Przetwarzanie danych klienta w przypadku zwrotu towarów

Wprawdzie prawo do odstąpienia od umowy sprzedaży (czyli zwrotu towaru) musi być zrealizowane jedynie w przypadku sprzedaży na odległość, to jednak także wiele sklepów stacjonarnych pozwala na skorzystanie z takiego przywileju. Jakie dane osobowe klienta można przetwarzać na potrzeby realizacji tego uprawnienia?

Najpierw zrealizuj obowiązek informacyjny

Jeżeli sprzedaż odbywa się na podstawie umowy niepisemnej, a sprzedawca wydaje anonimowemu klientowi jedynie paragon – wówczas nie dochodzi do przetwarzania danych osobowych. Ich przetwarzanie rozpoczyna się w momencie, gdy będący administratorem danych osobowych sprzedawca chce pozyskać informacje identyfikujące daną osobę fizyczną (np. imię, nazwisko i adres nabywcy).

Dlatego też, w pierwszej kolejności, ADO musi spełnić wobec osoby, od której pozyskuje dane, obowiązek informacyjny opisany w art. 13 RODO. Klauzula informacyjna powinna zawierać elementy wskazane w tym przepisie i może zostać przedstawiona klientowi np. w formie wydrukowanego dokumentu, na którym klient złoży podpis pod oświadczeniem, że zapoznał się z jej treścią. Jednym z obowiązkowych elementów tej klauzuli jest obowiązek podania osobie, której dane dotyczą, celów przetwarzania danych osobowych oraz podstawy prawnej przetwarzania. Przy tym punkcie ADO powinien rozważyć, jaką podstawę prawną przetwarzania danych posiada.

Do wyboru 3 podstawy przetwarzania danych

Biorąc pod uwagę obowiązek ewidencjonowania zwrotów towarów, a także konieczność wykazania, że sprzedawca wywiązuje się z umowy z klientem (np. w zakresie zasad zwracania towaru), sprzedawca może wskazać takie podstawy zbierania danych od klienta jak:

1) wykonanie umowy, której stroną jest osoba, której dane dotyczą (art. 6 ust. 1 lit. b RODO) – w tym wypadku chodzi o wykonanie umowy sprzedaży w zgodzie z przepisami prawa oraz zapisami regulaminu sklepu;

2) konieczność wypełnienia obowiązku prawnego ciążącego na ADO (art. 6 ust. 1 lit. c RODO) – w tym wypadku można rozważyć podanie przepisu, który zobowiązuje ADO do zbierania danych osobowych – przykładowo, można się powołać na:

• art. 111 ust. 1 ustawy z 11 marca 2004 r. o podatku od towarów i usług (, który zobowiązuje do prowadzenia ewidencji kwot należnego podatku oraz
• wydanych na podstawie tej ustawy przepisów rozporządzenia Ministra Finansów z 14 marca 2013 r. w sprawie kas rejestrujących, np. §  3 ust. 4 pkt 7, zgodnie z którym przy zwrocie towaru należy posiadać protokół przyjęcia zwrotu towaru lub reklamacji towaru lub usługi podpisany przez sprzedawcę i nabywcę (a zatem taki nabywca powinien być możliwy do zidentyfikowania);

3) realizacja prawnie usprawiedliwionego celu ADO, jakim jest: wykazanie organom publicznym, że ADO prowadzi działalność zgodnie z przepisami podatkowymi oraz ewentualne dochodzenie od nabywcy roszczeń cywilnoprawnych i obrona przed takimi roszczeniami (art. 6 ust. 1 lit. f RODO).

Zakres danych

Jeżeli natomiast chodzi o zakres pozyskiwanych danych, uzyskanie imienia, nazwiska oraz adresu zamieszkania jest uzasadnione z uwagi na fakt, że są to co do zasady minimalne a zarazem wystarczające informacje służące do zidentyfikowania konkretnego klienta.

Przeczytaj też: IOD dla sklepu internetowego – obowiązkowy czy fakultatywny?

Podstawa prawna

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE.L nr 119, str. 1) – art. 6, art. 13.

Maciej Lipka
ekspert portalu PoradyODO.pl