Sklepy internetowe własnej marki sprzedające do UE

• Regulation (EU) 2016/679 — GDPR, Article 27
• Directive 2002/58/EC — ePrivacy
• Directive 2011/83/EU — Consumer rights
• Directive 2005/29/EC — Unfair commercial practices
• Regulation (EU) 2023/988 — GPSR Article 19 for the listings

Kto musi wyznaczyć

Każdy detalista z siedzibą poza Unią prowadzący własny sklep i sprzedający konsumentom w UE. Powstają dwie odrębne obowiązki: po stronie danych, ponieważ przetwarzasz dane klientów i odwiedzających oraz prawdopodobnie uruchamiasz analizy i piksele reklamowe, oraz po stronie produktu, ponieważ każdy fizyczny przedmiot, który wysyłasz, potrzebuje operatora gospodarczego w UE.

Progi i wyłączenia

Brak progu po obu stronach. Wąskie zwolnienie z Artykułu 27(2) nie obejmuje sklepu z bazą danych klientów, a GPSR ma zastosowanie od pierwszego wysłanego przedmiotu.

Co musi być na etykiecie

Na stronie: tożsamość przedstawiciela i dane kontaktowe w informacji o prywatności, identyfikacja handlowca wymagana przez prawo konsumenckie, informacje o prawie do odstąpienia od umowy z wzorem formularza, warunki dostawy i płatności, a zgodnie z Artykułem 19 GPSR dane producenta i odpowiedzialnej osoby oraz ostrzeżenia dla każdego produktu przed zakupem.

Pola na platformach

Dostawcy płatności i platformy coraz częściej weryfikują tożsamość handlowca oraz obecność legalnego banera cookie. Organy ochrony konsumentów przeprowadzają skoordynowane kontrole dotyczące praw do odstąpienia od umowy, liczników odliczających i fałszywej niedostępności, a sprawy transgraniczne są ścigane przez sieć CPC.

Dokumentacja do przechowywania

Rekordy z Artykułu 30 wymieniające każdą czynność przetwarzania i każdego procesora, od platformy sklepu po narzędzie e-mailowe i piksele reklamowe. Wyznaczenie z Artykułu 27. Platforma zarządzania zgodą z dziennikami zgód dla każdego użytkownika. Umowy o przetwarzaniu danych z każdym procesorem. Standardowe klauzule umowne i oceny wpływu na transfery dla transferów spoza UE. Dokumentacja techniczna produktu dla samych towarów.

Normy i badania

Nie dotyczy, z wyjątkiem tego, że baner cookie jest skutecznie testowany przez organy regulacyjne: czy tagi nieistotne uruchamiają się przed zgodą, czy odmowa jest tak łatwa jak akceptacja, oraz czy zgoda jest rejestrowana. Zautomatyzowane kontrole są powszechne.

Wymogi językowe

Informacja o prywatności, baner cookie i informacje dla konsumentów w języku każdego rynku, który celujesz. Zlokalizowany sklep z anglojęzyczną warstwą prawną to porażka w zakresie przejrzystości.

Od kiedy obowiązuje

Przedstawiciel przed rozpoczęciem przetwarzania. Zgoda przed uruchomieniem jakiegokolwiek nieistotnego cookie lub piksela, co oznacza przed pierwszym wywołaniem analitycznym, a nie po załadowaniu strony. Informacje o prawie do odstąpienia przed złożeniem zamówienia.

Jak długo przechowywać

Rekordy przetwarzania przez cały okres przetwarzania. Dzienniki zgód tak długo, jak trwa przetwarzanie. Rekordy zamówień i podatków zgodnie z prawem krajowym, zazwyczaj od sześciu do dziesięciu lat, co jest osobnym i dłuższym okresem przechowywania niż dane marketingowe.

Co grozi za brak zgodności

Do 20 milionów € lub 4% obrotu za niezgodne przetwarzanie, 10 milionów € lub 2% za brak przedstawiciela, oddzielne krajowe kary za naruszenia cookie oraz kary za prawo konsumenckie do 4% obrotu zgodnie z zasadami Omnibus za powszechne naruszenia. Niepowodzenia GPSR nie tłumią niczego na twojej stronie, ale przynoszą nakazy wycofania produktów.

Kto egzekwuje

Organy ochrony danych w każdym państwie członkowskim, w którym znajdują się klienci, organy ochrony konsumentów przez sieć CPC oraz organy nadzoru rynku dla produktów.

Gdzie przebiega granica

Prowadzenie własnego sklepu usuwa filtr zgodności rynku, co sprzedawcy często postrzegają jako wolność, a organy jako niekontrolowany kanał. Nikt nie tłumi twojej oferty, więc pierwszym sygnałem jest zazwyczaj skarga lub kontrola, a do tego czasu ekspozycja obejmuje cały okres handlowy.

Najczęstsze pytania

Używamy Shopify — czy to nas obejmuje?

Shopify jest procesorem dla sklepu i administratorem dla własnych celów. Twoje obowiązki jako administratora, w tym przedstawiciela z Artykułu 27, nie są dotknięte przez wybraną platformę.

Czy potrzebujemy zgody na analizy?

Na przechowywanie lub odczytywanie czegokolwiek na urządzeniu użytkownika, co nie jest ściśle konieczne, tak, przed tym działaniem. Obejmuje to analizy i pliki cookie reklamowe oraz większość śledzenia opartego na pikselach.

Czy polityka prywatności w USA jest wystarczająca?

Nie. Musi zawierać dane przedstawiciela UE, podstawy prawne, okresy przechowywania, mechanizm transferu oraz prawa na podstawie Artykułów 15-22, w języku użytkowników.