REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

Sklep internetowy - dokumentacja dotycząca ochrony przetwarzanych danych osobowych

Subskrybuj nas na Youtube
Dołącz do ekspertów Dołącz do grona ekspertów
Kancelaria Prawna GHMW – Hulist, Prawdzic Łaszcz – Radcowie Prawni spółka partnerska
Kancelaria świadczy kompleksowe usługi prawne związane z bieżącą obsługą przedsiębiorców (głównie spółek handlowych).
Sklep internetowy - dokumentacja dotycząca ochrony przetwarzanych danych osobowych / Fot. Fotolia
Sklep internetowy - dokumentacja dotycząca ochrony przetwarzanych danych osobowych / Fot. Fotolia
Fotolia

REKLAMA

REKLAMA

Przedsiębiorcy dokonujący sprzedaży towarów za pośrednictwem sklepu internetowego powinni pamiętać, że ciążące na nich obowiązki nie ograniczają się wyłącznie do przygotowania regulaminu sklepu i zapewnienia takiego funkcjonowania portalu, aby spełnione zostały wymogi nakreślone w przepisach regulujących prawa konsumenta.

REKLAMA

Autopromocja

Prowadzenie sklepu internetowego wiąże się najczęściej z procesem przetwarzania danych osobowych jego klientów. Aby zapewnić właściwą ochronę tych danych, sprzedawca zobowiązany jest do przygotowania obszernej dokumentacji w tym zakresie, obejmującej m. in politykę bezpieczeństwa oraz instrukcję zarządzania systemem informatycznym, a także do wdrożenia procedur mających na celu ochronę przetwarzanych danych osobowych.

Obowiązek przygotowania dokumentacji

Zgodnie  z art. 36 ust. 2 ustawy o ochronie danych osobowych (dalej: u.o.d.o.)  administrator danych prowadzi dokumentację opisującą sposób przetwarzania danych oraz środki zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną. Sposób prowadzenia i zakres dokumentacji określa rozporządzenie w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (dalej: rozporządzenie). Zgodnie z §3 ust. 1 rozporządzenia na dokumentację, o której mowa powyżej składa się polityka bezpieczeństwa i instrukcja zarządzania system informatycznym. Opracowanie polityki bezpieczeństwa oraz instrukcji zarządzania systemem informatycznym należy zatem do obowiązków administratora danych, którym przeważnie jest właściciel sklepu internetowego (za administratora danych nie można uznać – przykładowo - członka zarządu spółki z o.o.  czy wspólnika spółki jawnej; administratorem danych będzie natomiast spółka prawa handlowego).

Wyszukiwarki internetowe jako administrator danych osobowych – orzeczenie TSUE

Nie ma obowiązku zamieszczania polityki bezpieczeństwa oraz instrukcji zarządzania systemem informatycznym na stronie internetowej sklepu internetowego. Wskazana dokumentacja powinna zostać zatwierdzona przez administratora danych oraz przyjęta do stosowania.

Dalszy ciąg materiału pod wideo

Polityka bezpieczeństwa

Polityka bezpieczeństwa w sposób ogólny prezentuje przyjęte w firmie zasady postępowania, dotyczące ochrony danych osobowych. Zgodnie z §4 rozporządzenia polityka bezpieczeństwa zawiera w szczególności:

1) wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe;

2) wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych;

3) opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi;

4) sposób przepływu danych pomiędzy poszczególnymi systemami;

5) określenie środków technicznych i organizacyjnych niezbędnych dla zapewnienia poufności, integralności i rozliczalności przetwarzanych danych.

Polecamy: Monitor Księgowego – prenumerata

Instrukcja zarządzania systemem informatycznym

Instrukcja zarządzania systemem informatycznym to dokument w sposób szczegółowy opisujący procedury przyznawania uprawnień, tworzenie kopii zapasowych, sposoby uwierzytelniania dostępu oraz konserwację systemu. Zgodnie z §5 rozporządzenia instrukcja zarządzania systemem informatycznym obejmuje w szczególności:

1) procedury nadawania uprawnień do przetwarzania danych i rejestrowania tych uprawnień w systemie informatycznym oraz wskazanie osoby odpowiedzialnej za te czynności;

2) stosowane metody i środki uwierzytelnienia oraz procedury związane z ich zarządzaniem i użytkowaniem;

3) procedury rozpoczęcia, zawieszenia i zakończenia pracy przeznaczone dla użytkowników systemu;

4) procedury tworzenia kopii zapasowych zbiorów danych oraz programów i narzędzi programowych służących do ich przetwarzania;

5) sposób, miejsce i okres przechowywania:

a) elektronicznych nośników informacji zawierających dane osobowe,

b) kopii zapasowych,

6) sposób zabezpieczenia systemu informatycznego przed działalnością szkodliwego oprogramowania;

7) sposób odnotowania udostępniania danych osobowych;

8) procedury wykonywania przeglądów i konserwacji systemów oraz nośników informacji służących do przetwarzania danych.


Zakres środków ochrony danych osobowych określonych w rozporządzeniu różni się w zależności od stosowanego przez przedsiębiorcę poziomu bezpieczeństwa. Poziom wysoki stosuje się, gdy przynajmniej jedno urządzenie systemu informatycznego, służącego do przetwarzania danych osobowych, połączone jest z siecią publiczną. Oznacza to, że właściciele sklepów internetowych będą zasadniczo zobowiązani do wdrożenia maksymalnych środków bezpieczeństwa przewidzianych w rozporządzeniu.

Hosting a obowiązek przygotowania dokumentacji

REKLAMA

Z przygotowania dokumentacji związanej z ochroną przetwarzanych danych osobowych nie zwalnia administratora danych umowa zawarta z firmą udostępniającą zasoby serwerowni. Zgodnie z § 3 ust. 2 dokumentację wdraża administrator danych. Nie wydaje się możliwe zastąpienie własnej dokumentacji dokumentacją przygotowaną przez firmę hostingową. Firma hostingowa nie staje się administratorem danych nawet w przypadku gdy powierzono jej przetwarzanie danych osobowych  w drodze umowy, o której mowa w art. 31 ust. 1 u.o.d.o.

W celu prawidłowej realizacji obowiązków ustawowych administrator powinien wybrać dostawcę usług internetowych, który oferuje środki zabezpieczenia wskazane w ustawie o ochronie danych osobowych oraz rozporządzeniu. Umowa pomiędzy administratorem danych a firmą hostingową powinna określać stosowane przez firmę hostingową zabezpieczenia przetwarzania danych, które to dane mogą posłużyć przy przygotowywaniu wymaganej przez przepisy dokumentacji oraz przy zgłaszaniu zbioru do Generalnego Inspektora Ochrony Danych Osobowych.

Jak rozliczać sprzedaż za pomocą kuponów internetowych

Administrator bezpieczeństwa informacji

REKLAMA

W ustawie o ochronie danych osobowych, w brzmieniu od 1 stycznia 2015 r., przewidziane zostały dwa sposoby sprawowania nadzoru nad przestrzeganiem zasad ochrony danych osobowych: poprzez wyznaczenie administratora bezpieczeństwa informacji oraz poprzez samodzielne wykonywanie przez administratora danych czynności nadzorczych.

Powołanie administratora bezpieczeństwa informacji będzie wiązać się z przejęciem przez niego części obowiązków dotyczących aktualizowania omawianej dokumentacji oraz nadzorowania przestrzegania zasad w niej określonych. Obecność administratora bezpieczeństwa informacji wpłynie w szczególności na charakter środków organizacyjnych stosowanych w celu ochrony danych osobowych -  do obowiązków administratora bezpieczeństwa informacji może należeć  kontrola zabezpieczeń, nadawanie upoważnień oraz podejmowanie działań w przypadku naruszeń ochrony danych osobowych.

Autor: Krzysztof Smach, Kancelaria GACH, HULIST, MIZIŃSKA, WAWER – adwokaci i radcowie prawni sp.p.

(www.ghmw.pl)

Podyskutuj o tym na naszym FORUM

Zapisz się na newsletter
Chcesz uniknąć błędów? Być na czasie z najnowszymi zmianami w podatkach? Zapisz się na nasz newsletter i otrzymuj rzetelne informacje prosto na swoją skrzynkę.
Zaznacz wymagane zgody
loading
Zapisując się na newsletter wyrażasz zgodę na otrzymywanie treści reklam również podmiotów trzecich
Administratorem danych osobowych jest INFOR PL S.A. Dane są przetwarzane w celu wysyłki newslettera. Po więcej informacji kliknij tutaj.
success

Potwierdź zapis

Sprawdź maila, żeby potwierdzić swój zapis na newsletter. Jeśli nie widzisz wiadomości, sprawdź folder SPAM w swojej skrzynce.

failure

Coś poszło nie tak

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:
Autopromocja

REKLAMA

QR Code

REKLAMA

Księgowość
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
Webinar: Przekształcenie JDG klienta w spółkę w praktyce biura rachunkowego + certyfikat gwarantowany

Praktyczny webinar „Przekształcenie JDG klienta w spółkę w praktyce biura rachunkowego” poprowadzi Tomasz Rzepa, doradca podatkowy, ekspert INFORAKADEMII. Każdy z uczestników otrzyma imienny certyfikat i roczny nielimitowany dostęp do retransmisji webinaru wraz z materiałami dodatkowymi. Uczestnicy webinaru dowiedzą się, jak wygląda proces przekształcenia JDG w spółkę z perspektywy biura rachunkowego, ze wskazaniem kluczowych wyzwań, problemów oraz szans, jakie z tego faktu wynikają.

Zatrudnianie cudzoziemców - zmiany od 1 czerwca 2025 r. Dodatkowe przesłanki odmowy wydania zezwolenia, rejestr umów o pracę, legalność pobytu obywateli Ukrainy, cyfrowe wnioski i wyższe kary

Nowe przepisy dotyczące zasad zatrudniania cudzoziemców w Polsce zaczną obowiązywać od 1 czerwca 2025 roku. Regulacje określają warunki, na jakich możliwe będzie legalne powierzenie pracy obcokrajowcom. Sprawdzamy, czy nowe przepisy wprowadzają ułatwienia i w jaki sposób zmieniają procedurę zatrudniania cudzoziemców.

Kary umowne a koszty podatkowe – korzystny wyrok dla podatników

W wyroku z 6 maja 2025 r., sygn. II FSK 1012/22 Naczelny Sąd Administracyjny zgodził się z stanowiskiem, że kary umowne mogą być zaliczane do kosztów uzyskania przychodu, jeżeli niewykonanie dostawy - nie wynikało z winy spółki. Niepewność w tej sprawie wynikała z wykładni art. 16 ust 1 pkt 22 ustawy o CIT, w którym określono jakie kary umowne i odszkodowania nie mogą być uznane za koszty podatkowe. W orzecznictwie przepis ten jest interpretowany literalnie, uznając że pozostałe rodzaje wypłat odszkodowawczych niż wskazane w przepisie mogą być uznane za koszt podatkowy.

Czy zawód księgowego powinien być certyfikowany? Ministerstwo Finansów analizuje możliwe zmiany

Od 2014 roku w Polsce nie można już uzyskać certyfikatu księgowego wydanego przez Ministra Finansów. W wyniku przeprowadzonej wówczas deregulacji zawód księgowego został formalnie otwarty – obecnie nie wymaga żadnych licencji ani zezwoleń państwowych. Choć miało to na celu ułatwienie dostępu do zawodu, skutki tej zmiany do dziś budzą mieszane opinie w branży. Temat ten nie jest również obojętny dla Ministerstwa Finansów.

REKLAMA

Kto i kiedy może ponieść odpowiedzialność karną za niezłożenie wniosku o upadłość spółki handlowej (np. sp. z o.o.)

Złożenie wniosku o ogłoszenie upadłości spółki handlowej to obowiązek, który spoczywa na barkach między innymi członków zarządu i likwidatorów. Niezgłoszenie wniosku o ogłoszenie upadłości spółki pomimo powstania warunków uzasadniających upadłość spółki jest przestępstwem, które zostało uregulowane nie w Kodeksie karnym, a w Kodeksie spółek handlowych.

Komunikat ZUS: 2 czerwca 2025 r. upływa ważny termin dla przedsiębiorców. Zwrot nadpłaconej składki zdrowotnej tylko po złożeniu wniosku

Zakład Ubezpieczeń Społecznych przypomina przedsiębiorcom, że do 2 czerwca 2025 r. należy zweryfikować i odesłać przez PUE/eZUS wniosek o zwrot nadpłaconej składki zdrowotnej.

ZUS odbiera zasiłki chorobowe za błędy dotyczące składek sprzed 2022 roku – Rzecznik MŚP interweniuje

Do Rzecznika Małych i Średnich Przedsiębiorców wpływa coraz więcej dramatycznych spraw dotyczących decyzji Zakładu Ubezpieczeń Społecznych, w których organ odmawia wypłaty świadczeń zasiłkowych, wskazując, że przedsiębiorcy nie podlegają ubezpieczeniu chorobowemu za okres sprzed 2022 roku.

Podatnik zapłacił zaległy podatek ale nie zatrzymało to egzekucji. Urząd skarbowy wykorzystał pomyłkę w przelewie. Winą obarczył podatnika i automatyzację systemu

Absurdów podatkowych nie brakuje. Dla przykładu można podać historię przedsiębiorcy, który nie uregulował w terminie podatku, za co otrzymał upomnienie z urzędu skarbowego. Dokonując wpłaty, popełnił niezamierzony błąd, który spowodował kolejne konsekwencje. W efekcie na jego koncie jednocześnie wystąpiła niedopłata i nadpłata podatku. Ministerstwo Finansów, komentując ww. sprawę, wskazuje obowiązujące przepisy, zaś eksperci przekonują, że urzędnicy mogli zachować się inaczej. Resort zaznacza, że proces obsługi wpłat podatników jest zautomatyzowany, a w opisywanej sytuacji nie można mówić o błędzie systemowym. Wśród znawców tematu nie brakuje opinii, że zbyt sztywne przepisy i procedury podatkowe mogą właściwie stanowić pułapkę dla przedsiębiorców.

REKLAMA

PKWiU 2025 - nowa klasyfikacja statystyczna wyrobów i usług jeszcze w 2025 roku

W wykazie prac legislacyjnych rządu opublikowano niedawno Projekt rozporządzenia Rady Ministrów w sprawie Polskiej Klasyfikacji Wyrobów i Usług (PKWiU). Nowa PKWiU 2025 zastąpi obecnie obowiązującą PKWiU 2015. Od kiedy?

Bezpłatny webinar: Rozliczanie branży budowlanej i deweloperskiej. Jak uniknąć najczęstszych błędów?

Branża budowlana i deweloperska to sektory, w których każdy szczegół w rozliczeniach finansowych ma znaczenie, a konsekwencje popełnianych błędów mogą być daleko idące. Zarówno w księgach rachunkowych, jak i w rozliczeniach podatkowych precyzyjna klasyfikacja realizowanych prac jest kluczowa.

REKLAMA