Posted by on 15 Apr 2011 in Pareri personale, Legislatie, Drept & Internet, Viata privata, Comert electronic

Comertul electronic si datele personale

<--- Articol publicat si pe Blogul Galelor Premiilor E-commerce 2011—>

Unul din criteriile de preselectie (si de a obtine certificarea TRUSTED) la Gala Premiilor eCommerce 2011 este inregistrarea la ANSPDCP. Cum am avut discutii si cu Andrei de ce e necesara aceasta, am preferat sa explicitez un pic subiectul (care este valabil, in anumite limite, si pentru ale site-uri, nu doar pentru magazinele online).

Premisa: Magazinele online colecteaza date cu caracter personal
N-ai cum altfel. Ca sa preiei comanda, sa o livrezi si sa o facturezi in mod legal, trebuie sa colectezi datele persoanei. Multe dintre magazine le folosesc, insa, si in scop de marketing, profilare etc.

Si, ca sa fim clari de la inceput, nu e nimic gresit in asta. Este absolut normal, atata vreme cat respecti conditiile impuse de lege – e vorba, in principal, de legea 677/2001.

Ok, si ce zice legea?
(aici simplific foarte mult lucrurile, va rog cititi legea pentru o analiza detaliata a prelucrarii voastre a datelor personale sau consultati un avocat)

Legea te pune sa te intrebi de ce le colectezi (scopul – in cazul nostru poate fi: facturare, livrare, marketing) si daca datele colectate pentru acest scop sunt adecvate, pertinente si neexcesive.

Am nevoie de adresa ca sa trimit produsul ? Sigur ca am.
Am nevoie de etnia persoanei ca sa-l trimit? Evident ca nu am. Etc.

Bine, am inteles asta, atunci ce trebuie sa mai fac? Pai:

sa obtin consimtamantul persoanei vizate (Ok, il pun sa bifeze o chestie cind isi face contul)
sa-l informez cine sunt, de ce ii colectez datele, ce date colectez si ce drepturi are – si sa le si respect (Da, parca am un Privacy Policy pe site)
sa-i dau posibilitatea sa le corecteze (Perfect, il invat sa se logheze in contul sau)
sa sterg datele cind nu mai sunt necesare (Bine, fac o procedura prin care daca nu mai revine pe site in xy luni, sa se stearga automat)
sa ii dau posibilitatea sa ceara stergerea datelor (Ok, avem o adresa de email dedicata)
sa respect niste norme minime de securitate pentru pastrarea lor ( Pai da, am auzit si eu de Wikileaks, avem parole bune, le schimbam la odata la 3 luni etc.) – aici vedeti Ordinul 52/2002.

Bine, si inregistrarea de ce trebuie ?

Pe linga faptul ca este gratuita si se poate face online, este si o oblgatie legala.

Dar noi am pus-o doar pe aceasta ca o conditie obligatorie, pentru ca trecerea prin acel formular te pune sa citesti legea si sa te gindesti ce date personale colectezi si ce faci cu ele. Si, in mod normal, sa respecti cele de mai sus.

Din experienta jurizarii in anii trecuti, conditiile mentionate mai sus nu ar fi indeplinite decit de putine magazine. Iar scopul nostru este unul predominant de educare si nu de impunere a unor criterii. Asta inseamna si ca unele din cele de mai sus ar putea sa devina criterii obligatorii in viitor (au fost criterii de diferentiere in jurizare la editiile precedente GPeC).

Doua mentiuni finale

1. Daca faceti analiza mentionata mai sus, intrebati-va daca chiar este absolut necesar sa-i ceri fiecarui utilizator sa isi faca un cont ca sa comande de la voi. Eu am atatea conturi deschise si sunt siderat de numarul de date personale cerute, astfel incit cind gasesc unul care sa NU imi ceara sa fac cont pentru (UNA BUCATA) comanda, ma face sa-l plac mai mult si sa comand de acolo (d-aia prefer booking.com, de exemplu)

2. Notificarea la autoritate nu este necesara in toate cazurile de procesare a datelor personale. Decizia 100/2007 a Autoritatii detalieaza aceste cazuri. Aceasta exceptie, insa, nu va exonereaza de respectarea celorlalte obligatii.

Daca un magazin ar folosi datele doar pentru facturare si livrare, ar putea intra in exceptia prevazuta la art 1 lit a. Doar ca magazinele stocheaza datele in cont si, dupa incheierea comenzii, folosesc datele cel putin si pentru marketing, profilare etc. si – poate cel mai important – colecteaza date personale si inainte sa iti faci un cont (Adresa de email, IP si/sau cookie).

Deci, IMHO, oricum nu scapati. :)

This entry was posted by Bogdan and filed under Pareri personale, Legislatie, Drept & Internet, Viata privata, Comert electronic. Tags: anspdcp, comert electronic, dataprotection_ro, date personale, interpretarea legislatiei, privacy.

9 comments

User ratings

5 star:		(4)
4 star:		(0)
3 star:		(0)
2 star:		(0)
1 star:		(0)

4 ratings

Average user rating:
(5.0)

Comment from: dt

Eu am incercat acum 2 ani sa “ma inregistrez". Am trimis formularul completat iar raspunsul primit a fost ca nu e necesara aceasta inregistrare atat timp cat scopul colectarii este acela de a emite facturi si a incheia contracte.

Comment from: bogdan

Pai d-aia am mentionat la final decizia 100/2007. Doar ca tu, dt, nu cred ca esti un magazin online. :-)

Comment from: Adi

unele magazine insa sunt dezastru total in gestionarea datelor personale, un astfel de caz este Torent Computers (torent.ro / e-tc.ro), care desi functioneaza ca magazin online de aproape ZECE ANI inca transmite in clar (fara criptare) CNP-ul si il foloseste pentru diverse chestii aiurea.
Le-am sesizat problema asta de mult timp, dar ei inca refuza cu incapatanare sa foloseasca tls/ssl (https) pe site-ul lor. Daca incerc sa activezi https manual in bara de adrese primesc un mesaj de connection refused de toata frumusetea.

Tot in cazul Torent, ei folosesc CNP-ul si pe post de user id in bannerele de afiliere pe care le genereaza pentru useri, cu intentia de a-i indemna pe acestia sa posteze bannerele respective pe site-urile lor.
Cine are curajul sa incerce sa afiseze bannere de afiliere de la ei constata ca isi publica de fapt si CNP-ul in codul sursa al banner-ului respectiv.

Din aceste doua motive (lipsa TOTALA de criptare si folosirea CNP-ului pe post de identificator pentru affiliate tracking) eu refuz sa le dau datele personale complete chiar si pentru facturare.

In contul meu de la ei, ca adresa in sistem este trecut sediul lor principal din CT (prefer sa ridic comenzile direct de la sediul lor, nu stau prea departe) iar ca serie CI si nr. CNP sunt trecute niste numere fictive (m-am asigurat ca sunt numere imposibil sa fie reale, CNP-ul meu de la ei din sistem indica ca as fi nascut in ianuarie 1900 dar trece de algoritmul folosit pentru validarea CNP-ului :D )

Comment from: Adri

Nici mie nu imi plac site-urile care iti cer sa-ti faci cont daca vrei sa cumperi ceva, desi nu as putea spune ca m-au bombardat cu mail-uri site-urile romanesti unde mi-am creat cont.

Comment from: Silvia Axinescu

Bogdan, as avea un mic comentariu in legatura cu articolul tau (excelent de altfel si scris pe intelesul tuturor) - in anumite situatii, magazinul online nici macar nu trebuie sa obtina consimtamantul persoanei vizate (bifarea in mod corespunzator in cazul deschiderii contului). Astfel, daca magazinul foloseste datele cu caracter personal ale utilizatorului doar pentru scopul de a livra comanda (ar putea fi incluse aici: nume, prenume, adresa, telefon), ar putea intra pe exceptia prevazuta de Art. 5 (alin. 2) din Legea 677/2001:

“Consimţământul persoanei vizate nu este cerut în următoarele cazuri:
a) când prelucrarea este necesară în vederea executării unui contract sau antecontract la care persoana vizată este parte ori în vederea luării unor măsuri, la cererea acesteia, înaintea încheierii unui contract sau antecontract”

Comment from: bogdan

Corect Silvia.

Ca sa complicam insa problema - daca datele sunt pastrate in sistemul informatic dupa executarea contractului (si o perioada rezonabila dupa, sa zicem 30 de zile), nu excede scopul de executare a contractului?

De asemenea, daca se cere CNP (si am vazut ca multe magazine cer astazi, chiar si numai pt a trimite o factura) se cere un “consimntamint expres".

Comment from: Silvia Axinescu

Clar - daca sunt prelucrate o durata mai mare decat necesar pentru executarea contractului (procesarea comenzii si livrarea acesteia) nu s-ar mai intra justifica incadrarea in exceptia de mai sus.
Oricum, unul dintre principiile legata de durata prelucrarii ese ca aceasta va continua doar atata timp cat datele sunt necesare scopurilor pentru care au fost colectate. Practic, daca nu mai sunt necesare pentru indeplinirea scopurilor comunicate la inceput si nici nu e necesara pastrarea lor pt indeplinirea unor obligatii legale, operatorul nu ar mai tb sa le foloseasca. In practica insa …

Comment from: bogdan

Salut, cine ma poate lamurii ii multumesc anticipat: am cumparat un aragaz care probabil era dintr-o greseala subevaluat la 35 RON si aparea pe stoc (de la hipermarket.ro) .Mi-au generat o factura cu care sa fac plata si pe care am si facut-o prin virament a doua zi in contul societatii . Dupa cateva ore am fost sunat si anuntat nu ca a fost o greseala ci ca nu mai au pe stoc produsul respectiv ceea ce chiar m-a determinat sa insist sa primesc produsul.Acum imi apare la statusul comenzii RESPINSA si solicita sa ii contactez.precizez ca am factura generata pe site-ul lor unde apare comanda activa.Ce e de facut? Am vreo sansa sa ii determin sa recunoasca greseala avand in vedere ca emag si-a respectat clientii? Multumesc !

Comment from: Sabina

Am si eu o intrebare referitoare la articolul 23 pct (3):

“Operatorii care nu au fost anunțați în termen de 5 zile de la data notificării despre efectuarea unui control prealabil pot începe prelucrarea.”

Cu alte cuvinte, daca eu am facut notificarea saptamana trecuta si in termen de cinci zile n-am auzit nimic de la ANSPDCP, pot deja sa implementez crearea de conturi de utilizator pe site?

Form is loading...