הגנה על נתוני לקוחות מסחר אלקטרוני: תאימות ל-GDPR

הקדמה

ההגנה על נתוני לקוחות מהווה נושא אסטרטגי מרכזי עבור כל שחקן מסחר אלקטרוני. מאז כניסתה לתוקף של תקנת הגנת המידע הכללית (GDPR) ב-25 במאי 2018, אתרי סוחרים, יישומי מכירה לנייד ומקומות שוק חייבים לכבד מסגרת חוקית קפדנית תחת עונש של סנקציות של עד 20 מיליון יורו או 4% מהמחזור השנתי העולמי. מעבר למגבלה הרגולטורית, תאימות GDPR מייצגת מנוף אמיתי של אמון הלקוחות: 87% מהצרכנים האירופים אומרים שהם לא יקנו מאתר שבו הם מפקפקים באבטחת הנתונים. מאמר עמוד זה מפרט את החובות הקונקרטיות של קמעונאים אלקטרוניים במונחים של הסכמה, עוגיות, ניוזלטרים ואבטחת נתוני תשלום.

הסכמה: אבן יסוד של תאימות ל-GDPR

הסכמה מהווה אחד מששת הבסיסים המשפטיים לעיבוד המפורטים בסעיף 6 ל-GDPR. כדי להיות תקף, עליו לעמוד בארבעה קריטריונים מצטברים המוגדרים בסעיף 7: להיות חופשי, ספציפי, מושכל וחד משמעי. בהקשר של מסחר אלקטרוני המשמעות היא שמשתמש באינטרנט לא יכול להתנות את הסכמתו ברכישת מוצר (עקרון החופש), וכי עליו להיות מסוגל להסכים בנפרד לכל מטרה (פרופיל שיווקי, שיתוף עם שותפים, ניוזלטר וכו').

ה-CNIL חיזקה במידה ניכרת את הדרישות שלה מאז 2020 עם ההנחיות שלה לגבי עוגיות ועוקבים. כפתור "קבל הכל" חייב להיות מלווה כעת בכפתור "דחה הכל" בעל נגישות ונראות שוות. תיבות מסומנות מראש אסורות בהחלט (פסק דין של CJEU Planet49, 1 באוקטובר 2019). סוחרים אלקטרוניים חייבים גם לשמור הוכחת הסכמה עם חותמת זמן למשך כל העיבוד, ולאפשר משיכה פשוטה כמו ההענקה הראשונית.

ניהול עוגיות ועוקבים באתרי סוחרים

אתרי מסחר אלקטרוני משתמשים בממוצע ב-40 עד 60 עוגיות של צד שלישי: אנליטיקה, פרסום מחדש, רשתות חברתיות, צ'טבוטים, בדיקות A/B. סעיף 82 לחוק הגנת המידע המתוקן מחייב הסכמה מראש לכל עוקב שאינו הכרחי לחלוטין להפעלת השירות. רק עגלת קניות, הפעלת אימות וקובצי Cookie של איזון עומסים פטורים.

הקמת פלטפורמת ניהול הסכמה תואמת (CMP) הפכה חיונית. הוא חייב לאפשר למבקר להיות מפורט בבחירותיו: קבלה לפי מטרה (מדידת קהל, התאמה אישית, פרסום ממוקד) ולפי הנמען. הסנקציות יורדות גשם: גוגל (150 מיליון אירו), אמזון (35 מיליון אירו), פייסבוק (60 מיליון אירו) ב-2022 בגלל היעדר כפתור סירוב נגיש כמו כפתור האישור.

ניוזלטר וחיפוש מסחרי: הצטרפות קפדנית

שליחת ניוזלטרים ומיילים פרסומיים כפופה לסעיף L.34-5 של קוד הדואר והתקשורת האלקטרונית, המעביר את הנחיית הפרטיות האלקטרונית. העיקרון הוא של הסכמה מוקדמת מפורשת עבור לקוחות פוטנציאליים בודדים (B2C). חריג בולט קיים עבור לקוחות שכבר ביצעו רכישה: חיפוש מורשה למוצרים או שירותים דומים, בתנאי שנודע להם במהלך האיסוף ויכולים להתנגד לכל משלוח.

באופן קונקרטי, התיבה "אני רוצה לקבל הצעות מסחריות מ-[מותג]" חייבת להיות מסומנת כברירת מחדל ולהבדיל מהסכמה של התנאים וההגבלות. כל אימייל חייב לכלול קישור תקין לביטול הרשמה בלחיצה אחת, זהות השולח וכתובת איש קשר חוקית.

אבטחת נתוני תשלום

העיבוד של נתוני בנקאות נופל הן תחת ה-GDPR (סעיף 32 בנושא אבטחה) והן תקן PCI-DSS (תקן אבטחת מידע של תעשיית כרטיסי התשלום). סוחרים אלקטרוניים צריכים להעדיף טוקניזציה באמצעות ספק שירותי תשלומים מוסמך PCI-DSS ברמה 1 (PSP), ובכך להימנע מאחסון ישיר של מספרי כרטיסים. אימות חזק (3D Secure v2) הוא חובה מאז 15 במאי 2021 ביישום הוראת DSP2.

שמירת ההצפנה החזותית (CVV) אסורה בהחלט לאחר העסקה. ניתן לשמור מספרי כרטיסים רק בהסכמה מפורשת כדי להקל על רכישות עוקבות (דיון CNIL מס' 2018-303).

מסקנה

תאימות ל-GDPR במסחר אלקטרוני היא לא רק רשימת בדיקה משפטית: היא בונה את כל קשרי הלקוחות הדיגיטליים. בין הסכמה מפורטת, ניהול קובצי cookie, קפדנות בחיפוש ותשלומים מאובטחים, קמעונאים אלקטרוניים חייבים לאמץ גישת "פרטיות לפי עיצוב" בעת עיצוב מסעותיהם. גישה זו, רחוקה מלהיות מכשול מסחרי, הופכת לטיעון מבדל בשוק שבו אמון דיגיטלי מתנה את שיעור ההמרה והנאמנות.