ΗΛΕΚTΡΟΝΙΚΟ ΕΜΠΟΡΙΟ, GDPR & COOKIES

Δεν υπάρχει αμφιβολία ότι ο βαθμός συμμόρφωσης ενός e-shop με τη νομοθεσία για το ηλεκτρονικό εμπόριο βρίσκεται σε θετική συσχέτιση με την «ποιότητα της εμπειρίας» (quality of experience - QoE),  που αποκτά ο επισκέπτης του. Με άλλα λόγια, η ποιότητα ενός e-shop δεν κρίνεται αποκλειστικά και μόνον από τις τεχνικές προδιαγραφές του  -  όπως το συνολικό “layout” του ιστότοπου, η ταχύτητα φόρτωσης, η ευκολία στη χρήση κ.α. -  αλλά και από την εμπιστοσύνη που παρέχει στον καταναλωτή αναφορικά με τη χρήση των προσωπικών του δεδομένων.

Η Νομοθεσία που διέπει τη λειτουργία των ηλεκτρονικών καταστημάτων

Όλα τα ηλεκτρονικά καταστήματα οφείλουν να συμμορφώνονται πλήρως με την κείμενη νομοθεσία στην οποία περιλαμβάνονται :

1. Ο Ευρωπαϊκός Γενικός Κανονισμός για την Προστασία των Προσωπικών Δεδομένων (ΕΕ 2016/679), γνωστός με το ακρωνύμιο GDPR.
2. Ο Ν. 3471/2006 που μεταφέρει στο εθνικό δίκαιο την Οδηγία 2002/58/ΕΚ όπως έχει τροποποιηθεί με την Οδηγία 2009/136/ΕΚ και περιλαμβάνει τις ρυθμίσεις για τη νόμιμη εγκατάσταση των “cookies”.
3. Λοιπές διατάξεις νόμου που διέπουν την ή και την εξ αποστάσεως πώληση αγαθών, όπως οι διατάξεις του Ν. 2251/1994 κ.α.

Σκοπός του παρόντος άρθρου είναι μία ευσύνοπτη αναφορά στις βασικές υποχρεώσεις που επιβάλλουν οι διατάξεις  του GDPR και του Ν. 3471/2006 στα e-shops και στον τρόπο λειτουργίας τους .

GDPR (General Data Protection Regulation)

Αρχικά, πρέπει να διευκρινιστεί πως κάθε πληροφορία που καταχωρεί ο πελάτης – φυσικό πρόσωπο στην ιστοσελίδα ενός ηλεκτρονικού καταστήματος και αφορά στην ταυτοποίησή του (όπως το όνομα, η διεύθυνσή του κτλ), αποτελεί προσωπικό δεδομένο. Οι δε λειτουργίες επεξεργασίας δεδομένων περιλαμβάνουν τη συλλογή, την αναζήτηση, την οργάνωση, τη διόρθωση και τη διαγραφή προσωπικών δεδομένων. Για παράδειγμα, η συμπλήρωση φόρμας επικοινωνίας από τον χρήστη ενός eshop, με  το ονοματεπώνυμο και το email του και η θέση αυτών των στοιχείων στη διάθεση του διαχειριστή του eshop προς περαιτέρω επεξεργασία και χρήση, συνιστούν  συλλογή και επεξεργασία προσωπικών δεδομένων κατά την έννοια του Νόμου.

Σύμφωνα με τον GDPR  οι επιχειρήσεις έχουν την υποχρέωση να συμμορφώνονται με την υπεύθυνη συλλογή και χρήση προσωπικών δεδομένων των χρηστών, προκειμένου να προστατεύουν τα δικαιώματα και την ιδιωτική τους ζωή, ειδάλλως επιβάλλονται αυστηρές κυρώσεις. Κυρώσεις που προφανώς έχουν μεγαλύτερο αντίκτυπο στις μεγάλες επιχειρήσεις (από 250 εργαζόμενους και άνω), πλην, όμως, δεν παύουν να αφορούν και στις μικρότερες επιχειρήσεις. Ωστόσο ο Κανονισμός δεν απαιτεί για τις τελευταίες την πρόσληψη υπεύθυνου ασφαλείας δεδομένων (Data Protection Officer) ούτε την τήρηση αρχείου δραστηριοτήτων επεξεργασίας (άρθρο 30, παρ. 5).

Εάν επιχειρούσαμε να συνοψίσουμε σε πέντε άξονες, τις διαδικασίες που οφείλουν να ακολουθούν τα  e-shops, ώστε να είναι προσαρμοσμένα στις διατάξεις του  GDPR, αυτοί θα ήταν οι εξής:

• Πρώτον θα πρέπει να χαρτογραφηθούν οι λειτουργίες της ιστοσελίδας, έτσι ώστε να εντοπιστούν εκείνες οι οποίες προβλέπουν επεξεργασία προσωπικών δεδομένων.
• Δεύτερον θα πρέπει να γίνει έλεγχος τήρησης των αρχών επεξεργασίας σύμφωνα με άρθρο 5 του GDPR. Οι αρχές επεξεργασίας είναι ιδιαίτερα σημαντικές και αφορούν: α) την ελαχιστοποίηση δεδομένων, έτσι ώστε να συλλέγονται μόνον τα απαραίτητα δεδομένα, β) τη διαφανή και δίκαιη επεξεργασία, που προβλέπει τη δημιουργία ειδοποιήσεων ενημέρωσης για τους χρήστες, γ) τον περιορισμό της περιόδου αποθήκευσης των δεδομένων, η οποία επιβάλλει την αυτόματη διαγραφή δεδομένων, που δεν είναι πια απαραίτητα, δ) την ασφάλεια και την εμπιστευτικότητα της επεξεργασίας.
• Τρίτον, αν πρόκειται για εν λειτουργία ιστοσελίδα, θα πρέπει να καταγραφούν οι διαπιστωθείσες αποκλίσεις μεταξύ των ευρημάτων των ελέγχων που έγιναν και της νομοθεσίας έτσι ώστε να γίνουν οι απαραίτητες διορθώσεις, ενώ αν πρόκειται για ιστοσελίδα που ευρίσκεται σε στάδιο κατασκευής ή σχεδιασμού, τότε θα πρέπει οι απαιτήσεις του Νόμου να καταστούν εξαρχής σαφείς στον κατασκευαστή της.
• Τέταρτον, θα πρέπει να συνταχθούν κείμενα ενημέρωσης περί επεξεργασίας προσωπικών δεδομένων και περί παροχής συγκατάθεσης, με απλό και ξεκάθαρο περιεχόμενο, και αυτά να περιληφθούν στην πολιτική προστασίας προσωπικών δεδομένων της επιχείρησης.
• Πέμπτον, θα πρέπει να υποδεικνύεται κατά τρόπο εύληπτο και σαφή η διαδικασία μέσω της οποίας οι χρήστες θα μπορούν να ασκούν ανεμπόδιστα τα δικαιώματά τους, σύμφωνα με τα άρθρα 15-22 του GDPR.

H εγκατάσταση και η λειτουργία των ιχνηλατών (cookies)

Η λειτουργία των cookies συνίσταται στη συλλογή προσωπικών δεδομένων του χρήστη μίας ιστοσελίδας, με στόχο την εμφάνιση διαφημίσεων προς εκείνον. Ενίοτε, όμως, η λειτουργία των cookies συνάπτεται και με την επεξεργασία προσωπικών δεδομένων. Στην περίπτωση αυτή τα cookies αποκτούν έναν πιο επεμβατικό χαρακτήρα,  με στόχο την ψυχογράφηση του εκάστοτε χρήστη, την κατάταξη των καταναλωτών σε διάφορες κατηγορίες  και την προβολή προσωποποιημένων διαφημίσεων, με απώτερο σκοπό την αύξηση της αποδοτικότητας και της αποτελεσματικότητας του διαφημιστικού μηνύματος. Το 2019 και το 2020, πολλές ευρωπαϊκές εποπτικές αρχές εξέδωσαν συστάσεις και κατευθυντήριες οδηγίες αναφορικά με τη συμμόρφωση των ιστοσελίδων με την αντίστοιχη κείμενη νομοθεσία. Ανάλογα δε έπραξε και η εν Ελλάδι Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, η οποία σχετικά προσφάτως (25/2/2020) προέβη στη διατύπωση ερμηνευτικών κατευθύνσεων και συστάσεων ως προς τη χρήση και λειτουργία ιχνηλατών , που συμπλέουν με τις αντίστοιχες ευρωπαϊκές.

Συνοπτικά αναφέρουμε τις βασικότερες συστάσεις – κατευθύνσεις  της Αρχής:

• Για την τοποθέτηση ενός ιχνηλάτη σε τερματική συσκευή απαιτείται κατ’ αρχήν η συγκατάθεση του χρήστη, ανεξάρτητα αν μέσω αυτού πραγματοποιείται ή όχι επεξεργασία προσωπικών δεδομένων.
• Οι ιχνηλάτες που εξαιρούνται από την υποχρέωση λήψης συγκατάθεσης είναι εκείνοι που θεωρούνται τεχνικά απαραίτητοι για την πραγματοποίηση της σύνδεσης στην ιστοσελίδα ή για την παροχή της υπηρεσίας διαδικτύου την οποία έχει ζητήσει ο ίδιος ο χρήστης (πχ εκείνοι που είναι απαραίτητοι για την αναγνώριση ή/και διατήρηση περιεχομένου που εισάγει ο συνδρομητής ή χρήστης κατά τη διάρκεια μιας σύνδεσης (session) σε ιστοσελίδα καθ’ όλη τη διάρκεια της συγκεκριμένης σύνδεσης, όπως το «καλάθι αγορών», ή για τη σύνδεση του συνδρομητή ή χρήστη σε υπηρεσίες που απαιτούν αυθεντικοποίηση ή για την ασφάλεια του χρήστη κ.α.)
• Οι ιχνηλάτες που εγκαθίστανται με σκοπό τη διαδικτυακή διαφήμιση (online advertizing) δεν εμπίπτουν στην εξαίρεση, επομένως επιτρέπονται μόνο εφόσον έχει ληφθεί προηγουμένως η συγκατάθεση του χρήστη κατόπιν κατάλληλης ενημέρωσης.
• Η χρήση ιχνηλατών τρίτων, όπως η υπηρεσία Google Analytics  με σκοπό την στατιστική ανάλυση (web analytics), μπορεί να γίνει μόνο κατόπιν συγκατάθεσης του χρήστη της ιστοσελίδας.
• Η ενημέρωση και η συγκατάθεση μπορεί να δίδονται μέσω της ιστοσελίδας του παρόχου υπηρεσίας του διαδικτύου με χρήση κατάλληλων μηχανισμών (π.χ. με αναδυόμενα παράθυρα (pop up) ή με ένα ενημερωτικό πλαίσιο (banner)).
• Είναι θεμιτή η παροχή της ενημέρωσης μέσω πολλών επιπέδων, αρκεί να εξασφαλιστεί ότι η συγκατάθεση του χρήστη ζητείται, αφού έχει ενημερωθεί ειδικά ο χρήστης, τουλάχιστον για τις κατηγορίες ιχνηλατών που χρησιμοποιούνται.
• Μέσω του ενημερωτικού μηνύματος (είτε πρόκειται για αναδυόμενο παράθυρο είτε για άλλο τρόπο) πρέπει να παρέχεται ειδική ενημέρωση για το σκοπό του κάθε ιχνηλάτη που χρησιμοποιείται και όχι γενική ενημέρωση για την χρήση ιχνηλατών.
• Για κάθε ιχνηλάτη ή κατηγορία ιχνηλατών ιδίου σκοπού θα πρέπει να αναφέρονται η διάρκεια λειτουργίας, η ταυτότητα του υπευθύνου της επεξεργασίας, οι αποδέκτες ή οι κατηγορίες αποδεκτών των δεδομένων.
• Το περιεχόμενο της ενημέρωσης θα πρέπει να είναι ευανάγνωστο ανεξαρτήτως της τερματικής συσκευής από όπου γίνεται η πρόσβαση (φορητή ή σταθερή συσκευή).
• H συγκατάθεση απαιτεί σαφή θετική ενέργεια. Προσυμπληρωμένα τετραγωνίδια, απλή συνέχιση πλοήγησης ή κύλιση οθόνης (scrolling) δεν είναι αποδεκτοί τρόποι παροχής συγκατάθεσης.
• Δεν θεωρείται ότι υπάρχει συγκατάθεση του χρήστη στην περίπτωση κατά την οποία το πρόγραμμα πλοήγησης έχει ως επιλογή την αποδοχή των cookies.
• Ελλείψει οποιασδήποτε εκδήλωσης επιλογής (ούτε αποδοχής ούτε απόρριψης), δεν πρέπει να γίνεται χρήση κανενός μη απαραίτητου ιχνηλάτη.
• Θα πρέπει ο χρήστης να μπορεί, με τον ίδιο αριθμό ενεργειών («κλικ») και από το ίδιο επίπεδο, είτε να αποδέχεται τη χρήση των ιχνηλατών (εκείνων για τους οποίους απαιτείται συγκατάθεση) είτε να την απορρίπτει, είτε όλους είτε κάθε κατηγορία ξεχωριστά.
• Ο χρήστης πρέπει να έχει τη δυνατότητα να ανακαλέσει τη συγκατάθεσή του με τον ίδιο τρόπο και με την ίδια ευκολία που τη δήλωσε.
• Η μη παροχή συγκατάθεσης για τη χρήση ιχνηλατών δεν πρέπει να οδηγεί σε αποκλεισμό από την πρόσβαση στο περιεχόμενο της ιστοσελίδας (αποφυγή “cookie wall”).
• Για να διασφαλιστεί ότι ο χρήστης δεν έχει επηρεαστεί από επιλογές σχεδιασμού υπέρ της επιλογής αποδοχής έναντι της επιλογής απόρριψης, συνιστάται η χρήση κουμπιών και γραμματοσειράς ίδιου μεγέθους, τονισμού και χρώματος, που να προσφέρει την ίδια ευκολία ανάγνωσης.
• Ανεξαρτήτως αποδοχής ή απόρριψης των ιχνηλατών, η επανεμφάνιση του αναδυόμενου παραθύρου, ώστε να ερωτηθεί ξανά ο χρήστης, πρέπει να γίνεται μετά από τον ίδιο χρόνο. Δηλαδή, η διάρκεια «τήρησης» της επιλογής του χρήστη είναι η ίδια είτε ο χρήστης απορρίψει είτε αποδεχτεί τους ιχνηλάτες. Εξυπακούεται ότι η χρήση ιχνηλάτη για την αποθήκευση αυτής της επιλογής ενός χρήστη εντάσσεται στα τεχνικά απαραίτητα.

Δεν μπορεί κανείς να αμφισβητήσει ότι το ηλεκτρονικό εμπόριο στη Χώρα μας εισέρχεται σε μία νέα εποχή. Τα ηλεκτρονικά καταστήματα πληθαίνουν μέρα με την ημέρα και το διαδίκτυο μετατρέπεται σταδιακά σε ένα τεράστιο πολυκατάστημα, που παρέχει κάθε λογής προϊόντα και υπηρεσίες στους καταναλωτές. Σε αυτή τη νέα εποχή, οι επιχειρηματίες  οφείλουν να αντιμετωπίζουν τα ηλεκτρονικά τους καταστήματα με την ίδια φροντίδα και σπουδή που επιδεικνύουν και για τα φυσικά τους καταστήματα, οφείλουν να αντιμετωπίζουν τους επισκέπτες των ιστοσελίδων τους με την ίδια υπευθυνότητα και σοβαρότητα  που επιδεικνύουν έναντι των πελατών που προσέρχονται στα καταστήματα λιανικής. οφείλουν – τέλος – να αντιληφθούν, ότι εν όψει ενός όλο και περισσότερο πληροφορημένου καταναλωτικού κοινού, η νόμιμη λειτουργία ενός e-shop δεν συνιστά απλώς και μόνον προϋπόθεση για την αποφυγή επιβολής κυρώσεων εις βάρος του ιδιοκτήτη του, αλλά προϋπόθεση διατήρησης  της ύπαρξής του.