GDPR בטופס יצירת הקשר: הנקודות החשובות בפועל

כל טופס יצירת קשר מעבד מידע אישי: שם, כתובת דוא״ל, לעיתים קרובות מספר טלפון והודעת טקסט חופשי שיכולה להכיל כמעט כל דבר. GDPR אינו אוסר שום דבר מזה, אבל מציב כמה ציפיות — מהטופס עצמו, ממה שנטען סביבו וממה שקורה להודעה לאחר מכן.

בטופס: ליידע ולבקש מעט

סעיף 13 של GDPR מחייב ליידע אנשים במועד איסוף המידע שלהם. בטופס יצירת קשר פירוש הדבר הוא בטופס עצמו — לא רק באמצעות קישור בכותרת התחתונה הרחק למטה. הגישה המקובלת היא רב-שכבתית: משפט קצר ליד כפתור השליחה, כגון ״אנחנו משתמשים בפרטים רק כדי להשיב לפנייה — מידע נוסף במדיניות הפרטיות שלנו״, עם קישור למדיניות. המדיניות כוללת לאחר מכן את מלוא הפרטים.

העיקרון השני הוא מזעור מידע (סעיף 5(1)(c)). כדי להשיב נדרשים בדרך כלל אמצעי ליצירת תשובה וההודעה עצמה. שם עוזר, מספר טלפון מועיל לפעמים, וכתובת דואר מועילה לעיתים רחוקות. יש לוותר על מה שאינו נחוץ ולסמן שדות שרק נוח לקבל כרשות. אפשר לדמיין מרפאת שיניים שהטופס שלה מחייב מספר טלפון: כל מי שמעדיף דוא״ל נדחף למסור יותר ממה שהמטרה מחייבת.

כדי להשיב לבקשה בדרך כלל אין צורך בתיבת הסכמה

טפסים רבים כוללים תיבת חובה שאומרת ״ניתנת הסכמתי לעיבוד המידע שלי״. זה נראה זהיר, אך בדרך כלל זה הכלי הלא נכון. כשמישהו שואל שאלה או מבקש הצעת מחיר, הבסיס המשפטי הוא לרוב סעיף 6(1)(b) — צעדים שננקטים לבקשת האדם לפני כריתת חוזה — או סעיף 6(1)(f), האינטרס הלגיטימי להשיב. להסכמה יש חובות משלה: היא חייבת להינתן מרצון חופשי וניתן לחזור ממנה בכל עת. קטגוריות מיוחדות של מידע הן עניין אחר: אם טופס מבקש מידע בריאותי, למשל במרפאה רפואית או במרפאת שיניים, סעיף 9 של GDPR חל ונדרשת בדיקה נפרדת של הבסיס המשפטי.
שיווק הוא עניין אחר. ניוזלטר דורש הסכמה אמיתית: תיבת סימון נפרדת, שאינה מסומנת כברירת מחדל — דברי ההסבר בפסקה 32 קובעים שתיבות שסומנו מראש אינן נחשבות — והטופס חייב לעבוד גם בלי לסמן אותה.

מה עוד נטען בדף הטופס

השדות נמצאים לעיתים רחוקות לבדם בדף. CAPTCHA של ספק חיצוני, פיקסל פרסום או ניתוח נתונים, או כלי לשחזור פעילות בגלישה עשויים לפעול בזמן שמישהו מקליד. כל אחד מהם יכול לשלוח מידע — לפחות את כתובת ה-IP — לצד שלישי, ואחסון מידע במכשיר או קריאתו דורשים בדרך כלל הסכמה לפי כללי ePrivacy כפי שיושמו בדין הלאומי, בגרמניה ובפולין כמו במקומות אחרים, אלא אם הדבר נחוץ בהחלט. שחזור פעילות בגלישה הוא הרגיש ביותר: ללא הסתרת תוכן, הוא עלול להקליט את מה שאנשים מקלידים עוד לפני שהם לוחצים על שליחה.
כאן באנר ההסכמה חייב למלא את תפקידו: אחרי ״דחייה״, הפיקסלים חייבים להישאר שקטים. השאלה אם CAPTCHA של צד שלישי נחוץ בהחלט שנויה במחלוקת. אם הוא נטען רק לאחר הסכמה, יש לתת למי שסירבו דרך אחרת ליצור קשר, כגון כתובת דוא״ל רגילה. הגנה ללא צד שלישי — שדה מלכודת, בדיקת זמן, אתגר הוכחת עבודה — נמנעת מהשאלה מלכתחילה.

• יש לפתוח את דף הטופס בחלון פרטי, לדחות את הבאנר ולבדוק בלשונית הרשת של כלי הפיתוח: אילו בקשות חיצוניות עדיין נשלחות?
• יש לבדוק אם קיימים פיקסלים של פרסום וניתוח נתונים בדף הטופס ובדף התודה שאחרי השליחה.
• בשימוש בשחזור פעילות בגלישה, יש לוודא ששדות הטופס מוסתרים או שדפי הטפסים מוחרגים.
• יש לרשום איזה ספק CAPTCHA נטען ומתי — לפני ההסכמה או אחריה.
• יש לציין במדיניות הפרטיות כל צד שלישי שנותר, יחד עם מטרתו.

לאן ההודעות הולכות — וכמה זמן הן נשארות

כל שירות שמטפל בהודעות בשם מפעילי האתר — אחסון, ספק דואר, שירות SaaS שאליו הטופס שולח, מערכת תמיכה או CRM — הוא מעבד מידע לפי סעיף 28 של GDPR. נדרש הסכם לעיבוד מידע (DPA) עם כל אחד מהם; רוב הספקים מציעים הסכם סטנדרטי. אם המידע מעובד מחוץ לאיחוד האירופי/EEA, ההעברה דורשת גם בסיס לפי פרק V, כגון החלטת נאותות — למשל מסגרת הפרטיות של נתונים EU–US לחברות מוסמכות — או סעיפים חוזיים סטנדרטיים.

לא מומלץ לשמור פניות לנצח. לפי עקרון הגבלת השמירה (סעיף 5(1)(e)), יש לקבוע תקופת שמירה ולמחוק בפועל — כולל עותקים בתיבות דואר, במסדי נתונים של תוספים וב-CRM. אם פנייה מתפתחת לקשר עסקי, כללי מסחר ומיסוי — שקיימים הן בגרמניה והן בפולין — עשויים לחייב שמירה של חלק מההתכתבות במשך שנים; במקרה כזה החובה קובעת את התקופה. לבסוף, אבטחה: סעיף 32 מציין הצפנה כדוגמה לאמצעי מתאים. טופס שמוגש בלי HTTPS או עם תעודה שפג תוקפה שולח מידע אישי ללא הגנה.

סורק formexposed בוחן כמה מהנקודות האלה מבחוץ: קישור למדיניות פרטיות בטופס, האם דחיית באנר העוגיות באמת מפסיקה מעקב, פיקסלים וכלים לשחזור פעילות בגלישה בדפי טפסים, והאם כתובת הדוא״ל של הנמען גלויה בקוד המקור של הדף. הוא אינו שולח דבר. בדיקה חינמית ללא חשבון מספקת את הרמה הכוללת ואת ממצאי ההגנה העיקריים; פרטי GDPR נמצאים בדוח המלא.