Než zákazník dokončí objednávku, musí mít jasnou představu o tom, jak obchodník naloží s jeho osobními údaji. Zákon o ochraně osobních údajů i nařízení GDPR ukládají prodávajícímu povinnost poskytnout tyto informace ještě před tím, než kupující odešle závaznou objednávku. Nejde o formalitu, kterou lze odbýt odkazem v patičce webu. Informace musí být snadno dostupné, srozumitelné a musí být uvedeny přímo v procesu nákupu, typicky na stránce s rekapitulací objednávky nebo v jejím bezprostředním okolí.

Základním dokumentem je zásady zpracování osobních údajů, kde e-shop popisuje, jaké kategorie údajů shromažďuje, za jakým účelem, po jakou dobu je uchovává a komu je případně předává. Uvést je třeba i právní základ zpracování, ať už jde o plnění smlouvy, oprávněný zájem nebo souhlas. Zákazník musí vědět, zda jsou údaje předávány do třetích zemí, zda probíhá profilování a jaká má práva – na přístup, opravu, výmaz, omezení zpracování nebo přenositelnost. Praktický přehled k tomu najdete v článku o ochraně osobních údajů při nákupu online, který shrnuje i časté chyby českých e-shopů.

Samotné zveřejnění zásad však nestačí. Zákon vyžaduje, aby byly informace poskytnuty aktivně, nikoli jen pasivně zpřístupněny někde v menu. Před dokončením objednávky by měl e-shop zákazníka výslovně upozornit, že si tyto zásady může přečíst, a ideálně mu je nabídnout k potvrzení. Pokud obchodník využívá marketingové souhlasy, musí být oddělené od souhlasu s obchodními podmínkami a nesmí být předem zaškrtnuté. Zákazník musí mít možnost objednávku dokončit i bez udělení marketingového souhlasu.

Kontrolní orgány se při kontrole zaměřují na to, zda byly informace skutečně k dispozici v okamžiku objednávky, zda byly formulovány jasně a zda nebylo zákazníkovi znemožněno se s nimi seznámit. Pokuta může být vysoká, proto je vhodné mít texty průběžně aktualizované a v souladu s tím, co e-shop skutečně dělá. Zveřejnit nestačí jednou – jakmile se změní dodavatelé, nástroje nebo účely zpracování, musí se změnit i informace pro zákazníka.