E-shopy a povinnost ochrany osobních údajů podle GDPR

E-commerce a její rostoucí význam 

Vzhledem k tomu, že více než 60 procent lidí ve věku nad 16 let v ČR někdy v životě realizovalo nákup v internetovém obchodě,[1] málokdo by asi neznal základní odpověď na otázku, co je e-shop. Jde o jedno z možných označení elektronického obchodu,[2] nejdůležitější součásti, resp. formy tzv. „e-commerce“, obchodních podnikatelských činností realizovaných v rámci internetové sítě a pomocí elektronických prostředků. Tento obchod probíhá především formou B2B[3] a B2C.[4] Technicky je e-shop webovou nebo mobilní aplikací, softwarovým řešením požadavků na funkce, které má poskytovat.[5]

Úřad pro ochranu osobních údajů (dále „ÚOOÚ“) definuje[6] elektronické obchodování obdobným způsobem, a to jako opakované řešení obchodních případů s využitím informačních a komunikačních technologií; probíhá-li v prostředí internetu, jedná se o internetové obchodování, které bývá realizováno prostřednictvím webových aplikací, tedy internetového obchodu (e-shopu) obsahujícího nabídku obchodníka, možnost vyhledávání a objednávání zboží nebo služeb zákazníkem, zprostředkování a evidence plateb, řešení reklamací atd.

V České republice aktuálně působí na 36 000 e-shopů. Jejich nabídka se neustále rozšiřuje, a to i na sortiment, který byl ještě donedávna doménou kamenných obchodů. Tržby českých e-shopů atakují úroveň 100 miliard Kč[7] ročně, resp. tato hranice měla v loňském roce padnout.[8] Uvedený obrat reprezentuje téměř desetinu českého maloobchodu. To dokládá rostoucí význam e-commerce.[9] Navíc Česká republika patří mezi pět zemí s nejvyšším podílem prodeje po internetu na maloobchodě v rámci celé EU, tedy vlastně je „e-shopovou velmocí“. Nelze tedy význam internetového obchodu podceňovat, a už vůbec ne z pohledu ochrany osobních údajů, která se v současné době stále více dostává do popředí zájmu, zejména v souvislosti s nárůstem online aktivit (obchodního i neobchodního charakteru). 

GDPR a e-shop 

Potřeba aktualizace a jednotné úpravy ochrany osobních údajů v Evropské unii vyústila v přijetí jednotného právního předpisu s přímou účinností na celém území EU – obecného nařízení o ochraně právních údajů, pro které se již vžilo označení GDPR (General Data Protection Regulation).[10] Nařízení platí od 27. 4. 2016, účinné bude od 25. 5. 2018 a aplikaci jeho ustanovení se nevyhnou ani subjekty provozující internetové obchody. Jejich provozovatelé zpracovávají osobní údaje ve velkém rozsahu, a to nejen adresné údaje svých zákazníků (jméno, příjmení, adresu doručení, e-mail, telefon), ale i údaje o jejich platebních kartách. Dále shromažďují a vyhodnocují údaje o jejich nákupních preferencích a zvyklostech (tzv. profilování[11]). To znamená, že již pouhou návštěvou mobilní aplikace nebo webové stránky, a to i bez realizace jakékoliv objednávky, poskytuje zájemce o nákup provozovateli internetového obchodu cenné informace o svých preferencích. Tyto informace pak slouží k zobrazování tzv. personalizované reklamy, k zasílání obchodních sdělení, a to nejen s nabídkou navštíveného e-shopu, ale i dalších subjektů, se kterými provozovatel e-shopu shromážděné osobní údaje sdílí.

To vše vede nutně k potřebě provozovatelů e-shopů zpracovávat osobní údaje svých zákazníků a povinnosti zajišťovat jejich bezpečnost. Bezpečnost osobních údajů a jejich zpracování požaduje celá řada zásadních právních předpisů a právně závazných dokumentů unijní i národní úrovně, zejména:

1. Úmluva o ochraně lidských práv a základních svobod (Řím, 4. 11. 1950);[12]

2. Listina základních práv Evropské unie;[13]

3. Listina základních práv a svobod;[14]

4. Smlouva o fungování Evropské unie;[15]

5. Stávající předpis regulující ochranu osobních údajů v ČR (zák. č. 101/2000 Sb., o ochraně osobních údajů v platném znění, dále jen „ZOOÚ“);[16]

6. GDPR;[17]

7. Směrnice Evropského parlamentu a rady (EU) 2002/58/ES ze dne 12. 7. 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (směrnice o soukromí a elektronických komunikacích).[18]

Mimo zde uvedené dokumenty se i Pracovní skupina WP29[19] vyjádřila k ochraně soukromí, když 26. 11. 2014 vydala prohlášení, ve kterém zdůraznila nutnost prosazovat evropské hodnoty v ochraně soukromí, a to zejména s ohledem na postupující digitalizaci každodenního života.  

Správce osobních údajů 

Provozovatel e-shopu je správcem osobních údajů podle ZOOÚ i GDPR. Podle § 4 písm. j) ZOOÚ je správcem každý subjekt, který určuje účel a prostředky zpracování osobních údajů, provádí zpracování a odpovídá za něj. Podrobněji, ale v podobném duchu, definuje správce osobních údajů také GDPR. Podle čl. 4 odst. 7 GDPR je správcem fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů. Správce je odpovědný mimo jiné za to, že osobní údaje zpracovává pouze zákonným způsobem.

Využije-li správce pro zpracování osobních údajů služeb třetí osoby, byť by se jednalo jen o uložiště osobních údajů, je tato osoba zpracovatelem osobních údajů[20] a správce s ní musí uzavřít písemnou smlouvu. To v praxi samo o sobě ale nestačí. Správce by měl přistupovat k výběru zpracovatele zodpovědně a provést si vyhodnocení důvěryhodnosti a profesionality zpracovatele a schopnosti zajistit bezpečné zpracování osobních údajů.[21] GDPR oproti současnému zákonu o ochraně osobních údajů výslovně umožňuje zpracovateli, aby využil pro zpracování osobních údajů dalšího subdodavatele.[22] Musí však dbát na to, aby svému subdodavateli uložil povinnosti ve stejném rozsahu, jaké na sebe převzal vůči správci osobních údajů.[23] Nesplní-li tento subdodavatel své povinnosti, odpovídá zpracovatel správci za plnění svého subdodavatele, jako by byl plnil sám.[24] GDPR omezuje využití dalšího subdodavatele zpracovatelem, když požaduje, aby zpracovatel získal nejdříve souhlas správce.[25] Z tohoto důvodu bude nutné přehodnotit a upravit stávající smlouvy mezi správci a zpracovateli osobních údajů.

GDPR[26] stanovuje správcům, a tedy i správcům z řad e-shopů, bez ohledu na jejich velikost, určité elementární povinnosti vtělené do základních zásad zpracování. Podle GDPR bude muset každý správce zajistit, aby:

(1) osobní údaje byly zpracovávány korektně, zákonným a transparentním způsobem;

(2) zpracovávané osobní údaje byly přesné, přiměřené, relevantní a pouze v rozsahu nutném pro účel zpracování;

(3) zpracovávané osobní údaje umožňující ztotožnění subjektů údajů byly uloženy jen po nezbytně nutnou dobu;

(4) zpracovávané osobní údaje byly zpracovávány způsobem, který zajistí jejich náležité zabezpečení – integritu a důvěrnost, tj. ochranu před neautorizovaným přístupem, změnou či zničením osobních údajů.[27]

Výše uvedené povinnosti, plynoucí z uloženého respektování zásad zpracování osobních údajů, platí samozřejmě i pro zpracovatele. Povinnosti zpracovatelů v souvislosti se zpracováním osobních údajů jsou zejména obsaženy v čl. 28 GDPR, přičemž z celého textu GDPR je zřejmé, že namístě je úzká spolupráce mezi správcem a zpracovatelem vedoucí k zákonnému a řádně zabezpečenému zpracování osobních údajů. 

Souhlas se zpracováním osobních údajů 

Největším úskalím při implementaci požadavků GDPR do praxe internetových obchodů je souhlas se zpracováním osobních údajů. Primárně by e-shopy měly zpracovávat osobní údaje svých zákazníků na základě jiných legitimních důvodů, než je souhlas. Takovým důvodem je jednak zpracování pro účely plnění smlouvy, jejíž smluvní stranou je zákazník e-shopu, nebo může jít o zpracování pro účely splnění právní povinnosti, která se na provozovatele e-shopu vztahuje (typicky např. podání kontrolního hlášení). Dále provozovatel e-shopu může zpracovávat osobní údaje zákazníků pro účely svých oprávněných zájmů (např. pro účely vymáhání pohledávek), ale s výjimkou případů, kdy zájmy a základní práva a svobody zákazníků mají přednost před oprávněnými zájmy tohoto provozovatele. Zpracování osobních údajů na základě souhlasu zákazníků tak připadá v úvahu pouze nad rámec těchto vyjmenovaných účelů zpracování. Zejména půjde o souhlas ke zpracování osobních údajů k marketingovým účelům, např. souhlas s poskytnutím osobních údajů třetím osobám za účelem zasílání nevyžádaných obchodních sdělení.

GDPR klade velký důraz na to, aby byl souhlas[28] udělen svobodně a aby byl konkrétní, informovaný a jednoznačný.[29] Souhlas je projevem vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování osobních údajů.[30]

Prvním úskalím v praxi je svoboda souhlasu. Tento požadavek obsahuje i dnes platný ZOOÚ, přičemž ho však mnohé e-shopy možná i nevědomky porušují. ÚOOÚ uvádí ve svém stanovisku,[31] že souhlas nelze považovat za dobrovolný, resp. svobodný, pokud je součástí smlouvy a není možné o něm jednat. To v praxi znamená, že smlouvu, tedy např. všeobecné obchodní podmínky, musí zákazník přijmout a nemá možnost vyjádřit nesouhlas s textem zpracování osobních údajů, např. k marketingovým účelům. V praxi není neobvyklé, že internetové obchody neakceptují objednávku zákazníka, pokud nezaškrtne, že souhlasí se všeobecnými obchodními podmínkami a také zpracováním osobních údajů. To je ale v přímém rozporu s GDPR, které v čl. 7 odst. 4 vysloveně zakazuje, aby plnění podle smlouvy bylo podmíněno souhlasem se zpracováním osobních údajů.

Dalším praktickým příkladem porušení pravidel obsažených v ZOOÚ i GDPR je vyžadování souhlasu se zpracováním osobních údajů ve spojení s požadavkem na sdělení osobních údajů, které nejsou nezbytné pro realizaci objednávky zboží. Je poměrně běžné, že zákazník si nemůže objednat vybrané zboží, aniž by prošel procesem úplné registrace, jehož povinnou součástí je uvedení nejen adresných údajů, ale i údajů o pohlaví a přesném datu narození, přičemž nejde o objednávku zboží, které by bylo nějak omezeno věkem zákazníka.[32] Součástí registrace je pak opět nutný souhlas se zpracováním osobních údajů k marketingovým účelům a jejich předáním obchodním partnerům provozovatele e-shopu.

Popsané praktiky některých internetových obchodů lze zhodnotit následujícím způsobem:

• Za prvé, k pouhému vyřízení objednávky, tedy ke zpracování osobních údajů za účelem prodeje zboží není souhlas subjektu údajů vůbec třeba a vyžadování takového nadbytečného souhlasu je již samo o sobě porušením jak stávajícího ZOOÚ, tak v budoucnu i podmínek GDPR.
• Za druhé, v popsaném případě rozhodně nejde o souhlas svobodný.
• Za třetí, jedná se o nadbytečné shromažďování osobních údajů o zákaznících. Takový postup je navíc nepochopitelný. Pokud totiž chce provozovatel online obchodu své zákazníky motivovat k tomu, aby mu poskytli svobodný souhlas ke zpracování jejich osobních údajů k marketingovým účelům, může volit jiné způsoby, např. jim nabídnout nějakou slevu či malý dárek k objednanému zboží.

Podle GDPR již od konce května 2018 nebude možné, aby souhlas se zpracováním osobních údajů byl součástí všeobecných obchodních podmínek. Jakmile vstoupí GDPR v účinnost, bude takový postup protiprávní. Jak je již zmíněno výše, GDPR požaduje, aby dokumenty týkající se ochrany osobních údajů byly od obchodních podmínek jednoznačně odděleny.[33] V této souvislosti je třeba zmínit, že souhlasy získané v rozporu s GDPR bude třeba nahradit souhlasy novými.

Dalším požadavkem GDPR na kvalitu souhlasu je, aby byl souhlas informovaný a jednoznačný. Tuto podmínku jistě nesplňují příliš široké a obecné souhlasy typu: „Dáváte nám souhlas k zasílání nabídek zboží a služeb našimi obchodními partnery“, „Souhlasíte se zpracováním svých osobních údajů, abychom vám mohli poskytovat lepší služby“. Požadavek informovanosti a jednoznačnosti se nevztahuje pouze na zpracování osobních údajů správcem, ale i na totožnost třetích osob, kterým hodlá správce osobní údaje poskytnout za účelem dalšího využití. Zejména půjde o komerční prodej osobních údajů jiným správcům za účelem zasílání marketingových sdělení zákazníkům e-shopu.

Pokud tedy např. bude provozovatel e-shopu požadovat souhlas za účelem profilování a zobrazování cílené reklamy a dále souhlas se zasíláním obchodních sdělení nad rámec, který povoluje zákon, každý účel by měl být v souhlasu oddělen a opatřen samostatným políčkem, kde zákazník může vyjádřit svůj souhlas. Co rozhodně nelze zobrazovat, jsou předvyplněné souhlasy, jelikož souhlas musí být udělen aktivním výběrem, tedy např. „zakliknutím“ příslušného políčka. Zároveň musí být zákazník vždy poučen o tom, že může svůj souhlas kdykoliv odvolat.

V poslední době se objevují diskuse o tom, že internetové obchody chtějí sdílet údaje o svých zákaznících, kteří si opakovaně nevyzvedávají objednané zboží. Je-li záměrem e-shopu vést takovou evidenci pro své vlastní účely, tj. pro ochranu svých oprávněných zájmů, nebude k tomu potřebovat souhlas svých zákazníků, ale musí je o tom transparentně informovat dříve, než mu poskytnou své osobní údaje či s ním uzavřou smlouvu. Ke sdílení takového seznamu nespolehlivých zákazníků s jiným e-shopem však bude nutný jednoznačný a konkrétní souhlas zákazníka (subjektu údajů). Součástí takového souhlasu pak mimo jiné bude muset být přesná identifikace e-shopů, kterým bude evidence nespolehlivých zákazníků poskytnuta. Vedení databáze nespolehlivých zákazníků navíc podléhá i regulaci podle zák. č. 634/1992 Sb., o ochraně spotřebitele, v platném znění.[34]

GDPR se neomezuje pouze na úpravu souhlasu se zpracováním osobních údajů. V praxi se často zaměňuje souhlas s informační povinností. I když provozovatel e-shopu nebude potřebovat ke zpracování osobních údajů zákazníka jeho souhlas, jelikož je bude zpracovávat na základě jiného zákonného důvodu, musí vždy zákazníka informovat o tom, jaké osobní údaje a pro jaký účel bude zpracovávat, a také, pokud možno, po jakou dobu je bude zpracovávat. Dále musí provozovatel e-shopu zákazníka informovat o jeho právech jako subjektu údajů podle GDPR a o kontaktních údajích pověřence pro ochranu osobních údajů, pakliže jej provozovatel internetového obchodu jmenoval. Mimo jiné má správce povinnost informovat subjekt údajů o jeho dalších právech – právu na přístup ke svým osobním údajům, právu na opravu osobních údajů, právu na výmaz, právu na omezení zpracování, právu na přenositelnost údajů, právu vznést námitku i právu podat stížnost u dozorového úřadu.

Ačkoliv GDPR neukládá paušální a všeobecnou povinnost použít při zpracování osobních údajů šifrování, klade důraz na přijetí adekvátních technicko-organizačních opatření zabezpečujících osobní údaje před neautorizovaným přístupem, změnou, zničením apod., a to s přihlédnutím k rizikům, která konkrétní zpracování osobních údajů představuje pro práva a svobody subjektů údajů. Jinými slovy, provozovatel e-shopu je povinen vyhodnotit, jak závažně by mohlo být zasaženo do soukromí jeho zákazníků, poškozena jejich práva a ohroženy jejich zájmy, pokud by došlo k neautorizovaným, nezákonným zásahům do jeho databáze zákazníků.

Prostředků k zabezpečení osobních údajů zákazníků je mnoho, přičemž šifrování[35] představuje jen jednu z možností a jistě nesplní svůj účel, pokud bude jediným prostředkem zabezpečení. Zejména je nutné zajistit automatizovanou softwarovou kontrolu práce s osobními údaji v databázi provozovatele e-shopu a zabránit tomu, aby zaměstnanci či jiní spolupracovníci provozovatele zkopírovali a vynesli osobní údaje jeho zákazníků. K tomu lze využít techniku – dnes již např. existují systémy, které provozovatele upozorní na jakékoliv nestandardní operace, které statisticky vybočují z obvyklé práce s daty.

Další z novinek, kterou GDPR do praxe přináší, je povinnost hlásit kybernetické útoky dozorovému úřadu a v případě ohrožení práv subjektů údajů oznámit tento útok i dotčeným jednotlivcům (subjektům údajů).[36] To však s sebou nese povinnost technicky zajistit konstantní monitorování databází zákazníků internetových obchodů. Aby provozovatel mohl nahlásit kybernetický útok, musí být v první řadě schopen jej odhalit. Vzhledem k sofistikovanosti některých kybernetických útoků to nebude vždy jednoduché a možné. Provozovatel e-shopu je však povinen přistoupit k takovým opatřením, která s přihlédnutím ke stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování i k možným rizikům pro subjekty údajů budou přiměřená a zajistí bezpečnost zpracovávaných osobních údajů. Odpovědět na otázku, jaká technická opatření budou přiměřená, mohou pomoci kodexy chování, jejichž vznik GDPR předpokládá.[37] 

Závěr 

Vzhledem k tomu, že obecně ztrácíme svou přirozenou ostražitost, je nutné si možnost zneužití našich dat stále připomínat. Proto je důležité být stále ve střehu a znát základní povinnosti e-shopů ve vztahu k osobním datům každého z nás.