Platba kartou online: povinnosti obchodníka pri ukladaní údajov

Pri platbe kartou v online priestore prichádza k výmene dát kupujúceho a obchodníka. Čo všetko o zákazníkovi prezrádza platba kreditnou kartou a čo s údajmi môže a nemôže robiť obchodník?

Nákup cez internet sa stal bežnou súčasťou životov slovenských spotrebiteľov rovnako, ako aj platba kreditnou kartou. Pri platbe kartou v online priestore ale prichádza aj k výmene dát kupujúceho a obchodníka. Čo všetko o zákazníkovi prezrádza platba kreditnou kartou a ako svoje osobné údaje chrániť? Čiastočnú odpoveď priniesol Európsky výbor pre ochranu osobných údajov (EPDB), ktorý nedávno vydal pre obchodníkov odporúčania k ukladaniu platobných údajov z kreditných kariet.

Obchodníci by nemali bez súhlasu ukladať dáta o platbe

Pri platbe kartou získava obchodník dočasne informácie nevyhnutné pre samotnú transakciu, predovšetkým číslo karty, dátum vydania a meno držiteľa. Ide o osobné údaje, ktoré môže bez výslovného súhlasu držiteľa karty obchodník použiť len na vykonanie jednej konkrétnej transakcie. Dôležitosť získaných dát si uvedomuje aj nezávislý európsky orgán EPDB, ktorý v záujme ochrany osobných údajov v krátkom dokumente, zverejnil odporúčania pre obchodníkov k ukladaniu údajov z kreditných kariet. Ak by obchodník chcel pri poskytovaní online tovaru a služieb dáta z kreditnej karty ukladať za účelom uľahčenia ďalších nákupov, môže tak urobiť iba na právnom základe súhlasu držiteľa karty podľa čl. 6 ods. 1 písm. a) GDPR. Tento súhlas musí byť výslovný, slobodný, konkrétny, informovaný a jednoznačný.

„Je veľmi dôležité, aby obchodník vedel pri prípadnej kontrole preukázať, že súhlas bol udelený na základe jasného kladného oznámenia. Obchodník môže od zákazníka získať súhlas napríklad prostredníctvom zaškrtávacieho políčka, ktoré by však nemalo byť vopred zaškrtnuté, pričom získaný súhlas by mal odkazovať na ďalšie, doplňujúce informácie v rámci tzv. privacy policy,“ upozorňuje odborník na ochranu osobných údajov Jakub Berthoty z advokátskej kancelárie DAGITAL Legal. „Súhlas je podľa Výboru zrejme potrebný preto, lebo iné právne základy sa nedajú použiť. Zapamätanie si údajov o platobnej karte nie je totiž nevyhnutné pre realizáciu obchodu. Súhlas k ukladaniu platobných údajov sa navyše musí odlišovať od iných súhlasov a nesmie byť podmienkou dokončenia transakcie. Netreba zabúdať na možnosť odvolať súhlas, čo by malo znamenať vymazanie dát uložených na základe súhlasu. Na proces, ktorý by mal nasledovať po odvolaní súhlasu je potrebné myslieť už pri vývoji aplikácie alebo webstránky,“ dodáva Jakub Berthoty.

Ukladanie platobných údajov z kreditných kariet na uľahčenie ďalšej transakcie nemôže byť podľa Výboru považované ani za oprávnený záujem v zmysle čl. 6 ods. 1 písm. f) GDPR, keďže nemožno jednoznačne preukázať, že by touto činnosťou obchodník kupujúcemu uľahčoval ďalšie nákupy. Nákup totiž závisí od voľby spotrebiteľa a nie je určený možnosťou zrealizovať ho „jedným kliknutím“. Zároveň podľa usmernení Výboru sú finančné údaje obzvlášť citlivé osobné údaje a dotknutá osoba, teda kupujúci, nemôže odôvodnene očakávať, že sa údaje o kreditnej karte budú uchovávať dlhšie ako počas transakcie.

Ukladať informácie o karte môžu aj prehliadače

Vo väčšine prípadoch si však údaje o platobnej karte nepamätajú webstránky obchodníkov ale operačné systémy alebo prehliadače, ak si ich užívateľ zvolí takúto možnosť. 

„Odporúčania sa výslovne nevzťahujú na operačné systémy a prehliadače, ktoré si tiež môžu dané platobné údaje pamätať. Tie chápu dané operácie ako svoju službu s pridanou hodnotou, na ktorej používanie sa môžu vzťahovať osobitné zmluvné podmienky, ktoré užívateľ akceptuje. V týchto prípadoch nemusí byť súhlas jedinou možnosťou a za určitých okolností je možné rozmýšľať aj o plnení zmluvy. Odporúčania však potvrdzujú, že platobné údaje síce nepatria medzi tzv. osobitné kategórie osobných údajov (ktoré nazývame citlivé), ale v praxi sa k nim pristupuje veľmi obozretne. Z môjho pohľadu ide o oveľa citlivejšie údaje ako sú vymenované v čl. 9 GDPR,“ dodáva advokát Jakub Berthoty.

Zdroj: CHAPTER 4 Slovakia s.r.o, DAGITAL Legal 

Našli ste chybu či nepresnosť v texte? Dajte nám o tom vedieť.

Viac podobných článkov nájdete na www.podnikajte.sk


Poplatok za platbu kartou: môže sa účtovať zákazníkom?

Ako môže firma kompenzovať náklady spojené s prijímaním platieb kartou, môže niektorý platobný prostriedok zvýhodniť napríklad zľavou a čo je iné, ak zákazníkom je podnikateľ?

Okamžité platby povinne od roku 2025

Prevod peňazí medzi bankami bude trvať len niekoľko sekúnd. Aký je limit pre odosielané sumy, odkedy budú okamžité platby možné v každej banke a ako bude riešená bezpečnosť?

Zmeny cien poštovného od 1.1.2025: návrh

Od nového roka pravdepodobne vzrastú ceny zasielania listov a balíkov či použitia poštových poukazov. Prehľad avizovaných zmien.

Google Consent Mode v2: čo to je a aké zmeny prináša?

Firmy, ktoré chcú využívať remarketing, musia od 6. marca 2024 implementovať novú verziu Google Consent Mode. Čo sa mení?
To najlepšie z Podnikajte.sk do vašej schránky