Klient znajduje produkt, dodaje go do koszyka i przechodzi do płatności. Dopiero wtedy dowiaduje się, że aby sfinalizować zakup, musi utworzyć konto i ustawić hasło.
Konto ułatwia sklepowi obsługę zamówień i kolejnych zakupów. Z perspektywy ochrony danych liczy się jednak to, czy trwały profil klienta jest rzeczywiście potrzebny do sprzedaży konkretnego produktu.
Zdaniem Europejskiej Rady Ochrony Danych najczęściej nie. W swoich rekomendacjach EROD wskazuje, że obowiązkowe konto powinno być wyjątkiem, a przy typowym, jednorazowym zakupie klient powinien mieć możliwość skorzystania z trybu gościa.
Konto to więcej niż dane do zamówienia
Zakup jako gość pozwala zebrać dane niezbędne do konkretnej transakcji. Konto może natomiast przechowywać historię zakupów, zapisane adresy, informacje o zwrotach, preferencje oraz dane dotyczące aktywności klienta podczas kolejnych wizyt.
Oznacza to szersze i dłuższe przetwarzanie danych niż jednorazowy zakup. Nieaktywne profile zwiększają przy tym ryzyko nieuprawnionego dostępu i utrudniają przestrzeganie zasady ograniczenia przechowywania. Zakup produktu nie powinien więc automatycznie oznaczać utworzenia konta.
EROD zwraca również uwagę, że środowisko wymagające logowania ułatwia łączenie kolejnych wizyt, zakupów i zachowań użytkownika. Dane kontaktowe mogą stać się trwałym identyfikatorem pozwalającym tworzyć profil zakupowy klienta. Takie działania nie są automatycznie objęte podstawą prawną dotyczącą realizacji zamówienia i mogą wymagać odrębnej podstawy prawnej.
Wygoda sklepu nie oznacza niezbędności
Samo prowadzenie konta nie jest celem przetwarzania danych. Jest rozwiązaniem technicznym, które może służyć m.in. udostępnianiu historii zamówień, zarządzaniu subskrypcją, prowadzeniu programu lojalnościowego albo personalizacji oferty.
Dla każdej z tych funkcji sklep powinien określić cel, podstawę prawną, zakres danych i okres ich przechowywania, a także sprawdzić, czy nie istnieje mniej ingerujące rozwiązanie.
Samo wpisanie obowiązku rejestracji do regulaminu nie wystarczy. Powołując się na art. 6 ust. 1 lit. b RODO, sklep musi wykazać, że bez konta nie da się wykonać umowy.
Które argumenty zwykle nie wystarczą?
EROD wskazuje, że większość funkcji przypisywanych kontu można zapewnić w mniej ingerujący sposób. Śledzenie przesyłki, zmiana zamówienia, zwrot czy reklamacja mogą być obsługiwane za pomocą wiadomości e-mail, jednorazowego linku albo numeru zamówienia. Konto może te procesy ułatwiać, ale zazwyczaj nie jest do nich konieczne.
Także zapamiętanie adresu, ułatwienie kolejnych zakupów czy budowanie lojalności nie uzasadniają automatycznie obowiązkowej rejestracji. Klient może nie planować powrotu do sklepu, a konto i program lojalnościowy powinny co do zasady pozostać dobrowolne.
Zapobieganie oszustwom może stanowić prawnie uzasadniony interes, ale nie daje automatycznie prawa do wymagania konta. Przy pierwszym zakupie sklep nie ma jeszcze historii użytkownika, a samo konto może zostać przejęte. Przedsiębiorca powinien wykazać, że rejestracja rzeczywiście ogranicza konkretne ryzyko i że nie wystarczą mniej ingerujące środki, np. CAPTCHA albo dodatkowa weryfikacja nietypowych zamówień.
Wspólny wniosek jest prosty: przydatność konta nie oznacza jeszcze jego niezbędności.
Kiedy obowiązkowe konto może być uzasadnione?
EROD nie wyklucza obowiązkowej rejestracji całkowicie. Może być ona dopuszczalna, gdy konto jest integralnym elementem usługi, a nie tylko dodatkiem do sprzedaży.
Dotyczy to przede wszystkim usług wymagających regularnego uwierzytelniania, np. dostępu do płatnej platformy, treści cyfrowych albo subskrypcji, w ramach której klient zarządza płatnościami, dostawami lub zakresem usługi.
Nie każda cykliczna dostawa automatycznie uzasadnia jednak obowiązkowe konto. Jeżeli wszystkie potrzebne czynności można wykonać za pomocą bezpiecznego linku przesłanego e-mailem, sklep nadal powinien ocenić, czy trwały profil jest rzeczywiście konieczny.
Konto może być także potrzebne, gdy oferta jest rzeczywiście ograniczona do zweryfikowanej grupy, np. członków organizacji lub przedstawicieli określonego zawodu. Nie dotyczy to jednak „klubu”, do którego może dołączyć każdy po podaniu adresu e-mail, ani zwykłego rabatu za rejestrację.
Tryb gościa musi być realny
Zdaniem EROD wybór pomiędzy kontem a zakupem jako gość najlepiej realizuje zasady przejrzystości, minimalizacji danych oraz ochrony danych w fazie projektowania i domyślnej ochrony danych.
Tryb gościa powinien być jednak realną alternatywą: widoczną, prostą i pozbawioną dodatkowych przeszkód. Nie powinien być ukryty pod mniej widocznym przyciskiem ani wymagać przechodzenia przez dodatkowe etapy.
Sklep nie powinien również tworzyć konta automatycznie w tle, a następnie jedynie prosić klienta o ustawienie hasła. Decyzja o utworzeniu profilu powinna wynikać z wyraźnego działania użytkownika.
Szczególnej ostrożności wymaga żądanie rejestracji dopiero po uzupełnieniu koszyka. Klient jest już zaangażowany w proces i może zaakceptować dodatkowe warunki tylko po to, aby nie rozpoczynać zakupów od nowa. EROD wskazuje, że taki moment sprzyja pozyskiwaniu danych wykraczających poza potrzeby zamówienia.
Co powinien sprawdzić sklep?
Warto przejść całą ścieżkę zakupową jako niezalogowany klient i zweryfikować:
- czy jednorazowy zakup jest możliwy bez konta,
- czy profil nie powstaje automatycznie,
- czy funkcje konta są oddzielone od realizacji zamówienia i marketingu,
- czy zwrot i reklamacja są możliwe bez logowania,
- po jakim czasie nieaktywne konta są usuwane lub anonimizowane.
Dopiero po ocenie rzeczywistego procesu należy dostosować regulamin, politykę prywatności i komunikaty wyświetlane klientowi. Prawidłowy zapis w dokumentacji nie usunie ryzyka, jeżeli system w praktyce blokuje zakup bez rejestracji.
Podsumowanie
EROD nie zakazuje prowadzenia kont klientów, ale kwestionuje traktowanie ich jako obowiązkowego elementu każdej sprzedaży internetowej. Przy jednorazowym zakupie konto zazwyczaj nie będzie niezbędne, nawet jeśli ułatwia obsługę zamówienia, zwrotów czy kolejnych transakcji. Obowiązkowa rejestracja może być uzasadniona przede wszystkim wtedy, gdy konto jest konieczne do korzystania z długoterminowej usługi lub dostępu do rzeczywiście zamkniętej grupy. W pozostałych przypadkach klient powinien móc wybrać zakup jako gość. Najważniejsze jest rozdzielenie trzech decyzji: zakupu produktu, utworzenia konta i zgody na dodatkowe wykorzystanie danych.
