GDPR u kontaktního formuláře: body, na kterých v praxi záleží

Každý kontaktní formulář zpracovává osobní údaje: jméno, e-mailovou adresu, často telefonní číslo a volný text zprávy, který může obsahovat téměř cokoli. GDPR nic z toho nezakazuje, ale stanoví několik očekávání – pro samotný formulář, pro to, co se kolem něj načítá, a pro to, co se se zprávou děje potom.

U formuláře: informujte a žádejte málo

Článek 13 GDPR vyžaduje, abyste lidi informovali v okamžiku, kdy jejich údaje shromažďujete. U kontaktního formuláře to znamená přímo u formuláře – nejen prostřednictvím odkazu v patičce hluboko dole. Běžný přístup je vrstvený: jedna krátká věta vedle odesílacího tlačítka, například „Vaše údaje použijeme pouze k odpovědi na váš dotaz – více v našich zásadách ochrany osobních údajů“, s odkazem na zásady. Zásady pak pokrývají všechny podrobnosti.

Druhou zásadou je minimalizace údajů (článek 5(1)(c)). K odpovědi obvykle potřebujete způsob, jak odpovědět, a samotnou zprávu. Jméno pomůže, telefonní číslo je někdy užitečné, poštovní adresa jen zřídka. Vynechte, co nepotřebujete, a pole, která jsou jen „hezká mít“, označte jako nepovinná. Představte si zubní ordinaci, jejíž formulář vyžaduje telefonní číslo jako povinné: každý, kdo dává přednost e-mailu, je nucen poskytnout víc, než účel vyžaduje.

Odpověď na dotaz obvykle nepotřebuje zaškrtávací políčko se souhlasem

Mnoho formulářů obsahuje povinné políčko s textem „Souhlasím se zpracováním svých údajů“. Vypadá to pečlivě, ale obvykle jde o nesprávný nástroj. Když se někdo na něco zeptá nebo požádá o nabídku, právním základem je typicky článek 6(1)(b) – provedení opatření přijatých před uzavřením smlouvy na žádost této osoby – nebo článek 6(1)(f), váš oprávněný zájem na odpovědi. Souhlas s sebou nese vlastní povinnosti: musí být svobodný a lze jej kdykoli odvolat. Zvláštní kategorie údajů jsou jiný případ: pokud se formulář ptá na zdravotní údaje, například v lékařské nebo zubní ordinaci, použije se čl. 9 GDPR a právní základ je třeba posoudit zvlášť.
Marketing je jiný případ. Newsletter vyžaduje skutečný souhlas: samostatné zaškrtávací políčko, ve výchozím stavu nezaškrtnuté – bod 32 odůvodnění uvádí, že předem zaškrtnutá políčka se nepočítají – a formulář musí fungovat i bez něj.

Co dalšího se na stránce s formulářem načítá

Pole jsou na stránce jen zřídka sama. Zatímco někdo píše, může běžet CAPTCHA od externího poskytovatele, reklamní nebo analytický pixel či nástroj pro nahrávání relací. Každý z nich může posílat údaje – přinejmenším IP adresu – třetí straně a ukládání informací do zařízení nebo jejich čtení obecně vyžaduje souhlas podle pravidel ePrivacy, jak byla provedena ve vnitrostátním právu, v Německu a Polsku stejně jako jinde, pokud není nezbytně nutné. Nejcitlivější je nahrávání relací: bez maskování může zaznamenat, co lidé píší, ještě než vůbec kliknou na Odeslat.
Tady musí cookie lišta odvést svou práci: po „Odmítnout“ musí pixely mlčet. Zda je CAPTCHA třetí strany nezbytně nutná, je sporné. Pokud se načítá až po udělení souhlasu, nabídněte lidem, kteří odmítli, jinou cestu, jak vás kontaktovat, například prostou e-mailovou adresu. Ochrana bez třetí strany – pole honeypot, časová kontrola, výzva proof-of-work – se této otázce zcela vyhne.

• Otevřete stránku s formulářem v anonymním okně, odmítněte lištu a ve vývojářských nástrojích zkontrolujte kartu Síť: které externí požadavky stále odcházejí?
• Zkontrolujte reklamní a analytické pixely na stránce s formulářem a na děkovací stránce po odeslání.
• Pokud používáte nahrávání relací, zajistěte, aby byla pole formuláře maskována nebo stránky s formuláři vyloučeny.
• Poznamenejte si, který poskytovatel CAPTCHA se načítá a kdy – před souhlasem, nebo po něm.
• Každou zbývající třetí stranu uveďte i s účelem ve svých zásadách ochrany osobních údajů.

Kam zprávy putují – a jak dlouho zůstávají

Každá služba, která se zprávami nakládá vaším jménem – hosting, poskytovatel e-mailu, formulářová SaaS služba, na kterou formulář odesílá, helpdesk nebo CRM –, je zpracovatelem podle článku 28 GDPR. S každou z nich potřebujete smlouvu o zpracování osobních údajů; většina poskytovatelů nabízí standardní. Pokud jsou údaje zpracovávány mimo EU/EHP, potřebuje předání navíc základ podle kapitoly V, například rozhodnutí o odpovídající ochraně – například rámec EU–USA pro ochranu osobních údajů pro certifikované společnosti – nebo standardní smluvní doložky.

Dotazy by se neměly uchovávat navždy. Podle zásady omezení uložení (článek 5(1)(e)) stanovíte dobu uchovávání a skutečně mažete – včetně kopií ve schránkách, databázích pluginů a v CRM. Pokud se z dotazu stane obchodní vztah, mohou obchodní a daňové předpisy – Německo i Polsko je mají – vyžadovat uchovávání části korespondence po řadu let; pak dobu určuje tato povinnost. A nakonec bezpečnost: článek 32 uvádí šifrování jako příklad vhodného opatření. Formulář poskytovaný bez HTTPS nebo s prošlým certifikátem posílá osobní údaje nechráněné.

Skener formexposed se na několik z těchto bodů dívá zvenčí: odkaz na zásady ochrany osobních údajů u formuláře, zda odmítnutí cookie lišty skutečně zastaví sledování, pixely a nástroje pro nahrávání relací na stránkách s formuláři a zda je adresa příjemce viditelná ve zdrojovém kódu stránky. Nic neodesílá. Bezplatná kontrola bez účtu vám ukáže celkovou úroveň a hlavní zjištění o ochraně; podrobnosti ke GDPR jsou v úplném reportu.