お問い合わせフォームと GDPR：実務で重要な点

すべてのお問い合わせフォームは個人データを処理します。氏名、メールアドレス、多くの場合は電話番号、そしてほぼ何でも書ける自由記述のメッセージです。GDPR はそれらを禁止していませんが、フォーム自体、その周囲で読み込まれるもの、その後のメッセージの扱いについて、いくつかの要件を定めています。

フォームで知らせ、求める情報は少なく

GDPR 第 13 条は、データ収集時に本人へ情報を提供することを求めます。お問い合わせフォームなら、はるか下のフッターのリンクだけでなく、フォームの位置で知らせるということです。一般的なのは段階的な説明です。例えば送信ボタンの隣に「ご入力内容はお問い合わせへの回答にのみ使用します。詳細はプライバシーポリシーをご覧ください」という短い文と、そのリンクを置きます。完全な詳細はポリシーに記載します。

二つ目の原則はデータ最小化です（第 5 条 (1)(c)）。回答するには、通常は返信手段とメッセージ本文があれば足ります。氏名は役立ち、電話番号も場合によって便利ですが、住所はめったに必要ありません。不要なものは省き、あると便利なだけの欄は任意と明示します。歯科医院のフォームが電話番号を必須にしているとします。メールを希望するすべての人に、目的に必要な範囲を超える情報を渡させることになります。

依頼への回答には、通常、同意チェックボックスは不要です

多くのフォームには「データの処理に同意します」という必須チェック欄があります。慎重に見えますが、通常は適切な手段ではありません。質問や見積もり依頼の場合、法的根拠は一般に、契約締結前に本人の求めに応じて行う措置である第 6 条 (1)(b)、または回答するという正当な利益である第 6 条 (1)(f) です。同意には独自の義務があります。自由意思で与えられ、いつでも撤回できなければなりません。特別な種類のデータは別です。例えば医科・歯科医院のフォームで健康情報を求める場合、GDPR 第 9 条が適用され、法的根拠を別途確認する必要があります。
マーケティングも別です。ニュースレターには本当の同意が必要です。独立した、初期状態で未チェックの欄を使います。前文第 32 項は、あらかじめチェックされた欄は同意にならないとしています。また、同意しなくてもフォームを使えなければなりません。

フォームのページで他に読み込まれるもの

ページにあるのは入力欄だけとは限りません。入力中に、外部提供者の CAPTCHA、広告や分析のピクセル、セッションリプレイのツールが動くことがあります。それぞれが少なくとも IP アドレスなどのデータを第三者へ送る可能性があります。また、端末への情報の保存や読み取りには、厳密に必要な場合を除き、ドイツやポーランドを含む各国で実施される ePrivacy の規則に基づき、原則として同意が必要です。セッションリプレイは特に注意を要します。マスキングがなければ、送信をクリックする前の入力内容まで記録することがあります。
ここで同意バナーが機能しなければなりません。「拒否」の後はピクセルが通信してはいけません。第三者の CAPTCHA が厳密に必要かどうかは議論があります。同意後にだけ読み込むなら、拒否した人に通常のメールアドレスなど別の連絡手段を用意してください。ハニーポット欄、時間チェック、プルーフ・オブ・ワークのチャレンジなど、第三者を使わない保護なら、この問題自体を避けられます。

• プライベートウィンドウでフォームのページを開き、バナーを拒否して、開発者ツールのネットワークタブを確認します。どの外部リクエストがまだ送られていますか。
• フォームのページと、送信後の完了ページに広告や分析のピクセルがないか確認します。
• セッションリプレイを使う場合、フォームの入力欄がマスキングされているか、フォームのページが対象外になっていることを確認します。
• どの CAPTCHA 提供者が、同意の前か後か、いつ読み込まれるかを記録します。
• 残るすべての第三者を、目的とともにプライバシーポリシーに記載します。

メッセージの行き先と保存期間

ホスティング、メール提供者、フォームの送信先となるフォーム SaaS、ヘルプデスク、CRM など、お客様のためにメッセージを扱うサービスは、すべて GDPR 第 28 条の処理者です。それぞれとデータ処理契約（DPA）が必要です。多くの提供者は標準の契約を用意しています。EU/EEA 域外でデータを処理する場合は、移転について第 V 章に基づく根拠も必要です。認証企業向けの EU・米国データプライバシーフレームワークなどの十分性認定や、標準契約条項などが該当します。

問い合わせを永久に保存してはいけません。保存制限の原則（第 5 条 (1)(e)）に従って保存期間を定め、メールボックス、プラグインのデータベース、CRM のコピーも含め、実際に削除します。問い合わせが取引関係に発展した場合、ドイツにもポーランドにもある商法や税法の規定により、一部の通信を何年も保持する必要が生じることがあります。その場合は、その義務が期間を決めます。最後に安全性です。第 32 条は、適切な措置の例として暗号化を挙げています。HTTPS のないフォームや、期限切れ証明書のフォームは、個人データを保護せずに送信します。

formexposed のスキャナーは、フォームのプライバシーポリシーへのリンク、Cookie バナーの拒否で本当に追跡が止まるか、フォームのページのピクセルとセッションリプレイツール、ページのソースに受信先アドレスが見えるかなど、これらの点のいくつかを外側から調べます。何も送信しません。アカウント不要の無料チェックでは、全体の水準と主な保護の検出結果が分かります。GDPR の詳細は完全なレポートに含まれます。