Spletne trgovine morajo uporabnikom omogočiti nadzor nad njihovimi osebnimi podatki
Opis problema
Veliko spletnih trgovin nakup pogojuje z obvezno registracijo uporabniškega računa. Za izvedbo dostave so osebni podatki, kot so ime, priimek, naslov za dostavo, e-poštni naslov in pogosto tudi telefonska številka, seveda potrebni. Vendar pa za enkraten nakup ustvarjanje trajnega uporabniškega računa pogosto ni nujno, saj bi bilo mogoče nakup opraviti tudi kot gost.
Težava nastane, ker številne spletne trgovine uporabnika prisilijo v registracijo, nato pa mu ne omogočajo ustreznega upravljanja z njegovimi osebnimi podatki in uporabniškim računom.
Pogosto ni mogoče spremeniti e-poštnega naslova ali telefonske številke, kar predstavlja resno težavo ob menjavi kontaktnih podatkov ali v primeru njihove zlorabe. Poleg tega številne spletne trgovine ne podpirajo uporabe dolgih in kompleksnih gesel ter ne omogočajo dvofaktorske avtentikacije (2FA), ki danes predstavlja enega izmed osnovnih varnostnih standardov za zaščito uporabniških računov.
Posebej problematično je, da številni ponudniki ne omogočajo samostojnega izbrisa uporabniškega računa. Posledično osebni podatki uporabnikov ostanejo shranjeni na njihovih strežnikih še več let po zadnjem nakupu, čeprav uporabnik računa ne uporablja več in ga želi izbrisati.
Vsaka dodatna zbirka osebnih podatkov predstavlja potencialno tarčo kibernetskih napadov. Ob varnostnih incidentih lahko pride do razkritja osebnih podatkov, ki jih ponudnik sploh ne bi več potreboval hraniti, če bi uporabniku omogočil njihov izbris.
Čeprav Splošna uredba o varstvu podatkov (GDPR) določa pravico posameznika do izbrisa osebnih podatkov, je v praksi uveljavljanje te pravice pogosto zapleteno. Uporabnik mora ponudnika posebej kontaktirati, iskati ustrezne obrazce ali čakati na odgovor, namesto da bi lahko račun preprosto izbrisal sam v nastavitvah uporabniškega računa.
Predlog
Predlagam sprejem zakonodaje, ki bi določila minimalne varnostne in funkcionalne standarde za spletne trgovine, ki poslujejo s slovenskimi potrošniki.
Zakon naj določi, da mora vsaka spletna trgovina:
omogočiti nakup brez ustvarjanja uporabniškega računa (nakup kot gost), kadar trajni uporabniški račun ni nujen za izvedbo storitve,
uporabniku omogočiti spremembo e-poštnega naslova in telefonske številke,
omogočiti uporabo dolgih in kompleksnih gesel brez nepotrebnih omejitev,
podpirati dvofaktorsko avtentikacijo (2FA) za zaščito uporabniškega računa,
uporabniku omogočiti enostaven in trajen izbris uporabniškega računa neposredno v nastavitvah računa,
po izbrisu računa izbrisati vse osebne podatke, razen tistih, katerih hrambo izrecno zahtevajo veljavni predpisi (na primer davčna ali računovodska zakonodaja).
Takšna ureditev bi povečala varnost osebnih podatkov slovenskih potrošnikov, zmanjšala posledice morebitnih kibernetskih napadov ter spodbudila ponudnike spletnih trgovin k odgovornemu ravnanju z osebnimi podatki in uporabi sodobnih varnostnih standardov.
Predlagal bi še eno dopolnitev, ker danes postaja vse bolj pomembna. Na seznam obveznosti bi dodal tudi:
uporabniku omogočiti izvoz njegovih osebnih podatkov in zgodovine naročil v strojno berljivi obliki pred izbrisom računa.
To bi bilo skladno z načelom prenosljivosti podatkov iz GDPR in bi uporabnikom omogočilo, da pred zaprtjem računa ohranijo podatke o svojih nakupih in garancijah.