REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

Sklep internetowy - dokumentacja dotycząca ochrony przetwarzanych danych osobowych

Subskrybuj nas na Youtube
Dołącz do ekspertów Dołącz do grona ekspertów
Kancelaria Prawna GHMW – Hulist, Prawdzic Łaszcz – Radcowie Prawni spółka partnerska
Kancelaria świadczy kompleksowe usługi prawne związane z bieżącą obsługą przedsiębiorców (głównie spółek handlowych).
Sklep internetowy - dokumentacja dotycząca ochrony przetwarzanych danych osobowych / Fot. Fotolia
Sklep internetowy - dokumentacja dotycząca ochrony przetwarzanych danych osobowych / Fot. Fotolia
Fotolia

REKLAMA

REKLAMA

Przedsiębiorcy dokonujący sprzedaży towarów za pośrednictwem sklepu internetowego powinni pamiętać, że ciążące na nich obowiązki nie ograniczają się wyłącznie do przygotowania regulaminu sklepu i zapewnienia takiego funkcjonowania portalu, aby spełnione zostały wymogi nakreślone w przepisach regulujących prawa konsumenta.

REKLAMA

Prowadzenie sklepu internetowego wiąże się najczęściej z procesem przetwarzania danych osobowych jego klientów. Aby zapewnić właściwą ochronę tych danych, sprzedawca zobowiązany jest do przygotowania obszernej dokumentacji w tym zakresie, obejmującej m. in politykę bezpieczeństwa oraz instrukcję zarządzania systemem informatycznym, a także do wdrożenia procedur mających na celu ochronę przetwarzanych danych osobowych.

Obowiązek przygotowania dokumentacji

Zgodnie  z art. 36 ust. 2 ustawy o ochronie danych osobowych (dalej: u.o.d.o.)  administrator danych prowadzi dokumentację opisującą sposób przetwarzania danych oraz środki zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną. Sposób prowadzenia i zakres dokumentacji określa rozporządzenie w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (dalej: rozporządzenie). Zgodnie z §3 ust. 1 rozporządzenia na dokumentację, o której mowa powyżej składa się polityka bezpieczeństwa i instrukcja zarządzania system informatycznym. Opracowanie polityki bezpieczeństwa oraz instrukcji zarządzania systemem informatycznym należy zatem do obowiązków administratora danych, którym przeważnie jest właściciel sklepu internetowego (za administratora danych nie można uznać – przykładowo - członka zarządu spółki z o.o.  czy wspólnika spółki jawnej; administratorem danych będzie natomiast spółka prawa handlowego).

Wyszukiwarki internetowe jako administrator danych osobowych – orzeczenie TSUE

Nie ma obowiązku zamieszczania polityki bezpieczeństwa oraz instrukcji zarządzania systemem informatycznym na stronie internetowej sklepu internetowego. Wskazana dokumentacja powinna zostać zatwierdzona przez administratora danych oraz przyjęta do stosowania.

Dalszy ciąg materiału pod wideo

Polityka bezpieczeństwa

Polityka bezpieczeństwa w sposób ogólny prezentuje przyjęte w firmie zasady postępowania, dotyczące ochrony danych osobowych. Zgodnie z §4 rozporządzenia polityka bezpieczeństwa zawiera w szczególności:

1) wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe;

2) wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych;

3) opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi;

4) sposób przepływu danych pomiędzy poszczególnymi systemami;

5) określenie środków technicznych i organizacyjnych niezbędnych dla zapewnienia poufności, integralności i rozliczalności przetwarzanych danych.

Polecamy: Monitor Księgowego – prenumerata

Instrukcja zarządzania systemem informatycznym

Instrukcja zarządzania systemem informatycznym to dokument w sposób szczegółowy opisujący procedury przyznawania uprawnień, tworzenie kopii zapasowych, sposoby uwierzytelniania dostępu oraz konserwację systemu. Zgodnie z §5 rozporządzenia instrukcja zarządzania systemem informatycznym obejmuje w szczególności:

1) procedury nadawania uprawnień do przetwarzania danych i rejestrowania tych uprawnień w systemie informatycznym oraz wskazanie osoby odpowiedzialnej za te czynności;

2) stosowane metody i środki uwierzytelnienia oraz procedury związane z ich zarządzaniem i użytkowaniem;

3) procedury rozpoczęcia, zawieszenia i zakończenia pracy przeznaczone dla użytkowników systemu;

4) procedury tworzenia kopii zapasowych zbiorów danych oraz programów i narzędzi programowych służących do ich przetwarzania;

5) sposób, miejsce i okres przechowywania:

a) elektronicznych nośników informacji zawierających dane osobowe,

b) kopii zapasowych,

6) sposób zabezpieczenia systemu informatycznego przed działalnością szkodliwego oprogramowania;

7) sposób odnotowania udostępniania danych osobowych;

8) procedury wykonywania przeglądów i konserwacji systemów oraz nośników informacji służących do przetwarzania danych.


Zakres środków ochrony danych osobowych określonych w rozporządzeniu różni się w zależności od stosowanego przez przedsiębiorcę poziomu bezpieczeństwa. Poziom wysoki stosuje się, gdy przynajmniej jedno urządzenie systemu informatycznego, służącego do przetwarzania danych osobowych, połączone jest z siecią publiczną. Oznacza to, że właściciele sklepów internetowych będą zasadniczo zobowiązani do wdrożenia maksymalnych środków bezpieczeństwa przewidzianych w rozporządzeniu.

Hosting a obowiązek przygotowania dokumentacji

REKLAMA

Z przygotowania dokumentacji związanej z ochroną przetwarzanych danych osobowych nie zwalnia administratora danych umowa zawarta z firmą udostępniającą zasoby serwerowni. Zgodnie z § 3 ust. 2 dokumentację wdraża administrator danych. Nie wydaje się możliwe zastąpienie własnej dokumentacji dokumentacją przygotowaną przez firmę hostingową. Firma hostingowa nie staje się administratorem danych nawet w przypadku gdy powierzono jej przetwarzanie danych osobowych  w drodze umowy, o której mowa w art. 31 ust. 1 u.o.d.o.

W celu prawidłowej realizacji obowiązków ustawowych administrator powinien wybrać dostawcę usług internetowych, który oferuje środki zabezpieczenia wskazane w ustawie o ochronie danych osobowych oraz rozporządzeniu. Umowa pomiędzy administratorem danych a firmą hostingową powinna określać stosowane przez firmę hostingową zabezpieczenia przetwarzania danych, które to dane mogą posłużyć przy przygotowywaniu wymaganej przez przepisy dokumentacji oraz przy zgłaszaniu zbioru do Generalnego Inspektora Ochrony Danych Osobowych.

Jak rozliczać sprzedaż za pomocą kuponów internetowych

Administrator bezpieczeństwa informacji

REKLAMA

W ustawie o ochronie danych osobowych, w brzmieniu od 1 stycznia 2015 r., przewidziane zostały dwa sposoby sprawowania nadzoru nad przestrzeganiem zasad ochrony danych osobowych: poprzez wyznaczenie administratora bezpieczeństwa informacji oraz poprzez samodzielne wykonywanie przez administratora danych czynności nadzorczych.

Powołanie administratora bezpieczeństwa informacji będzie wiązać się z przejęciem przez niego części obowiązków dotyczących aktualizowania omawianej dokumentacji oraz nadzorowania przestrzegania zasad w niej określonych. Obecność administratora bezpieczeństwa informacji wpłynie w szczególności na charakter środków organizacyjnych stosowanych w celu ochrony danych osobowych -  do obowiązków administratora bezpieczeństwa informacji może należeć  kontrola zabezpieczeń, nadawanie upoważnień oraz podejmowanie działań w przypadku naruszeń ochrony danych osobowych.

Autor: Krzysztof Smach, Kancelaria GACH, HULIST, MIZIŃSKA, WAWER – adwokaci i radcowie prawni sp.p.

(www.ghmw.pl)

Podyskutuj o tym na naszym FORUM

Zapisz się na newsletter
Chcesz uniknąć błędów? Być na czasie z najnowszymi zmianami w podatkach? Zapisz się na nasz newsletter i otrzymuj rzetelne informacje prosto na swoją skrzynkę.
Zaznacz wymagane zgody
loading
Zapisując się na newsletter wyrażasz zgodę na otrzymywanie treści reklam również podmiotów trzecich
Administratorem danych osobowych jest INFOR PL S.A. Dane są przetwarzane w celu wysyłki newslettera. Po więcej informacji kliknij tutaj.
success

Potwierdź zapis

Sprawdź maila, żeby potwierdzić swój zapis na newsletter. Jeśli nie widzisz wiadomości, sprawdź folder SPAM w swojej skrzynce.

failure

Coś poszło nie tak

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:
Autopromocja

REKLAMA

QR Code

REKLAMA

Księgowość
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
Faktura handlowa nie będzie jednocześnie fakturą ustrukturyzowaną. Dodatkowe obowiązki podatników VAT

Po wejściu w życie zmian w ustawie o VAT wdrażających model obowiązkowego Krajowego Systemu e-Faktur (KSeF) wielu podatników może mieć problem (i dodatkowe obowiązki) wynikające z faktu, że faktura ustrukturyzowana nie może pełnić funkcji faktury handlowej – pisze prof. dr hab. Witold Modzelewski. Co powinni zrobić podatnicy VAT, którzy zdecydują się na wystawianie faktur handlowych nie będących fakturami VAT?

System kaucyjny a VAT: Objaśnienia MF dotyczące rozliczeń podatników i płatników w związku z nowymi zasadami obrotu opakowaniami

Objaśnienia MF mają na celu pokazanie, jak w praktyce stosować przepisy ustawy o VAT w odniesieniu do czynności wykonywanych przez podatników i płatników uczestniczących w systemie kaucyjnym. Nowe reguły prawne wynikają z wprowadzenia obowiązku pobierania kaucji przy sprzedaży wybranych opakowań jednorazowych i wielokrotnego użytku. System ten umożliwia konsumentom zwrot opakowań lub odpadów opakowaniowych w dowolnym punkcie zbiórki, bez konieczności przedstawiania dowodu zakupu.

Błąd w fakturze w KSeF? Ministerstwo Finansów ostrzega: tak tego nie poprawisz!

Wystawienie faktury na błędnego nabywcę może mieć poważne konsekwencje – i nie da się tego naprawić zwykłą korektą NIP. Ministerstwo Finansów wyjaśnia, że w KSeF konieczne jest wystawienie faktury korygującej do zera oraz zupełnie nowej faktury z prawidłowymi danymi. Inaczej dokument trafi do... zupełnie obcej firmy.

Ustawa o KSeF opublikowana w Dzienniku Ustaw. Ważne zmiany i nowe funkcjonalności dla przedsiębiorców!

W Dzienniku Ustaw opublikowano nowelizację wprowadzającą Krajowy System e-Faktur (KSeF). Przedsiębiorców czekają ważne zmiany – nowe terminy wdrożenia, dodatkowe funkcjonalności systemu, a także skrócony czas zwrotu VAT. Sprawdź, co dokładnie przewiduje ustawa i jak przygotować się do obowiązkowego KSeF!

REKLAMA

„Towar w drodze mimo kontroli” – kiedy urząd celny może zwolnić przesyłkę wcześniej?

W obrocie towarowym czas to pieniądz. Dlatego przedsiębiorcy chętnie korzystają z możliwości, jakie daje art. 194 ust. 1 Unijnego Kodeksu Celnego (UKC) – przepis pozwalający zwolnić towar do obrotu, nawet jeśli weryfikacja w urzędzie celno-skarbowym wciąż trwa. Brzmi jak wyjątek od reguły? Tak jest, ale w praktyce może być to realne ułatwienie, pod warunkiem, że spełnione są ściśle określone warunki i złożony wniosek do UCS.

KSeF 2.0 coraz bliżej: Ministerstwo Finansów ujawnia plan wdrożenia. Oto najważniejsze terminy!

KSeF 2.0 od 30 września zastąpi obecną wersję środowiska testowego KSeF 1.0 - informuje Ministerstwo Finansów. Dotychczasowi użytkownicy wersji produkcyjnej KSeF 1.0 nadal mogą z niej korzystać, aż do 26 stycznia 2026. To jest kolejny krok do wprowadzenia obligatoryjnego Krajowego Systemu e-Faktur.

Wydatki marketingowe dealerów a koszty podatkowe - spór rozstrzygnięty na korzyść podatników

Rozliczenie kosztów działań marketingowych przez dealerów samochodowych może stanowić problem na gruncie prawa podatkowego. Szczególne wątpliwości budzą wydatki poniesione w ramach programów motywacyjnych dystrybutorów, które mają na celu uzyskanie bonusów jakościowych. Kluczowym problemem interpretacyjnym jest rozgraniczenie między kosztami uzyskania przychodów, a wydatkami na reprezentację, które zgodnie z przepisami ustawy o CIT nie mogą być zaliczane do kosztów podatkowych. Orzecznictwo sądów administracyjnych pokazuje jednak, że organy podatkowe często błędnie kwalifikują tego typu wydatki, nie uwzględniając ich rzeczywistego celu gospodarczego i związku z osiąganymi przychodami.

Każda faktura VAT w 2026 r. obowiązkowo wystawiana aż w sześciu formach. Będzie ryzyko powstania wielu oryginałów tej samej faktury

Ustawa z dnia 5 sierpnia 2025 r. nowelizująca ustawę o VAT w zakresie obowiązkowego modelu KSeF została już podpisana przez Prezydenta RP i musimy jeszcze poczekać na rozporządzenia wykonawcze, gdzie m.in. uregulowane będą szczegóły informatyczne (kody, certyfikaty). Ale to nie koniec – musi się jeszcze pojawić oprogramowanie interfejsowe, a zwłaszcza jego „specyfikacja”. Ile będziemy na to czekać? Nie wiadomo. Ale czas płynie. Wiemy dziś, że obok dwóch faktur w postaci tradycyjnej (papierowe lub elektroniczne), pojawiają się w tych przepisach aż cztery nowe formy - pisze prof. dr hab. Witold Modzelewski.

REKLAMA

Self-billing w KSeF jako nowe możliwości dla zagranicznych podmiotów

Wprowadzenie Krajowego Systemu e-Faktur (KSeF) budzi wiele pytań wśród polskich podatników, ale coraz częściej także wśród podmiotów zagranicznych działających w Polsce i rozliczających tu VAT. Jednym z kluczowych zagadnień – rzadko poruszanych publicznie – jest możliwość wystawiania faktur ustrukturyzowanych w formule self-billingu przez podmioty nieposiadające siedziby w Polsce. Czy KSeF przewiduje taką opcję? Jakie warunki muszą zostać spełnione i z jakimi wyzwaniami trzeba się liczyć?

Certyfikaty KSeF – ostatni dzwonek dla firm! Bez nich fiskus zablokuje faktury

Od listopada 2025 r. przedsiębiorcy będą mogli wnioskować o certyfikaty KSeF. Brak tego dokumentu od 2026 r. może oznaczać paraliż wystawiania faktur. A od 2027 r. system nie uzna już żadnej innej metody logowania.

REKLAMA