Wytyczne dotyczące przetwarzania danych dotyczących zdrowia w sklepie internetowym

Celem niniejszych wytycznych jest wskazanie sposobu działania zgodnego z RODO w sytuacji, gdy sklep internetowy oferuje produkty, których zamówienie może prowadzić do ujawnienia danych dotyczących zdrowia, co stanowi szczególną kategorię danych, o której mowa w art. 9 RODO.

1. Zgoda na przetwarzanie danych

W przypadku realizacji zamówienia podstawą prawną przetwarzania większości danych osobowych będzie zazwyczaj art. 6 ust. 1 lit. b RODO (przetwarzanie niezbędne do wykonania umowy). Jednak gdy z treści zamówienia można wywnioskować informacje o stanie zdrowia klienta, niezbędne staje się również uzyskanie zgody na podstawie art. 9 ust. 2 lit. a RODO.

2. Przykładowa treść checkboxa zgody (art. 9 ust. 2 lit. a RODO)

Gdy klient zamawia produkt, który może ujawniać dane dotyczące zdrowia (np. produkty medyczne, preparaty na określone dolegliwości), zaleca się dodanie osobnego pola (checkboxa) w procesie zakupowym, którego zaznaczenie będzie stanowić wyraźną zgodę.

Przykładowa treść:

Wyrażam zgodę na przetwarzanie przez XYZ moich danych dotyczących zdrowia, wynikających z treści zamówienia, w celu jego realizacji – zgodnie z art. 9 ust. 2 lit. a RODO.

Zgoda jest dobrowolna, ale niezbędna do realizacji zamówienia obejmującego produkty mogące wskazywać na stan zdrowia.

Taki checkbox powinien pojawiać się wyłącznie wtedy, gdy zamówienie rzeczywiście zawiera produkty mogące ujawniać informacje o stanie zdrowia klienta, jeśli takie są sprzedawane w sklepie. Może pojawiać się np. w podsumowaniu zamówienia.

Poza tym w podsumowaniu zamówienia powinien znaleźć się standardowy checkbox akceptacji regulaminu oraz informacja o polityce prywatności (szczegóły dotyczące checkboxów i komunikatów w ścieżce zamówienia są dostępne we wskazówkach dla e-sprzedawcy, które otrzymali Państwo w Kreatorze Legal Geek).

Należy jednak zaznaczyć, że jeśli checkbox zgody na przetwarzanie szczególnych kategorii danych pojawia się na tym samym etapie co checkbox akceptacji regulaminu, checkboxy te nie powinny być łączone w jedno.

3. Wycofanie zgody – jak postępować?

RODO przyznaje osobom, których dane dotyczą, prawo do wycofania zgody w dowolnym momencie (art. 7 ust. 3 RODO). Po otrzymaniu takiego żądania zaleca się przeprowadzenie indywidualnej analizy każdego przypadku w celu określenia zakresu, w jakim dane mogą zostać usunięte. Sytuacja jest tu nieco niejednoznaczna, ponieważ zgoda ta jest jednocześnie niezbędna do realizacji zamówienia, a zazwyczaj dysponujemy innymi podstawami prawnymi przetwarzania tych danych (przykładowo dane z zamówienia znajdą się również na fakturze, gdzie mamy do czynienia z przetwarzaniem opartym na obowiązkach księgowych). Każdą sytuację należy rozpatrywać indywidualnie, a sposób postępowania oraz treść potwierdzenia wycofania zgody powinny być dostosowane do wyników analizy.

Przykładowe scenariusze w przypadku wycofania zgody i zalecane komunikaty dla klienta:

a) Dane zawarte w dokumentacji księgowej (np. faktura):

Nie mogą zostać usunięte przed upływem okresu wymaganego przepisami prawa.

Zalecana informacja: Potwierdzamy otrzymanie oświadczenia o wycofaniu zgody. Informujemy, że dane zawarte w dokumentach księgowych (np. fakturach) będą nadal przetwarzane przez okres wymagany przepisami prawa, w szczególności dla celów podatkowych i księgowych.

b) Dane w systemach sprzedażowych (np. CRM):

Jeśli dane nie są potrzebne do realizacji zamówienia i nie istnieje inna podstawa prawna ich przechowywania, powinny zostać usunięte lub zanonimizowane.

4. Minimalizacja danych – dobre praktyki

Zgodnie z art. 5 ust. 1 lit. c RODO dane osobowe powinny być adekwatne, stosowne oraz ograniczone do tego, co niezbędne.

Zalecenia:

• Ograniczenie liczby systemów: Danych dotyczących zdrowia nie należy wysyłać do systemów marketingowych ani zewnętrznych baz danych, chyba że uzyskano odrębną zgodę na ten cel.
• Neutralne nazewnictwo produktów: W miarę możliwości zaleca się stosowanie neutralnych nazw na dokumentach (np. „Produkt 123”) zamiast szczegółowych opisów wskazujących na dolegliwości.
• Minimalny zakres przetwarzania: Należy unikać gromadzenia danych w historiach czatów lub formularzach, jeśli nie są one niezbędne.

5. Dane ujawniane podczas kontaktu

Dane dotyczące zdrowia mogą być również podawane podczas kontaktu z klientem (czat, e-mail, telefon).

Zalecenie:

W sytuacjach, gdy dane są podawane z inicjatywy użytkownika, można uznać, że wyraził on zgodę poprzez wyraźną czynność potwierdzającą (motyw 32 RODO). W takich przypadkach nie ma konieczności dodawania checkboxa, pod warunkiem, że:

• dane nie są przetwarzane w innych celach,
• zapewniono odpowiedni poziom technicznych i organizacyjnych środków bezpieczeństwa.

6. Udostępnianie danych dotyczących zdrowia agencji marketingowej

Jeżeli zamierzają Państwo udostępniać szczególne kategorie danych (np. dane dotyczące zdrowia) podmiotowi trzeciemu, takiemu jak agencja marketingowa, konieczne jest uzyskanie odrębnej, wyraźnej i dobrowolnej zgody od osoby, której dane dotyczą. Taka zgoda musi być całkowicie niezależna od zgody na przetwarzanie danych w celu realizacji zamówienia.

Kluczowe zasady:

• Brak zgody na udostępnienie danych agencji nie może skutkować niemożliwością dokonania zakupu.
• Klient musi mieć możliwość wyrażenia zgody na przetwarzanie danych w celu realizacji zamówienia bez konieczności wyrażania zgody na ich udostępnianie innym podmiotom.

Przykładowa treść zgody:

Wyrażam zgodę na udostępnienie moich danych dotyczących zdrowia, przetwarzanych przez XYZ współpracującej z nią agencji marketingowej w celach marketingowych. Zgoda ta jest dobrowolna i może zostać w każdym czasie wycofana.

Zgodę tę można umieścić poniżej checkboxa zgody na przetwarzanie danych dotyczących zdrowia. Zaleca się również dostosowanie treści, określając planowane działania marketingowe, np. wysyłanie spersonalizowanych newsletterów.

Przykład:

Wyrażam zgodę na udostępnienie moich danych dotyczących zdrowia, przetwarzanych przez XYZ współpracującej z nią agencji marketingowej w celach marketingowych, polegających na wyświetlaniu dopasowanych reklam. Zgoda ta jest dobrowolna i może zostać w każdym czasie wycofana.

Podkreślona część stanowi przykład takiego uszczegółowienia.