Чек-лист: защита данных в интернет-магазинах

☐ Есть ли у вас правовое основание для каждой цели, в которой вы обрабатываете данные клиентов: исполнение заказа, доставка, рассылка, анализ посещений сайта? ст. 6

☐ Запрашиваете ли вы у клиентов только те данные, которые необходимы для цели, например только данные, нужные для заказа и доставки? ст. 5

☐ Получают ли клиенты в момент сбора данных информацию, которую требует закон: кто обрабатывает их данные, с какими целями и на каком правовом основании, кому вы их передаете, как долго храните и какие у них есть права? ст. 12ст. 13

☐ Если обработка основана на согласии, например для рассылки, можете ли вы доказать, что клиент его дал, и может ли клиент отозвать его так же просто, как дал? ст. 7

☐ Сообщаете ли вы клиентам о праве возражать против прямого маркетинга не позднее первого общения, понятно и отдельно от другой информации, и прекращаете ли отправлять маркетинговые сообщения тем, кто возразил? ст. 21

☐ Заключен ли у вас письменный договор с каждым поставщиком, который обрабатывает данные клиентов по поручению магазина, например с хостинг-провайдером или платформой email-рассылок? ст. 28

☐ Передаете ли вы данные клиентов в государство за пределами Европейского экономического пространства только на условиях закона, например на основании решения об адекватном уровне защиты или надлежащих гарантий? ст. 44ст. 45ст. 46

☐ Соответствуют ли риску меры безопасности для учетных записей клиентов, базы заказов и доступа к ним сотрудников? ст. 32

☐ Можете ли вы ответить на запросы клиентов о доступе к данным, их исправлении или удалении без необоснованной задержки и не позднее одного месяца после получения, с продлением этого срока только на условиях закона? ст. 12ст. 15ст. 16ст. 17

☐ Ведете ли вы письменный учет деятельности по обработке? Исключение для организаций, в которых работают менее 250 работников, не применяется, если обработка не является случайной или может привести к возникновению риска для клиентов. ст. 30

☐ Документируете ли вы каждое нарушение безопасности персональных данных клиентов и знаете ли, когда нужно уведомить Национальный центр по защите персональных данных? ст. 33