnosť	používa sa len e-mailová adresa a história nákupov, ktoré už e-shop má; menej invazívny spôsob oslovenia neexistuje
Primerané očakávania	zákazník, ktorý v e-shope nakúpil, rozumne očakáva ponuky podobného tovaru
Dopad na zákazníka	nízky – ide o občasné e-maily, nie o profilovanie s právnymi účinkami
Záruky	informácia pri objednávke, odkaz na odhlásenie v každom e-maili, okamžité vyradenie po odhlásení
Záver	oprávnený záujem prevažuje, spracúvanie je prípustné

Pri newsletteri nezabudnite, že okrem GDPR platí aj zákon o elektronických komunikáciách. Ten umožňuje posielať marketingové e-maily bez súhlasu len vlastným zákazníkom, len na podobný tovar a len ak mal zákazník možnosť to pri nákupe jednoducho odmietnuť. Ak tieto podmienky nesplníte, potrebujete súhlas.

Ďalšie situácie, kde test potrebujete

• Kamerový systém v sklade alebo výdajnom mieste na ochranu majetku.
• Uchovávanie údajov po skončení zmluvy na obranu pred prípadnými nárokmi zákazníka.
• Prevencia podvodov, napríklad blokovanie zákazníkov, ktorí opakovane nepreberajú dobierky.
• Žiadosti o recenziu po nákupe, ak ich posielate bez súhlasu.
• Retargeting a analytika, ak by ste ich chceli opierať o iný základ než súhlas. Pri cookies a podobných technológiách je však súhlas spravidla nevyhnutný.

Dokumentácia k cookies

Cookies sú samostatná kapitola, ktorú úrady v EÚ kontrolujú čoraz častejšie. Vo vnútornej dokumentácii by ste mali mať zoznam všetkých cookies a podobných technológií na webe, ich účel, poskytovateľa a dobu platnosti. K tomu nastavenie cookie lišty, ktoré preukáže, že marketingové a analytické cookies sa nespúšťajú pred udelením súhlasu. Zoznam aktualizujte pri každom pridaní nového meracieho kódu alebo pixelu.

6. Postup pri žiadostiach zákazníkov

Zákazník môže požiadať o prístup k údajom, opravu, vymazanie, obmedzenie, prenosnosť alebo namietať spracúvanie (čl. 15 až 22 GDPR). Odpovedať musíte bez zbytočného odkladu, najneskôr do jedného mesiaca. V zložitých prípadoch sa lehota dá predĺžiť o ďalšie dva mesiace, o čom zákazníka informujete.

Interný postup by mal určiť:

• kto žiadosti prijíma a kto za ne zodpovedá,
• ako overíte totožnosť žiadateľa, aby ste údaje nevydali cudzej osobe,
• v ktorých systémoch treba údaje dohľadať (e-shop, účtovníctvo, e-mailový nástroj, zálohy),
• čo nevymažete a prečo (napríklad faktúry kvôli zákonu o účtovníctve),
• vzory odpovedí,
• evidenciu prijatých žiadostí a spôsobu ich vybavenia.

Praktická rada: pri žiadosti o vymazanie nezabudnite na nástroje tretích strán. Zákazník, ktorého vymažete z e-shopu, ale ostane v newsletterovej databáze, je typický dôvod na sťažnosť.

Jednotlivé práva v praxi e-shopu

Právo	Čo zákazník typicky chce	Ako postupovať
Prístup (čl. 15)	vedieť, aké údaje o ňom máte	poslať kópiu údajov zo všetkých systémov a informácie o účeloch, príjemcoch a lehotách
Oprava (čl. 16)	zmeniť adresu, meno alebo e-mail	opraviť údaje vo všetkých systémoch, nielen v e-shope
Vymazanie (čl. 17)	„zabudnite na mňa“	vymazať, čo nemusíte uchovávať; faktúry a údaje k reklamáciám ponechať a zákazníkovi vysvetliť prečo
Obmedzenie (čl. 18)	dočasne pozastaviť spracúvanie, napríklad počas sporu	údaje označiť a ďalej ich nepoužívať, okrem uchovania
Prenosnosť (čl. 20)	dostať svoje údaje v strojovo čitateľnej podobe	export objednávok a údajov z účtu napríklad v CSV
Námietka (čl. 21)	prestať dostávať marketing	pri priamom marketingu vždy vyhovieť a zaradiť na zoznam vylúčených

Na čo si dať pozor

• Vybavenie je bezplatné. Poplatok môžete žiadať len pri zjavne neopodstatnených alebo neprimeraných žiadostiach, najmä opakujúcich sa.
• Žiadosť nemusí mať predpísanú formu. Platí aj e-mail, správa cez kontaktný formulár či telefonát. Zamestnanci preto musia vedieť žiadosť rozpoznať a odovzdať ju zodpovednej osobe.
• Overenie totožnosti musí byť primerané. Ak žiadosť príde z e-mailu uvedeného pri objednávke, spravidla stačí. Nežiadajte kópiu občianskeho preukazu, ak to nie je naozaj nevyhnutné.
• Vymazanie nie je vždy úplné. Po vymazaní si ponechajte len minimum, napríklad e-mail na zozname odhlásených, aby ste zákazníkovi omylom znova neposlali newsletter. Toto uchovávanie popíšte v záznamoch.
• Odpoveď vždy, aj zamietavá. Ak žiadosti nevyhoviete, musíte zákazníkovi uviesť dôvody a poučiť ho o možnosti podať návrh na úrad.

Evidencia žiadostí

Stačí jednoduchá tabuľka so stĺpcami: dátum prijatia, meno žiadateľa, typ žiadosti, spôsob overenia totožnosti, dátum vybavenia, výsledok a kto žiadosť vybavil. Pri prípadnom spore so zákazníkom je to najlepší dôkaz, že ste lehoty dodržali.

7. Postup a evidencia pri porušení ochrany údajov

Únik údajov sa môže stať aj malému e-shopu: odoslaný e-mail so zoznamom zákazníkov v kópii, ukradnutý notebook, napadnutý účet do administrácie. GDPR preto vyžaduje mať pripravený postup a viesť evidenciu všetkých porušení, aj tých, ktoré neohlasujete (čl. 33 ods. 5 GDPR).

Kľúčové lehoty a povinnosti:

• 72 hodín – do toľkých hodín od zistenia musíte porušenie ohlásiť Úradu na ochranu osobných údajov SR, ak je pravdepodobné, že povedie k riziku pre práva ľudí,
• bez zbytočného odkladu – ak hrozí vysoké riziko, informujete aj dotknutých zákazníkov (čl. 34 GDPR),
• vždy – incident zapíšete do internej evidencie, aj keď ho ohlasovať nemusíte.

Záznam o porušení by mal obsahovať, čo sa stalo, kedy ste to zistili, ktorých údajov a koľkých osôb sa to týka, aké sú pravdepodobné následky, aké opatrenia ste prijali a prečo ste porušenie ohlásili alebo neohlásili.

Postup krok za krokom

1. Zastavte únik. Zmeňte heslá, odpojte napadnuté zariadenie, zrušte zdieľaný odkaz, požiadajte omylom osloveného príjemcu o vymazanie e-mailu.
2. Zistite rozsah. Ktoré údaje, koľko zákazníkov, od kedy a či sa údaje dostali k niekomu cudziemu.
3. Posúďte riziko. Je pravdepodobné, že únik zákazníkom ublíži? Iné je stratené heslo k šifrovanému notebooku a iné databáza s adresami a telefónmi na internete.
4. Rozhodnite o ohlásení úradu a o informovaní zákazníkov a zapíšte si dôvody rozhodnutia.
5. Ohláste v lehote, ak je to potrebné. Ak ešte nemáte všetky informácie, ohláste, čo viete, a zvyšok doplňte neskôr.
6. Prijmite opatrenia, aby sa incident neopakoval, a zaznamenajte ich do evidencie.

Príklady z praxe

Situácia	Ohlásiť úradu?	Informovať zákazníkov?
Newsletter odoslaný s adresami všetkých príjemcov viditeľnými v poli „Komu“	spravidla áno	podľa rozsahu a citlivosti, často áno
Stratený notebook so šifrovaným diskom a silným heslom	spravidla nie, len záznam v evidencii	nie
Napadnutý účet do administrácie a stiahnutá databáza zákazníkov	áno	spravidla áno, kvôli riziku podvodných e-mailov
Zásielka doručená na zlú adresu s faktúrou v balíku	spravidla nie, ak ide o jednotlivý prípad	posúdiť individuálne
Výpadok e-shopu na pár hodín bez prístupu k údajom	nie, ak údaje neboli ohrozené	nie

Tabuľka je orientačná. Rozhodnutie vždy závisí od konkrétnych okolností, preto si ich do evidencie zapíšte.

Kto o čom rozhoduje

V postupe určte jednu osobu, ktorá za riešenie incidentu zodpovedá, a jej zástupcu. Lehota 72 hodín plynie aj cez víkend a sviatky, takže postup musí fungovať, aj keď je majiteľ na dovolenke. Nezabudnite ani na sprostredkovateľov: zmluva s nimi by mala určovať, že vás o incidente musia informovať bez zbytočného odkladu.

8. Posúdenie vplyvu a zodpovedná osoba

Tieto dva dokumenty bežný e-shop väčšinou nepotrebuje, ale treba vedieť, kedy už áno.

Posúdenie vplyvu na ochranu údajov (DPIA, čl. 35 GDPR) je povinné pri spracúvaní s vysokým rizikom. V e-shope to môže byť rozsiahle profilovanie zákazníkov s automatizovaným rozhodovaním, systematické monitorovanie alebo spracúvanie osobitných kategórií údajov vo veľkom rozsahu. Úrad zverejňuje zoznam operácií, pri ktorých je DPIA povinné, oplatí sa ho pozrieť.

Zodpovedná osoba (DPO, čl. 37 GDPR) je povinná, ak vaša hlavná činnosť spočíva v rozsiahlom a systematickom monitorovaní osôb alebo v rozsiahlom spracúvaní osobitných kategórií údajov. Bežný predaj tovaru online túto podmienku zvyčajne nespĺňa.

Ak ste dospeli k záveru, že DPIA ani DPO nepotrebujete, zapíšte si stručne dôvody. Aj to je súčasť preukázania zodpovednosti.

9. Retenčná politika: ako dlho údaje uchovávať

Zásada minimalizácie uchovávania (čl. 5 ods. 1 písm. e) GDPR) hovorí, že údaje smiete uchovávať len tak dlho, ako je to nevyhnutné na daný účel. Lehoty síce uvádzate v záznamoch, ale samostatná retenčná politika určuje aj to, kto a ako údaje po uplynutí lehoty vymaže.

Retenčná politika by mala obsahovať:

• prehľad lehôt pre jednotlivé kategórie údajov a právny predpis alebo dôvod, z ktorého lehota vyplýva,
• okamih, od ktorého lehota plynie (napríklad od konca roka, v ktorom bola vystavená faktúra),
• spôsob vymazania alebo anonymizácie v každom systéme,
• osobu zodpovednú za pravidelné premazávanie a jeho frekvenciu.

Typické problémy e-shopov

• Neaktívne zákaznícke účty. Zákazník si pred piatimi rokmi vytvoril účet a odvtedy nenakúpil. Určte, po akom čase nečinnosti účet zrušíte, a zákazníka vopred upozornite.
• Opustené košíky. Údaje z nedokončených objednávok sa neraz hromadia roky. Nastavte automatické mazanie.
• E-mailová schránka. Komunikácia so zákazníkmi v e-mailoch je tiež spracúvanie osobných údajov a tiež potrebuje lehotu.
• Zálohy. Údaje vymazané v e-shope zostávajú v zálohách. Postačí, ak zálohy majú vlastnú obmedzenú dobu uchovávania a pri obnove z nich vymazané údaje znova odstránite.
• Exporty na lokálnych diskoch. Staré CSV súbory so zákazníkmi v priečinku Stiahnuté sú tichým rizikom. Pravidelne ich mažte.

Pri lehotách vychádzajte z konkrétnych predpisov: zákon o účtovníctve určuje 10 rokov pre účtovné záznamy, ďalšie lehoty vyplývajú zo zákona o ochrane spotrebiteľa, Občianskeho zákonníka (premlčanie) či predpisov o sociálnom a zdravotnom poistení pre zamestnancov.

10. Kamerový systém

Ak máte kamery v sklade, výdajnom mieste alebo kamennej predajni, potrebujete k nim samostatnú dokumentáciu. Kamerový záznam je spracúvanie osobných údajov zamestnancov, kuriérov aj zákazníkov.

Dokumentácia ku kamerám by mala zahŕňať:

• záznam o spracovateľskej činnosti s účelom (spravidla ochrana majetku a bezpečnosť),
• test proporcionality oprávneného záujmu,
• plánik alebo zoznam kamier s tým, čo snímajú; kamery nesmú snímať šatne, toalety ani susedné pozemky či verejné priestranstvo nad nevyhnutnú mieru,
• lehotu uchovávania záznamov, ktorá by mala byť čo najkratšia, v praxi typicky niekoľko dní,
• pravidlá, kto smie záznamy prezerať a kedy (napríklad len pri podozrení na krádež),
• označenie monitorovaného priestoru a informácie pre dotknuté osoby.

Pri monitorovaní zamestnancov pamätajte aj na Zákonník práce. Zamestnávateľ musí zamestnancov vopred informovať o rozsahu kontroly, spôsobe a dobe jej trvania a kontrolné mechanizmy prerokovať so zástupcami zamestnancov, ak pôsobia.

11. Dokumentácia k vlastným zamestnancom

E-shop so zamestnancami je prevádzkovateľom aj voči nim. Personalistika a mzdy predstavujú samostatné spracovateľské činnosti, ktoré nesmú v dokumentácii chýbať.

Potrebujete najmä:

• záznamy o spracovateľských činnostiach pre personalistiku, mzdy, výber uchádzačov o zamestnanie a prípadne služobné vozidlá či telefóny,
• informačnú povinnosť voči zamestnancom podľa čl. 13 GDPR,
• zmluvu so sprostredkovateľom, ak mzdy spracúva externá mzdová účtovníčka alebo kancelária,
• pravidlá pre životopisy uchádzačov: ako dlho ich uchovávate a či máte súhlas na ich ponechanie pre budúce výberové konania,
• pravidlá pre kopírovanie dokladov; kópie dokladov totožnosti robte len tam, kde to zákon umožňuje.

Pre malé e-shopy, ktoré mzdy spracúvajú samy, je táto časť častejšie podceňovaná ako zákaznícka. Pritom ide o citlivejšie údaje, napríklad rodné čísla, zdravotné poisťovne či údaje o zrážkach zo mzdy.

12. Ako dokumentáciu udržiavať aktuálnu

Najväčším problémom GDPR dokumentácie nie je jej vytvorenie, ale to, že po roku prestane zodpovedať realite. E-shopy sa menia rýchlo: pribúdajú nové platobné metódy, dopravcovia, marketingové nástroje a integrácie.

Kedy dokumentáciu aktualizovať

• pri zmene platformy e-shopu alebo hostingu,
• pri pridaní nového nástroja, ktorý pracuje s údajmi zákazníkov (chat, recenzie, vernostný program, CRM),
• pri spustení predaja do ďalšej krajiny,
• pri prijatí prvého zamestnanca alebo nového externého spolupracovníka,
• po každom bezpečnostnom incidente,
• pri zmene právnych predpisov alebo usmernení úradu,
• minimálne raz ročne pri plánovanej revízii.

Kto má dokumentáciu na starosti

Aj keď nemusíte mať zodpovednú osobu, určte interne jedného človeka, ktorý dokumentáciu spravuje a ku ktorému sa zbiehajú informácie o zmenách. V malom e-shope je to zvyčajne majiteľ alebo konateľ. Dôležité je, aby ostatní vedeli, že nový nástroj alebo dodávateľa treba pred zavedením nahlásiť práve jemu.

Kde dokumentáciu uchovávať

Všetky dokumenty majte na jednom mieste, ideálne v zdieľanom priečinku s obmedzeným prístupom. Pri každom dokumente uveďte verziu a dátum účinnosti a staršie verzie si archivujte. Pri kontrole budete možno musieť preukázať, aké pravidlá platili v čase, keď sa stal konkrétny incident.

Najčastejšie chyby e-shopov

• Stiahnutý vzor bez úprav. Dokumentácia s cudzími procesmi a nástrojmi, ktoré nepoužívate, pri kontrole neobstojí.
• Dokumenty z roku 2018. Odvtedy ste zmenili platformu, e-mailový nástroj aj dopravcov, no papiere ostali rovnaké.
• Zabudnutí sprostredkovatelia. Účtovník, chatbot alebo marketingová agentúra s prístupom do administrácie bez zmluvy.
• Nesúlad medzi webom a internými dokumentmi. Doby uchovávania alebo právne základy v zásadách na webe nesedia so záznamami.
• Žiadna evidencia incidentov. Prázdna evidencia neznamená, že sa nič nestalo, ale že to nikto nezapisoval.
• Súhlas tam, kde nie je potrebný. Žiadať súhlas so spracúvaním údajov na vybavenie objednávky je chyba. Ak zákazník súhlas odvolá, nemôžete mu predsa prestať doručovať tovar.
• Jeden súhlas na všetko. Zaškrtávacie políčko, ktoré naraz pokrýva obchodné podmienky, newsletter aj odovzdanie údajov partnerom, nie je platný súhlas.
• Neobmedzené uchovávanie. Lehota „do odvolania“ alebo „po dobu nevyhnutnú“ bez konkrétneho obsahu nie je lehota.
• Zdieľané prístupy. Celý tím sa prihlasuje do administrácie pod jedným účtom a nikto nevie, kto čo urobil.

Kontrolný zoznam

• ☐ Záznamy o spracovateľských činnostiach pre zákazníkov, zamestnancov aj uchádzačov
• ☐ Bezpečnostná smernica a posúdenie rizík
• ☐ Zoznam používateľov s prístupom do administrácie a dátum poslednej kontroly
• ☐ Podpísané poučenia zamestnancov, brigádnikov a spolupracovníkov
• ☐ Zmluvy so všetkými sprostredkovateľmi
• ☐ Prehľad prenosov do tretích krajín a ich záruk
• ☐ Testy proporcionality pre oprávnený záujem
• ☐ Evidencia súhlasov a ich odvolaní
• ☐ Zoznam cookies a nastavenie cookie lišty
• ☐ Postup a evidencia žiadostí zákazníkov
• ☐ Postup a evidencia porušení ochrany údajov
• ☐ Retenčná politika a pravidelné premazávanie
• ☐ Dokumentácia ku kamerovému systému, ak ho máte
• ☐ Informačná povinnosť voči zamestnancom
• ☐ Záznam o posúdení potreby DPIA a zodpovednej osoby
• ☐ Súlad zásad ochrany osobných údajov na webe s internými dokumentmi
• ☐ Termín najbližšej revízie dokumentácie

Časté otázky

Som živnostník bez zamestnancov. Potrebujem internú dokumentáciu? Áno. GDPR sa vzťahuje na každého, kto spracúva osobné údaje zákazníkov v rámci podnikania. Rozsah dokumentácie bude menší, poučenia zamestnancov odpadnú, ale záznamy, zmluvy so sprostredkovateľmi a postupy pri žiadostiach a incidentoch potrebujete.

Stačí mi dokumentácia od platformy, na ktorej e-shop beží? Nie. Platforma je váš sprostredkovateľ a jej dokumenty pokrývajú jej povinnosti. Za to, aké údaje zbierate, na aké účely a s akými ďalšími nástrojmi ich zdieľate, zodpovedáte vy.

Musí byť dokumentácia v slovenčine? Predpis to výslovne neurčuje, ale pri kontrole slovenským úradom je praktické mať ju v slovenčine. Ak predávate aj do zahraničia, interné dokumenty môžu ostať v slovenčine, kým zásady pre zákazníkov by mali byť v jazyku krajiny, kam predávate.

Kontroluje úrad aj malé e-shopy? Áno, najmä na základe sťažnosti. Veľkosť firmy nie je dôvodom na výnimku, hoci úrad ju zohľadní pri ukladaní sankcie.

Ako dlho trvá pripraviť dokumentáciu? Pre bežný malý e-shop je to pri dobrej príprave niekoľko dní práce. Najviac času zaberie zmapovanie nástrojov a procesov, samotné dokumenty sa potom píšu rýchlejšie.

Záver

Interná GDPR dokumentácia nie je jednorazová úloha. Je to živý súbor dokumentov, ktorý by mal zodpovedať tomu, ako váš e-shop naozaj funguje. Revíziu odporúčame aspoň raz ročne a vždy pri zmene platformy, dodávateľa alebo spôsobu marketingu.

Ak nechcete začínať od nuly, na pravoeshopov.sk vám pripravíme dokumentáciu na mieru vášmu e-shopu: od záznamov o spracovateľských činnostiach cez bezpečnostnú smernicu až po zmluvy so sprostredkovateľmi. Ozvite sa nám.

Článok má informatívny charakter a nenahrádza individuálne právne posúdenie.