BDAR ir kontaktinė forma: praktiškai svarbūs aspektai

Kiekviena kontaktinė forma tvarko asmens duomenis: vardą, el. pašto adresą, dažnai telefono numerį ir laisvo teksto žinutę, kurioje gali būti beveik bet kas. BDAR nieko iš to nedraudžia, tačiau nustato kelis lūkesčius – pačiai formai, tam, kas įkeliama aplink ją, ir tam, kas vėliau vyksta su žinute.

Prie formos: informuokite ir prašykite nedaug

BDAR 13 straipsnis reikalauja informuoti žmones tuo metu, kai renkate jų duomenis. Kontaktinės formos atveju tai reiškia – prie formos, o ne tik per nuorodą poraštėje toli apačioje. Įprastas būdas – daugiasluoksnis: vienas trumpas sakinys šalia pateikimo mygtuko, pavyzdžiui, „Jūsų duomenis naudojame tik atsakyti į Jūsų užklausą – daugiau mūsų privatumo politikoje“, su nuoroda į politiką. Tada politikoje pateikiama visa išsami informacija.

Antrasis principas – duomenų kiekio mažinimas (5 straipsnio 1 dalies c punktas). Kad galėtumėte atsakyti, paprastai reikia būdo atsakyti ir pačios žinutės. Vardas padeda, telefono numeris kartais naudingas, pašto adresas – retai. Praleiskite tai, ko jums nereikia, o laukus, kurie tiesiog būtų naudingi, pažymėkite kaip neprivalomus. Įsivaizduokite odontologijos kliniką, kurios formoje telefono numeris privalomas: kiekvienas, kuris renkasi el. paštą, verčiamas pateikti daugiau, nei reikia tikslui pasiekti.

Atsakant į užklausą sutikimo langelio paprastai nereikia

Daugelyje formų yra privalomas langelis „Sutinku, kad mano duomenys būtų tvarkomi“. Tai atrodo rūpestinga, bet dažniausiai tai netinkama priemonė. Kai kas nors užduoda klausimą ar prašo pasiūlymo, teisinis pagrindas paprastai yra 6 straipsnio 1 dalies b punktas – veiksmai, atliekami asmens prašymu prieš sudarant sutartį, – arba 6 straipsnio 1 dalies f punktas, Jūsų teisėtas interesas atsakyti. Sutikimas atneša savų pareigų: jis turi būti duotas laisva valia ir gali būti bet kada atšauktas. Specialių kategorijų duomenys – kitas atvejis: jei forma prašo informacijos apie sveikatą, pavyzdžiui, gydytojo ar odontologo kabinete, taikomas BDAR Art. 9, ir teisinį pagrindą reikia patikrinti atskirai.
Rinkodara – kitas dalykas. Naujienlaiškiui reikia tikro sutikimo: atskiro langelio, pagal numatytuosius nustatymus nepažymėto – 32 konstatuojamojoje dalyje nurodyta, kad iš anksto pažymėti langeliai nelaikomi sutikimu, – o forma turi veikti ir be jo.

Kas dar įkeliama formos puslapyje

Laukai puslapyje retai būna vieni. Kol kas nors rašo, gali veikti išorinio paslaugų teikėjo CAPTCHA, reklamos ar analitikos pikselis ar sesijų įrašymo įrankis. Kiekvienas iš jų gali siųsti duomenis – bent jau IP adresą – trečiajai šaliai, o informacijos saugojimui įrenginyje ar jos nuskaitymui iš jo pagal nacionalinėje teisėje įgyvendintas e. privatumo taisykles – tiek Vokietijoje ir Lenkijoje, tiek kitur – paprastai reikia sutikimo, nebent tai būtinai reikalinga. Sesijų įrašymas – jautriausias: be maskavimo jis gali įrašyti, ką žmonės įveda, dar prieš jiems spustelint „Siųsti“.
Čia slapukų reklamjuostė turi atlikti savo darbą: paspaudus „Atmesti“, pikseliai turi tylėti. Ar trečiosios šalies CAPTCHA yra būtinai reikalinga, ginčytina. Jei ji įkeliama tik gavus sutikimą, žmonėms, kurie atsisakė, suteikite kitą būdą su Jumis susisiekti, pavyzdžiui, paprastą el. pašto adresą. Apsauga be trečiųjų šalių – honeypot laukas, laiko patikra, darbo įrodymo užduotis – šio klausimo visiškai išvengia.

• Atidarykite formos puslapį privačiame lange, atmeskite reklamjuostę ir kūrėjo įrankiuose patikrinkite tinklo skirtuką: kokios išorinės užklausos vis dar siunčiamos?
• Patikrinkite, ar formos puslapyje ir padėkos puslapyje po išsiuntimo nėra reklamos ir analitikos pikselių.
• Jei naudojate sesijų įrašymą, užtikrinkite, kad formų laukai būtų maskuojami arba formų puslapiai neįtraukti.
• Užsirašykite, kurio paslaugų teikėjo CAPTCHA įkeliama ir kada – prieš sutikimą ar po jo.
• Savo privatumo politikoje nurodykite kiekvieną likusią trečiąją šalį ir jos tikslą.

Kur keliauja žinutės – ir kiek laiko jos lieka

Kiekviena paslauga, kuri Jūsų vardu tvarko žinutes – prieglobos, pašto paslaugų teikėjas, formų SaaS, į kurią siunčia forma, pagalbos tarnybos sistema ar CRM, – yra duomenų tvarkytojas pagal BDAR 28 straipsnį. Su kiekvienu iš jų Jums reikia duomenų tvarkymo sutarties (DTS); dauguma paslaugų teikėjų siūlo standartinę. Jei duomenys tvarkomi už ES / EEE ribų, perdavimui taip pat reikia pagrindo pagal V skyrių, pavyzdžiui, sprendimo dėl tinkamumo – pavyzdžiui, ES ir JAV duomenų privatumo pagrindų sertifikuotoms įmonėms – arba standartinių sutarčių sąlygų.

Užklausų nereikėtų saugoti amžinai. Pagal saugojimo trukmės apribojimo principą (5 straipsnio 1 dalies e punktas) nustatote saugojimo terminą ir iš tikrųjų ištrinate – įskaitant kopijas pašto dėžutėse, įskiepių duomenų bazėse ir CRM. Jei užklausa virsta verslo santykiais, komercinės ir mokesčių taisyklės – jų turi ir Vokietija, ir Lenkija – gali reikalauti dalį susirašinėjimo saugoti metų metus; tada terminą nustato ši pareiga. Galiausiai, saugumas: 32 straipsnyje šifravimas nurodytas kaip tinkamos priemonės pavyzdys. Forma, pateikiama be HTTPS ar su pasibaigusio galiojimo sertifikatu, siunčia asmens duomenis neapsaugotus.

formexposed skaitytuvas kelis iš šių aspektų vertina iš išorės: privatumo politikos nuorodą prie formos, ar slapukų reklamjuostės atmetimas tikrai sustabdo sekimą, pikselius ir sesijų įrašymo įrankius formų puslapiuose ir ar gavėjo adresas matomas puslapio išeities kode. Jis nieko nepateikia. Nemokamas patikrinimas be paskyros parodo bendrą lygį ir pagrindinius apsaugos radinius; BDAR išsami informacija pateikiama visoje ataskaitoje.