Datele personale ale clienților magazinului: colectare, protecție și ștergere

Un magazin poate colecta datele personale ale cumpărătorilor pentru un scop legal concret: să onoreze o comandă, să livreze un produs, să gestioneze un program de fidelitate sau să trimită publicitate acceptată. Pentru fiecare scop, proprietarul trebuie să stabilească temeiul juridic, datele necesare, perioada de păstrare și persoanele care vor avea acces. Cumpărătorului trebuie să i se explice aceste condiții în momentul colectării datelor. Un număr de telefon lăsat pentru livrare nu acordă, prin el însuși, permisiunea de a trimite mesaje publicitare.

Răspunderea pentru baza de date a clienților revine întreprinzătorului sau companiei care decide de ce și cum va fi folosită. Înainte de a începe colectarea, proprietarul trebuie să aprobe regulile de lucru cu datele, să pregătească informarea cumpărătorilor, să stabilească accesul angajaților și să încheie contracte cu prestatorii. Ulterior, magazinul trebuie să protejeze datele, să țină evidența operațiunilor efectuate asupra lor, să răspundă solicitărilor clienților și să șteargă la timp informațiile pentru care nu mai există un temei legal.

Ce informații despre cumpărător sunt date cu caracter personal

Datele cu caracter personal sunt informații care permit identificarea unei anumite persoane. Într-un magazin, acestea pot fi numele, numărul de telefon, adresa de e-mail, adresa de livrare, data nașterii, precum și istoricul cumpărăturilor asociat unui card de client. Numărul cardului poate fi, de asemenea, dată cu caracter personal dacă magazinul poate identifica titularul.

Legea se aplică bazelor electronice și fișierelor pe suport de hârtie organizate sistematic. Chestionarele cumpărătorilor păstrate într-un dosar, tabelul cu numere de telefon, înregistrările din programul de gestiune și lista destinatarilor mesajelor trebuie protejate. Prelucrarea nu înseamnă doar colectare: consultarea, copierea, transmiterea, păstrarea și ștergerea sunt, de asemenea, operațiuni asupra datelor cu caracter personal.

Întocmiți o listă a locurilor în care magazinul păstrează astfel de informații. Verificați site-ul, programul de gestiune, e-mailul, mesageriile de serviciu, tabelele, chestionarele pe hârtie, fișierele pentru mesaje și copiile de rezervă. Pentru fiecare loc, notați cine are acces și în ce scop.

Stabiliți scopul și temeiul pentru fiecare set de date

Articolul 11 din Legea nr. 2297-VI prevede mai multe temeiuri pentru prelucrare. Pentru un magazin, cele mai frecvente sunt consimțământul cumpărătorului, încheierea și executarea unui contract și îndeplinirea unei obligații prevăzute de lege. Interesul legitim poate fi, de asemenea, un temei, dar numai dacă drepturile și libertățile persoanei nu prevalează asupra acestui interes. Simpla dorință de a păstra datele de contact pentru vânzări viitoare nu este suficientă.

Colectați doar datele necesare. Un magazin online are dreptul să solicite numai informațiile fără de care nu poate încheia și executa contractul electronic. De exemplu, pentru livrarea la un punct de ridicare nu trebuie să solicite obligatoriu adresa de domiciliu dacă aceasta nu este necesară pentru comanda respectivă. Pentru un card obișnuit de reducere, nu colectați o copie a pașaportului fără o nevoie distinctă, justificată, și un temei juridic.

Exemplu ipotetic: magazinul păstrează 2 000 de chestionare, fiecare cu opt câmpuri, dar pentru scopul stabilit sunt necesare doar cinci. După verificare și eliminarea câmpurilor inutile, va șterge 2 000 × 3 = 6 000 de valori. Astfel se reduce volumul de informații pe care angajații le-ar putea copia sau divulga accidental. Cele cinci câmpuri din acest exemplu reprezintă alegerea unui anumit magazin, nu o normă prevăzută de lege.

Explicați cumpărătorului condițiile înainte de colectarea datelor

Atunci când cumpărătorul furnizează el însuși datele, magazinul trebuie să îl informeze despre condiții în momentul colectării. Dacă magazinul a obținut datele din altă sursă, termenul general pentru informare este de 30 de zile lucrătoare de la colectare, cu excepția cazurilor prevăzute de lege. Totuși, primirea unei liste de contacte de la altcineva nu creează un temei legal pentru utilizarea ei.

Informarea trebuie să explice:

• cine este operatorul datelor: denumirea companiei sau datele întreprinzătorului individual (FOP), sediul și datele de contact pentru solicitări;
• ce informații colectează magazinul;
• în ce scopuri și pe ce temeiuri le prelucrează;
• cui îi transmite datele, de exemplu unui transportator anume sau unui serviciu de mesaje;
• ce drepturi are cumpărătorul și cum le poate exercita.

Este util, de asemenea, să explicați perioadele de păstrare sau criteriile după care magazinul le stabilește. Pe site, publicați informarea lângă formular și oferiți acces la politica de confidențialitate completă. Pentru un chestionar pe hârtie, pregătiți un text pe care cumpărătorul să îl poată citi înainte de completare. Păstrați dovada că magazinul a furnizat aceste informații: aceasta trebuie să fie disponibilă pe întreaga perioadă de prelucrare.

Politica de confidențialitate descrie regulile magazinului. Consimțământul consemnează permisiunea voluntară a cumpărătorului pentru o prelucrare definită. Dacă datele sunt necesare pentru executarea unei comenzi, menționați temeiul contractual corespunzător. Stabiliți separat un temei adecvat pentru scopurile suplimentare.

Cum se dovedește consimțământul

Consimțământul trebuie să fie voluntar și informat. Legea permite forma scrisă sau o altă formă din care se poate concluziona că permisiunea a fost acordată. Pentru publicitate trimisă la numere de telefon sau la alți identificatori de rețea este necesar consimțământul scris prealabil, inclusiv cel în format electronic.

În formularul de abonare, folosiți o căsuță separată, nebifată în prealabil, cu un text concret: cine va trimite publicitatea, la ce date de contact și prin ce canal. Cumpărătorul trebuie să o bifeze singur. Dacă, în timpul înregistrării în sistemul de comerț electronic, magazinul folosește o căsuță ca formă de consimțământ pentru prelucrarea datelor, sistemul nu trebuie să permită prelucrarea înainte ca aceasta să fie bifată.

Păstrați textul consimțământului, versiunea acestuia, data și metoda acordării, precum și informațiile care leagă consimțământul de un anumit cumpărător. Procedura-tip impune păstrarea dovezii consimțământului pe durata prelucrării. Dacă magazinul schimbă scopul cu unul incompatibil cu cel anterior, trebuie să obțină consimțământ pentru noul scop, dacă legea nu prevede altfel.

Separați mesajele publicitare de cele despre comenzi

Folosiți mesajele care anunță că o comandă este gata sau comunică ora livrării pentru executarea comenzii. Pentru promoții, noutăți și coduri promoționale, creați o listă separată de cumpărători cu consimțământ publicitar valabil. Nu includeți publicitate într-un mesaj de serviciu fără să verificați temeiul corespunzător.

Articolul 10 din Legea „Cu privire la comerțul electronic” permite transmiterea unui mesaj comercial fără consimțământ dacă este oferită posibilitatea de a refuza mesajele ulterioare. Totuși, magazinul trebuie să respecte și articolul 120 din Legea „Cu privire la comunicațiile electronice” și articolul 14-3 din Legea „Cu privire la publicitate”: acestea interzic spamul și impun consimțământ prealabil pentru publicitatea transmisă folosind numere de telefon sau alți identificatori de rețea. Prin urmare, nu folosiți opțiunea de dezabonare ca permisiune de a trimite publicitate întregii baze de comenzi.

În fiecare mesaj publicitar, oferiți o modalitate simplă și gratuită de refuz. Formulați mesajul comercial electronic astfel încât cumpărătorul să îi poată recunoaște clar caracterul publicitar și asigurați acces direct și simplu la informațiile despre vânzător, potrivit articolului 7 din Legea „Cu privire la comerțul electronic”. Condițiile unei reduceri, ale unui cadou sau ale unui alt stimulent trebuie să fie accesibile și clare. Dacă mesajul conține un preț, precizați dacă include taxele și, dacă există livrare, indicați și costul acesteia. După refuz, excludeți contactul de la trimiterea mesajelor publicitare în toate serviciile folosite de magazin.

Stabiliți reguli, accesul angajaților și activitatea prestatorilor

Operatorul datelor este întreprinzătorul individual (FOP) sau compania care stabilește scopul, datele care sunt prelucrate și procedurile de lucru. Persoana împuternicită este prestatorul care prelucrează date în numele operatorului. De exemplu, poate fi un serviciu căruia magazinul îi încredințează trimiterea mesajelor conform instrucțiunilor sale. Un transportator sau un serviciu de plată poate avea propriile scopuri de prelucrare, astfel că rolul acestuia trebuie stabilit în funcție de activitatea efectivă și de contract.

Înainte de începerea activității, proprietarul aprobă o procedură internă de prelucrare. Aceasta trebuie să stabilească scopurile și temeiurile prelucrării, categoriile de cumpărători ale căror date sunt prelucrate de magazin, datele concrete care sunt prelucrate, metodele de colectare și acumulare, perioadele și condițiile de păstrare, accesul angajaților și al cumpărătorilor, condițiile de transmitere și lista terților, corectarea, ștergerea, protecția și evidența operațiunilor. Desemnați o persoană responsabilă pentru fiecare activitate: cine răspunde cumpărătorului, cine modifică o înregistrare, cine controlează prestatorii și cine retrage accesul.

• Pregătiți informarea cumpărătorilor și formularele de consimțământ pentru scopurile relevante.
• Țineți o listă a angajaților cu acces și stabiliți ce date îi sunt necesare fiecăruia pentru activitate.
• Obțineți de la acești angajați angajamente scrise de confidențialitate înainte de a le acorda accesul.
• Încheiați un contract scris cu fiecare persoană împuternicită: aceasta poate prelucra datele numai în scopul și în limitele stabilite în contract.
• Pregătiți o procedură de răspuns la solicitări și un plan de acțiune în caz de pierdere a datelor sau acces al unor persoane neautorizate.

În contractele cu prestatorii este util să stabiliți și accesul angajaților, măsurile de protecție, notificarea incidentelor, implicarea altor executanți și procedura de returnare sau distrugere a datelor după încheierea activității. Înainte de transmiterea datelor unui transportator sau altui destinatar, operatorul stabilește un temei juridic pentru transmiterea respectivă: consimțământul cumpărătorului sau un caz prevăzut de lege în care transmiterea se poate face fără consimțământ. Magazinul asigură respectarea regimului de protecție stabilit, iar destinatarul trebuie să adopte din timp măsuri pentru respectarea Legii. Dacă un terț refuză să își asume obligațiile corespunzătoare sau nu le poate îndeplini, magazinul nu îi acordă acces. Transmiteți doar informațiile necesare: pentru o anumită livrare, transportatorul nu are nevoie de întregul istoric al cumpărăturilor clientului.

FOP asigură personal protecția datelor pe care le deține. Legea impune expres desemnarea unei persoane sau a unui departament responsabil operatorilor și persoanelor împuternicite care efectuează o prelucrare supusă notificării către Ombudsmanul Parlamentului Ucrainei. În celelalte magazine, activitatea este organizată de persoanele care prelucrează datele sau de angajații desemnați în acest scop. Delegarea sarcinilor tehnice administratorului nu îl eliberează pe proprietar de obligațiile sale.

Protejați baza de date, chestionarele pe hârtie și copiile

Legea impune protejarea datelor împotriva pierderii accidentale, distrugerii, prelucrării ilegale și accesului neautorizat. Magazinul stabilește măsurile organizatorice și tehnice concrete ținând cont de activitatea sa. Un început practic îl reprezintă conturile separate pentru angajați, accesul în funcție de sarcinile acestora, dispozitivele protejate, controlul copierii și copiile de rezervă cu acces restricționat.

Păstrați chestionarele pe hârtie într-un loc unde cumpărătorii și persoanele din afară nu le pot citi. Nu lăsați listele de contacte lângă casa de marcat. Instruiți angajații în privința lucrului cu datele și repetați instruirea. În ziua încetării raportului de muncă sau a transferului unui angajat într-un post care nu presupune lucrul cu datele, retrageți-i accesul și predați documentele și suporturile altui angajat. Obligația de confidențialitate rămâne în vigoare și după încetarea activității.

Ce operațiuni trebuie consemnate

Potrivit punctului 3.11 din Procedura-tip, magazinul ține evidența colectării, modificării, consultării, transmiterii sau copierii, ștergerii și distrugerii datelor. Magazinul păstrează data, ora și sursa colectării; informații despre modificare, consultare și transmitere sau copiere; data și ora ștergerii sau distrugerii; precum și informații despre angajatul care a efectuat operațiunea. Pentru modificare, consultare, transmitere, ștergere și distrugere, consemnează și scopurile și temeiurile. Dacă magazinul prelucrează date într-un sistem automatizat, sistemul trebuie să consemneze automat aceste informații.

Proprietarul și administratorul trebuie să verifice dacă jurnalul acoperă toate operațiunile necesare, inclusiv consultarea și exportul datelor de contact. Un raport obișnuit de vânzări nu dovedește acest lucru. Informațiile despre operațiuni se păstrează timp de un an după încheierea anului în care acestea au avut loc, dacă legislația nu prevede altfel.

Exemplu ipotetic: un angajat a consultat datele unui cumpărător la 12 februarie 2026. Potrivit regulii generale, înregistrarea acestei consultări trebuie păstrată pe tot parcursul anului 2027. Încheierea acestei perioade nu stabilește perioada de păstrare a fișei de client propriu-zise: pentru aceasta se aplică propriul scop și propriul temei juridic.

Cât timp se păstrează datele și cum se șterg

Nu există o perioadă unică. Datele prin care poate fi identificată o persoană pot fi păstrate numai atât cât este necesar pentru scopul legal. Stabiliți perioade separate sau criterii clare pentru comenzi, programul de fidelitate, datele de contact folosite pentru publicitate, dovezile consimțământului și documentele contabile.

Datele trebuie șterse sau distruse, printre altele, după expirarea perioadei stabilite prin consimțământ sau prin lege ori după încetarea raporturilor juridice, dacă legea nu prevede altfel. Datele colectate ilegal trebuie, de asemenea, șterse sau distruse. Dacă singurul temei a fost consimțământul, după retragerea acestuia magazinul trebuie să înceteze prelucrarea respectivă.

Retragerea consimțământului pentru publicitate nu anulează obligația de a păstra documentele impuse de lege. Pentru aceste documente, contabilul trebuie să stabilească norma concretă, perioada și evenimentele care îi influențează calculul. Limitați accesul la aceste date și folosiți-le numai în scopul corespunzător.

Anonimizarea înseamnă eliminarea informațiilor prin care o persoană poate fi identificată direct sau indirect. Înlocuirea numelui cu „Client” nu finalizează anonimizarea dacă în înregistrare au rămas numărul de telefon, adresa sau o legătură cu o comandă pe nume.

Înainte de ștergere, verificați toate copiile: baza de gestiune, site-ul, serviciul de mesaje, tabelele, documentele pe hârtie, arhivele de rezervă și datele prestatorilor. Procedura-tip impune distrugerea datelor printr-o metodă care împiedică restaurarea lor ulterioară. Stabiliți cu administratorul cum se îndeplinește această cerință pentru arhive și cum se împiedică reintroducerea în baza activă a datelor de contact deja șterse la restaurarea bazei.

Cum să răspundeți solicitărilor cumpărătorilor

Cumpărătorul poate afla ce date prelucrează magazinul, de unde le-a obținut, cui le transmite și cum funcționează prelucrarea automatizată. Are dreptul să acceseze gratuit propriile date, să își retragă consimțământul, să formuleze o obiecție motivată împotriva prelucrării și să solicite corectarea sau distrugerea datelor ilegale ori inexacte. Legea protejează, de asemenea, persoana împotriva unei decizii automatizate care produce efecte juridice pentru ea.

Publicați datele de contact pentru astfel de solicitări. Angajatul responsabil înregistrează data primirii, verifică identitatea solicitantului și clarifică ce anume solicită acesta. Pentru o cerere formală de acces, articolul 16 prevede, printre altele, numele de familie, prenumele și patronimicul, domiciliul sau locul de ședere și datele actului de identitate. Aceasta este o cerință pentru cerere, nu o permisiune de a colecta în avans pașapoartele tuturor cumpărătorilor.

Nu amânați accesul cumpărătorului la propriile date. Posibilitatea de prelungire a termenului general până la 45 de zile calendaristice potrivit articolului 17 se aplică accesului terților și necesită o notificare scrisă cu explicații. Dacă magazinul refuză, trebuie să indice temeiul legal. Cumpărătorul poate contesta decizia la Ombudsman sau în instanță.

Când trebuie notificat Ombudsmanul

Obligația de înregistrare a bazelor de date cu caracter personal a fost anulată. O listă obișnuită cu numele și datele de contact ale cumpărătorilor nu creează, prin ea însăși, obligația de a-l notifica pe Ombudsman. Notificarea este necesară pentru prelucrarea care prezintă un risc deosebit pentru drepturile și libertățile persoanelor.

Categoriile prevăzute includ, printre altele, date despre sănătate, date biometrice și genetice, convingeri, răspunderea pentru contravenții sau infracțiuni, violență, localizare și trasee de deplasare. Proprietarul magazinului trebuie să verifice separat istoricul utilizării cardurilor de reducere nominale: dacă înregistrările permit stabilirea prezenței cumpărătorului într-un anumit punct de vânzare la o anumită oră, ele pot fi considerate date despre localizare. Potrivit clarificării Ombudsmanului, informațiile despre domiciliu sau înregistrarea reședinței nu intră în această categorie. Clarificări privind categoriile de date a căror prelucrare necesită notificare. De exemplu, o rețetă pentru confecționarea ochelarilor impune o verificare separată a regulilor privind datele despre sănătate. Articolul 7 interzice, în general, prelucrarea categoriilor de date sensibile pe care le definește, dar prevede excepții, inclusiv consimțământul neechivoc. Existența unui astfel de consimțământ nu anulează celelalte obligații.

Înainte de lansarea unui astfel de proces, proprietarul trebuie să verifice temeiul prelucrării, categoriile de risc și excepțiile aplicabile. Începerea unei prelucrări supuse notificării trebuie comunicată în termen de 30 de zile lucrătoare. Modificările informațiilor care trebuie notificate se comunică în termen de 10 zile lucrătoare. Proprietarul îl notifică pe Ombudsman cu privire la încetarea unei astfel de prelucrări în termen de 10 zile calendaristice de la încetare, depunând o cerere conform formularului din anexa 3 la Procedura de notificare. Pentru înființarea unui departament responsabil sau numirea unei persoane responsabile, depune o cerere conform formularului din anexa 4, împreună cu documentele justificative, în termen de 30 de zile calendaristice de la evenimentul respectiv. Proprietarul păstrează copii ale cererilor depuse și desemnează un angajat care să urmărească aceste termene.

Ce să verificați înainte de a folosi un serviciu străin

Înainte de a conecta un serviciu de stocare în cloud, un serviciu de mesaje sau alt sistem, aflați ce companie primește datele, în ce țară sunt prelucrate și cine mai are acces. Articolul 29 stabilește condițiile transferului către entități străine. Se recunoaște existența unui nivel adecvat de protecție în statele Spațiului Economic European, în statele care au semnat Convenția Consiliului Europei privind protecția persoanelor în legătură cu prelucrarea automatizată a datelor cu caracter personal, precum și în statele ai căror regulatori ai piețelor de capital au semnat Memorandumul multilateral al Organizației Internaționale a Comisiilor de Valori Mobiliare (IOSCO) privind consultarea, cooperarea și schimbul de informații. Cabinetul de Miniștri al Ucrainei stabilește lista statelor care asigură un nivel adecvat de protecție a datelor cu caracter personal.

Alineatul 4 al articolului 29 permite, de asemenea, transferul pe baza consimțământului neechivoc al cumpărătorului pentru transferul respectiv sau dacă operatorul oferă garanții corespunzătoare de neingerință în viața privată și de familie a cumpărătorului. Dacă magazinul alege un alt temei din acest alineat, trebuie să stabilească și să documenteze îndeplinirea condițiilor punctului respectiv. Contractul cu un serviciu cloud nu dovedește, prin el însuși, existența temeiului pentru un transfer internațional. Alegeți un temei pentru transferul către serviciul respectiv, încheiați un contract conform rolului său și informați cumpărătorul despre destinatari. Stabiliți în contract scopul utilizării datelor: potrivit alineatului 3 al articolului 29, datele nu pot fi transmise unui destinatar străin pentru un scop diferit de cel pentru care au fost colectate. Păstrați dovezile că ați îndeplinit condițiile. Simpla alegere a unui serviciu cu server în străinătate nu este suficientă.

Cum să editați și să eliminați datele clientului în Торгсофт

În Торгсофт, fișa cumpărătorului poate fi deschisă din meniul „Маркетинг → Клієнти” („Marketing → Clienți”), iar datele pot fi modificate. Înainte de a satisface o cerere de ștergere, proprietarul stabilește ce informații trebuie eliminate și ce documente mai au un temei legal de păstrare. Ștergeți datele de contact pentru care nu există temei de păstrare și verificați celelalte câmpuri și înregistrările asociate. Dacă trebuie ștearsă fișa în sine, verificați mai întâi datoriile și documentele: programul poate bloca ștergerea din cauza produselor neachitate, a unei datorii sau a includerii fișei în documente financiare ori de gestiune deja procesate. O fișă fără istoric de interacțiuni poate fi ștearsă.

Acțiunea „Вивести з дії” („Dezactivare”) face fișa inactivă. Inactivarea păstrează datele. Prin urmare, ea nu îndeplinește cerința de distrugere a acestora. Și ștergerea câmpurilor personale necesită verificare: cumpărătorul poate fi identificat prin alte înregistrări, fișiere sau copii.

Acțiunea „Очистити дисконтну карту” („Golirea cardului de reducere”) șterge informațiile despre clientul actual și creează o înregistrare goală cu același cod de bare, pentru reutilizare. Șterge și informațiile despre cumpărăturile și retururile acestuia; informațiile despre clientul șters nu pot fi recuperate. Dacă acțiunea este executată pe computerul central al rețelei de magazine, informația despre ștergere se propagă în toate punctele de vânzare ale rețelei. Nu folosiți această acțiune fără să verificați consecințele contabile. Editarea și restricțiile privind ștergerea fișei sunt descrise în instrucțiunile Торгсофт. Acțiunea „Очистити дисконтну карту”, ștergerea istoricului cumpărăturilor și propagarea ștergerii în rețeaua de magazine sunt descrise în articolul de ajutor „Клієнти”. Acțiunile din program trebuie să respecte regulile magazinului, iar modificările necesare trebuie aplicate și celorlalte locuri în care sunt păstrate date.

Ce să faceți dacă datele ajung la persoane din afară

Stabiliți în planul intern cine primește notificările despre incidente și cine înlătură cauza acestora. Angajatul trebuie să îl informeze imediat pe proprietar despre pierderea unui suport, trimiterea din greșeală a unei liste de clienți sau accesul unor persoane neautorizate. Administratorul închide accesul periculos, păstrează jurnalele și verifică ce înregistrări ar fi putut fi divulgate.

Documentați evenimentul: momentul descoperirii, sistemele și datele vizate, persoanele implicate și măsurile luate. Verificați contractele cu serviciile și cerințele speciale care pot stabili notificările ulterioare. Restabiliți funcționarea în siguranță și corectați cauza incidentului, de exemplu drepturi de acces prea extinse sau export necontrolat.

Ombudsmanul poate verifica modul de lucru cu datele și poate emite dispoziții obligatorii, inclusiv privind corectarea, ștergerea sau încetarea prelucrării. Încălcările atrag răspundere administrativă. Valoarea amenzii depinde de încălcarea concretă, de statutul persoanei responsabile și de caracterul repetat. Pentru FOP și persoanele cu funcții de răspundere, articolul 188-39 din Codul Ucrainei cu privire la contravențiile administrative prevede 200–400 de unități ale minimului neimpozabil al veniturilor cetățenilor pentru încălcarea obligației de notificare privind prelucrarea sau modificarea informațiilor; 300–1 000 — pentru neexecutarea unei dispoziții privind protecția datelor sau pentru încălcarea procedurii de protecție care a dus la acces neautorizat ori la încălcarea drepturilor cumpărătorului. Pentru repetarea în decurs de un an a încălcării obligației de notificare sau a neexecutării unei dispoziții după aplicarea unei sancțiuni administrative, amenda este de 500–2 000 de astfel de unități; pentru repetarea în decurs de un an a încălcării procedurii de protecție pentru care persoana a fost deja sancționată administrativ, amenda este de 1 000–2 000. Procedura de control și răspunderea.

Acțiunile ilegale cu informații confidențiale despre o persoană pot intra și sub incidența articolului 182 din Codul penal. Acesta prevede amendă sau alte pedepse, iar pentru repetare ori prejudiciu substanțial — inclusiv închisoare de la trei la cinci ani. Răspunderea penală depinde de existența elementelor infracțiunii respective.

Documente de pregătit înainte de lansarea bazei de clienți

1. Proprietarul întocmește o listă a datelor, scopurilor, temeiurilor, locurilor de păstrare și destinatarilor.
2. Proprietarul aprobă procedura internă, cu persoanele responsabile, termenele, accesul, protecția și regulile de ștergere.
3. Angajatul responsabil de formulare și site publică informarea pentru cumpărători și configurează separat consimțământul pentru publicitate.
4. Conducătorul stabilește lista drepturilor de acces și obține angajamente scrise de confidențialitate de la angajați.
5. Proprietarul încheie contracte cu persoanele împuternicite și verifică condițiile de transmitere către ceilalți destinatari.
6. Administratorul verifică jurnalele operațiunilor, protecția bazei și a copiilor, precum și procedura de ștergere.
7. Angajatul responsabil pregătește registrul solicitărilor, modele de răspuns și monitorizarea termenelor stabilite.

Surse oficiale

• Legea Ucrainei „Cu privire la protecția datelor cu caracter personal” nr. 2297-VI — articolele 2, 4, 6–17, 19–24, 28–29: temeiuri, notificări, drepturile cumpărătorilor, transmitere, păstrare, protecție și ștergere.
• Ordinul Ombudsmanului Parlamentului Ucrainei pentru drepturile omului nr. 1/02-14 „Cu privire la aprobarea documentelor în domeniul protecției datelor cu caracter personal” — Procedura-tip, punctele 1.2, 2.1–2.18, 3.1–3.22; Procedura de notificare. Textul Procedurii-tip pe site-ul Ombudsmanului.
• Procedura și formularele de notificare a Ombudsmanului — aplicarea articolelor 9 și 24 din Legea nr. 2297-VI, categoriile de risc și formularele de cerere.
• Legea Ucrainei „Cu privire la comerțul electronic” nr. 675-VIII — articolul 7, alineatele 1 și 4; articolul 10, alineatele 2–4: informații despre vânzător, date necesare și mesaje comerciale.
• Legea Ucrainei „Cu privire la comunicațiile electronice” nr. 1089-IX — articolul 120, alineatele 1–2: interzicerea spamului, consimțământul și refuzul gratuit.
• Legea Ucrainei „Cu privire la publicitate” nr. 270/96-ВР — articolul 14-3, alineatul 2: consimțământul scris prealabil, inclusiv electronic, pentru publicitatea trimisă folosind numere de telefon sau alți identificatori de rețea.
• Codul Ucrainei cu privire la contravențiile administrative nr. 8073-X — articolele 188-39 și 188-40: răspunderea pentru încălcarea regulilor de protecție a datelor și neexecutarea cerințelor legale ale Ombudsmanului.
• Codul penal al Ucrainei nr. 2341-III — articolul 182, alineatele 1–2: încălcarea inviolabilității vieții private.