Rejestracja bazy danych w GIODO Poradnik dla administratorów sklepów w Chmurze Comarch
Spis treści 1 OBOWIĄZKI WŁAŚCICIELA SKLEPU INTERNETOWEGO WOBEC GIODO... 3 1.1 ZBIÓR DANYCH OSOBOWYCH W SKLEPIE INTERNETOWYM... 3 1.2 KTO I KIEDY POWINIEN ZAREJESTROWAĆ ZBIORY?... 3 1.3 ZBIORY PODLEGAJĄCE REJESTRACJI... 3 2 JAK ZAREJESTROWAĆ BAZĘ DANYCH OSOBOWYCH?... 4 2.1 SPOSOBY SKŁADANIA WNIOSKU... 4 2.2 PRZED REJESTRACJĄ UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH... 4 2.3 UZUPEŁNIENIE WNIOSKU KROK PO KROKU... 4 2.3.1 PRZED CZĘŚCIĄ A - OKREŚL, CZEGO DOTYCZY ZGŁOSZENIE... 4 2.3.2 CZĘŚĆ A NAZWIJ ZBIÓR DANYCH... 5 2.3.3 CZĘŚĆ B OKREŚL ADMINISTRATORA DANYCH, FIRMĘ, KTÓREJ POWIERZASZ DANE I PODSTAWĘ PRAWNĄ... 5 2.3.4 CZĘŚĆ C ZDEFINIUJ CEL I ZAKRES PRZETWARZANIA DANYCH... 6 2.3.5 CZĘŚĆ D WSKAŻ SPOSÓB ZBIERANIA I UDOSTĘPNIANIA DANYCH... 6 2.3.6 CZĘŚĆ E W JAKI SPOSÓB ZABEZPIECZASZ DANE KLIENTÓW?... 6 2.3.7 CZĘŚĆ F POZIOM ZASTOSOWANYCH ZABEZPIECZEŃ... 9 OSTATNIE PYTANIE (PKT. 17) OD GIODO DOTYCZY ZBIORÓW DANYCH PRZETWARZANYCH W SYSTEMACH INFORMATYCZNYCH. BĘDĄC ADMINISTRATORAMI DANYCH W SKLEPIE INTERNETOWYM MAMY OBOWIĄZEK WYPEŁNIENIA TEGO PUNKTU. PONIEWAŻ SYSTEM INFORMATYCZNY JEST POŁĄCZONY Z SIECIĄ PUBLICZNĄ INTERNETEM, WSKAZUJEMY ŚRODKI BEZPIECZEŃSTWA NA POZIOMIE WYSOKIM.... 9 3 POTWIERDZENIE REJESTRACJI I ZMIANY W ZBIORZE...10 4 PRZYDATNE PLIKI I STRONY WWW...11 5 KONTAKT...12 Rejestracja bazy danych w GIODO 2 Sklep OnLine
1 Obowiązki właściciela sklepu internetowego wobec GIODO 1.1 Zbiór danych osobowych w sklepie internetowym Baza klientów sklepu internetowego stanowi zbiór danych osobowych, który powinien zostać zgłoszony do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych (GIODO). Regulacja prawna dotycząca tego zagadnienia znajduje się w ustawie o ochronie danych osobowych z dnia 29 sierpnia 1997 (Dz.U. 1997 Nr 133 poz. 883 z późniejszymi zmianami), której art. 6 stanowi, iż dane osobowe to wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Dane, które otrzymuje sklep od swoich klientów, w celu wysyłki towaru lub w celach marketingowych (imię, nazwisko, adres, adres e-mail) mają niewątpliwie charakter danych osobowych. Działalność e-sklepu wiąże się więc z przetwarzaniem danych osobowych, ponieważ dane te są zbierane, utrwalane i przechowywane. A zatem prowadząc sklep internetowy mamy obowiązek zgłoszenia zbioru danych osobowych do rejestru zbiorów prowadzonego przez GIODO. Zgłoszenie ma na celu właściwe, czyli zgodne z prawem przetwarzanie danych osobowych, jak również kontrolowanie prawidłowości ich przetwarzania. Więcej informacji na stronie GIODO: www.giodo.gov.pl 1.2 Kto i kiedy powinien zarejestrować zbiory? Obowiązek zgłoszenia bazy do rejestracji ciąży na administratorze danych osobowych. Nie ma znaczenia, czy administrator przetwarza dane samodzielnie, czy zlecił ich przetwarzanie w drodze umowy innemu podmiotowi (firmie Comarch SA). Odpowiedzialność za ewentualne naruszenie przepisów o ochronie danych osobowych ponoszą osoby zarządzające firmą właściciele sklepu, dyrektorzy przedsiębiorstwa, zarząd spółki. W przypadku Comarch ERP e-sklep administratorem danych osobowych jest zawsze właściciel sklepu. Zbiór danych klientów do GIODO należy zgłosić przed rozpoczęciem przetwarzania danych, czyli przed rozpoczęciem sprzedaży towarów w sklepie internetowym. Jeśli sprzedawca prowadzi już sprzedaż w swoim sklepie powinien jak najszybciej o takie zgłoszenie zadbać. 1.3 Zbiory podlegające rejestracji W myśl ustawy o ochronie danych osobowych, zbiór danych to każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępny według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie. Administrator sklepu musi odpowiedzieć na pytanie, w jakim celu gromadzi dane w sklepie i jaki jest ich zakres. Z ustawy wynika, że każdy zbiór danych powinien być zgłoszony na osobnym formularzu zgłoszeniowym, który będzie zawierał odpowiedni zakres danych oraz cel przetwarzania. Przykładowo posiadamy w sklepie listę subskrybentów, którzy zapisali się do newslettera zapisujemy ich adres e-mail w celach marketingowych (zbiór nr 1), a nie w celu realizacji zamówienia, jak w przypadku osób, które kupiły towar w naszym sklepie (zbiór nr 2). W sklepie internetowym dane osobowe klientów przetwarzane są w różnych celach, co oznacza, że zgłoszenie bazy danych do rejestracji dotyczy nie jednego, a kilku zbiorów. Główne cele przetwarzania danych osobowych w przypadku sklepu internetowego to: Realizacja zamówień klientów Prowadzenie statystyk Marketing (np. wysyłka newslettera) Prowadzenie bazy umów cywilnoprawnych Uwaga: W GIODO zgłaszamy jedynie dany zbiór określając cel przetwarzania uwzględnionych w nim danych. Nie przedkładamy samej treści danych, czyli listy dotychczasowych klientów i nie aktualizujemy zbioru o nowych klientów. Rejestracja bazy danych w GIODO 3 Sklep OnLine
2 Jak zarejestrować bazę danych osobowych? 2.1 Sposoby składania wniosku W celu zgłoszenia zbioru danych do rejestracji w GIODO należy złożyć wniosek. Rejestracja jest bezpłatna, a wnioski można zgłaszać: Drogą elektroniczną z użyciem podpisu elektronicznego Drogą elektroniczną bez użycia podpisu elektronicznego, ale uzupełnione o zgłoszenie papierowe z podpisem i pieczątką (zaletą tego rozwiązania jest aplikacja w serwisie e-giodo, która wspomaga prawidłowe wypełnienie formularza) Przesłać pocztą na adres Biura Generalnego Inspektora Ochrony Danych Osobowych Złożyć osobiście W Biurze Generalnego Inspektora Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa). Aby przesłać zgłoszenie elektronicznie należy skorzystać z aplikacji w serwisie e-giodo w zakładce Wypełnienie wniosku : pobierz formularz elektroniczny. Jeśli chcą Państwo wysłać wniosek pocztą należy pobrać załącznik 2 Wzór zgłoszenia danych do rejestracji ze strony GIODO w zakładce Prawo/ Przepisy prawa/ Krajowe: www.giodo.gov.pl. 2.2 Przed rejestracją umowa powierzenia przetwarzania danych osobowych W przypadku sklepów internetowych, które udostępniają dane klientów innej firmie, zachodzi potrzeba legalnego powierzenia tych danych, czyli podpisania umowy powierzenia przetwarzania danych osobowych. Sklepy użytkowników Comarch ERP e-sklep korzystających z wersji online są zainstalowane na serwerach Comarch, dlatego też ich właściciele powinni podpisać z nami powyższą umowę. W tym celu należy: Pobrać wzór umowy - kliknij tutaj Po zaakceptowaniu wzoru, uzupełnić dane i przesłać podpisaną umowę w dwóch egzemplarzach na nasz adres: COMARCH SA Aleja Jana Pawła II 41g 31-864 Kraków z dopiskiem na kopercie: Comarch ERP e-sklep, Paulina Majcherczyk Po przeprocesowaniu umowy w Comarch SA, zostanie Państwu odesłana kopia umowy. Uwaga: Umowa dotyczy jednego sklepu z oprogramowaniem Comarch ERP e -Sklep. Jeśli posiadacie Państwo u nas więcej niż jeden sklep, należy przesłać osobne umowy dla każdego sklepu. 2.3 Uzupełnienie wniosku krok po kroku 2.3.1 Przed częścią A - określ, czego dotyczy zgłoszenie Pierwsze pole we wniosku dotyczy przypadku, gdy administrator danych zgłasza nowy zbiór danych osobowych, w którym przetwarzać będzie tylko dane zwykłe zgłoszenie na podstawie art. 40 ustawy o ochronie danych osobowych (większość sklepów wybiera opcję nr 1). Drugie pole należy zaznaczyć, gdy zgłaszane są zmiany zaistniałe po zgłoszeniu zbioru danych osobowych do rejestracji. Rejestracja bazy danych w GIODO 4 Sklep OnLine
Trzecie pole dotyczy przypadku, gdy administrator danych zgłasza nowy zbiór danych osobowych tzw. wrażliwych zgłoszenie na podstawie art. 27 ust. 1 ustawy o ochronie danych osobowych. 2.3.2 Część A nazwij zbiór danych Administrator nadaje dowolną nazwę dla zgłaszanego zbioru danych. Zaleca się, aby nazwa była zwięzła i adekwatna do przetwarzanych w nim danych np. newsletter, baza marketingowa, klienci sklepu internetowego + nazwa domeny itp. 2.3.3 Część B określ administratora danych, firmę, której powierzasz dane i podstawę prawną Pkt. 1 w tym miejscu wpisujemy firmę, która dokonuje zgłoszenia (składa wniosek). Administratorem danych może być także osoba fizyczna, osoba prawna lub jednostki niebędące osobami prawnymi. Zgłoszenie powinno zawierać nazwę administratora danych, adres jego siedziby oraz numer REGON. Pkt. 2 dotyczy przypadku przetwarzania danych osobowych przez podmioty mające siedzibę lub miejsce zamieszkania poza Europejskim Obszarem Gospodarczym (poza Unią Europejską i krajami EFTA, z wyjątkiem Szwajcarii) większość sklepów zostawia puste pole. Pkt. 3 określamy czy nasza firma powierzyła przetwarzanie danych osobowych innej firmie patrz punkt 2.2. Jeśli podpisaliście Państwo z nami umowę o powierzenie przetwarzania danych osobowych należy podać w tym miejscu dane Comarch SA. Rys. 1. Powierzenie przetwarzania danych osobowych cześć B pkt.3. Pkt. 4 podajemy przesłankę (podstawę prawną) przetwarzania danych w zbiorze należy zakreślić właściwe pole. Każda przesłanka ma odrębny charakter, a zatem wystarczy podać jedną z nich. W sklepach internetowych najczęściej są to: Opcja 1 - dotyczy np. newslettera Opcja 3 - dotyczy realizowanego zamówienia Rejestracja bazy danych w GIODO 5 Sklep OnLine
2.3.4 Część C zdefiniuj cel i zakres przetwarzania danych Celem przetwarzania danych w zbiorze może być np. wysyłka firmowego newslettera, realizacja zamówień w sklepie internetowym, czy też obsługa reklamacji (pkt. 5). Po wpisaniu celu określ osoby, których dane przetwarzamy np. subskrybenci, klienci sklepu internetowego (pkt. 6). Aby podać zakres danych w przetwarzanym zbiorze zaznacz odpowiedzi z listy (pkt. 7). Dodatkowo w pkt. 8 w przypadku sklepu internetowego wpisz adres e-mail oraz adres IP. Jeśli do rejestracji w sklepie wymagasz innych danych, niewymienionych na liście, należy je podać w tym punkcie. Pkt.9 i pkt. 10 z reguły sklepy zostawiają puste pole dotyczą danych wrażliwych (z art. 27 ust. 1), których zwykle nie przetwarzamy prowadząc sklep internetowy. Dane wrażliwe to m.in.: pochodzenie rasowe, przynależność partyjna, związkowa, podglądy religijne, stan zdrowia itp. 2.3.5 Część D wskaż sposób zbierania i udostępniania danych W pkt. 11 odpowiadamy na pytanie, czy przetwarzane dane pozyskaliśmy bezpośrednio od osób, których te dane dotyczą, czy też z innych źródeł. Jeśli klient wypełnił formularz na stronie sklepu, to uzyskaliśmy je bezpośrednio, jeśli np. kupiliśmy bazę w celach marketingowych to wybieramy odpowiedź drugą. Poprawne jest także zaznaczenie obu odpowiedzi. Kolejne pytanie (pkt. 12) sprawdza, czy dane klientów są udostępniane innym podmiotom niż wskazano w części B pkt. 3 (np. partnerom biznesowym, agencji reklamowej i innym). Jeśli tak, wpisz w pkt. 13 nazwę i siedzibę firmy, której udostępniasz dane. Pkt. 14 dotyczy firm, które przekazują dane za granicę, do tzw. państw trzecich. Jeśli taka sytuacja ma miejsce należy wpisać nazwy tych państw. 2.3.6 Część E w jaki sposób zabezpieczasz dane klientów? Na początku (pkt. 15a) musisz zdecydować, czy gromadzone przez Twoją firmę dane są przetwarzane centralnie w jednym miejscu (budynku), czy w architekturze rozproszonej firma ma kilka lokalizacji lub udostępnia dane innym podmiotom. Jeśli podpisałeś z Comarch SA umowę powierzenia przetwarzania danych osobowych zaznacz odpowiedź drugą w architekturze rozproszonej. W pkt. 15b prawidłowa dla każdego sklepu internetowego jest odpowiedź druga - z użyciem systemu informatycznego. W 15c należy zaznaczyć pierwszy akapit z użyciem co najmniej jednego urządzenia systemu informatycznego [ ]. Rejestracja bazy danych w GIODO 6 Sklep OnLine
Rys. 2. Opis środków technicznych i organizacyjnych cześć E pkt. 15 a-c. Pkt. od 16a do 16e określają wymogi, które każdy administrator danych w sklepie internetowym zobowiązany jest spełnić przed rozpoczęciem przetwarzania danych. W pkt. 16f należy wskazać, jakie inne środki techniczne i organizacyjne zostały zastosowane w celu ochrony danych osobowych klientów. Dane, które powierzyliście Państwo Comarch SA w drodze umowy zabezpieczone są dodatkowo w następujący sposób: Rys. 3. Środki ochrony fizycznej danych cześć E pkt. 16f. Rejestracja bazy danych w GIODO 7 Sklep OnLine
Rys. 4 Środki sprzętowe infrastruktury informatycznej i telekomunikacyjnej część E pkt. 16f. Rys. 5 Środki ochrony w ramach narzędzi programowych i baz danych Rys. 6. Środki organizacyjne cześć E pkt. 16f. Rejestracja bazy danych w GIODO 8 Sklep OnLine
2.3.7 Część F poziom zastosowanych zabezpieczeń Ostatnie pytanie (pkt. 17) od GIODO dotyczy zbiorów danych przetwarzanych w systemach informatycznych. Będąc administratorami danych w sklepie internetowym mamy obowiązek wypełnienia tego punktu. Ponieważ system informatyczny jest połączony z siecią publiczną Internetem, wskazujemy środki bezpieczeństwa na poziomie wysokim. Właśnie wypełniłeś wniosek i możesz wysłać go do GIODO. Rejestracja bazy danych w GIODO 9 Sklep OnLine
3 Potwierdzenie rejestracji i zmiany w zbiorze Na żądanie administratora danych GIODO wydaje zaświadczenie o zarejestrowaniu zgłoszonego zbioru. Za wydanie zaświadczenia pobierana jest opłata skarbowa (zgodnie z informacją na stronie GIODO www.giodo.gov.pl). W przypadku danych szczególnie chronionych (wrażliwych) zaświadczenie wydawane jest natychmiastowo i bezpłatnie po zarejestrowaniu bazy. Jeśli w wysłanym przez nas wniosku zajdą zmiany w zbiorze należy je zgłosić w ciągu 30 dni (od dnia dokonania zmiany) na tym samym formularzu, który służy do zgłoszenia zbioru danych do rejestracji. Rejestracja bazy danych w GIODO 10 Sklep OnLine
4 Przydatne pliki i strony www GIODO Strona internetowa GIODO Platforma e-giodo Rejestracja zbiorów formularz elektroniczny Rejestracja zbiorów formularz w pliku PDF Najczęściej zadawane pytania www.giodo.gov.pl https://egiodo.giodo.gov.pl/index.dhtml Kliknij tutaj załącznik 2 ze strony GIODO w zakładce Prawo/ Przepisy prawa/ Krajowe: www.giodo.gov.pl Kliknij tutaj Ustawa o ochronie danych osobowych Ustawa o ochronie danych osobowych z dnia 29 sierpnia 1997 r. (obowiązujący tekst ustawy) http://isap.sejm.gov.pl/ COMARCH Umowa powierzenia przetwarzania danych osobowych Kliknij tutaj Rejestracja bazy danych w GIODO 11 Sklep OnLine
5 Kontakt GIODO Informacje teleadresowe i godziny pracy Elektroniczna skrzynka podawcza Kliknij tutaj Kliknij tutaj Asysta Comarch ERP e-sklep Dowiedz się więcej o Systemie Obsługi Zgłoszeń >> Telefon do Asysty Comarch ERP e-sklep: +48 12 681 43 00 wew. 2 Rejestracja bazy danych w GIODO 12 Sklep OnLine