Milyen webáruházakra vonatkozik a GDPR szabályozás?

Mindegyikre, amelyik személyes adatokat kezel, még akkor is, ha magánszemélyek az üzemeltetők. A kötelezettség mértéke nem a vállalat méretétől, hanem a kezelt adatoktól függ.

Ki számít adatkezelőnek és adatfeldolgozónak?

A GDPR szerint különbséget kell tenni adatkezelő és adatfeldolgozó között. Az adatkezelő tevékenysége magába foglalja a személyes adatokon végzett minden tevékenységet. Az adatfeldolgozó az adatkezelő megbízásából személyes adatokkal dolgozik. A fő különbség az, hogy míg az adatkezelő dönt az adatok sorsáról és azok továbbításáról, meghatározza az időtartamát, addig az adatfeldolgozó csak az adatkezelő utasításai alapján végez műveleteket az adatokon, azaz más nevében jár el, nem használják fel saját célra az adatokat (például: tárhelyszolgáltatók, könyvelők).

A webáruház készítés során az üzemeltető adatkezelőnek minősül, hiszen a vásárláskor megadott minden adatot kezel és nyilvántart. A webáruház fejlesztői, a könyvelők, és az egyéb alkalmazottak, akik rálátnak az adatokra, adatfeldolgozóként lesznek feltüntetve. Kiemelten fontos, hogy a webáruház jogi dokumentumaiban világosan le kell fektetni, kinek mi a feladata, ki milyen jogkör miatt láthatja az adatokat, és ki milyen műveleteket hajthat végre rajtuk.

Milyen típusú adatokról van szó?

A kezelt adatokat két fő csoportra bonthatjuk. Az egyik a személyes adatok köre, amin minden olyan adatot értünk, amelyek birtokában egy természetes személy egyértelműen beazonosítható (szállítási és számlázási adatok, születési adatok, IP cím, fiziológiai és genetikai adatok, stb.). A másik pedig a különleges személyi adatok (faji vagy etnikai származás, politikai vélemény, egészségügyi adatok, stb.) köre. A legtöbb webáruház nem kezel különleges adatokat, de ahol egészségügyi termékeket lehet a kosárba tenni, ott bizony nagyobb a felelősség.

Kemény bírságokra lehet számítani

Sokan azt gondolják, hogy a kkv szektor ellehetetlenítése a GDPR fő célja, hiszen a nagyon sok szabály mellett egy újabb kupac szabályozás, ráadásul olyanok, amiket ha valaki elmulaszt vagy nem vesz figyelembe, elég komoly bírságra számíthat. A jelenlegi információk szerint a súlyos szabályszegőkre akár 20 millió eurós, vagy a szervezet éves bevételének négy százalékának megfelelő büntetést is kiszabhat a hatóság (amelyik magasabb). Ez annak köszönhető, hogy egész Európában ugyanaz a joggyakorlat, és egységes a bírságolási gyakorlat is.

Mik az első lépések egy webáruház esetén?

• Nyilvántartást kell készíteni arról, hogy milyen elektronikus vagy papír alapú személyes adatokat kezel a webáruház, és azok hol találhatóak, kik férnek hozzá.
• Nagytakarítást kell végezni az adatok között. Törölni, megsemmisíteni kell a feleslegessé vált vagy elavult adatokat (meghiúsult rendelések, ajánlatkérések).
• Egyértelműen átlátható szabályzatokat kell készíteni a vállalati adatgyűjtésről, belső és külső adatfeldolgozásról és adatkezelésről (adatkezelési szabályzat, adatvédelmi tájékoztató).
• Biztonsági intézkedések végrehajtása az online és offline tárolt személyes adatok védelmére.
• A GDPR által előírt szükséges adatvédelmi dokumentumok és nyilvántartások elkészítése.