Po dokončení objednávky si většina zákazníků myslí, že tím celý proces končí. Opak je pravdou. E-shop v tu chvíli vstupuje do fáze, kdy s vašimi osobními údaji musí nakládat podle přesně stanovených pravidel. Nejde jen o to, aby zásilka dorazila na správnou adresu. Provozovatel se stává správcem osobních údajů a jeho povinnosti se řídí nařízením GDPR i českým zákonem o zpracování osobních údajů. Pokud si chcete ověřit, jaká práva vám v této situaci náleží, pomůže vám přehledný průvodce ochranou osobních údajů při nákupu, který shrnuje i praktické kroky, jež může zákazník podniknout.

Prvním krokem po odeslání objednávky je omezení účelu zpracování. E-shop smí vaše jméno, adresu, e-mail a telefon použít především k vyřízení objednávky, vystavení dokladu a doručení zboží. Jakmile je transakce uzavřená a reklamační lhůta uplynula, nemá právo tyto údaje dál používat pro marketingové účely, pokud jste k tomu nedali výslovný souhlas. Souhlas musí být oddělený od obchodních podmínek a musí být kdykoli odvolatelný. Mnoho e-shopů přesto zaškrtává předvolené souhlasy, což je v rozporu s legislativou.

Druhou povinností je stanovení doby uložení. Údaje o objednávce se nesmí uchovávat věčně. Účetní doklady podléhají archivační lhůtě pět let, ale třeba údaje o platební kartě se nesmí ukládat vůbec, pokud k tomu nedá zákazník výslovný pokyn a pokud je to nutné pro budoucí platby. Po uplynutí zákonné lhůty musí e-shop data nevratně vymazat nebo anonymizovat. Pokud je předává třetí straně, například přepravci nebo platební bráně, musí s ní mít uzavřenou smlouvu o zpracování a zajistit, aby data nebyla použita k jinému účelu.

Zákazník má také právo na přístup, opravu a výmaz. Může požádat o kopii všech údajů, které o něm e-shop vede, a provozovatel mu je musí vydat nejpozději do jednoho měsíce. Stejně tak může požadovat výmaz, pokud už data nejsou potřebná pro původní účel. E-shop nesmí na takovou žádost reagovat mlčením ani ji zpoplatnit. Pokud narazíte na obchod, který vaše práva ignoruje, obraťte se na Úřad pro ochranu osobních údajů. Ten může uložit pokutu až do výše několika milionů korun.