Znaczenie RODO dla branży e-commerce

Założenia RODO

Nie trudno się domyślić, że sytuacja jest poważna. Jak dotąd kwestia ta nie była szerzej dyskutowana w środowiskach rządów europejskich i co za tym idzie ustawodawstwa poszczególnych krajów miały bardzo zróżnicowane podejście. Rodziło to problemy z przejrzystością interpretacji prawa, co sprowokowało silną potrzebę uniformizacji reguł i swoistego wyrównania poziomu bezpieczeństwa na terenie całej Unii.

Nowe rozporządzenie ma wyznaczyć wyższe standardy ochrony danychużytkowników sieci internetowej z państw członkowskich UE, pozwalając na kontrolę ich przekazywania pomiędzy podmiotami lub aplikacjami i zapobieganie ich zbędnemu przetwarzaniu przez ciała do tego nieuprawnione. Wskazane zostały konkretne obszary ochrony, ale nie określono już jakie metody należy w tym celu zastosować, dlatego na gotowe rozwiązania przyjdzie nam jeszcze poczekać.

RODO ma okazać się bardzo surowe względem wszystkich administratorów danych, narzucając im szereg nowych obowiązków. Sugeruje się już dziś, by w ramach większych zespołów w przedsiębiorstwach, powoływać specjalne instytucje inspektorów, odpowiedzialnych za weryfikację przestrzegania tych reguł oraz przeprowadzać audyty danych, pozwalające zweryfikować informacje przechowywane na serwerach. W ramach rejestru czynności pomoże to ustalić harmonogram pracy z danymi, ich przetwarzania oraz usuwania na wyraźne życzenie klienta. Administratorzy powinni odtąd mieć się na baczności i skrupulatnie przyglądać się procedurom zabezpieczającym, odpowiednio wcześnie wykrywając i eliminując ewentualne nieprawidłowości, a także dbając o dostosowanie narzędzi technicznych i informatycznych do wykonywanych zadań włącznie z metodami szyfrowania i niszczenia nośników zawierających istotne dane.

Regulacja znosi również obowiązek zgłaszania zebranych danych do GIODO, co oznacza, że odtąd lista przedsiębiorstw będących w posiadaniu takich zbiorów nie będzie transparentna, co uniemożliwi firmom konkurencyjnym składanie celowych donosów, co miewało jużmiejsce w przeszłości.

Co to oznacza dla e-commerce?

RODO może docelowo wpłynąć między innymi na zmniejszenie wartości reklam, zamieszczanych przez firmy na portalach społecznościowych, co zaowocowałoby zmniejszeniem zasięgów organicznych i zakresu prowadzonych kampanii marketingowych. No właśnie, może, ale nie musi. Kluczowym elementem jest przede wszystkim rozbudzenie głębszej świadomości konsumentów sieci na temat ich własnych praw.

Nieuprawnione są obawy o automatyczne metody przetwarzania, które okazują się paradoksalnie korzyścią na tle technik ręcznych, ponieważ ograniczają znacząco błędy czynnika ludzkiego i łączną ilość ludzi zaangażowanych w sam proces, co z kolei zmniejsza ryzyko wycieków. Im mniej wykorzystywanych narzędzi, tym mniej potencjalnych zagrożeń awarią.

Wprowadzone zostaną obowiązki nazwane privacy by design i privacy by default. Pierwszy z nich określa obowiązek wdrożenia przepisów w trakcie projektowania strony lub serwisu nawet tych, znajdujących w fazie testowej. Drugi zaś oznacza możliwość zbierania jedynie tych danych, które okazują się niezbędne w procesie realizacji zamówień lub skorzystania z opcji danej aplikacji, lub serwisu, co zabezpieczy przed gromadzeniem zbędnych zbiorów w zapasie poza przypadkami, kiedy udowodnimy, że będą nam one koniecznie potrzebne w przyszłości np. w celu rozbudowy firmy o nowe lokalizacje.

RODO nie rodzi konieczności ponownego uzyskiwania zgody użytkowników na ich przetwarzanie, co oznacza, że o ile zostały zebrane zgodnie z prawem, zachowują ważność. Nakazane jest, by komunikaty na ten temat zapisywać prostym i zrozumiałym dla laików językiem bez skomplikowanych, prawnych formułek z odniesieniami do konkretnych artykułów ustawy. Nie ulegnie również zmianie ilość tzw. check-boxów na stronach, czyli przycisków wyboru, ponieważ ilość wymaganych zgód pozostanie na podobnym poziomie.

Specjalistów ds. marketingu ucieszy również fakt, że w pełni dozwolone będzie profilowanie przekazu reklamowego, stosowanego między innymi przez agencje interaktywne. Oferowanie spersonalizowanych treści dla użytkowników nie powinno zostać nijak ograniczone i nadal może stanowić element kampanii. Zapewniona będzie jedynie możliwość sprzeciwu wobec ich wykorzystywania oraz zrozumiałe dla ludzi spoza środowiska IT, komunikaty o możliwym śledzeniu ichniego ruchu w sieci w celu doboru jak najlepszych podpowiedzi. Każdy internauta ma prawo do otrzymywania powiadomień odnośnie do zamierzeń reklamodawców, którzy mają obowiązek sporządzenia i posiadania dokumentu, zawierającego założone cele, nazwiska administratorów, rodzaj danych i bieżące metody ich ochrony, a także prawa przysługujące odbiorcom. Nie zaistnieje jednak wymóg publikowania wykorzystywanych ku temu algorytmów, które mogą nadal pozostawać tajemnicą firmową. Występuje jednak konieczność zgłaszania wszelkich naruszeń do 72 godzin od momentu ich wykrycia.

Użytkownicy zyskają również prawo do bycia zapomnianym, które na ich prośbę poskutkuje usunięciem publicznie dostępnych informacji na ich temat. Nie będzie ono jednak ingerować w back-upy (ang. kopie zapasowe), co wymagałoby ponoszenia nadmiernych kosztów i ingerowałoby w bezpieczeństwo pozostałych danych. Istnieje również opcja wpół drogi tzn. prawo do sprostowania, dzięki któremu internauci zyskają pełny wgląd do swoich danych, mogąc każdorazowo cofnąć zgodę na ich przetwarzanie, ograniczyć ilość dostępnych treści lub zmienić ich zawartość, jeśli okaże się niezgodna z prawdą lub naruszająca przestrzeń osobistą.

RODO nie wprowadza także zmian w kontekście cookies (ang. ciasteczek), czyli niewielkich fragmentów tekstu, zapisywanych w trakcie przeglądania stron internetowych, pozwalających utrzymać sesję dzięki generowaniu identyfikatora w następstwie logowania i identyfikować przeglądarkę, z jakiej następuje połączenie, optymalizując proces korzystania ze strony.

Zbyt wiele mitów na ten temat zdążyło się wyraźnie zadomowić w sieci. Marketerzy są pochopnie i bezpodstawnie zastraszani wielomilionowymi karami i koniecznością rezygnacji z technik automatyzacji marketingu czy zupełnego odżegnania się od gromadzenia danych osobowych do celów sprzedażowych. Możemy odetchnąc z ulgą – tak się na szczęście nie stanie.