GDPR pre e-shop a malý web: čo naozaj musíte mať

Keď spustíte e-shop alebo webovú aplikáciu, GDPR sa vás týka od prvého dňa. Nie preto, že by úrad číhal za rohom, ale preto, že spracúvate osobné údaje: meno, adresu, e-mail, IP adresu. Tento článok vám ukáže, čo konkrétne potrebujete, a čo je naopak zbytočné riešiť.

Čo je základ: zásady spracúvania osobných údajov

Každý prevádzkovateľ webu musí mať písomný dokument, ktorý opisuje, aké údaje zbiera, prečo ich zbiera a ako dlho ich uchováva. Na Slovensku to upravuje GDPR priamo (nariadenie EÚ 2016/679), v Česku platí rovnaké nariadenie doplnené zákonom č. 110/2019 Sb.

Zásady spracúvania (bežne nazývané „ochrana osobných údajov" alebo „privacy policy") musia obsahovať:

• totožnosť prevádzkovateľa (vaše IČO, adresa, kontakt),
• účel a právny základ spracúvania pre každú kategóriu údajov,
• dobu uchovávania,
• práva dotknutej osoby (prístup, výmaz, prenosnosť),
• kontakt na dozorný orgán: na Slovensku Úrad na ochranu osobných údajov SR (dataprotection.gov.sk), v Česku Úřad pro ochranu osobních údajů (uoou.cz).

Dokument musí byť dostupný z každej stránky webu, zvyčajne cez odkaz v päte.

Právne základy: kedy nepotrebujete súhlas

Najčastejšia chyba malých e-shopov je zbierať súhlas na všetko. Pritom súhlas je len jeden z šiestich právnych základov. Pre e-shop sú kľúčové tri:

Plnenie zmluvy. Keď zákazník objedná tovar, spracúvate jeho meno a adresu preto, aby ste mohli doručiť balík. Súhlas tu nepotrebujete.

Oprávnený záujem. Zasielanie newslettera existujúcim zákazníkom o podobných produktoch môže stáť na oprávnenom záujme, ak ste im dali možnosť odhlásiť sa. Musíte však urobiť tzv. balančný test a zdokumentovať ho.

Súhlas. Potrebujete ho pri marketingovej komunikácii s novými kontaktmi, pri profilovaní alebo pri zdieľaní údajov s tretími stranami na ich vlastné účely.

Praktické pravidlo: ak spracúvanie potrebujete na to, aby ste splnili objednávku alebo zákonné povinnosti (napr. uchovávanie faktúr 10 rokov), súhlas nie je správny základ.

Cookies a cookie lišta

Cookie lišta je povinná, ak váš web používa cookies, ktoré nie sú nevyhnutne potrebné na fungovanie stránky. Sem patria analytické nástroje (Google Analytics, Hotjar) aj reklamné pixely (Meta Pixel, Google Ads).

Čo musí cookie lišta splniť:

• pred udelením súhlasu nesmú analytické ani marketingové cookies načítať,
• používateľ musí mať rovnako dostupnú možnosť odmietnuť ako prijať,
• súhlas musí byť granulárny (analytika zvlášť, marketing zvlášť),
• odvolanie súhlasu musí byť rovnako jednoduché ako jeho udelenie.