GDPR kod kontaktnog obrasca: što je važno u praksi

Svaki kontaktni obrazac obrađuje osobne podatke: ime, adresu e-pošte, često telefonski broj i slobodnu tekstualnu poruku koja može sadržavati gotovo bilo što. GDPR ništa od toga ne zabranjuje, ali postavlja nekoliko očekivanja – za sam obrazac, za ono što se učitava oko njega i za ono što se poslije događa s porukom.

Uz obrazac: informirajte i tražite malo

Članak 13 GDPR-a zahtijeva da ljude informirate u trenutku prikupljanja njihovih podataka. Za kontaktni obrazac to znači uz obrazac – a ne samo putem poveznice u podnožju daleko ispod. Uobičajen je slojevit pristup: jedna kratka rečenica pokraj gumba za slanje, poput „Vaše podatke upotrebljavamo samo za odgovor na Vaš upit – više u našim pravilima privatnosti”, s poveznicom na pravila. Pravila zatim obuhvaćaju sve pojedinosti.

Drugo načelo je smanjenje količine podataka (članak 5(1)(c)). Za odgovor obično trebate način da odgovorite i samu poruku. Ime pomaže, telefonski broj ponekad je koristan, poštanska adresa rijetko. Izostavite ono što Vam ne treba i polja koja bi bilo dobro imati označite kao neobvezna. Zamislite stomatološku ordinaciju čiji obrazac čini telefonski broj obveznim: svi koji radije žele e-poštu prisiljeni su dati više nego što svrha zahtijeva.

Za odgovor na zahtjev obično ne treba potvrdni okvir za privolu

Mnogi obrasci imaju obvezni okvir „Pristajem na obradu svojih podataka”. Izgleda pažljivo, ali obično je pogrešan alat. Kad netko postavi pitanje ili zatraži ponudu, pravna osnova tipično je članak 6(1)(b) – radnje na zahtjev osobe prije sklapanja ugovora – ili članak 6(1)(f), Vaš legitimni interes za odgovor. Privola donosi vlastite obveze: mora biti dobrovoljna i može se povući u bilo kojem trenutku. Posebne kategorije podataka drukčije su: ako obrazac traži zdravstvene informacije, primjerice u liječničkoj ili stomatološkoj ordinaciji, primjenjuje se čl. 9 GDPR-a i pravnu osnovu treba zasebno provjeriti.
Marketing je drukčiji. Bilten treba stvarnu privolu: zaseban potvrdni okvir, prema zadanim postavkama neoznačen – uvodna izjava 32 navodi da unaprijed označeni okviri ne vrijede – a obrazac mora raditi i bez njega.

Što se još učitava na stranici s obrascem

Polja rijetko stoje sama na stranici. CAPTCHA vanjskog pružatelja, oglasni ili analitički piksel ili alat za reprodukciju sesije mogu raditi dok netko tipka. Svaki od njih može slati podatke – barem IP adresu – trećoj strani, a pohranjivanje ili čitanje informacija na uređaju u pravilu zahtijeva privolu prema pravilima o e-privatnosti kako su prenesena u nacionalno zakonodavstvo, u Njemačkoj i Poljskoj kao i drugdje, osim ako je to strogo nužno. Reprodukcija sesije najosjetljivija je: bez maskiranja može zabilježiti ono što ljudi upisuju prije nego što uopće kliknu Pošalji.
Tu natpis za privolu mora ispuniti svoju zadaću: nakon odabira „Odbij” pikseli moraju ostati neaktivni. O tome je li CAPTCHA treće strane strogo nužna još se raspravlja. Ako se učitava tek nakon privole, osobama koje su je odbile ponudite drugi način da Vam se jave, primjerice običnu adresu e-pošte. Zaštita bez treće strane – polje zamke za botove, vremenska provjera, izazov s dokazom rada – u potpunosti izbjegava to pitanje.

• Otvorite stranicu s obrascem u privatnom prozoru, odbijte privolu na natpisu i provjerite karticu mreže u razvojnim alatima: koji se vanjski zahtjevi i dalje šalju?
• Provjerite postoje li oglasni i analitički pikseli na stranici s obrascem i na stranici zahvale nakon slanja.
• Ako koristite reprodukciju sesije, provjerite jesu li polja obrasca maskirana ili jesu li stranice s obrascima izuzete.
• Zabilježite koji se pružatelj CAPTCHA-e učitava i kada – prije ili nakon privole.
• U pravilima privatnosti navedite svaku preostalu treću stranu i svrhu njezina uključivanja.

Kamo poruke odlaze – i koliko se dugo čuvaju

Svaka usluga koja obrađuje poruke u Vaše ime – hosting, pružatelj e-pošte, SaaS usluga za obrasce kojoj obrazac šalje podatke, služba podrške ili CRM – izvršitelj je obrade prema članku 28 GDPR-a. Sa svakim od njih potreban Vam je ugovor o obradi podataka (DPA); većina pružatelja nudi standardni ugovor. Ako se podaci obrađuju izvan EU-a/EGP-a, za prijenos je potrebna i osnova prema poglavlju V., poput odluke o primjerenosti – primjerice Okvira za zaštitu podataka između EU-a i SAD-a za certificirana poduzeća – ili standardnih ugovornih klauzula.

Upite ne treba čuvati zauvijek. Prema načelu ograničenja pohrane (članak 5(1)(e)) određujete rok čuvanja i doista brišete podatke – uključujući kopije u poštanskim sandučićima, bazama podataka dodataka i CRM-u. Ako upit preraste u poslovni odnos, trgovački i porezni propisi – postoje i u Njemačkoj i u Poljskoj – mogu zahtijevati čuvanje dijela korespondencije godinama; tada ta obveza određuje rok. Naposljetku, sigurnost: članak 32 navodi šifriranje kao primjer odgovarajuće mjere. Obrazac dostupan bez HTTPS-a ili s isteklim certifikatom šalje osobne podatke nezaštićene.

Skener formexposed izvana provjerava nekoliko od tih stavki: poveznicu na pravila privatnosti uz obrazac, zaustavlja li odbijanje privole na natpisu za kolačiće doista praćenje, piksele i alate za reprodukciju sesije na stranicama s obrascima te je li adresa primatelja vidljiva u izvornom kodu stranice. Ništa ne šalje putem obrasca. Besplatna provjera bez računa daje ukupnu razinu i ključne nalaze o zaštiti; pojedinosti o GDPR-u nalaze se u cjelovitom izvješću.