Firma w internecie - krok po kroku

Jednak, aby prowadzić w internecie interesy, które będą zgodne z obowiązującym prawem, należy zwrócić uwagę na całkiem sporą ilość kruczków prawnych, z którymi musi zmierzyć się nowy przedsiębiorca. Ogólnie przyjętą zasadą jest precyzyjnie przygotowany przez właściciela danego serwisu internetowego regulamin świadczenia usług, który w wirtualnym świecie stanowi umowę, jaka łączy sprzedającego z kupującym albo usługodawcę z usługobiorcą. Trzeba też pamiętać, że prowadzenie działalności gospodarczej w internecie wiąże się z koniecznością przyswojenia sobie co najmniej kilku ustaw, gdyż ich nieznajomość może okazać się bardzo bolesna dla przedsiębiorcy. Przepisy regulujące kwestie związane z regulaminem świadczenia usług w internecie są zawarte w różnych aktach prawnych.

Do prowadzenia działalności gospodarczej w wirtualnym świecie niezbędna jest znajomość ustaw:

• z 23 kwietnia 1964 r. kodeks cywilny,
• z 2 marca 2000 r. o ochronie niektórych praw konsumentów oraz o odpowiedzialności za szkodę wyrządzoną przez produkt niebezpieczny (dalej unpk),
• z 27 lipca 2002 r. o szczególnych warunkach sprzedaży konsumenckiej oraz o zmianie Kodeksu cywilnego,
• z 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (dalej uśude),
• z 29 sierpnia 1997 r. o ochronie danych osobowych.

W przypadku serwisu internetowego (aplikacja webowa stworzona w modelu SaaS, portal społecznościowy) najważniejszym aktem prawnym będzie ustawa o świadczeniu usług drogą elektroniczną, a dla sklepu internetowego ważniejsze będą trzy pierwsze wymienione akty prawa. Nie można też wykluczyć, że z uwagi na specyfikę danego e-biznesu zastosowanie będą miały inne, bardziej branżowe przepisy. Takim przykładem może być prowadzenie działalności telekomunikacyjnej, gdzie kwestie odnoszące się do regulaminu i tego co powinno się w nim znaleźć zostały wskazane w ustawie z 21 lipca 2000 r. prawo telekomunikacyjne.

Wymieniana ustawa o świadczeniu usług drogą elektroniczną nakazuje w art. 8 ust. 1, by usługodawca określił regulamin świadczenia usług drogą elektroniczną i nieodpłatnie udostępnił go usługobiorcom przed zawarciem umowy. Regulamin ten należy uznać za wzorzec umowy w rozumieniu art. 384 i następnych kodeksu cywilnego (z wyłączeniem art. 384 §4 kc). Przepis uśude, o którym mowa wyżej, nakazuje wprost stworzenie regulaminu. Warto dodać, że jest on co do zasady zgodny z wytycznymi zawartymi w kodeksie cywilnym, gdzie w art. 384 § 1 i 3 mowa jest o tym, że: "Ustalony przez jedną ze stron wzorzec umowy, w szczególności ogólne warunki umów, wzór umowy, regulamin, wiąże drugą stronę, jeżeli został jej doręczony przed zawarciem umowy" i dalej "Jeżeli jedna ze stron posługuje się wzorcem umowy w postaci elektronicznej, powinna udostępnić go drugiej stronie przed zawarciem umowy w taki sposób, aby mogła ona wzorzec ten przechowywać i odtwarzać w zwykłym toku czynności". Należy też pamiętać, że art. 8 ust. 2 uśude mówi, że "Usługobiorca nie jest związany tymi postanowieniami regulaminu, które nie zostały mu udostępnione" w sposób opisany w tym przepisie.

Zgodnie z art. 8 ust. 3 uśude każdy regulamin dla usług świadczonych elektronicznie powinien określać:

• rodzaj i zakres usług świadczonych przez Internet - precyzyjne opisanie usług, np. możliwość prowadzenia własnego bloga w ramach serwisu, pisanie komentarzy, granie w gry, etc.,
• warunki świadczenia usług, w tym zwłaszcza wymagania techniczne niezbędne do prawidłowego korzystania z tych usług (np. konieczność posiadania adresu e-mail, konieczność stosowania przeglądarki www o określonym standardzie) i informacje o tym, że usługobiorca serwisu ma zakaz dostarczania treści o charakterze bezprawnym,
• warunki zawierania i rozwiązywania umów o świadczenie usług przez internet (bez względu na to, czy chodzi o usługi bezpłatne czy odpłatne),
• tryb postępowania reklamacyjnego, np. w jaki sposób można złożyć reklamację, jaki jest czas na jej rozpatrzenie, etc. Należy pamiętać, że w przeciwieństwie do usług telekomunikacyjnych na gruncie uśude nie jest konieczne wyczerpanie trybu reklamacyjnego, aby usługobiorca mógł dochodzić swych praw przed sądem, choć wydaje się, że taki zapis mógłby zostać wprowadzony do regulaminu przez usługodawcę. Co ważne, omawiany przepis dokonuje tylko wyliczenia przykładowego - ustawodawca posłużył się bowiem zwrotem "Regulamin określa w szczególności". Oznacza to, że każdy regulamin powinien zawierać pewne minimum, na które składają się ww. punkty, ale nie ma przeszkód, aby bardziej go rozbudować.

  Identyfikacja przedsiębiorcy

  Przedsiębiorca prowadzący działalność w Internecie powinien też pamiętać o art. 5 ust. 2 i 3 uśude, zgodnie z którymi ma obowiązek podać:
  • identyfikujący go adres elektroniczny (adres e-mail),
  • imię, nazwisko, miejsce zamieszkania i adres albo nazwę lub firmę oraz siedzibę i adres,
  • informacje dotyczące właściwego zezwolenia i organu zezwalającego, w razie gdy świadczenie usługi wymaga, na podstawie odrębnych przepisów, takiego zezwolenia.

  Dodatkowo, jeśli podmiotem świadczącym usługi w Internecie jest spółka kapitałowa, to zgodnie z postanowieniami ustawy z 15 września 2000 r. Kodeks spółek handlowych (art. 206 w odniesieniu do sp. z o.o. i art. 374 w odniesieniu do S.A.) powyższe informacje należy uzupełnić o:

  • oznaczenie sądu rejestrowego, w którym przechowywana jest dokumentacja spółki i numer, pod którym spółka jest wpisana do rejestru,
  • numer identyfikacji podatkowej (NIP),
  • wysokość kapitału zakładowego.

  Sklepy internetowe

  Dla przedsiębiorców, którzy prowadzą sklepy internetowe, najważniejsze są przepisy zawarte w ustawie z 2 marca 2000 r. o ochronie niektórych praw konsumentów i odpowiedzialności za szkodę wyrządzoną przez produkt niebezpieczny. Kluczowe znaczenie ma art. 9 unpk, zgodnie z którym sklep powinien poinformować konsumenta, najpóźniej w chwili złożenia mu propozycji zawarcia umowy, o:

  • imieniu i nazwisku (nazwie), adresie zamieszkania (siedziby) przedsiębiorcy i organie, który zarejestrował działalność gospodarczą przedsiębiorcy, a także numerze, pod którym przedsiębiorca został zarejestrowany,
  • istotnych właściwościach świadczenia i jego przedmiotu,
  • cenie lub wynagrodzeniu obejmujących wszystkie ich składniki, szczególnie cła i podatki,
  • zasadach zapłaty ceny lub wynagrodzenia,
  • kosztach oraz terminie i sposobie dostawy,
  • prawie odstąpienia od umowy w terminie dziesięciu dni, ze wskazaniem wyjątków, o których mowa w art. 10 ust. 3 (wyjątki dotyczą np. usług w zakresie gier hazardowych, nagrań audialnych i wizualnych oraz zapisanych na informatycznych nośnikach danych po usunięciu przez konsumenta ich oryginalnego opakowania),
  • kosztach wynikających z korzystania ze środków porozumiewania się na odległość, jeśli są one skalkulowane inaczej niż wedle normalnej taryfy,
  • terminie, w jakim oferta lub informacja o cenie albo wynagrodzeniu mają charakter wiążący,
  • minimalnym okresie, na jaki ma być zawarta umowa o świadczenia ciągłe lub okresowe,
  • miejscu i sposobie składania reklamacji,
  • prawie wypowiedzenia umowy, o którym mowa w art. 8 ust. 3 (chodzi o umowy, których czas trwania nie został oznaczony - wówczas każda strona może ją wypowiedzieć, bez wskazania przyczyn, z zachowaniem terminu miesięcznego, chyba że strony zastrzegły krótszy termin wypowiedzenia).

  Uwaga na klauzule

  Na pewno warto też zapamiętać, czego nie należy wpisywać do regulaminu. Przedsiębiorca znajdzie na stronie Urzędu Ochrony Konkurencji i Konsumentów ważny dokument - tzw. rejestr klauzul niedozwolonych. Stosowanie w regulaminie zapisów, które trafiły do tego rejestru, jest ryzykowne i może zakończyć się dla przedsiębiorcy dość boleśnie pod względem finansowym. W praktyce najczęściej pojawiają się w nich np. następujące zapisy:

  - "Sądem właściwym dla rozpatrywania sporów wynikających z umowy sprzedaży jest sąd właściwy dla siedziby sklepu",

  - "Mimo wszelkich starań sklep zastrzega sobie możliwość błędów w opisie produktów. Zdjęcia produktów są jedynie przykładowe",

  - "Mimo dołożenia wszelkich starań nie gwarantujemy, że publikowane dane techniczne nie zawierają uchybień lub błędów, które nie mogą jednak być podstawą do roszczeń",

  - "Strony wyłączają odpowiedzialność z tytułu rękojmi za wady fizyczne towaru",

  - "Wszelkie zmiany wchodzą w życie z chwilą ich opublikowania (zamieszczenia) w regulaminie sklepu internetowego, w związku z czym klient zobowiązany jest do bieżącej weryfikacji jego postanowień",

  - "Wysokość opłat określona jest na podstawie kursów walut na dzień naliczenia i zaokrąglona do pełnych groszy",

  - "Opóźnienia wynikające z działania Poczty Polskiej lub innego przewoźnika nie obciążają w żaden sposób sklepu",

  - "Zmienione zapisy Regulaminu są wiążące od momentu ich opublikowania w witrynie sklepu".

  Zakres zbieranych danych musi być adekwatny do celu jakiemu służą

  W świetle obowiązujących przepisów nie istnieje wymóg tworzenia przez właściciela serwisu dokumentu powszechnie znanego jako polityka prywatności. Warto jednak zauważyć, że Generalny Inspektor Ochrony Danych Osobowych podkreśla znaczenie takiego dokumentu, jako miejsca, w którym internauta może dowiedzieć się, do czego będą wykorzystywane dane osobowe przez właściciela serwisu - czy to świadomie (np. na podstawie zgód, które internauta wyrażać będzie podczas rejestracji) czy to automatycznie (np. przez umieszczanie plików :, zapamiętywanie adresu IP, pobieranie danych o używanej przeglądarce, etc.). Można zatem przyjąć, że dobrą praktyką prowadzenia biznesu w Internecie jest opublikowanie przez serwis polityki prywatności. Zabierając się do pisania tego dokumentu, warto przez chwilę wczuć się w użytkownika naszego serwisu i zastanowić się, co sami chcielibyśmy znaleźć w polityce prywatności.

  Polityka Prywatności powinna wyjaśniać:

  • kto jest administratorem danych osobowych: pełna nazwa firmy, adres jej siedziby,
  • do czego będą wykorzystywane dane osobowe: określenie celów przetwarzania danych,
  • prawo dostępu do treści danych osobowych i możliwości ich poprawiania,
  • komu dane osobowe mogą być udostępniane, na jakich zasadach i po spełnieniu jakich warunków może to nastąpić,
  • dobrowolny lub obowiązkowy charakter podania danych; w tym ostatnim przypadku może to nastąpić tylko wtedy, gdy przewiduje to wyraźny przepis prawa,
  • zasady stosowania plików cookies, zapamiętywania adresu IP, wyświetlania reklam, statystyki,
  • sposoby zabezpieczenia danych, w tym spełniania wymogów ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych,
  • czy zbiór danych został zgłoszony do GIODO.

  Inne wymogi

  Przedsiębiorca, który stworzył regulamin dla swojego e-biznesu i zdecydował się też na opracowanie polityki prywatności nie może jeszcze odetchnąć z ulgą i powiedzieć sobie - mogę wreszcie zacząć zarabiać pieniądze. Do tej pory nie wspominałem bowiem o wymogach zawartych w ustawie z 29 sierpnia 1997 r. o ochronie danych osobowych (dalej uodo). Poniżej opiszę tylko te aspekty uodo, które dotyczą przygotowania strony internetowej do e-biznesu.

  Formularz rejestracyjny

  Obecnie jednym z najbardziej popularnych sposobów zabezpieczania procesu rejestracji w serwisie internetowym (portalu, jak i sklepu on-line), a także samego logowania do niego jest korzystanie z protokołu SSL. Co daje taki protokół? Otóż szyfruje on wszystkie dane wychodzące z aplikacji i deszyfruje dane wchodzące do aplikacji. W przypadku serwera www, SSL zabezpiecza dokumenty, czyli poufne dane. Przesyłane przez stronę internetową dane są szyfrowane, a zatem minimalizujemy ryzyko, że trafią one w niepowołane ręce. Wbrew pozorom zakup certyfikatu SSL nie wiąże się z koniecznością wydania ogromnych pieniędzy. Dlatego sugerowałbym, aby przedsiębiorcy myślący poważnie o klientach swoich e-biznesów zdecydowali się na takie rozwiązanie. W ten sposób wzmacniają swoją wiarygodność, ale też przede wszystkim dopełniają należytej staranności w kontekście bezpieczeństwa danych osobowych swoich użytkowników/klientów.

  Adres tak, PESEL nie>

  Przedsiębiorca myślący o e-biznesie musi pamiętać o ważnej z punktu widzenia uodo zasadzie adekwatności, o której mowa w art. 26 tej ustawy. W myśl tego przepisu dane osobowe przetwarzane przez administratora danych (właściciela serwisu/sklepu) powinny być adekwatne do celu, dla jakiego mają być wykorzystane. Bez problemu można przyjąć, że takie dane jak imię, nazwisko, adres zamieszkania i podstawowe dane kontaktowe (adres e-mail, numer telefonu) będą niezbędne do tego, by właściciel sklepu on-line mógł zrealizować umowę kupna-sprzedaży.

  Z kolei zbieranie przy tej okazji takich informacji jak numer PESEL albo nazwisko panieńskie matki w zasadzie wprost narusza przytoczoną zasadę. W odniesieniu do sklepów internetowych w miarę prosto można dokonać analizy, czy zakres danych będzie adekwatny do celu. Problem może pojawić się w przypadku portali społecznościowych. Warto wówczas skupić się na tym, jakie dane przedsiębiorca chce obligatoryjnie posiadać, aby proponowana przez niego usługa mogła działać, a jakie dane będą miały status informacji fakultatywnych, których podanie zależeć będzie tylko od użytkownika.

  Zwróćmy też uwagę, w jakim celu te dane będą wykorzystywane, gdyż to cel w dużej mierze determinuje zakres niezbędnych danych. Pisząc o celu przetwarzania danych, należy jasno i z całą mocą podkreślić, że jego wskazanie przez e-przedsiębiorcę jest obligatoryjne, tzn. przedsiębiorca internetowy ma obowiązek określić ten cel. Przy usługach świadczonych drogą elektroniczną najczęściej pojawić się mogą następujące cele:

  • rejestracja w portalu/dokonanie zakupu (rozumiana jako zawarcie umowy o świadczenie usług/umowy kupna - sprzedaży zawartej na odległość),
  • marketing (możliwość promowania usług i produktów właściciela portalu/sklepu i ew. innych podmiotów),
  • przesyłanie informacji handlowych (wysyłanie na adres e-mail albo numer telefonu poprzez SMS albo MMS informacji promujących produkty lub usługi właściciela portalu/sklepu i ew. innych podmiotów),
  • zapisywanie się na newsletter (otrzymywanie informacji związanych z portalem/sklepem internetowym, często będą to treści marketingowe/informacje handlowe),
  • statystka (liczby odwiedzin danej strony, jakie podstrony były otwierane, skąd nastąpiło wejście na stronę, etc.),
  • reklamacje,
  • korespondencja. Zgoda internauty Wykorzystywanie danych osobowych w niektórych z opisanych celów wymaga zgody internauty. Co do zasady można przyjąć, że wykorzystywanie danych w celach marketingowych i przesyłania informacji handlowych wymaga uprzedniego wyrażenia zgody. Sama zgoda, zgodnie z definicją zawartą w uodo (art. 7 pkt 5) oznacza oświadczenie woli, którego treścią jest zgoda na przetwarzanie danych osobowych tego, kto składa oświadczenie. Zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści, może też być odwołana w dowolnym momencie. Co wynika z tej definicji dla przedsiębiorcy internetowego? Jakie oświadczenie Konstruując stosowne klauzule przedsiębiorca internetowy musi pamiętać, że:
    • Zgoda nie może być częścią oświadczenia woli o innej treści, np. nie może być częścią regulaminu w tym sensie, że zaznaczenie "checkboksu" o zapoznaniu się z regulaminem jest tożsame z tym, że skoro w regulaminie napisano, iż dane będą wykorzystywane w celach marketingowych, to automatycznie można je wykorzystywać w takim właśnie celu;
    • Zgoda taka powinna być zatem wyodrębniona z regulaminu - należałoby ją zamieścić w formularzu rejestracyjnym portalu/formularzu składania zamówień w sklepie on-line;
    • Zgoda może być w dowolnym momencie odwołana. Często ani regulamin ani polityka prywatności nie mówią wprost, jak dokonać odwołania zgody. Przedsiębiorca powinien jednak pamiętać, że ustawodawca w uodo nie zastrzegł dla tej czynności żadnej szczególnej formy, zatem wydaje się, że nawet oświadczenie ustne o takiej treści byłoby skuteczne.

    Obowiązki informacyjne

    Kończąc wątek formularza rejestracyjnego/zakupowego należy pamiętać o jeszcze jednej kwestii, a mianowicie o tzw. obowiązku informacyjnym. Wynika on z art. 24 uodo, zgodnie z którym firma będąca administratorem danych obligatoryjnie zobowiązana jest do udzielenia osobie fizycznej (np. internaucie) kilku podstawowych informacji na swój temat, a także nt. przetwarzania przez nią danych osobowych. Zgodnie z tym przepisem do obowiązku przedsiębiorcy należy poinformowanie o:

    • adresie swojej siedziby i pełnej nazwie, a w razie gdy administratorem danych jest osoba fizyczna - o miejscu swojego zamieszkania, imieniu i nazwisku;
    • celu zbierania danych, szczególnie o znanych w czasie udzielania informacji lub przewidywanych odbiorcach lub kategoriach odbiorców danych, czyli komu nasze dane będą udostępniane np. innym firmom, etc.;
    • prawie dostępu do treści swoich danych i możliwości ich poprawiania; dobrą praktyką będzie też wskazanie, w jaki sposób internauta może skorzystać z tego uprawnienia;
    • dobrowolności albo obowiązku podania danych, przy czym jeśli taki obowiązek istnieje, właściciel musi wskazać, z jakiego przepisu prawa to wynika; w praktyce z obowiązkiem podawania danych mamy do czynienia w relacjach z urzędami, rzadko z kolei ma to miejsce w przypadku firm prywatnych.

    Obowiązek informacyjny może być dopełniony przy formularzu rejestracyjnym, w polityce prywatności lub regulaminie.

    Zabezpieczenie techniczne, fizyczne i organizacyjne

    Poza opisanymi obowiązkami dotyczącymi danych osobowych, przedsiębiorca internetowy musi mieć świadomość, że wymogi te stanowią tylko pewien wycinek tego, co nakłada na niego uodo. Większość obowiązków wskazanych w tej ustawie dotyczy zabezpieczenia danych, przy czym chodzi zarówno o zabezpieczenia techniczne (np. logiczne zabezpieczenia serwerów, zabezpieczenie hasłami aplikacji służących do przetwarzania danych), fizyczne (np. zabezpieczenie obszarów przetwarzania danych przed dostępem osób nieuprawnionych, np. poprzez system ewidencjonowania wejść/wyjść), jak i organizacyjne (konieczność stworzenia dokumentacji ochrony danych osobowych, na którą składają się polityka bezpieczeństwa, instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych, upoważnienia do przetwarzania danych, ewidencja osób, którym te upoważnienia nadano, oświadczenia o zachowaniu danych w tajemnicy).

    Zgłoszenie do rejestru

    Innym obowiązkiem będzie konieczność zgłoszenia zbiorów danych do rejestru prowadzonego przez GIODO, o ile zbiory prowadzone przez przedsiębiorcę będą tego wymagały (uodo przewiduje pewne wyjątki, np. dla administratorów danych, którzy przetwarzają dane wyłącznie w celu wystawienia faktury, rachunku lub prowadzenia sprawozdawczości finansowej). Przedsiębiorca musi też pamiętać o prawidłowym uregulowaniu tematów z zakresu ochrony danych, które wiążą się z outsourcingiem pewnych usług, np. hostingu czy zewnętrznego call center.

    Michał Sztąberek

    prawnik, specjalista ds. ochrony danych osobowych, partner zarządzający iSecure Sp. z o.o.

    Biznes INTERIA.PL na Facebooku. Dołącz do nas i czytaj informacje gospodarcze