Fałszywe zamówienia w sklepie internetowym – jak się bronić

Jak prawnie ułożyć sprzedaż w sklepie internetowym

Punktem wyjścia powinien być regulamin sklepu internetowego. Zgodnie z art. 8 ust. 1 pkt 1 ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną usługodawca określa regulamin świadczenia usług drogą elektroniczną i udostępnia go usługobiorcy nieodpłatnie przed zawarciem umowy. Jeżeli sprzedaż odbywa się online, regulamin powinien precyzyjnie opisywać m.in. zasady składania zamówień, płatności, moment zawarcia umowy i przypadki anulowania zamówienia.

To ważne, ponieważ w praktyce wiele problemów bierze się z niejasnego rozróżnienia pomiędzy: dodaniem produktu do koszyka, złożeniem zamówienia, rezerwacją towaru i zawarciem umowy sprzedaży. Z perspektywy prawa cywilnego znaczenie ma przede wszystkim to, jak skonstruowano proces zakupowy i jakie komunikaty widzi klient.

Zgodnie z art. 66 § 1 ustawy z dnia 23 kwietnia 1964 r. – Kodeks cywilny oświadczenie drugiej stronie woli zawarcia umowy, określające istotne postanowienia tej umowy, jest ofertą. Jednocześnie w handlu internetowym często stosuje się model, w którym informacje na stronie mają charakter zaproszenia do zawarcia umowy, a dopiero potwierdzenie przyjęcia zamówienia przez sprzedawcę powoduje zawarcie umowy. Taki model trzeba jednak jasno opisać w regulaminie i komunikatach zakupowych.

W relacjach z konsumentem dochodzą obowiązki z art. 12 ust. 1 oraz art. 17 ustawy z dnia 30 maja 2014 r. o prawach konsumenta. Przedsiębiorca musi podać konsumentowi m.in. główne cechy świadczenia, cenę, sposób płatności, sposób spełnienia świadczenia, a przy zamówieniu wymagającym zapłaty zapewnić, by konsument wyraźnie potwierdził, że wie o obowiązku zapłaty. Przycisk finalizujący zakup powinien być oznaczony jednoznacznie, np. „zamówienie z obowiązkiem zapłaty”.

Jakie zapisy w regulaminie ograniczają fałszywe zamówienia

Regulamin powinien jasno przewidywać:

• czy dodanie produktu do koszyka powoduje jego rezerwację, czy nie,
• czy złożenie zamówienia przed płatnością blokuje towar,
• jak długo trwa rezerwacja towaru oczekującego na płatność,
• w jakich przypadkach sprzedawca może anulować zamówienie,
• czy sprzedawca może odmówić realizacji zamówienia z uzasadnionych przyczyn bezpieczeństwa,
• jakie środki weryfikacyjne mogą być stosowane przy zamówieniach wysokokwotowych.

Praktycznie najbezpieczniejsze są rozwiązania, w których rezerwacja trwa krótko i automatycznie wygasa po bezskutecznym upływie terminu płatności, np. po 15, 30, 60 minutach albo po kilku godzinach – zależnie od rodzaju asortymentu i modelu płatności. Nie ma przepisu, który narzuca konkretny limit czasu. To przedsiębiorca ustala zasady, o ile nie są one sprzeczne z prawem i zostały czytelnie zakomunikowane.

Warto też opisać, że przy zamówieniach o podwyższonym ryzyku sklep może zastosować dodatkową autoryzację, np. potwierdzenie telefoniczne, płatność z góry, ograniczenie liczby sztuk lub ręczną akceptację. Jeżeli takie mechanizmy są stosowane wybiórczo, powinny opierać się na obiektywnych kryteriach, a nie arbitralnej ocenie konkretnej osoby.

Czy można blokować użytkownika, adres e-mail lub IP

Co do zasady tak, ale sposób działania musi być zgodny z prawem i adekwatny do celu. Jeżeli ktoś nadużywa systemu sklepu, przedsiębiorca może stosować środki techniczne chroniące usługę, takie jak blokada konta, blokada określonych adresów e-mail, ograniczenia liczby zamówień czy filtrowanie ruchu.

Trzeba jednak pamiętać, że adres IP, dane konta, adres e-mail czy historia zamówień mogą stanowić dane osobowe w rozumieniu art. 4 pkt 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, czyli RODO, jeżeli pozwalają zidentyfikować osobę bezpośrednio lub pośrednio. Ich przetwarzanie musi więc mieć podstawę z art. 6 ust. 1 RODO.

Najczęściej podstawą będzie art. 6 ust. 1 lit. f RODO, czyli prawnie uzasadniony interes administratora polegający na ochronie sklepu przed nadużyciami, zabezpieczeniu systemu teleinformatycznego oraz dochodzeniu lub obronie roszczeń. Taki cel powinien być opisany w polityce prywatności lub klauzuli informacyjnej. Zakres danych i czas ich przechowywania powinny być proporcjonalne.

Nie oznacza to jednak pełnej dowolności. Sama zbieżność IP nie zawsze przesądza, że działa jedna osoba. Ten sam adres bywa współdzielony, a część narzędzi ochronnych generuje wyniki obarczone błędem. Dlatego przed trwałą blokadą konta lub odmową realizacji warto zestawić kilka przesłanek, np. powtarzalny schemat zamówień, te same dane kontaktowe, brak płatności, nietypowe godziny aktywności, korzystanie z jednego urządzenia czy tożsame adresy dostawy.

Zobacz również:

oferta handlowa na stronie internetowej a wiążąca umowa

Czy fałszywe zamówienia to przestępstwo

Nie można z góry przyjąć, że każde nieopłacone zamówienie jest wyłącznie „nieszkodliwym żartem” albo od razu przestępstwem. Ocena zależy od konkretnego stanu faktycznego: skali działania, zamiaru sprawcy, powstałej szkody i sposobu działania.

W niektórych sytuacjach w grę może wchodzić odpowiedzialność karna. Przykładowo art. 286 § 1 ustawy z dnia 6 czerwca 1997 r. – Kodeks karny dotyczy oszustwa, ale jego zastosowanie wymaga wykazania doprowadzenia innej osoby do niekorzystnego rozporządzenia mieniem za pomocą wprowadzenia w błąd albo wykorzystania błędu. Jeżeli nie dochodzi do płatności ani wydania towaru, ten przepis nie zawsze będzie właściwy.

W zależności od sposobu działania sprawcy trzeba rozważyć również, czy nie doszło do bezprawnego zakłócania pracy systemu teleinformatycznego lub działania na szkodę przedsiębiorcy. Znaczenie mogą mieć m.in. art. 268a § 1 Kodeksu karnego, penalizujący istotne zakłócanie automatycznego przetwarzania, gromadzenia lub przekazywania danych informatycznych, oraz art. 269a Kodeksu karnego, który dotyczy istotnego zakłócania pracy systemu komputerowego, systemu teleinformatycznego lub sieci teleinformatycznej. Zastosowanie tych przepisów wymaga jednak analizy, czy doszło do rzeczywistego i istotnego zakłócenia działania systemu, a nie tylko do pojedynczych nieuczciwych zamówień.

Jeżeli sprawca posługuje się cudzymi danymi, mogą dojść dodatkowe naruszenia, w tym podszywanie się pod inną osobę. W praktyce organy ścigania będą oczekiwać konkretnych materiałów: logów systemowych, historii zamówień, danych o czasie i sposobie składania zamówień, zapisów korespondencji, informacji o stratach i wpływie na funkcjonowanie sklepu.

Nie jest więc trafne twierdzenie, że „takiego zachowania nie da się nigdzie zgłosić”. Jeżeli działanie ma charakter uporczywy, celowy i powoduje wymierną szkodę albo istotnie zakłóca działanie sklepu, zgłoszenie na policję lub do prokuratury może być zasadne. Co innego jednak pojedyncze porzucone koszyki lub sporadyczne nieopłacone zamówienia – te zwykle wymagają raczej reakcji organizacyjnej niż karnej.

Jak zabezpieczyć dowody przed zgłoszeniem sprawy

Jeżeli rozważa Pan/Pani zgłoszenie sprawy, warto od razu zabezpieczyć:

• numery i daty zamówień,
• logi serwera i aplikacji sklepu,
• adresy IP, identyfikatory urządzeń lub sesji, o ile są legalnie gromadzone,
• dane wpisywane przy zamówieniach,
• korespondencję e-mail, SMS lub czat,
• informacje o zablokowaniu towaru i utraconych transakcjach,
• zrzuty ekranów procesu zakupowego i obowiązującego w dacie zdarzeń regulaminu.

Takie dane mogą być potrzebne nie tylko w postępowaniu karnym, ale również przy ewentualnym dochodzeniu odszkodowania na zasadach ogólnych z art. 415 Kodeksu cywilnego, zgodnie z którym kto z winy swej wyrządził drugiemu szkodę, obowiązany jest do jej naprawienia. W praktyce dochodzenie odszkodowania będzie jednak trudne, jeśli nie uda się ustalić sprawcy albo wykazać wysokości szkody.

Jakie rozwiązania techniczne warto wdrożyć

Prawo nie zabrania łączenia regulaminu z rozwiązaniami informatycznymi. W praktyce to właśnie połączenie obu obszarów daje najlepszy efekt. W sklepie warto rozważyć:

• krótki czas rezerwacji przy braku płatności,
• automatyczne anulowanie zamówień nieopłaconych,
• ograniczenie liczby jednoczesnych zamówień na koncie,
• CAPTCHA lub inne zabezpieczenia antybotowe,
• weryfikację numeru telefonu lub adresu e-mail,
• płatność z góry przy towarach wysokiej wartości,
• ręczną akceptację nietypowych zamówień,
• monitoring wzorców nadużyć i alerty administracyjne.

Takie działania powinny być proporcjonalne do ryzyka. Inny poziom zabezpieczeń będzie uzasadniony przy sprzedaży drobnych produktów, a inny przy zamówieniach po kilkadziesiąt tysięcy złotych.

Zobacz również:

sprzedaż cudzych produktów w sklepie internetowym – kto odpowiada za zwroty i reklamacje

Czego nie warto robić

Nie warto opierać ochrony sklepu wyłącznie na ręcznej obserwacji zamówień. Przy powtarzających się nadużyciach to zwykle nieskuteczne. Ryzykowne jest też wprowadzanie blokad bez podstawy opisanej w regulaminie i polityce prywatności albo gromadzenie nadmiernej ilości danych „na wszelki wypadek”.

Nie należy również zakładać, że każdy klient, który nie opłaci zamówienia, działa w złej wierze. Część koszyków jest porzucana z przyczyn technicznych lub organizacyjnych. Inaczej trzeba traktować sporadyczny brak płatności, a inaczej celowe, wielokrotne blokowanie towaru przez tę samą osobę.

FAQ

Czy mogę anulować nieopłacone zamówienie automatycznie?

Tak, jeżeli zasady są jasno opisane w regulaminie i klient jest o nich poinformowany przed złożeniem zamówienia. Warto wskazać konkretny termin, po którym rezerwacja wygasa.

Czy mogę zablokować klienta, który składa fikcyjne zamówienia?

Tak, jeżeli istnieją uzasadnione podstawy i działanie ma na celu ochronę sklepu przed nadużyciami. Warto, aby takie możliwości wynikały z regulaminu i były zgodne z zasadami przetwarzania danych osobowych.

Czy sam adres IP wystarczy do ustalenia sprawcy?

Nie zawsze. Adres IP jest ważną wskazówką, ale zwykle nie wystarcza samodzielnie. Najlepiej zestawić go z innymi danymi i logami systemowymi.

Czy każde fałszywe zamówienie trzeba zgłaszać na policję?

Nie. Przy pojedynczych incydentach skuteczniejsze bywają zmiany organizacyjne i techniczne. Zgłoszenie warto rozważyć, gdy działanie jest uporczywe, celowe i powoduje realną szkodę lub istotnie zakłóca pracę sklepu.

Czy regulamin może przewidywać płatność z góry przy drogich towarach?

Tak. Sprzedawca może różnicować warunki realizacji zamówień, o ile robi to jasno, proporcjonalnie i zgodnie z obowiązkami informacyjnymi wobec klienta.

Podsumowanie

Najskuteczniejsza ochrona przed fałszywymi zamówieniami to połączenie trzech elementów: poprawnego regulaminu, automatyzacji procesów i świadomego zabezpieczania dowodów. Nie każdy brak płatności jest przestępstwem, ale uporczywe blokowanie towaru może uzasadniać dalsze kroki prawne. Im wyższa wartość zamówień i większa skala nadużyć, tym ważniejsze staje się precyzyjne opisanie procedur w sklepie oraz zgodne z RODO monitorowanie incydentów.

Źródła:

Ustawa z dnia 23 kwietnia 1964 r. – Kodeks cywilny – Dz.U. 1964 nr 16 poz. 93

Ustawa z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną – Dz.U. 2002 nr 144 poz. 1204

Ustawa z dnia 30 maja 2014 r. o prawach konsumenta – Dz.U. 2014 poz. 827

Ustawa z dnia 6 czerwca 1997 r. – Kodeks karny – Dz.U. 1997 nr 88 poz. 553

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) – EUR-Lex