Formularz kontaktowy i RODO. Ile pól naprawdę potrzebujecie i gdzie lądują wiadomości

Ktoś wypełnia formularz kontaktowy na Waszej stronie. Imię, numer telefonu i krótkie pytanie o wolny termin. Klika „Wyślij” i zapomina. Jego dane zostają w Waszej skrzynce, a często też w bazie strony i w telefonie osoby, która tę skrzynkę czyta. Formularz zbiera dane osobowe, a to obszar RODO.

Nie piszemy tu, co dokładnie ma stać w Waszej klauzuli informacyjnej. To ustala prawnik. Piszemy, co jest w samym rozporządzeniu i co da się uporządkować po stronie technicznej, zanim do niego pójdziecie.

Co mówi samo RODO, gdy na stronie jest formularz kontaktowy

Rozporządzenie nie ma artykułu o formularzach. Ma za to kilka przepisów, które dotyczą każdego miejsca, gdzie zbiera się dane.

Art. 13 wylicza informacje, które podaje się osobie, gdy zbiera się od niej dane. Są wśród nich tożsamość i dane kontaktowe administratora, cele i podstawa prawna przetwarzania, odbiorcy danych, okres przechowywania albo kryteria jego ustalania, prawa tej osoby i prawo do skargi do organu nadzorczego.

Art. 5 mówi o minimalizacji danych. Dane mają być „adekwatne, stosowne oraz ograniczone do tego, co niezbędne” do celów, w których są przetwarzane. W tym samym artykule jest zasada, że nie przechowuje się ich dłużej, niż jest to niezbędne.

Jeśli coś opiera się na zgodzie, art. 7 mówi, że administrator musi być w stanie wykazać, że ją otrzymał, a wycofanie zgody ma być równie łatwe jak jej wyrażenie. W motywie 32 stoi wprost, że „milczenie, okienka domyślnie zaznaczone lub niepodjęcie działania nie powinny zatem oznaczać zgody”.

Co z tego wynika dla Waszego formularza i jak ma brzmieć tekst obok niego, warto sprawdzić z prawnikiem. Poniżej jest część, którą możecie przygotować sami.

Tylko te pola, których naprawdę potrzebujecie

Przy każdym polu zastanówcie się, co zrobicie z tą informacją. Jeśli odpowiadacie na zapytania mailem, numer telefonu może być nieobowiązkowy. Jeśli oddzwaniacie, może być odwrotnie. Pole „adres zamieszkania” w zapytaniu o termin wizyty rzadko ma uzasadnienie.

Formularze często pytają o więcej, bo szablon miał takie pola i nikt ich nie usunął. Krótszy formularz łatwiej też wypełnić na telefonie, a mniej pól to mniej danych, którymi trzeba się potem opiekować.

Osobne, niezaznaczone pole zgody na marketing

Czy samo wysłanie zapytania wymaga pola zgody, czy wystarczy informacja obok formularza, ustalcie z prawnikiem. Zgoda na marketing to osobna sprawa.

Jeśli chcecie wysyłać newsletter albo oferty, prośba o taką zgodę stoi zwykle jako osobne pole pod formularzem. Człowiek zaznacza je sam. Pole zaznaczone z góry to dokładnie przypadek z motywu 32, a nasz skan pokazuje je jako rzecz do sprawdzenia. Art. 7 ust. 2 mówi też, że gdy zgoda jest częścią oświadczenia, które dotyczy także innych spraw, prośbę o nią trzeba przedstawić tak, żeby dała się wyraźnie odróżnić od reszty.

Od strony technicznej formularz powinien zapisywać, kiedy ktoś zaznaczył pole i jaka była wtedy treść zgody. Bez tego po roku trudno cokolwiek wykazać. Zapytajcie wykonawcę, czy Wasz formularz tak robi.

Czy na marketing w ogóle potrzebujecie zgody i w jakiej formie, zależy też od innych przepisów niż RODO. To kolejne pytanie do prawnika.

Gdzie lądują wiadomości i jak długo tam leżą

Sprawdźcie, dokąd naprawdę trafiają zapytania z formularza. Bywa, że do wspólnej skrzynki, którą czyta kilka osób, albo na prywatny adres właściciela. Bywa też, że kopia zostaje w bazie strony, a w panelu leżą wszystkie zapytania od dnia uruchomienia.

Wśród informacji z art. 13 jest okres przechowywania. Żeby go podać, trzeba go najpierw ustalić. Ile ma wynosić, ustalcie z prawnikiem, a potem poproście wykonawcę, żeby stare wiadomości w bazie strony same się usuwały po tym czasie. Ze skrzynką pocztową trzeba to zrobić osobno.

Formularz powinien wysyłać dane tylko szyfrowanym połączeniem, czyli po https. Jeśli strona otwiera się też po zwykłym http i nie przenosi na wersję szyfrowaną, dane z formularza mogą iść otwartym tekstem. Art. 32 RODO wymienia szyfrowanie wśród przykładowych środków bezpieczeństwa.

Formularz bez ochrony przed spamem prędzej czy później zasypie skrzynkę śmieciami. Prostą ochroną jest ukryte pole, którego człowiek nie widzi, a robot je wypełnia, do tego limit wiadomości z jednego miejsca w krótkim czasie. Część zabezpieczeń przed spamem to skrypty zewnętrznych firm, które ładują się u każdego odwiedzającego. Czy trzeba o nich wspomnieć w polityce prywatności, sprawdźcie z prawnikiem.

Co pokaże nasz skan, a czego nie

Nasz bezpłatny skan strony zagląda w kod strony i szuka sygnałów związanych z RODO i cookies. Sprawdza, czy przy formularzu jest pole zgody albo odnośnik do polityki prywatności, czy pole zgody nie jest zaznaczone z góry i czy narzędzia analityczne nie startują przed zgodą na cookies. W tym samym przebiegu sprawdza też, czy strona przenosi z http na https.

Skan czyta kod, który zwraca serwer, więc formularza dorysowanego później skryptem nie zobaczy. To nie jest ocena prawna. Skan pokazuje, czego brakuje w kodzie, a nie to, czy Wasze dokumenty są zgodne z przepisami. Tego, dokąd trafiają wiadomości i kto je czyta, żaden skan z zewnątrz też nie zobaczy. Jak przetestować formularz krok po kroku, pisaliśmy przy odbiorze strony internetowej.

Wyślijcie dziś jedno zapytanie przez własny formularz i zapiszcie, gdzie trafiło, kto je widzi i jak długo tam zostanie. Z tymi trzema odpowiedziami rozmowa z prawnikiem będzie krótsza.