W artykule analizujemy, kiedy wymóg rejestracji narusza RODO, dlaczego prawnie uzasadniony interes administratora rzadko przechodzi test konieczności i równowagi oraz dlaczego zakupy bez rejestracji mogą być nie tylko dopuszczalne, ale wręcz modelowym przykładem realizacji zasady privacy by design.
Obowiązkowe konta w e-commerce a RODO
Zakupy online stały się codziennością zarówno dla konsumentów, jak i dla przedsiębiorców. Wraz z rozwojem handlu elektronicznego coraz częściej spotykamy się jednak z praktyką, w której klient musi założyć konto użytkownika jeszcze przed uzyskaniem dostępu do oferty lub dokonaniem zakupu. Dla wielu firm jest to rozwiązanie wygodne organizacyjnie i marketingowo. Jednak z perspektywy ochrony danych osobowych rodzi ono istotne pytania o legalność i proporcjonalność takiego przetwarzania danych.
Administratorzy danych najczęściej uzasadniają obowiązek utworzenia konta potrzebą realizacji sprzedaży, usprawnieniem obsługi zamówień, umożliwieniem korzystania z usług subskrypcyjnych lub zapewnieniem dostępu do ofert specjalnych.
W wielu sytuacjach w handlu e-commerce wymaganie założenia konta nie spełnia warunków legalnego przetwarzania danych osobowych określonych w RODO, w szczególności ze względu na brak podstaw prawnych przetwarzania danych.
W odpowiedzi na powszechność tych praktyk Europejska Rada Ochrony Danych (EROD) opublikowała wytyczne: Recommendations 2/2025 on the legal basis for requiring the creation of user accounts on e-commerce websites Ich celem jest doprecyzowanie, kiedy i na jakich zasadach sprzedawcy internetowi mogą zgodnie z prawem wymagać od klientów utworzenia konta użytkownika.
Na potrzeby zaleceń EROD konto użytkownika jest rozumiane jako osobista przestrzeń internetowa przypisana do konkretnego użytkownika, dostępna po uwierzytelnieniu – najczęściej przy użyciu adresu e-mail i hasła. Wytyczne EROD obejmują zatem szeroki zakres podmiotów działających w e-commerce, w tym sklepy internetowe, platformy handlowe oraz aplikacje mobilne pełniące funkcję pośredników między sprzedawcami a konsumentami.
Artykuł ma na celu przybliżenie najważniejszych założeń wytycznych EROD. W szczególności omawia podstawy prawne przetwarzania danych osobowych w kontekście obowiązkowych kont użytkowników, ryzyka związane z takim rozwiązaniem oraz alternatywy, które pozwalają pogodzić potrzeby biznesowe z wymogami ochrony danych osobowych i prawami klientów.
Ryzyka związane z obowiązkowym korzystaniem z kont przez użytkowników
Zagrożenia dla praw i wolności osób, których dane dotyczą
Wymóg założenia konta w celu uzyskania dostępu do oferty lub dokonania zakupu wiąże się z dodatkowymi ryzykami dla praw i wolności osób, których dane dotyczą. EROD podkreśla, że wprowadzanie takich rozwiązań wymaga szczególnej ostrożności, gdyż może to prowadzić do nadmiernej ingerencji w prywatność klientów.
Wymóg posiadania konta sprzyja tworzeniu środowiska, w którym użytkownik jest identyfikowany przy niemal każdej aktywności, niezależnie od rzeczywistej konieczności. Obejmuje to nie tylko finalizację zakupów, lecz także samo przeglądanie stron. W efekcie dochodzi do gromadzenia szerokiego zakresu danych – zarówno tych przekazywanych bezpośrednio przez użytkownika, jak i tych generowanych lub wywnioskowanych przez administratora na podstawie aktywności użytkownika.
Długotrwałe przechowywanie danych w aktywnych bazach
Prowadzenie kont użytkowników w praktyce wiąże się z przechowywaniem danych osobowych w bazach danych przez okres dłuższy, niż jest to konieczne do realizacji umowy sprzedaży i dostawy towaru. W wielu przypadkach dane te pozostają w systemach administratora przez długie lata, nawet jeśli konto nie jest już używane lub zostało założone jednorazowo.
Jeżeli osoba, której dane dotyczą, nie skorzysta z prawa do usunięcia danych na podstawie art. 17 RODO, dane osobowe są nadal przechowywane – mimo braku rzeczywistej potrzeby ich dalszego przetwarzania. Taka praktyka może być sprzeczna z zasadą ograniczenia przechowywania danych wynikającą z art. 5 ust. 1 lit. e RODO. Dodatkowo dane, które pozostają w aktywnej bazie danych, są bardziej narażone na nieuprawniony dostęp, zwłaszcza w przypadku tzw. kont osieroconych, które nie są regularnie zarządzane ani monitorowane.
Im dłużej dane osobowe są przechowywane w systemach operacyjnych, tym większe jest ryzyko naruszeń bezpieczeństwa – po stronie zarówno właściciela sklepu internetowego, jak i podmiotów przetwarzających dane na jego rzecz. Dane mogą zostać wykorzystane w niewłaściwy sposób, celowo lub nieumyślnie, przez osoby zaangażowane w proces przetwarzania.
Zagrożenia związane z bezpieczeństwem i uwierzytelnianiem
Posiadanie konta przez użytkownika wiąże się również z ryzykiem związanym z cyberbezpieczeństwem. Otrzymanie fałszywych wiadomości zawierających złośliwe linki lub próby wyłudzenia danych może dotyczyć zarówno osób posiadających konto, jak i tych, które dokonują zakupów bez rejestracji. W praktyce jednak użytkownicy, którzy mają konto w danym sklepie, mogą być bardziej skłonni do kliknięcia w zainfekowany link, ponieważ spodziewają się komunikacji od administratora.
Warto zauważyć, że obowiązek tworzenia konta użytkownika nie stanowi skutecznej bariery przed nadużyciami, takimi jak automatyczne zakupy dokonywane przez złośliwe boty wykorzystywane przez spekulantów do masowego wykupu towarów i ich dalszej odsprzedaży po zawyżonych cenach. Jednocześnie przechowywanie danych osobowych w ramach kont zwiększa ryzyko ich nieuprawnionego wykorzystania, w tym kradzieży tożsamości, składania fałszywych zamówień czy prowadzenia kampanii phishingowych.
Dodatkowym problemem jest to, że bezpieczne metody uwierzytelniania, takie jak nowoczesne klucze dostępu, są wciąż rzadko stosowane. Użytkownicy często wykorzystują te same hasła w wielu serwisach, co znacząco zwiększa ryzyko nieuprawnionego dostępu do konta. W przypadku przejęcia jednego konta atakujący mogą uzyskać dostęp do wszystkich danych osobowych zgromadzonych w jego ramach, a nawet do innych powiązanych usług. Funkcje resetowania hasła nie zawsze zapewniają wystarczającą ochronę, zwłaszcza gdy osoba atakująca przejmie dostęp do skrzynki e-mail użytkownika.
Konta użytkowników a profilowanie i marketing
Funkcja IOD.
To się dobrze przekazuje
Dane osobowe podawane przy tworzeniu konta, takie jak imię, nazwisko czy dane kontaktowe, mają charakter trwałych identyfikatorów. W połączeniu z innymi informacjami mogą prowadzić do tworzenia unikalnego „odcisku palca” użytkownika, co umożliwia łączenie różnych kont i analizowanie zachowań związanych z przeglądaniem i zakupami.
Ryzyko pozyskiwania nadmiarowych danych i nieuczciwe praktyki
Proces tworzenia konta bywa momentem, w którym sprzedawcy internetowi nakłaniają klientów do ujawnienia większej ilości danych osobowych, niż jest to konieczne do realizacji zamówienia. Szczególnie problematyczne są sytuacje, w których obowiązek założenia konta pojawia się między zatwierdzeniem koszyka a dokonaniem płatności. W takim momencie użytkownicy mogą być skłaniani do wyrażenia zgody w ostatniej chwili na cele niezwiązane bezpośrednio z realizacją umowy, często w sposób niejasny lub wprowadzający w błąd.
Tego rodzaju praktyki mogą naruszać zasadę rzetelności i przejrzystości przetwarzania danych, a w określonych przypadkach – również przepisy dotyczące podstaw prawnych przetwarzania danych osobowych, w tym art. 6 ust. 1 lit. a RODO. Podobne wątpliwości budzą rozwiązania stosowane po dokonaniu zakupu, takie jak prezentowanie profilu użytkownika jako „niekompletnego” w celu zachęcenia go do podania dodatkowych danych lub do utworzenia konta za pośrednictwem komunikacji e-mailowej.
Podstawy prawne tworzenia konta przez użytkowników
Punkt wyjścia do oceny zgodności przetwarzania danych – art. 6 RODO
W myśl RODO przetwarzanie danych osobowych zwykłych jest zgodne z prawem wtedy, gdy administrator może oprzeć je na jednej z przesłanek wskazanych w art. 6 ust. 1 RODO. W kontekście obowiązkowego tworzenia kont internetowych najczęściej rozważane są trzy podstawy prawne:
- niezbędność przetwarzania do wykonania umowy,
- konieczność wypełnienia obowiązku prawnego,
- prawnie uzasadniony interes administratora.
Niezbędność do wykonania umowy – art. 6 ust. 1 lit. b RODO
Podstawą prawną, na którą administratorzy najczęściej próbują się powoływać przy wymogu tworzenia kont, jest art. 6 ust. 1 lit. b RODO. Przepis ten dopuszcza przetwarzanie danych osobowych, jeżeli jest ono niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą. Kluczowe znaczenie ma tutaj pojęcie niezbędności.
EROD wskazuje, że przetwarzanie nie może być jedynie wygodne lub korzystne dla administratora. Musi być obiektywnie konieczne, aby umowa mogła zostać wykonana.
Administrator powinien być w stanie wykazać, że bez utworzenia konta użytkownika realizacja głównego celu umowy byłaby niemożliwa. Dodatkowo musi ocenić, czy istnieją inne, mniej ingerujące w prywatność sposoby realizacji umowy. Jeżeli takie alternatywy istnieją, powołanie się na art. 6 ust. 1 lit. b RODO nie będzie zasadne.
W kolejnych akapitach omawiamy, kiedy art. 6 ust. 1 lit. b RODO może uzasadniać obowiązek zakładania konta przez użytkownika, a kiedy nie może go uzasadniać.
Jednorazowa sprzedaż a brak konieczności zakładania konta
W przypadku jednorazowej sprzedaży towaru lub usługi EROD jednoznacznie wskazuje, że utworzenie konta użytkownika nie jest niezbędne do wykonania umowy. Dane osobowe potrzebne do realizacji zamówienia, dostawy czy płatności mogą zostać zebrane bez tworzenia stałego profilu klienta. Potwierdzeniem takiego podejścia jest praktyka zakupów w trybie gościa.
W związku z tym administratorzy nie powinni powoływać się na art. 6 ust. 1 lit. b RODO w celu uzasadnienia obowiązku założenia konta przy jednorazowych zakupach. W takich sytuacjach wymóg rejestracji narusza zasadę minimalizacji danych i może zostać uznany za niezgodny z RODO.
Subskrypcje i długotrwałe relacje umowne
Inaczej sytuacja wygląda w przypadku subskrypcji, czyli umów o charakterze długoterminowym, w ramach których klient regularnie otrzymuje towary lub usługi. W takich relacjach konto użytkownika może umożliwiać klientowi dostęp do funkcji niezbędnych do realizacji umowy, takich jak zarządzanie subskrypcją, kontrola płatności czy monitorowanie realizacji usługi.
EROD dopuszcza możliwość oparcia przetwarzania danych na art. 6 ust. 1 lit. b RODO w związku z obowiązkiem utworzenia konta, pod warunkiem że konto jest rzeczywiście niezbędne do korzystania z subskrybowanej usługi. Ważne jest również, aby istniała realna, świadomie zawarta umowa długoterminowa oraz aby klient miał pełną świadomość, że wiąże się ona z relacją o charakterze ciągłym.
Dostęp do ofert specjalnych i społeczności zamkniętych
Obowiązek założenia konta może być uzasadniony także w sytuacjach, w których dostęp do określonych ofert lub usług jest zastrzeżony dla wąskiej, zdefiniowanej grupy klientów. Dotyczy to na przykład programów lojalnościowych, wydarzeń dostępnych wyłącznie dla stałych klientów czy społeczności opartych na określonych kryteriach członkostwa.
Jeżeli rejestracja w takiej społeczności stanowi główny przedmiot umowy, a dostęp do oferty jest realnie ograniczony do osób spełniających określone warunki, utworzenie konta może zostać uznane za niezbędne do wykonania umowy. W przeciwnym razie, gdy oferty specjalne są dostępne dla każdego, kto po prostu założy konto, trudno mówić o rzeczywistej konieczności w rozumieniu art. 6 ust. 1 lit. b RODO.
Zakupy warunkowe a weryfikacja statusu użytkownika
W praktyce spotyka się również sytuacje, w których możliwość zakupu zależy od posiadania określonego statusu, na przykład studenta. W takich przypadkach administratorzy często argumentują, że konto użytkownika jest potrzebne do weryfikacji uprawnień. Aby spełnić wymóg niezbędności, administrator danych musi wykazać, że nie istnieją mniej inwazyjne sposoby przeprowadzania potrzebnych weryfikacji. Przykładowo, zamiast wymagać zakładania konta, mógłby udostępnić bezpieczny formularz online, który pozwalałby zebrać niezbędne dane do weryfikacji statusu użytkownika, dokonania zakupu oraz przesłania odpowiednich dokumentów potwierdzających.
EROD zwraca jednak uwagę, że sama potrzeba jednorazowej weryfikacji statusu nie uzasadnia obowiązku utworzenia konta.
Usługi posprzedażowe i realizacja praw konsumenta
Usługi takie jak zwroty, reklamacje, gwarancje czy realizacja praw wynikających z RODO mogą być świadczone bez konieczności posiadania konta użytkownika. Identyfikacja klienta może odbywać się za pomocą adresu e-mail, numeru telefonu lub numeru zamówienia. EROD wyraźnie podkreśla, że wykonywanie obowiązków prawnych wobec konsumentów nie może być uzależnione od utworzenia konta online.
W związku z tym art. 6 ust. 1 lit. b RODO nie stanowi właściwej podstawy prawnej do wymagania konta w celu obsługi posprzedażowej lub realizacji praw osób, których dane dotyczą.
Obowiązek prawny – art. 6 ust. 1 lit. c RODO
Administratorzy niekiedy próbują uzasadniać obowiązek zakładania konta koniecznością spełnienia obowiązków prawnych. Aby powołać się na art. 6 ust. 1 lit. c RODO, taki obowiązek musi jednak wynikać wprost z przepisów prawa, być jasno określony i przewidywalny dla osób, których dane dotyczą. W praktyce przepisy prawa nie nakładają na sprzedawców internetowych obowiązku tworzenia kont użytkowników.
Zarówno identyfikacja osób realizujących swoje prawa, jak i zapewnienie im dostępu do danych mogą odbywać się bez konta internetowego. Dlatego EROD jednoznacznie wskazuje, że art. 6 ust. 1 lit. c RODO nie może stanowić podstawy do wprowadzania obowiązkowych kont użytkowników.
Prawnie uzasadniony interes administratora – art. 6 ust. 1 lit. f RODO
Kolejną podstawą prawną, na którą administratorzy często próbują się powoływać przy wprowadzaniu obowiązku tworzenia konta przez użytkownika, jest prawnie uzasadniony interes administratora, o którym mowa w art. 6 ust. 1 lit. f RODO. Jak podkreśla EROD, zastosowanie tej podstawy prawnej wymaga jednak spełnienia trzech ściśle określonych warunków:
- administrator realizuje rzeczywisty i zgodny z prawem interes,
- przetwarzanie danych jest konieczne do osiągnięcia tego interesu,
- interesy lub prawa osób, których dane dotyczą, nie mają charakteru nadrzędnego.
W praktyce oznacza to konieczność przeprowadzenia rzetelnej analizy, która uwzględnia zarówno cel przetwarzania, jak i wpływ wymogu utworzenia konta na prywatność klienta.
EROD wskazuje, w jakich celach administratorzy danych próbują uzasadniać obowiązek zakładania konta, powołując się na swój prawnie uzasadniony interes.
Ułatwianie zarządzania zamówieniem
Nie ma głupich pytań RODO.
Są darmowe odpowiedzi
W związku z tym EROD wskazuje, że obowiązkowe konto nie spełnia kryterium konieczności, a interes administratora w tym zakresie nie przeważa nad prawami osób, których dane dotyczą. Tym samym art. 6 ust. 1 lit. f RODO nie stanowi właściwej podstawy prawnej do wprowadzania takiego obowiązku.
Zarządzanie zmianami w zamówieniu po jego złożeniu
Podobnie oceniana jest sytuacja, w której administrator chce umożliwić klientom wprowadzanie zmian w zamówieniu po jego złożeniu, na przykład korektę danych adresowych lub liczby zamówionych produktów. Choć taka funkcjonalność może być wygodna i korzystna dla klienta, nie oznacza to automatycznie, że konto użytkownika jest niezbędne.
Zmiany w zamówieniu można realizować również za pośrednictwem innych kanałów komunikacji, takich jak formularze kontaktowe, poczta elektroniczna czy kontakt telefoniczny z obsługą klienta. Skoro istnieją realne alternatywy, wymóg zakładania konta nie spełnia testu konieczności, a interes administratora nie przeważa nad prawem klienta do minimalizacji przetwarzania danych.
Budowanie lojalności klientów i personalizacja oferty
Sprzedawcy internetowi często tłumaczą konieczność zakładania kont tym, że pomaga to budować lojalność klientów. Konta są wtedy wykorzystywane do personalizacji treści, oferowania rabatów, udziału w programach lojalnościowych czy przesyłania informacji handlowych. EROD podkreśla jednak, że takie działania często wymagają zgody użytkownika i nie mogą opierać się automatycznie na prawnie uzasadnionym interesie administratora.
Klienci nie mogą racjonalnie oczekiwać, że założenie konta będzie warunkiem otrzymywania spersonalizowanych treści. Personalizacja powinna wynikać ze świadomej decyzji użytkownika, a nie być narzucana. Programy lojalnościowe mogą działać również bez obowiązkowego konta, w formie dobrowolnego uczestnictwa.
W konsekwencji EROD wskazuje, że art. 6 ust. 1 lit. f RODO nie stanowi właściwej podstawy do wymagania utworzenia konta wyłącznie w celu budowania lojalności klientów, ponieważ ani test konieczności, ani test równowagi nie są w takich przypadkach spełnione.
Ułatwianie składania kolejnych zamówień
Kolejnym argumentem przywoływanym przez administratorów jest chęć uproszczenia przyszłych zakupów przez zapamiętanie danych klienta w ramach konta użytkownika. Choć taki cel może być uznany za uzasadniony interes administratora, samo jego istnienie nie jest wystarczające do zastosowania art. 6 ust. 1 lit. f RODO.
Przetwarzanie danych osobowych musi być konieczne do realizacji tego interesu, a w praktyce trudno uznać, że obowiązkowe konto jest niezbędne do ułatwienia przyszłych zakupów. Co więcej, osoby dokonujące jednorazowego zakupu nie mogą racjonalnie oczekiwać, że ich dane będą przechowywane dłużej, niż jest to potrzebne do realizacji bieżącej umowy. W takich okolicznościach interesy i prawa klientów mają charakter nadrzędny wobec interesu administratora.
Zapobieganie oszustwom a obowiązkowe konta użytkowników
Często podnosi się argument, że nakładanie obowiązku utworzenia konta użytkownika online jest konieczne, ponieważ umożliwia administratorom wykrywanie oszustw i przeciwdziałanie im. Oszustwa mogą przybierać różne formy – od wykorzystania skradzionych danych uwierzytelniających do składania fałszywych zamówień lub zmiany adresu dostawy, aż po przejęcie tożsamości klienta w celach przestępczych.
Przetwarzanie danych w celu zapobiegania oszustwom mogłoby znaleźć podstawę prawną w art. 6 ust. 1 lit. f RODO. Jednak w praktyce okazuje się, że wymóg zakładania konta nie jest rzeczywiście konieczny ani do wykrywania oszustw, ani do zapobiegania im. Wiele sklepów internetowych działa sprawnie bez obowiązkowej rejestracji, a przy pierwszym zakupie dane o historii transakcji klienta nie są dostępne. Dodatkowo środki mające przeciwdziałać oszustwom bywają zawodne. Zmiana adresu dostawy następuje zwykle tuż przed zamówieniem, użytkownicy korzystają z różnych urządzeń, a aktualizacje przeglądarek i oprogramowania generują różne (wcześniej wspomniane) „odciski palców”, które mogą błędnie sugerować oszustwo.
Nawet gdyby administrator uznał konto za potrzebne do zapobiegania oszustwom, musiałby wykazać, że skala i charakter zagrożeń rzeczywiście uzasadniają tak daleko idącą ingerencję w prywatność użytkowników. Spełnienie testu konieczności i testu równowagi w takich przypadkach jest więc mało prawdopodobne. Dlatego w kontekście zapobiegania oszustwom administratorzy danych nie powinni powoływać się na art. 6 ust. 1 lit. f RODO.
Alternatywa dla obowiązkowych kont użytkowników online – podejście zgodne z RODO
Analiza wytycznych EROD prowadzi do wniosku, że obowiązkowe tworzenie kont użytkowników online może być uzasadnione jedynie w bardzo ograniczonych sytuacjach. Dotyczy to przede wszystkim usług subskrypcyjnych lub dostępu do ofert rzeczywiście zastrzeżonych dla zamkniętej grupy klientów.
W zdecydowanej większości przypadków cele, na które powołują się administratorzy danych, można osiągnąć bez konieczności tworzenia stałych kont użytkowników. Oznacza to, że przetwarzanie danych związane z obowiązkową rejestracją nie jest konieczne, a tym samym nie znajduje oparcia w żadnej z podstaw prawnych przewidzianych w RODO.
Zakupy bez konta jako sposób zachowania kontroli nad danymi
Jednym z kluczowych zaleceń EROD jest zapewnienie użytkownikowi realnego wyboru – czy chce założyć konto użytkownika, czy też woli dokonać zakupu jako gość. W trybie gościa użytkownik nie musi tworzyć loginu ani hasła, a jego dane są przetwarzane wyłącznie w zakresie niezbędnym do realizacji konkretnej transakcji.
Również i w tym przypadku administrator danych ma obowiązek jasno określić cele przetwarzania i wskazać odpowiednie podstawy prawne. Przetwarzanie danych w celu realizacji umowy sprzedaży może opierać się na art. 6 ust. 1 lit. b RODO, natomiast wszelkie dodatkowe cele, takie jak marketing czy personalizacja, co do zasady wymagają odrębnej i dobrowolnej zgody osoby, której dane dotyczą, zgodnie z art. 6 ust. 1 lit. a RODO.
Ochrona danych w fazie projektowania i domyślna ochrona danych
Możliwość dokonania zakupów bez obowiązkowego konta użytkownika wpisuje się bezpośrednio w zasadę ochrony danych w fazie projektowania i domyślnej ochrony danych, o której mowa w art. 25 RODO. Administratorzy powinni projektować swoje systemy sprzedażowe w taki sposób, aby domyślnie przetwarzać jak najmniej danych osobowych i tylko w takim zakresie, jaki jest niezbędny do realizacji celu.
Opcja zakupów jako gość sprzyja realizacji zasady minimalizacji danych, ponieważ eliminuje konieczność przetwarzania danych uwierzytelniających oraz ogranicza ryzyko gromadzenia nadmiarowych informacji o użytkownikach. Co istotne, wielokrotne zakupy w trybie gościa nie naruszają zasady ograniczenia celu, o ile dane są każdorazowo przetwarzane wyłącznie w związku z konkretną transakcją i nie są wykorzystywane do innych celów.
W wielu przypadkach to właśnie tryb gościa najlepiej realizuje zasadę ochrony danych w fazie projektowania oraz domyślnej ochrony danych, o której mowa w art. 25 RODO.
Obowiązkowe konto jako rozwiązanie wyjątkowe, a nie standard
Wytyczne EROD jednoznacznie wskazują, że obowiązek zakładania konta użytkownika online w procesie zakupowym powinien być wyjątkiem, a nie standardem. W większości przypadków cele realizowane przez sprzedawców internetowych można osiągnąć w sposób mniej ingerujący w prywatność – bez konieczności tworzenia konta. Oznacza to, że nie ma odpowiedniej podstawy prawnej do wprowadzenia takiego wymogu na gruncie art. 6 ust. 1 RODO.
EROD podkreśla, że ani wykonanie umowy, ani prawnie uzasadniony interes administratora zazwyczaj nie uzasadniają obowiązkowego zakładania konta. Dodatkowo praktyka ta wiąże się z istotnymi ryzykami dla praw i wolności osób, których dane dotyczą, w szczególności z długim przechowywaniem danych, zwiększonym ryzykiem naruszeń bezpieczeństwa oraz ułatwionym profilowaniem użytkowników.
Najbardziej zgodnym z RODO rozwiązaniem jest zapewnienie klientom realnego wyboru, w tym możliwości dokonania zakupów w trybie gościa. Takie podejście lepiej realizuje zasady minimalizacji danych, przejrzystości oraz ochrony danych w fazie projektowania i domyślnej ochrony danych. Dla sprzedawców internetowych oznacza to konieczność weryfikacji dotychczasowych praktyk i dostosowania ich do wymogów RODO – z korzyścią zarówno dla zgodności prawnej, jak i dla zaufania klientów.
Sprawdź co pamiętasz - za poprawną odpowiedź nagroda!
Zgodnie z wytycznymi EROD, w jakiej sytuacji wymóg założenia konta użytkownika może być uznany za niezbędny do wykonania umowy (art. 6 ust. 1 lit. b RODO)?