اللائحة العامة لحماية البيانات (GDPR) في نموذج الاتصال: النقاط المهمة عمليا

يعالج كل نموذج اتصال بيانات شخصية: اسما وعنوان بريد إلكتروني، وغالبا رقم هاتف ورسالة نصية حرة قد تتضمن أي شيء تقريبا. ولا تحظر اللائحة العامة لحماية البيانات (GDPR) ذلك، لكنها تضع بعض المتطلبات للنموذج نفسه، ولما يحمل حوله، ولما يحدث للرسالة بعد ذلك.

عند النموذج: قدموا المعلومات واطلبوا القليل

توجب المادة 13 من اللائحة العامة لحماية البيانات (GDPR) إعلام الناس وقت جمع بياناتهم. وهذا يعني في نموذج الاتصال تقديم المعلومات عند النموذج، وليس فقط عبر رابط في التذييل بعيدا في الأسفل. والأسلوب الشائع متعدد الطبقات: عبارة قصيرة بجوار زر الإرسال، مثل «نستخدم بياناتكم للرد على استفساركم فقط، والتفاصيل في سياسة الخصوصية لدينا»، مع رابط إلى السياسة. ثم تغطي السياسة التفاصيل الكاملة.

المبدأ الثاني تقليل البيانات (المادة 5(1)(c)). للرد، تحتاجون عادة إلى وسيلة للرد والرسالة نفسها. يفيد الاسم، وقد يكون رقم الهاتف مفيدا أحيانا، ونادرا ما يفيد العنوان البريدي. احذفوا ما لا تحتاجونه، وحددوا الحقول المستحسنة بوصفها اختيارية. تخيلوا عيادة أسنان يجعل نموذجها رقم الهاتف إلزاميا: يضطر كل من يفضل البريد الإلكتروني إلى تقديم أكثر مما يتطلبه الغرض.

الرد على طلب لا يحتاج عادة إلى مربع موافقة

تتضمن نماذج كثيرة مربعا إلزاميا يقول «أوافق على معالجة بياناتي». يبدو حذرا، لكنه غالبا الأداة غير المناسبة. فعندما يطرح شخص سؤالا أو يطلب عرض سعر، يكون الأساس القانوني عادة المادة 6(1)(b)، أي اتخاذ خطوات بطلب الشخص قبل إبرام عقد، أو المادة 6(1)(f)، أي مصلحتكم المشروعة في الرد. وتترتب على الموافقة التزامات خاصة: يجب أن تمنح بحرية ويمكن سحبها في أي وقت. أما الفئات الخاصة من البيانات فمختلفة: إذا طلب النموذج معلومات صحية، مثلا في عيادة طبية أو عيادة أسنان، تنطبق المادة 9 من اللائحة العامة لحماية البيانات (GDPR)، ويحتاج الأساس القانوني إلى فحص منفصل.
والتسويق مختلف. فالنشرة البريدية تحتاج إلى موافقة حقيقية: مربع منفصل، غير محدد افتراضيا؛ وتوضح الحيثية 32 أن المربعات المحددة مسبقا لا تعد موافقة، ويجب أن يعمل النموذج دونه.

ما الذي يحمل أيضا في صفحة النموذج

نادرا ما تكون الحقول وحدها في الصفحة. فقد تعمل CAPTCHA من مزود خارجي أو بكسل إعلاني أو تحليلي أو أداة لإعادة تشغيل الجلسات أثناء الكتابة. ويمكن لكل منها إرسال بيانات، على الأقل عنوان IP، إلى طرف ثالث، كما يتطلب تخزين المعلومات على الجهاز أو قراءتها عموما موافقة بموجب قواعد الخصوصية الإلكترونية كما تنفذ وطنيا، في ألمانيا وبولندا وغيرهما، إلا إذا كان ذلك ضروريا تماما. وإعادة تشغيل الجلسات الأكثر حساسية: فقد تسجل، دون إخفاء، ما يكتبه الناس حتى قبل نقر إرسال.
وهنا يجب أن يؤدي شريط الموافقة دوره: بعد «رفض»، يجب أن تظل البكسلات صامتة. ومسألة الضرورة التامة لـ CAPTCHA خارجية محل نقاش. وإذا لم تحمل إلا بعد الموافقة، فامنحوا من رفضوا وسيلة أخرى للوصول إليكم، مثل عنوان بريد إلكتروني عادي. وتتجنب الحماية دون طرف ثالث، كحقل المصيدة والفحص الزمني وتحدي إثبات العمل، هذه المسألة بالكامل.

• افتحوا صفحة النموذج في نافذة خاصة، وارفضوا الشريط، وافحصوا تبويب الشبكة في أدوات المطور: ما الطلبات الخارجية التي لا تزال تخرج؟
• ابحثوا عن بكسلات الإعلان والتحليلات في صفحة النموذج وفي صفحة الشكر بعد الإرسال.
• إذا استخدمتم إعادة تشغيل الجلسات، فتأكدوا من إخفاء حقول النماذج أو استثناء صفحات النماذج.
• دونوا مزود CAPTCHA الذي يحمل ووقت تحميله، قبل الموافقة أم بعدها.
• اذكروا كل طرف ثالث متبق، مع غرضه، في سياسة الخصوصية لديكم.

أين تذهب الرسائل، وكم تبقى

كل خدمة تتعامل مع الرسائل نيابة عنكم، كالاستضافة ومزود البريد وخدمة نماذج SaaS التي يرسل إليها النموذج ومكتب المساعدة أو CRM، هي معالج بيانات بموجب المادة 28 من اللائحة العامة لحماية البيانات (GDPR). وتحتاجون إلى اتفاقية معالجة بيانات (DPA) مع كل منها؛ ويقدم معظم المزودين اتفاقية قياسية. وإذا عولجت البيانات خارج الاتحاد الأوروبي أو المنطقة الاقتصادية الأوروبية، يحتاج النقل أيضا إلى أساس بموجب الفصل V، مثل قرار كفاية، ومن أمثلته إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة للشركات المعتمدة، أو البنود التعاقدية القياسية.

ينبغي ألا تحفظ الاستفسارات إلى الأبد. فبموجب مبدأ تحديد مدة التخزين (المادة 5(1)(e))، تحددون مدة للاحتفاظ وتمحون فعليا، بما في ذلك النسخ في صناديق البريد وقواعد بيانات الإضافات وCRM. وإذا تحول الاستفسار إلى علاقة تجارية، فقد توجب القواعد التجارية والضريبية، الموجودة في ألمانيا وبولندا كليهما، الاحتفاظ ببعض المراسلات لسنوات؛ وعندها يحدد هذا الواجب المدة. وأخيرا، الأمن: تذكر المادة 32 التشفير مثالا لتدبير مناسب. ويرسل النموذج المعروض دون HTTPS أو بشهادة منتهية بيانات شخصية دون حماية.

يفحص ماسح formexposed عددا من هذه النقاط من الخارج: رابط سياسة الخصوصية عند النموذج، وما إذا كان رفض شريط ملفات تعريف الارتباط يوقف التتبع فعلا، والبكسلات وأدوات إعادة تشغيل الجلسات في صفحات النماذج، وما إذا كان عنوان المستلم ظاهرا في مصدر الصفحة. ولا يرسل شيئا. ويمنحكم الفحص المجاني دون حساب المستوى العام والنتائج الأساسية للحماية؛ وترد تفاصيل اللائحة العامة لحماية البيانات (GDPR) في التقرير الكامل.