Wprawdzie prawo do odstąpienia od umowy sprzedaży (czyli zwrotu towaru) musi być zrealizowane jedynie w przypadku sprzedaży na odległość, to jednak także wiele sklepów stacjonarnych pozwala na skorzystanie z takiego przywileju. Jakie dane osobowe klienta można przetwarzać na potrzeby realizacji tego uprawnienia?
Jeżeli sprzedaż odbywa się na podstawie umowy niepisemnej, a sprzedawca wydaje anonimowemu klientowi jedynie paragon – wówczas nie dochodzi do przetwarzania danych osobowych. Ich przetwarzanie rozpoczyna się w momencie, gdy będący administratorem danych osobowych sprzedawca chce pozyskać informacje identyfikujące daną osobę fizyczną (np. imię, nazwisko i adres nabywcy).
Dlatego też, w pierwszej kolejności, ADO musi spełnić wobec osoby, od której pozyskuje dane, obowiązek informacyjny opisany w art. 13 RODO. Klauzula informacyjna powinna zawierać elementy wskazane w tym przepisie i może zostać przedstawiona klientowi np. w formie wydrukowanego dokumentu, na którym klient złoży podpis pod oświadczeniem, że zapoznał się z jej treścią. Jednym z obowiązkowych elementów tej klauzuli jest obowiązek podania osobie, której dane dotyczą, celów przetwarzania danych osobowych oraz podstawy prawnej przetwarzania. Przy tym punkcie ADO powinien rozważyć, jaką podstawę prawną przetwarzania danych posiada.
Biorąc pod uwagę obowiązek ewidencjonowania zwrotów towarów, a także konieczność wykazania, że sprzedawca wywiązuje się z umowy z klientem (np. w zakresie zasad zwracania towaru), sprzedawca może wskazać takie podstawy zbierania danych od klienta jak:
1) wykonanie umowy, której stroną jest osoba, której dane dotyczą (art. 6 ust. 1 lit. b RODO) – w tym wypadku chodzi o wykonanie umowy sprzedaży w zgodzie z przepisami prawa oraz zapisami regulaminu sklepu;
2) konieczność wypełnienia obowiązku prawnego ciążącego na ADO (art. 6 ust. 1 lit. c RODO) – w tym wypadku można rozważyć podanie przepisu, który zobowiązuje ADO do zbierania danych osobowych – przykładowo, można się powołać na:
3) realizacja prawnie usprawiedliwionego celu ADO, jakim jest: wykazanie organom publicznym, że ADO prowadzi działalność zgodnie z przepisami podatkowymi oraz ewentualne dochodzenie od nabywcy roszczeń cywilnoprawnych i obrona przed takimi roszczeniami (art. 6 ust. 1 lit. f RODO).
Jeżeli natomiast chodzi o zakres pozyskiwanych danych, uzyskanie imienia, nazwiska oraz adresu zamieszkania jest uzasadnione z uwagi na fakt, że są to co do zasady minimalne a zarazem wystarczające informacje służące do zidentyfikowania konkretnego klienta.
Maciej Lipka
ekspert portalu PoradyODO.pl
Dodaj komentarz