Egy webáruház működésében jellemzően több külső szolgáltató is hozzáfér a vásárlók adataihoz: a tárhely-szolgáltató, a számlázó program, a könyvelő, a futárszolgálat és a fizetési szolgáltató. Ezeket az adatvédelmi tájékoztatóban címzettként fel kell sorolni (GDPR 13. cikk (1) e)). Akik a webáruház megbízásából és utasítása szerint dolgoznak, adatfeldolgozók, velük a GDPR 28. cikke szerinti szerződés kell; akik saját célra is kezelik az adatokat (például a bankok), önálló adatkezelők.
Adatfeldolgozó vagy önálló adatkezelő?
A GDPR 4. cikk 8. pontja szerint adatfeldolgozó az, aki az adatkezelő nevében kezel személyes adatot. Ha a szolgáltató maga határozza meg az adatkezelés célját (például jogszabályi kötelezettsége miatt), akkor önálló adatkezelő. A besorolás a tényleges működéstől függ, nem a szerződés címétől.
A tipikus szereplők
| Szolgáltató | Milyen adatot kap | Jellemző szerep |
|---|---|---|
| Tárhely-szolgáltató | a webáruház teljes adatbázisa, szervernaplók | adatfeldolgozó |
| Számlázó program | számlázási név, cím, adószám, e-mail | adatfeldolgozó |
| Könyvelő | a számlák adatai | jellemzően adatfeldolgozó |
| Futárszolgálat, posta | név, szállítási cím, telefonszám, e-mail | szerződéstől és működéstől függően adatfeldolgozó vagy önálló adatkezelő |
| Online fizetési szolgáltató, bank | a fizetéshez szükséges adatok | jellemzően önálló adatkezelő |
| Hírlevélküldő rendszer | név, e-mail, feliratkozás adatai | adatfeldolgozó |
A bankkártyaadatokat a webáruház jó esetben egyáltalán nem látja: a vásárló a fizetési szolgáltató felületén adja meg őket.
Az adatfeldolgozói szerződés
A GDPR 28. cikk (3) bekezdése szerint az adatfeldolgozóval írásbeli szerződés kell, amely rögzíti többek között az adatkezelés tárgyát, időtartamát, a titoktartást, a biztonsági intézkedéseket és a további adatfeldolgozók igénybevételének feltételeit. A nagy szolgáltatók (tárhely, számlázó program, hírlevélküldő) ezt általában az általános szerződési feltételeik részeként, adatfeldolgozási mellékletként biztosítják – ezt érdemes megkeresni és elmenteni.
Mit írjon a tájékoztatóba?
- Minden címzett nevét, székhelyét és elérhetőségét.
- Milyen adatot kap, és milyen tevékenységhez.
- Az adatfeldolgozó vagy önálló adatkezelő szerepet.
- Ha EU-n kívülre kerül adat (például amerikai hírlevélküldő), annak garanciáját.
Jogszabályhelyek: GDPR 4. cikk 7–8. pont, 13. cikk (1) e)–f), 28. cikk.
Ez az útmutató általános tájékoztatás, nem minősül jogi tanácsadásnak. Konkrét esetben az adott weboldal működését kell megvizsgálni.
Ezt is elintézzük Ön helyett
Adatvédelmi tájékoztató webáruházhoz: 29.900 Ft, 3–5 munkanap alatt, 1 év felülvizsgálattal és GDPR KOMPATIBILIS WEBOLDAL jelvénnyel.