GDPR e modulo di contatto: i punti che contano nella pratica

Ogni modulo di contatto tratta dati personali: un nome, un indirizzo e-mail, spesso un numero di telefono e un messaggio a testo libero che può contenere quasi qualsiasi cosa. Il GDPR non vieta nulla di tutto ciò, ma pone alcune aspettative – per il modulo stesso, per ciò che si carica attorno a esso e per ciò che accade al messaggio in seguito.

Al modulo: informare e chiedere poco

L’articolo 13 del GDPR impone di informare le persone nel momento in cui si raccolgono i loro dati. Per un modulo di contatto ciò significa al modulo – non solo tramite un link nel piè di pagina molto più in basso. L’approccio più comune è a più livelli: una breve frase accanto al pulsante di invio, ad esempio “Utilizziamo i Suoi dati solo per rispondere alla Sua richiesta – maggiori informazioni nella nostra informativa privacy”, con il link all’informativa. L’informativa riporta poi tutti i dettagli.

Il secondo principio è la minimizzazione dei dati (articolo 5(1)(c)). Per rispondere servono di solito un modo per replicare e il messaggio stesso. Un nome aiuta, un numero di telefono a volte è utile, un indirizzo postale raramente. Ometta ciò che non Le serve e contrassegni come facoltativi i campi solo utili. Immagini uno studio dentistico il cui modulo rende obbligatorio il numero di telefono: chiunque preferisca l’e-mail è costretto a fornire più di quanto richieda lo scopo.

Rispondere a una richiesta di solito non richiede una casella di consenso

Molti moduli riportano una casella obbligatoria con la dicitura “Acconsento al trattamento dei miei dati”. Sembra scrupoloso, ma di solito è lo strumento sbagliato. Quando qualcuno pone una domanda o chiede un preventivo, la base giuridica è tipicamente l’articolo 6(1)(b) – misure adottate su richiesta dell’interessato prima della conclusione di un contratto – oppure l’articolo 6(1)(f), il Suo legittimo interesse a rispondere. Il consenso comporta obblighi propri: deve essere prestato liberamente e può essere revocato in qualsiasi momento. Le categorie particolari di dati sono un caso a parte: se un modulo chiede informazioni sulla salute, ad esempio presso uno studio medico o dentistico, si applica l’Art. 9 GDPR e la base giuridica va verificata separatamente.
Il marketing è diverso. Una newsletter richiede un vero consenso: una casella separata, non spuntata per impostazione predefinita – il considerando 32 stabilisce che le caselle preselezionate non valgono – e il modulo deve funzionare anche senza di essa.

Che cos’altro si carica sulla pagina del modulo

I campi raramente sono soli sulla pagina. Un CAPTCHA di un provider esterno, un pixel pubblicitario o di analisi o uno strumento di session replay possono essere in esecuzione mentre qualcuno digita. Ciascuno può inviare dati – almeno l’indirizzo IP – a terzi, e memorizzare o leggere informazioni sul dispositivo richiede in genere il consenso secondo le norme ePrivacy come recepite a livello nazionale, in Germania e in Polonia come altrove, salvo che sia strettamente necessario. Il session replay è il più delicato: senza mascheramento può registrare ciò che le persone digitano prima ancora che clicchino su Invia.
È qui che il banner dei consensi deve fare il suo lavoro: dopo “Rifiuta”, i pixel devono restare muti. Se un CAPTCHA di terze parti sia strettamente necessario è controverso. Se viene caricato solo dopo il consenso, offra a chi ha rifiutato un altro modo per contattarLa, ad esempio un semplice indirizzo e-mail. Una protezione senza terze parti – un campo honeypot, un controllo dei tempi, una sfida proof-of-work – evita del tutto la questione.

• Apra la pagina del modulo in una finestra privata, rifiuti il banner e controlli la scheda di rete negli strumenti per sviluppatori: quali richieste esterne partono ancora?
• Cerchi pixel pubblicitari e di analisi sulla pagina del modulo e sulla pagina di ringraziamento dopo l’invio.
• Se utilizza il session replay, si assicuri che i campi dei moduli siano mascherati o che le pagine dei moduli siano escluse.
• Annoti quale provider di CAPTCHA viene caricato, e quando – prima o dopo il consenso.
• Indichi nella Sua informativa privacy ogni terza parte rimanente, con la relativa finalità.

Dove vanno i messaggi – e per quanto tempo restano

Ogni servizio che gestisce i messaggi per Suo conto – hosting, provider di posta, un SaaS per moduli a cui il modulo invia i dati, un helpdesk o un CRM – è un responsabile del trattamento ai sensi dell’articolo 28 del GDPR. Con ciascuno di essi Le serve un accordo sul trattamento dei dati (DPA); la maggior parte dei fornitori ne offre uno standard. Se i dati vengono trattati al di fuori dell’UE/SEE, il trasferimento richiede inoltre una base ai sensi del capo V, come una decisione di adeguatezza – ad esempio l’EU–US Data Privacy Framework per le aziende certificate – o clausole contrattuali tipo.

Le richieste non dovrebbero essere conservate per sempre. In base al principio di limitazione della conservazione (articolo 5(1)(e)) Lei stabilisce un periodo di conservazione e cancella effettivamente – comprese le copie nelle caselle di posta, nei database dei plugin e nel CRM. Se una richiesta si trasforma in un rapporto commerciale, le norme commerciali e fiscali – presenti sia in Germania sia in Polonia – possono imporre di conservare parte della corrispondenza per anni; in tal caso è quell’obbligo a stabilire il periodo. Infine, la sicurezza: l’articolo 32 cita la cifratura come esempio di misura adeguata. Un modulo servito senza HTTPS o con un certificato scaduto trasmette dati personali senza protezione.

Lo scanner di formexposed esamina dall’esterno diversi di questi punti: un link all’informativa privacy presso il modulo, se il rifiuto del banner dei cookie blocchi davvero il tracciamento, pixel e strumenti di session replay sulle pagine dei moduli e se l’indirizzo del destinatario sia visibile nel codice sorgente della pagina. Non invia nulla. Una verifica gratuita senza account Le fornisce il livello complessivo e i rilievi principali sulla protezione; i dettagli GDPR sono nel report completo.