संपर्क फ़ॉर्म पर GDPR: व्यवहार में महत्वपूर्ण बातें

हर संपर्क फ़ॉर्म व्यक्तिगत डेटा प्रसंस्कृत करता है: नाम, ईमेल पता, अक्सर फ़ोन नंबर और खुला संदेश जिसमें लगभग कुछ भी हो सकता है। GDPR इसे प्रतिबंधित नहीं करता, लेकिन कुछ अपेक्षाएँ रखता है—फ़ॉर्म के लिए, उसके आसपास लोड होने वाली चीज़ों के लिए और बाद में संदेश के साथ होने वाली कार्रवाई के लिए।

फ़ॉर्म पर: जानकारी दें और कम माँगें

Art. 13 GDPR डेटा एकत्र करते समय लोगों को सूचित करना आवश्यक करता है। संपर्क फ़ॉर्म के लिए इसका अर्थ फ़ॉर्म पर सूचना देना है—केवल बहुत नीचे फ़ुटर के लिंक से नहीं। सामान्य तरीका परतों वाला है: सबमिट बटन के पास छोटा वाक्य, जैसे “आपके विवरण केवल पूछताछ का उत्तर देने के लिए इस्तेमाल करते हैं—अधिक जानकारी गोपनीयता नीति में”, और नीति का लिंक। फिर नीति पूरा विवरण देती है।

दूसरा सिद्धांत न्यूनतम डेटा है (Art. 5(1)(c))। उत्तर देने के लिए सामान्यतः उत्तर का तरीका और संदेश चाहिए। नाम मदद करता है, फ़ोन नंबर कभी उपयोगी है, डाक पता शायद ही आवश्यक हो। अनावश्यक चीज़ छोड़ें और उपयोगी लेकिन अनिवार्य न होने वाले फ़ील्ड वैकल्पिक चिह्नित करें। दंत क्लिनिक के ऐसे फ़ॉर्म की कल्पना करें जिसमें फ़ोन अनिवार्य है: ईमेल पसंद करने वाला हर व्यक्ति उद्देश्य से अधिक डेटा देने के लिए बाध्य होता है।

अनुरोध का उत्तर देने के लिए सामान्यतः सहमति चेकबॉक्स नहीं चाहिए

कई फ़ॉर्म में अनिवार्य चेकबॉक्स होता है: “मैं अपने डेटा के प्रसंस्करण से सहमत हूँ”। यह सावधानी लगता है, लेकिन सामान्यतः गलत उपाय है। प्रश्न पूछने या मूल्य प्रस्ताव माँगने पर कानूनी आधार अक्सर Art. 6(1)(b)—अनुबंध से पहले व्यक्ति के अनुरोध पर उठाए कदम—या उत्तर देने का आपका वैध हित Art. 6(1)(f) है। सहमति अपने दायित्व लाती है: वह स्वतंत्र रूप से दी जानी चाहिए और कभी भी वापस ली जा सकती है। डेटा की विशेष श्रेणियाँ अलग हैं: फ़ॉर्म स्वास्थ्य जानकारी माँगे, जैसे चिकित्सा या दंत क्लिनिक में, तो Art. 9 GDPR लागू है और कानूनी आधार की अलग जाँच चाहिए।
मार्केटिंग अलग है। न्यूज़लेटर को वास्तविक सहमति चाहिए: अलग चेकबॉक्स, जो पहले से चुना न हो—प्रस्तावना का विचार 32 बताता है कि पहले से चुने बॉक्स मान्य नहीं हैं—और उसके बिना फ़ॉर्म काम करे।

फ़ॉर्म पृष्ठ पर और क्या लोड होता है

पृष्ठ पर फ़ील्ड शायद ही अकेले होते हैं। किसी के टाइप करते समय बाहरी प्रदाता का CAPTCHA, विज्ञापन या एनालिटिक्स पिक्सेल अथवा सत्र रीप्ले उपकरण चल सकता है। हर एक डेटा—कम से कम IP पता—तीसरे पक्ष को भेज सकता है और उपकरण में जानकारी रखना या पढ़ना सामान्यतः राष्ट्रीय रूप से लागू ePrivacy नियमों के अंतर्गत सहमति माँगता है, जर्मनी और पोलैंड में भी अन्य जगहों की तरह, जब तक अत्यंत आवश्यक न हो। सत्र रीप्ले सबसे संवेदनशील है: छिपाने के बिना वह भेजें क्लिक करने से पहले टाइप किया पाठ रिकॉर्ड कर सकता है।
यहीं सहमति बैनर को काम करना है: “अस्वीकार” के बाद पिक्सेल शांत रहें। तीसरे पक्ष का CAPTCHA अत्यंत आवश्यक है या नहीं, इस पर बहस है। सहमति के बाद ही लोड हो, तो अस्वीकार करने वालों को साधारण ईमेल जैसे दूसरे संपर्क तरीके दें। तीसरे पक्ष के बिना सुरक्षा—हनीपॉट, समय जाँच, प्रूफ़ ऑफ़ वर्क चुनौती—यह प्रश्न ही टालती है।

• निजी विंडो में फ़ॉर्म पृष्ठ खोलें, बैनर अस्वीकार करें और डेवलपर उपकरण का नेटवर्क टैब देखें: कौन-से बाहरी अनुरोध अब भी जाते हैं?
• फ़ॉर्म पृष्ठ और भेजने के बाद धन्यवाद पृष्ठ पर विज्ञापन तथा एनालिटिक्स पिक्सेल जाँचें।
• सत्र रीप्ले इस्तेमाल करते हैं, तो सुनिश्चित करें कि फ़ॉर्म फ़ील्ड छिपाए गए हैं या फ़ॉर्म पृष्ठ बाहर रखे गए हैं।
• नोट करें कि कौन-सा CAPTCHA प्रदाता कब लोड होता है—सहमति से पहले या बाद में।
• बचे हुए हर तीसरे पक्ष और उसके उद्देश्य का नाम गोपनीयता नीति में दें।

संदेश कहाँ जाते हैं—और कितने समय रहते हैं

आपकी ओर से संदेश सँभालने वाली हर सेवा—होस्टिंग, मेल प्रदाता, वह फ़ॉर्म SaaS जहाँ फ़ॉर्म पोस्ट होता है, हेल्पडेस्क या CRM—Art. 28 GDPR के अंतर्गत प्रसंस्करणकर्ता है। हर एक के साथ डेटा प्रसंस्करण समझौता (DPA) चाहिए; अधिकांश प्रदाता मानक समझौता देते हैं। EU/EEA के बाहर प्रसंस्करण हो, तो अध्याय V के अंतर्गत स्थानांतरण का आधार भी चाहिए, जैसे पर्याप्तता निर्णय—उदाहरण के लिए प्रमाणित कंपनियों के लिए EU–US Data Privacy Framework—या मानक संविदात्मक खंड।

पूछताछ हमेशा नहीं रखनी चाहिए। सीमित संग्रहण सिद्धांत (Art. 5(1)(e)) के अनुसार प्रतिधारण अवधि तय करके वास्तव में मिटाएँ—मेलबॉक्स, प्लगइन डेटाबेस और CRM की प्रतियाँ भी। पूछताछ व्यावसायिक संबंध बने, तो वाणिज्यिक और कर नियम—जर्मनी और पोलैंड दोनों में हैं—कुछ पत्राचार वर्षों तक रखने की माँग कर सकते हैं; तब वही दायित्व अवधि तय करता है। अंत में सुरक्षा: Art. 32 उचित उपाय के उदाहरण के रूप में एन्क्रिप्शन बताता है। HTTPS के बिना या समाप्त प्रमाणपत्र वाला फ़ॉर्म व्यक्तिगत डेटा असुरक्षित भेजता है।

formexposed स्कैनर इनमें से कई बातें बाहर से देखता है: फ़ॉर्म पर गोपनीयता नीति का लिंक, कुकी बैनर अस्वीकारने से वास्तव में ट्रैकिंग रुकती है या नहीं, फ़ॉर्म पृष्ठों पर पिक्सेल और सत्र रीप्ले उपकरण तथा पृष्ठ स्रोत में प्राप्तकर्ता पता दिखाई देता है या नहीं। वह कुछ सबमिट नहीं करता। बिना खाते की निःशुल्क जाँच समग्र स्तर और मुख्य सुरक्षा निष्कर्ष देती है; GDPR विवरण पूरी रिपोर्ट में हैं।